Comme beaucoup de gens de ma génération, j'ai appris l'informatique en autodidacte, avant de partir faire des études de droit. Mon premier site, à la fin des années 90, était celui de mon équipe d'Age of Empires II, bricolé avec Microsoft FrontPage. J'ai essayé PHP au début des années 2000 et j'ai abandonné, alors que mes copains juraient que c'était simple. Quand je me suis mis sérieusement au web et au référencement en 2012, je n'avais toujours aucune base de développement, et les éditeurs de site propriétaires livrés avec les offres d'hébergement de l'époque m'ont découragé en quelques heures. C'est WordPress qui a débloqué la situation.
Ce que je n'avais pas compris alors, c'est que les trois décisions prises la première semaine — le nom de domaine, l'hébergeur, le système de gestion de contenu — sont celles qu'on traîne ensuite pendant des années. Un design se refait en un mois. Un texte se réécrit dans l'après-midi. Un nom de domaine enregistré au nom de quelqu'un d'autre, un hébergement dont personne n'a jamais testé les sauvegardes ou un CMS dont on ne peut pas sortir, cela se paie beaucoup plus cher, et toujours au pire moment. Voici ce que je vérifie systématiquement, sur mes projets comme sur ceux de mes clients.
Le nom de domaine : la seule question qui compte est « qui est titulaire ? »
Un nom de domaine ne s'achète pas, il s'enregistre pour une durée déterminée auprès d'un bureau d'enregistrement. La personne physique ou morale inscrite comme titulaire est celle qui détient le droit d'usage. Le prestataire qui a fabriqué le site peut être contact technique, contact de facturation, administrateur du compte client : ce n'est pas la même chose, et cela ne donne aucun droit au client. J'ai repris plusieurs sites dont le domaine était enregistré au nom de l'agence précédente, parfois logé dans un compte mutualisé avec des dizaines d'autres domaines. Tant que tout va bien, personne ne s'en aperçoit. Le jour où la relation se termine, ou simplement où l'interlocuteur a cessé son activité, le dirigeant découvre qu'il ne possède pas son adresse.
Trois vérifications suffisent. Obtenir un accès direct au compte chez le bureau d'enregistrement, à votre nom : un accès délégué par le prestataire n'est pas un accès. Faire confirmer par écrit que la raison sociale de l'entreprise figure en titulaire, et pas le nom d'un salarié ou d'un freelance. Enfin, s'assurer que l'adresse e-mail de contact appartient à l'entreprise et reste relevée : c'est là qu'arrivent les avis d'expiration et les validations de transfert.
Durée, renouvellement et transfert
L'enregistrement se fait classiquement pour un an, renouvelable, avec la possibilité de payer plusieurs années d'avance. Activez le renouvellement automatique, mais ne vous reposez pas dessus : une carte bancaire expirée suffit à le faire échouer. Je pose systématiquement une alerte dans un agenda indépendant de l'hébergeur, deux mois avant l'échéance. Un domaine expiré n'est pas perdu immédiatement — il existe des périodes de suspension puis de récupération selon l'extension — mais la reprise est payante et le site reste hors ligne.
Le marché français reste dynamique : l'Afnic a annoncé le 3 septembre 2026 que le .fr avait franchi les 4,5 millions de noms enregistrés, après une année 2025 record à 853 000 créations. Autrement dit, les noms courts et évidents sont pris. Choisissez un nom qui se prononce au téléphone sans avoir à l'épeler, vérifiez qu'il ne heurte pas une marque déposée, et réservez le .fr et le .com si les deux sont libres.
L'hébergement : où sont les données, et qui sait les restaurer
Dès que votre site collecte le moindre formulaire, votre hébergeur devient sous-traitant au sens du RGPD. La CNIL publie un exemple de clauses de sous-traitance (publié le 4 octobre 2017) qui liste ce que le contrat doit prévoir : finalités et instructions documentées, confidentialité du personnel, mesures de sécurité, encadrement des sous-traitants ultérieurs, notification des violations de données et, point souvent oublié, le sort des données en fin de contrat — destruction documentée, restitution, ou transfert à un autre prestataire. Ces clauses figurent presque toujours dans les conditions générales des hébergeurs sérieux ; encore faut-il les lire avant de signer, pas au moment de partir.
