Notre prestataire est parti, qui détient encore nos accès ?

Par l'inventaire, avant toute tentative de reprise technique. Le diagnostic de souveraineté numérique, 2 900 € HT en 15 jours ouvrés, rend l'inventaire réel de vos sites, de leurs extensions et de leurs versions, et la carte de vos prestataires et hébergeurs avec ce que chacun détient comme accès. Le cabinet n'a besoin que d'accès en lecture, et ne demande jamais d'accès en écriture pour relever.

Ce qui est à votre nom se reprend, ce qui est au nom du prestataire se négocie ou se reconstruit : le relevé commence donc par dire, document en main, qui détient le domaine, l'hébergement et chaque compte d'administration. Les accès illégitimes sont ensuite retirés et les secrets changés. Le cabinet dit ce que l'état des systèmes démontre, votre conseil dit ce que le contrat permet d'exiger.

Le cabinet ne remplace pas votre prestataire et ne touche aucune commission revendeur : il écrit le cadre dans lequel le prestataire travaille. Cartographie des accès, clauses prestataires types, revue des contrats de sous-traitance au regard de l'article 28 du RGPD, registre des sites, des flux et des prestataires. C'est ce qui évite de refaire la même dépendance avec un autre nom.

Quinze jours ouvrés pour savoir, avec le diagnostic et sa restitution à la direction. La reprise effective des points critiques est le plan de remédiation, 9 500 € HT selon le périmètre, avec un relevé de fermeture daté par écart. Sous contrat, le démarrage intervient sous quinze jours après signature et le premier comité dans les quatre-vingt-dix jours.

Un registre tenu et une revue des prestataires à date fixe. Le palier Souverain du contrat de maintien, 690 € HT par mois, tient un registre léger des sites, flux, prestataires et systèmes d'IA avec une revue semestrielle. Un registre exportable pour un contrôle et la revue annuelle des prestataires relèvent du contrat de gouvernance, à partir de 12 000 € HT par an. Les actes de reprise au jour le jour, migration ou mise à niveau, ne relèvent pas du périmètre du cabinet.

Dans cet ordre : le nom de domaine chez son registraire, parce que tout en dépend, la zone DNS, la boîte de messagerie et le compte d'hébergement, puis l'administration du site, les dépôts de code et les services tiers appelés par les pages. Chaque élément doit être remis au nom de l'organisation, pas à celui d'une personne, et surtout pas à celui du prestataire suivant. Les accès de l'ancien prestataire sont ensuite révoqués un par un, clés d'interface et comptes de service compris, qui sont ceux qu'on oublie. Le cabinet ne pratique aucune rétention d'accès, même en cas de litige, et la réversibilité est due sous trente jours sans facturation.

Par le titulaire inscrit chez le registraire, qui doit être la personne morale, et par la facture de renouvellement émise à son nom. Un domaine déposé par un prestataire sur son propre compte reste sous son contrôle, quel que soit l'usage, et la procédure de récupération est longue si la relation est rompue. La vérification prend quelques minutes et figure au relevé du diagnostic de souveraineté numérique. C'est le premier point à corriger, avant même le site.

Constater ce qui existe réellement avant de négocier : un site en production est toujours récupérable dans son état servi, et la base de données l'est dès lors que l'accès à l'hébergement est détenu en propre. Ce qui manque, le code source d'origine, l'historique des versions, la documentation, se reconstruit, mais il faut le décider en connaissance de cause plutôt que d'attendre une remise qui ne viendra pas. La clause utile pour l'avenir est le dépôt du code et de la documentation sur un dépôt détenu par l'organisation, mis à jour à chaque livraison. Le cabinet relève cet écart et l'inscrit au plan de remédiation.

Oui par écrit, et dans un ordre qui protège la continuité : inventorier d'abord, dupliquer les sauvegardes hors de son infrastructure ensuite, notifier et révoquer enfin. Révoquer avant d'avoir une copie récupérable expose à perdre ce qui n'a jamais été sauvegardé ailleurs. La notification écrite vaut également preuve si une discussion contractuelle s'ouvre. Rien dans cette séquence ne demande de confronter le prestataire : elle demande seulement de ne rien supposer.

Dans la grande majorité des parcs relevés, oui : comptes d'administration jamais désactivés, clés d'interface actives, comptes de service partagés, accès à la zone DNS, parfois une redirection de messagerie. Ces accès survivent parce que personne ne tient la liste de ce qui a été ouvert. Le diagnostic de souveraineté numérique, 2 900 € HT en quinze jours ouvrés, produit cette liste prestataire par prestataire et compte par compte. Le registre tenu à chaque changement, sous contrat de maintien Souverain ou sous contrat de gouvernance, est ce qui empêche la situation de se reproduire.

Cinq clauses suffisent : propriété du nom de domaine, des comptes et du code au nom de l'organisation ; accès d'administration détenu en propre sur chaque système ; sauvegardes récupérables hors de l'infrastructure du prestataire, avec restauration testée ; documentation et code déposés à chaque livraison ; réversibilité avec un délai écrit et sans facturation. Les prestations qui touchent des données personnelles exigent en plus un contrat de sous-traitance conforme à l'article 28 du RGPD. Ces clauses prestataires types sont un livrable du contrat de gouvernance, dès le palier Essentiel.

Reprendre la main d'abord, toujours, parce qu'un nouveau prestataire installé sur un parc dont personne ne détient les accès reproduit exactement la dépendance précédente. L'inventaire, la remise des titularités et la révocation des anciens accès se font avant la sélection du suivant, et ils conditionnent le cahier des charges. Le cabinet peut piloter cette reprise puis coordonner le prestataire retenu, sans percevoir aucune commission de sa part. Son rôle n'est pas de remplacer un prestataire, c'est de faire en sorte que le suivant soit remplaçable.

Le cadrage exécutif de trente minutes est sans frais et dit ce qu'il faut faire, dans quel ordre, avec un compte rendu écrit sous 48 heures. Le relevé réel passe ensuite par un diagnostic à prix fixe, 2 900 € HT en quinze jours ouvrés pour la souveraineté. L'acte isolé de remise en état ne relève plus du périmètre du cabinet depuis le 17 octobre 2026 ; sous contrat de gouvernance, un tel chantier est chiffré au périmètre et imputé sur l'enveloppe d'heures. Sur incident en cours, l'assistance au temps réel des organisations régulées suit la grille horaire publiée, 150 €, 300 € et 450 € HT de l'heure.