Mon webmestre a disparu : reprendre le contrôle de son site en cinq étapes

La situation est plus fréquente qu’on ne le pense, et elle arrive toujours au pire moment. Le site doit changer d’adresse, un formulaire ne fonctionne plus, le certificat de sécurité a expiré. On écrit au pigiste, au neveu ou à la petite agence qui a fait le site il y a six ans. Pas de réponse. Et l’on découvre que personne dans l’entreprise ne sait où le site est hébergé, ni à quel nom le domaine est enregistré, ni comment se connecter à l’administration.

Ce n’est ni rare ni honteux : la plupart des petites entreprises ont confié leur site à quelqu’un de confiance sans jamais formaliser qui détenait quoi. La bonne nouvelle est que la situation se récupère presque toujours. Elle se récupère d’autant mieux qu’on procède dans le bon ordre, parce que certaines erreurs de séquence coûtent des semaines.

Étape 1 — Faire l’inventaire des quatre clés

Un site web repose sur quatre éléments distincts, souvent gérés à des endroits différents, et que l’on confond facilement.

Clé	Ce qu’elle contrôle	Où la trouver
Le nom de domaine	L’adresse du site et, souvent, le courriel professionnel	Chez un registraire (bureau d’enregistrement)
La zone DNS	Vers quel serveur pointent le site et le courriel	Chez le registraire, l’hébergeur ou un service distinct
L’hébergement	Les fichiers et la base de données du site	Chez un hébergeur
L’administration du site	Le contenu, les extensions, les comptes	Dans le site lui-même

Avant de contacter qui que ce soit, cherchez dans la comptabilité les factures récurrentes liées au site : renouvellement de domaine, hébergement, extensions payantes. Celui qui paie la facture n’est pas toujours celui qui détient le compte, mais la facture indique au moins chez qui chercher.

Un point d’attention critique : le courriel. Si les adresses professionnelles de l’entreprise utilisent le même domaine, celui qui contrôle le domaine contrôle aussi la réception des courriels. Perdre le domaine, c’est perdre le courriel en même temps que le site.

Étape 2 — Le nom de domaine, avant tout le reste

Le domaine commande tout. C’est la première clé à sécuriser, et c’est celle où se cachent les mauvaises surprises.

Pour un domaine en .ca, l’Autorité canadienne pour les enregistrements Internet (ACEI) tient le registre, et les enregistrements passent par des registraires certifiés¹. La règle fondamentale est simple et souvent ignorée : le titulaire inscrit au registre est le propriétaire légal du nom de domaine. Si le webmestre l’a enregistré à son propre nom, c’est lui qui le possède, même si l’entreprise l’utilise depuis dix ans.

Commencez par une recherche WHOIS sur le site de l’ACEI. Si le titulaire est une personne physique, ses coordonnées ne sont pas affichées par défaut ; l’ACEI propose alors un formulaire qui transmet un message au titulaire sans révéler son identité². C’est souvent le moyen de joindre un ancien webmestre dont on n’a plus que le nom.

Trois situations se présentent :

• Le domaine est au nom de l’entreprise. Il suffit de récupérer l’accès au compte chez le registraire, par la procédure de récupération de celui-ci.
• Il est au nom du webmestre, qui collabore. Il demande à son registraire un changement de titulaire au profit de l’entreprise. Pour transférer ensuite le domaine chez un autre registraire, il faut un code d’autorisation, que le registraire doit fournir dans les cinq jours civils suivant la demande et qu’il ne transmet qu’à l’adresse du contact administratif³.
• Il est au nom du webmestre, qui ne répond pas ou refuse. L’ACEI dispose d’une procédure de règlement des différends pour les noms de domaine .ca. Elle a des conditions précises et relève d’un avocat : c’est le dernier recours, pas le premier.

Attention au verrou de 60 jours. Après un changement de titulaire ou de registraire, un domaine .ca ne peut faire l’objet d’aucun autre changement de titulaire pendant 60 jours. Choisissez la destination finale du domaine avant de lancer le premier transfert.

