Qui possède votre site et vos comptes ?

Demandez à un dirigeant monégasque à qui appartient son nom de domaine : la plupart répondront « à nous ». Demandez-lui ensuite au nom de qui est ouvert le compte chez le registrar, quelle adresse reçoit les avis de renouvellement et qui peut se connecter à Google Ads. Les réponses deviennent souvent plus floues : une ancienne responsable marketing, le freelance qui a construit le site en 2019, ou une agence qui a tout créé sur ses propres comptes.

Cela ne pose aucun problème… jusqu'au jour où quelque chose change. Un collaborateur part, une agence est remplacée, un mot de passe expire, ou le domaine n'est pas renouvelé parce que le rappel est arrivé dans une boîte que personne ne consulte. L'entreprise découvre alors qu'elle n'était pas propriétaire de sa présence en ligne : elle y avait seulement accès.

Ce guide propose une vérification concrète, faisable en un après-midi. Il s'adresse aux dirigeants et aux managers, pas aux développeurs.

Pourquoi cela dérape si souvent

Personne ne décide de céder le contrôle de ses outils. Cela se fait compte par compte. Un développeur enregistre le domaine pour vous éviter une démarche. Une salariée ouvre le compte Instagram avec son numéro personnel. Une agence crée votre compte Google Ads dans sa propre facturation. Chaque choix est pratique sur le moment, et personne ne le note nulle part.

À Monaco, le risque est un peu plus élevé : beaucoup d'entreprises sont de petite taille, s'appuient sur des prestataires externes et changent d'agence au fil des années. Les équipes, souvent frontalières, se renouvellent. Chaque passation est une occasion de perdre un accès.

Le coût apparaît toujours au pire moment : quand vous voulez changer d'agence, refaire le site, lancer une campagne avant un grand événement ou prouver à un prestataire de paiement que vous contrôlez bien votre domaine.

L'inventaire : ce que vous devez réellement détenir

Commencez par une liste. Pour chaque élément, notez qui est propriétaire du compte, à quelle adresse e-mail il est rattaché, qui d'autre y a accès et qui le paie.

• Nom de domaine : le compte chez le registrar et le titulaire déclaré, qu'il s'agisse d'un .mc, d'un .com ou d'une autre extension.
• DNS : souvent chez le registrar, parfois chez un autre fournisseur comme Cloudflare. Qui contrôle le DNS contrôle votre site et l'acheminement de vos e-mails.
• Hébergement et site : le compte d'hébergement, l'accès administrateur du CMS et une copie du code ou du thème si le site est développé sur mesure.
• Messagerie et bureautique : le compte super-administrateur Google Workspace ou Microsoft 365.
• Mesure d'audience : Google Analytics, Search Console, Tag Manager.
• Publicité : Google Ads, Meta Business Manager, LinkedIn Campaign Manager, et la facturation associée.
• Fiches et réseaux sociaux : Google Business Profile, Instagram, Facebook, LinkedIn, TikTok, WhatsApp Business.
• Outils de vente : Shopify ou autre plateforme e-commerce, prestataire de paiement, outils de réservation et CRM.
• Fichiers de marque : fichiers sources du logo, charte graphique, photos et leurs droits d'utilisation.

La plupart des entreprises trouvent au moins un élément dont elles ne savent pas nommer le propriétaire. C'est celui-là qu'il faut régler en premier.

Propriétaire ou utilisateur : la règle qui résout presque tout

Le principe est simple. Votre société doit être propriétaire de chaque compte ; les prestataires n'en sont que des utilisateurs. Agences, freelances et salariés reçoivent un accès nominatif, avec les droits dont ils ont besoin. Quand ils partent, vous retirez leur accès, et rien d'autre ne change.

La plupart des plateformes le permettent. Google Ads et Meta autorisent une agence à gérer votre compte via un lien partenaire ou gestionnaire, la propriété restant chez vous. Analytics et Search Console acceptent plusieurs utilisateurs avec des rôles différents. Shopify propose des comptes collaborateurs. Une bonne agence procède ainsi sans qu'on le lui demande. Si une agence tient à garder vos comptes dans sa propre structure, demandez-lui pourquoi, et obtenez la réponse par écrit.

Pour le domaine, vérifiez que le titulaire est bien votre société et que les avis de renouvellement arrivent sur une adresse qu'elle contrôle. Si vous ne savez pas comment le titulaire est enregistré pour votre extension, votre registrar peut vous le confirmer.

Une adresse de l'entreprise, pas d'une personne

Beaucoup de blocages commencent par un compte lié à l'e-mail ou au portable personnel de quelqu'un. Créez quelques adresses génériques sur votre propre domaine, par exemple admin@ ou marketing@, et utilisez-les comme adresse propriétaire des comptes clés. Gardez la double authentification activée, mais conservez les codes de récupération et le second facteur dans un endroit accessible à l'entreprise, pas seulement sur le téléphone d'une seule personne.

Un gestionnaire de mots de passe partagé aide beaucoup : il indique qui a accès à quoi, permet de gérer un départ en quelques minutes et évite les mots de passe qui traînent dans un tableur ou une conversation WhatsApp.

Les accès ont aussi un volet protection des données. Votre CRM, votre outil de réservation et les formulaires de votre site contiennent des données personnelles, et la Loi n° 1.565 attend de vous qu'elles soient protégées de manière appropriée. Savoir qui peut ouvrir ces outils, et retirer ceux qui n'en ont plus besoin, en fait partie. En cas de doute sur vos obligations, notre équipe conformité APDP ou votre DPO peut vous aider à faire le point.

L'écrire dans le contrat

Les accès règlent le problème d'aujourd'hui ; le contrat évite celui de demain. Quand vous confiez une mission à une agence ou à un freelance, le contrat doit préciser à qui appartiennent les comptes créés, ce que deviennent le code, les fichiers graphiques et les contenus produits, et ce qui doit vous être remis à la fin de la collaboration, dans un délai raisonnable.

La propriété intellectuelle et les clauses contractuelles sont des sujets où chaque mot compte, et les règles varient selon la juridiction et le type de prestation. Faites relire les clauses concernées par un avocat plutôt que de vous fier à un modèle. Chez BSS, notre règle est que le client détient le domaine, l'hébergement, les comptes et le site lui-même, et que nous travaillons à l'intérieur.

Faire l'audit, puis le tenir à jour

Un audit d'un après-midi ressemble à ceci :

1. Listez tous les comptes de l'inventaire ci-dessus.
2. Connectez-vous à chacun avec un identifiant de l'entreprise, pas celui d'un prestataire. Si c'est impossible, c'est un point à corriger.
3. Vérifiez le propriétaire et la facturation de chaque compte, et transférez tout ce qui est détenu par une personne ou un prestataire.
4. Supprimez les anciens salariés et les anciennes agences.
5. Rangez identifiants et codes de récupération dans le gestionnaire de mots de passe de l'entreprise.
6. Notez les dates de renouvellement : domaines, hébergement, certificats SSL, licences logicielles.

Refaites ensuite la vérification à chaque départ ou changement de prestataire, et au moins une fois par an. Si vous avez un contrat de maintenance de site, demandez qu'elle en fasse partie. Et avant votre prochaine campagne, assurez-vous que votre compte Google Ads et sa facturation sont bien au nom de votre société.

Prochaine étape

Vous ne savez pas exactement qui contrôle votre domaine, votre site ou vos comptes publicitaires ? Nous pouvons mener l'audit avec vous et tout rapatrier au nom de votre société, sans interrompre ce qui fonctionne. Contactez-nous : nous commencerons par un court échange.