« On a tous les accès. » C’est la phrase que j’entends au premier rendez-vous, quand une entreprise vient de récupérer son site des mains de l’agence qui l’a construit. Dans les faits, « tous les accès », c’est presque toujours un identifiant et un mot de passe pour l’administration WordPress. Un seul.
Ce compte permet de publier une page, d’installer une extension, de casser le site. Il ne permet ni de déménager chez un autre hébergeur, ni de mettre à jour un thème payant, ni de récupérer trois ans d’historique. Quatre serrures différentes, et une seule clé remise.
Un site livré, ce n’est pas un mot de passe. C’est un nom de domaine, un hébergement, un code et une mesure. Quatre propriétés, quatre transferts.
1. Quatre serrures, une seule clé remise
Je pose toujours les quatre à plat avant le moindre crawl.
| Ce qu’on vous remet | Ce que ça ouvre réellement | Ce qui manque derrière |
|---|---|---|
| Un compte administrateur WordPress | Le contenu et les extensions | Le serveur, le domaine, les licences |
| Un accès FTP ou un panneau d’hébergement | Les fichiers et la base | Le contrat d’hébergement, donc la facture et la résiliation |
| « Le domaine est chez tel registrar » | Rien du tout | La ligne titulaire dans le Whois, qui seule fait foi |
| Une invitation à lire les statistiques | La lecture des chiffres | La propriété du compte, donc l’historique le jour du départ |
2. Le nom de domaine, la seule pièce qui ne se rattrape pas au support
Le titulaire d’un nom de domaine, c’est la personne physique ou morale inscrite comme telle dans le Whois, et elle seule détient les droits associés. L’Afnic, registre du .fr, l’écrit dans son guide pratique du titulaire et va plus loin : elle recense « bon nombre de cas » où une société a fait appel à un prestataire informatique qui a enregistré le nom de domaine « en son nom en lieu et place de son client », précisant même le mobile habituel, « par souci de simplicité ou de facilité ».
Ce n’est donc pas un piège tendu, c’est un raccourci pris trois ans plus tôt. Le résultat est le même : la marque est locataire de son propre nom. Et le risque réel n’est presque jamais le chantage, c’est l’oubli. L’Afnic rappelle que si le bureau d’enregistrement n’a pas de contact avec le titulaire avant l’expiration, il peut envoyer un ordre de suppression pour ne pas avancer les frais. Le nom retombe dans le domaine public après une période de rédemption de trente jours, et c’est premier arrivé, premier servi. Le guide ajoute une phrase qui devrait faire lever un sourcil : la négociation qui suit est d’autant plus coûteuse « si le nom de domaine disposait d’un bon référencement sur internet ». Une agence radiée, une relance partie sur une boîte de stagiaire, et douze ans d’autorité changent de main pour le prix d’un enregistrement.
La vérification prend une requête Whois. Si le titulaire n’est pas votre société, la correction passe par une transmission, gratuite, validée par les deux parties. Pour déménager le nom ailleurs, il faut un code « auth-info » que le bureau actuel doit vous communiquer. Rien ne se fait sans la coopération d’en face. D’où l’ordre : cette pièce d’abord.
3. Les licences, le point que je regarde avant la vitesse
Un site repris tourne sous un thème premium et une pile d’extensions payantes. Tout fonctionne. Sauf que les licences vivent sur le compte de l’agence, et qu’une licence expirée ne coupe pas le site : elle coupe les mises à jour. Le site continue de tourner, tranquillement, sur du code figé.
Le dernier rapport State of WordPress Security de Patchstack donne la mesure du problème : 11 334 nouvelles vulnérabilités relevées dans l’écosystème sur 2025, soit 42 % de plus que l’année précédente, dont 91 % dans les extensions et 9 % dans les thèmes. Le cœur de WordPress n’en compte que six. Le risque n’est pas WordPress, il est dans ce qu’on lui a greffé.
Le volet payant est le plus parlant pour un site d’agence. Sur les composants premium des places de marché, 76 % des vulnérabilités trouvées étaient exploitables dans de vraies attaques, et ces composants comptent trois fois plus de failles effectivement exploitées que les gratuits. La raison est un peu perverse : le code payant est moins accessible aux chercheurs, donc moins audité, donc pas plus sûr, juste moins observé. La même étude mesure une médiane de cinq heures entre la publication d’une faille très ciblée et la première exploitation massive. À cette vitesse, une licence dormante n’est pas une économie, c’est une porte entrouverte dont l’adresse est publiée dans une base consultable par tout le monde.
Une nuance du même rapport : 46 % des vulnérabilités n’ont reçu aucun correctif au moment de leur divulgation. La licence à jour ne suffit donc pas. Sans elle, vous n’avez même pas le choix. Ce que je réclame tient en trois lignes : la liste des thèmes et extensions payants, le compte qui porte chaque licence, et si elle est transférable. Certaines le sont d’un clic. D’autres se rachètent, et c’est une dépense à budgéter dès la reprise.
4. Ce qui traîne dans le code
La documentation officielle de WordPress est explicite sur le rôle du thème enfant : il permet de personnaliser un thème sans toucher aux fichiers du parent, et donc de continuer à recevoir les mises à jour du parent sans perdre les personnalisations. C’est la seule façon propre de modifier un thème acheté.