Étape 3 — La zone DNS et l’hébergement

Une fois le domaine sécurisé, la zone DNS indique où se trouve réellement le site. Elle pointe vers un serveur, et ce serveur appartient à un hébergeur. Deux cas :

L’hébergeur accepte de transférer le compte à l’entreprise sur présentation d’une preuve d’identité et de paiement. C’est le chemin le plus court.

Le compte reste inaccessible. Il faut alors reconstruire ailleurs, ce qui exige une copie des fichiers et de la base de données. Sans elles, on ne dispose que de la version publique du site, qui permet de reproduire le contenu mais pas le fonctionnement. C’est ici qu’une reprise devient une refonte.

Ne changez pas la zone DNS pour pointer vers un nouvel hébergement tant que le nouveau site n’est pas prêt et que les enregistrements de courriel n’ont pas été recopiés. Un changement précipité coupe le site, le courriel, ou les deux.

Étape 4 — L’administration du site

Une fois l’hébergement en main, la reprise de l’administration est la partie la plus simple, et celle qu’on bâcle le plus souvent.

1. Créez un compte administrateur au nom de l’entreprise, avec une adresse qui lui appartient, et non une adresse personnelle.
2. Supprimez ou rétrogradez le compte de l’ancien webmestre. Un accès oublié reste une porte ouverte.
3. Changez tous les mots de passe : administration, hébergement, base de données, accès FTP ou SFTP.
4. Activez l’authentification à deux facteurs partout où elle existe.
5. Faites l’inventaire des licences : thèmes et extensions payants enregistrés au nom du webmestre, clés d’API de services tiers, compte d’outils d’analyse. Chacun doit passer au nom de l’entreprise.

Ce n’est pas qu’une question de sécurité. Si l’ancien webmestre peut encore consulter les demandes reçues par formulaire, les comptes clients ou les commandes, il accède à des renseignements personnels dont l’entreprise doit contrôler l’accès depuis la Loi 25. Révoquer ses accès fait partie de la reprise ; s’il s’avère qu’une personne non autorisée a consulté ces données, il faut évaluer s’il s’agit d’un incident de confidentialité. Ces obligations sont détaillées dans l’essai consacré à la Loi 25.

Étape 5 — Une sauvegarde, et un registre des accès

La reprise n’est terminée que lorsque deux documents existent.

Une sauvegarde complète, fichiers et base de données, stockée hors de l’hébergement, et dont on a vérifié qu’elle se restaure. Une sauvegarde qui n’a jamais été restaurée n’est qu’une hypothèse.

Un registre des accès, conservé par l’entreprise et non par son prestataire : registraire et compte du domaine, hébergeur, zone DNS, administration du site, courriel, licences, avec pour chacun le titulaire du compte et la date de renouvellement. Une page suffit. C’est elle qui évitera la prochaine reprise.

La règle qui évite tout ça

Le domaine et l’hébergement sont au nom de l’entreprise. Le prestataire reçoit des accès délégués, jamais la propriété.

Un prestataire sérieux accepte cette règle sans discussion ; elle ne lui retire rien dont il ait besoin pour travailler. Celui qui insiste pour enregistrer le domaine à son nom « pour simplifier » crée exactement la dépendance que cet essai vient de défaire.

Pour reprendre un site, c’est l’ordre que je suis : inventaire des quatre clés, domaine d’abord, bascule sans coupure du site ni du courriel, et remise d’un registre des accès dont l’entreprise reste seule détentrice. La maintenance qui suit ne commence qu’une fois ce registre en place.

---

Footnotes

1. Autorité canadienne pour les enregistrements Internet (ACEI), Règles générales en matière d’enregistrement : cira.ca. Les modifications d’un enregistrement passent par le registraire du titulaire. ↩

2. ACEI, Communiquer avec un titulaire de domaine : cira.ca. ↩

3. ACEI, Comment transférer un domaine : cira.ca. Les délais et verrous cités sont ceux en vigueur au moment de la rédaction ; vérifier auprès du registraire avant d’engager un transfert. ↩