La localisation des serveurs n'est pas un caprice de juriste. Il n'existe pas d'obligation générale d'héberger en Europe, mais tout transfert de données personnelles hors de l'Union doit être encadré. La CNIL rappelle les outils disponibles dans sa page sur les transferts de données hors de l'UE : décisions d'adéquation, clauses contractuelles types, règles d'entreprise contraignantes, avec l'arrière-plan de l'arrêt Schrems II de juillet 2020. Pour une TPE ou une PME, choisir un hébergement dont les serveurs sont en Union européenne évite d'avoir à conduire cette analyse. C'est la raison pratique pour laquelle je travaille depuis des années avec un hébergeur français : j'ai commencé chez Gandi, puis basculé la plupart de mes projets et de ceux de mes clients chez OVHcloud, à l'époque où ils ont déployé HTTPS et HTTP/2 avant beaucoup d'autres.
Restent les sauvegardes. La bonne question n'est pas « y a-t-il des sauvegardes ? » — tout le monde répond oui — mais : à quelle fréquence, combien de versions sont conservées, sont-elles stockées ailleurs que sur le serveur de production, qui déclenche la restauration, en combien de temps, et à quand remonte le dernier test ? Une sauvegarde jamais restaurée est une hypothèse, pas une garantie. Je restaure chaque site que je maintiens sur un environnement de test au moins une fois par an, et j'ai déjà découvert ainsi qu'une base était sauvegardée sans les fichiers envoyés par la médiathèque. Mieux vaut le constater ce jour-là qu'après un incident.
Le certificat : un réglage, plus un achat
Le certificat gratuit est devenu la norme pour un site vitrine ou une boutique standard. Let's Encrypt indique dans sa FAQ que ses certificats par défaut sont valables 90 jours, avec une option à six jours pour les usages très automatisés. Une durée courte n'est un problème que si le renouvellement n'est pas automatisé. Le seul point à vérifier auprès de l'hébergeur est donc celui-ci : le renouvellement est-il automatique et surveillé, et que se passe-t-il s'il échoue ? Un certificat expiré déclenche un avertissement de sécurité en plein écran dans les navigateurs, et le trafic s'effondre en quelques heures.
Le CMS : la bonne question, c'est « comment j'en sors ? »
Le choix d'un CMS se discute rarement sur les fonctionnalités, qui finissent par se ressembler, mais sur la réversibilité. Voici l'état du parc au 11 septembre 2026, d'après le relevé quotidien de W3Techs sur son panel de sites.
| CMS | Part parmi les sites utilisant un CMS | Part de l'ensemble du panel |
|---|---|---|
| WordPress | 58,8 % | 40,3 % |
| Shopify | 7,8 % | 5,4 % |
| Wix | 6,2 % | 4,2 % |
| Squarespace | 3,5 % | 2,4 % |
| Joomla | 1,6 % | 1,1 % |
| Drupal | 0,9 % | 0,6 % |
Toujours selon ce relevé, 31,5 % des sites du panel n'utilisent aucun des CMS suivis par W3Techs : sites développés sur mesure, applications, pages statiques. Ces parts ne disent pas quel outil vous convient, mais elles disent où se trouvent les compétences disponibles sur le marché, ce qui compte le jour où il faut remplacer un prestataire.
Trois familles, trois niveaux de réversibilité. Un CMS open source auto-hébergé, installé sur votre propre hébergement, se déplace : vous emportez la base de données et les fichiers, et vous pouvez changer d'hébergeur sans changer de site. C'est la raison pour laquelle j'ai choisi WordPress.org plutôt que la formule hébergée de WordPress.com en 2012 : sur cette dernière, le site démarre sur un sous-domaine en nom-choisi.wordpress.com, et la notoriété acquise par les liens entrants bénéficie d'abord au domaine principal. Un constructeur de site en ligne est confortable au départ, mais l'export se limite souvent aux contenus bruts : la structure, les gabarits et les réglages restent chez l'éditeur. Un CMS propriétaire développé par une agence est le cas le plus risqué, parce que le prestataire est à la fois fournisseur de l'outil et seul capable d'y intervenir.