Quand ce thème enfant n’existe pas, tout ce que l’agence a écrit vit dans les fichiers du parent, et la première mise à jour l’efface. J’ai vu ce scénario emporter une balise de conversion Google Ads posée directement dans l’en-tête du thème : plus rien ne remontait, les campagnes semblaient s’être effondrées du jour au lendemain, et on a cherché dans les enchères. Le coût de l’affaire n’était pas le correctif, il était dans le budget piloté à l’aveugle pendant ce temps-là.
Le test tient en deux regards. Un dossier suffixé « -child » existe-t-il dans le répertoire des thèmes ? Et combien de couches d’extraits de code se superposent, entre une extension de snippets, le fichier de fonctions et une balise collée dans un réglage du constructeur de pages ? Sur un site repris, il y a souvent trois rustines qui font la même chose et une seule qui marche encore. On désempile avant d’ajouter, sinon on pose une quatrième couche par-dessus.
5. Deux réglages symétriques qu’on oublie de défaire
Le premier vit dans Réglages puis Lecture : la case qui demande aux moteurs de ne pas indexer le site. Elle sert pendant la construction, et elle reste cochée après la mise en ligne plus souvent qu’on ne l’imagine. Le site est en ligne, il est beau, il n’existe pas. Le second est son miroir : la préproduction restée ouverte, sur un sous-domaine ou un sous-dossier, avec tout le contenu en double. Le jour où elle se fait explorer, deux sites disent la même chose et Google choisit. Pas toujours le vôtre. Ces deux points ouvrent ma liste de reprise : ils se corrigent tout de suite et changent immédiatement ce que voit le moteur.
6. L’historique de mesure : une bonne et une mauvaise nouvelle
La bonne concerne la Search Console. Un propriétaire vérifié a le contrôle complet de la propriété, et la vérification s’ajoute : vous devenez propriétaire à votre tour en déposant votre propre jeton de vérification, par fichier ou par enregistrement DNS, sans rien demander à personne. L’historique n’appartient pas au compte de l’agence, il appartient à la propriété. Vous le récupérez en entier, à condition d’avoir la main sur le serveur ou sur la zone DNS. Ce qui ramène au point 2.
La mauvaise concerne Google Analytics 4. Déplacer une propriété d’un compte à l’autre exige les rôles Administrateur et Éditeur sur les deux comptes à la fois. Sans la coopération de l’agence, la propriété ne bouge pas. On obtient au mieux un accès en lecture. Et repartir sur un compte neuf, c’est repartir d’une page blanche, sans point de comparaison l’année suivante.
C’est donc une question de calendrier plutôt que de technique : ce déplacement se demande pendant que la relation est bonne. Une fois qu’un désaccord existe sur une facture, plus personne ne clique sur un bouton pour faire plaisir. Je le mets dans les premiers échanges d’une reprise, avant même de parler de ce qu’on va changer.
Ce que je demande avant de toucher quoi que ce soit
Le Whois du domaine avec la ligne titulaire. Le compte chez l’hébergeur, à votre nom, avec la facture. La liste des thèmes et extensions payants et le compte qui porte chaque licence. Un propriétaire vérifié à vous sur la Search Console. Le déplacement de la propriété Analytics. Au pire, tout est déjà en règle et vous repartez avec l’inventaire au propre. Au mieux, on remet un nom de domaine à votre nom avant qu’il n’expire chez quelqu’un d’autre. C’est le premier chantier de mes missions WordPress, avant le travail SEO et la remise à plat de la mesure.
7. Ce n’est presque jamais de la mauvaise foi
Le vocabulaire de l’Afnic est juste : simplicité, facilité. Une agence qui livre quarante sites par an centralise ses accès pour tenir la charge. Un développeur pose sa licence développeur sur tous ses chantiers, ce que l’éditeur prévoit souvent. Ces situations se règlent en dix lignes de courriel, tant que la conversation a lieu avant le désaccord. Le bon moment pour poser ces questions n’est pas celui du départ, c’est celui de la signature. Une ligne dans le devis qui indique que le nom de domaine est enregistré au nom du client, et que les licences lui reviennent en fin de mission, vaut mieux qu’un recommandé deux ans plus tard. Si le litige est déjà là, l’Afnic propose une médiation gratuite et recommande de se rapprocher d’un avocat ou d’un conseil en propriété industrielle. La portée exacte de vos droits se juge sur pièces, pas dans un article.
Reste la question qui vient toujours ensuite : faut-il refaire le site ? Presque jamais dans la foulée. Un constructeur de pages n’est pas une faute, c’est un choix qui porte un coût de maintenance, et ce coût se chiffre à part : c’est le sujet de l’article sur la dette technique et la migration hors constructeur. On récupère les clés d’abord, on discute de la maison ensuite.
Séparer ce qui vous appartient de ce qu’on vous prête
Un site livré est un alliage. Votre marque, vos textes, votre historique de trafic, et fondus dans la même masse des licences et des comptes qui appartiennent à quelqu’un d’autre. Tant que rien ne bouge, l’ensemble tient et personne ne distingue la jointure. Le jour où vous changez de prestataire, elle cède exactement là où personne n’avait regardé.
Le travail de reprise n’est pas de refondre. C’est de passer la pièce au feu, ligne par ligne, et de voir ce qui porte encore votre nom quand la chaleur retombe.