Le cadre européen bouge dans le bon sens. Le règlement sur les données, ou Data Act, est applicable depuis le 12 septembre 2025 et pose un cadre permettant aux clients de changer effectivement de fournisseur de services de traitement de données. C'est une avancée pour les services cloud, mais ne comptez pas dessus pour régler le cas d'un site vitrine bloqué dans un outil maison : la clause de réversibilité négociée au contrat, avec format d'export et délai, reste votre meilleure protection.
La check-list avant de signer
- Domaine : titulaire = la société cliente, accès direct au compte, adresse de contact interne, renouvellement automatique plus une alerte agenda.
- Hébergement : serveurs en Union européenne, contrat de sous-traitance conforme à l'article 28 du RGPD, sort des données en fin de contrat écrit noir sur blanc.
- Sauvegardes : fréquence, rétention, stockage externalisé, procédure de restauration, date du dernier test réel.
- Certificat : renouvellement automatique, supervision de l'échec, redirection HTTP vers HTTPS en place.
- CMS : qui détient la licence, quel format d'export, combien de temps pour migrer ailleurs, et à quel coût.
Aucune de ces vérifications ne prend plus d'une heure. Elles évitent des situations que je rencontre encore régulièrement en refonte : un domaine à récupérer chez un tiers injoignable, une base sans sauvegarde exploitable, un site à reconstruire parce que rien n'en sort. Traitez ces trois choix comme des décisions de direction. Et si votre site est déjà en ligne, faites ce point ce trimestre : c'est souvent l'occasion de mesurer aussi les marges de progression sur la vitesse et sur le référencement naturel.
Questions fréquentes
Qui doit être titulaire du nom de domaine d'une entreprise ?
Le titulaire doit être l'entreprise elle-même, désignée par sa raison sociale, et non le prestataire qui a construit le site ni un salarié à titre personnel. Le prestataire peut rester contact technique ou administrateur du compte, ce qui lui permet de travailler sans détenir le droit d'usage. En cas de doute, demandez la fiche d'enregistrement du domaine et vérifiez la ligne titulaire avant toute autre discussion.
Que se passe-t-il si un nom de domaine n'est pas renouvelé à temps ?
Le domaine cesse de fonctionner dès l'expiration : le site et les adresses e-mail associées tombent. Selon l'extension, il existe ensuite une période de suspension puis une période de récupération payante avant que le nom ne soit remis en circulation. Le renouvellement automatique réduit le risque, mais il échoue si le moyen de paiement enregistré a expiré, d'où l'intérêt d'une alerte agenda indépendante.
Un site d'entreprise doit-il obligatoirement être hébergé en France ou en Europe ?
Il n'existe pas d'obligation générale d'héberger en Europe, sauf régimes particuliers comme les données de santé. En revanche, tout transfert de données personnelles hors de l'Union européenne doit être encadré, par exemple par une décision d'adéquation ou des clauses contractuelles types. Choisir un hébergement dont les serveurs sont situés dans l'Union évite simplement d'avoir à conduire cette analyse.
À quelle fréquence faut-il sauvegarder un site et tester la restauration ?
Une sauvegarde quotidienne des fichiers et de la base de données, conservée sur un stockage distinct du serveur de production, convient à la plupart des sites vitrines ; une boutique très active demande une fréquence plus élevée. L'essentiel est de connaître le nombre de versions conservées et le délai de restauration. Une restauration réelle sur un environnement de test au moins une fois par an permet de vérifier que la sauvegarde est complète et exploitable.
Peut-on quitter un constructeur de site en ligne en emportant son site ?
Les textes, images et fiches produits sont en général récupérables, mais la structure, les gabarits et les réglages restent la propriété de l'éditeur : en pratique, on reconstruit le site ailleurs. La seule protection efficace consiste à vérifier avant de s'engager quels formats d'export sont proposés et ce qu'ils contiennent réellement. Le nom de domaine, lui, se transfère à condition d'en être titulaire.
Faut-il payer un certificat SSL pour un site professionnel ?
Pour un site vitrine ou une boutique standard, un certificat gratuit de validation de domaine assure exactement le même chiffrement qu'un certificat payant. Les certificats payants apportent surtout une vérification d'identité de l'organisation et un support contractuel, utiles dans certains contextes bancaires ou réglementés. Le vrai sujet est l'automatisation du renouvellement et la surveillance des échecs, car un certificat expiré bloque les visiteurs.