Héberger chez le client ou chez le prestataire ?

La question tombe à la fin du rendez-vous de cadrage, souvent en fin de page du devis : « l’hébergement, on le met chez vous ou chez nous ? » Elle a l’air technique. On y répond en trente secondes, et le sujet est clos pour cinq ans.

C’est une erreur, parce que rien de ce qui se joue là n’est technique. Ce qui se décide, c’est qui peut couper le service, qui répond quand il tombe, qui est responsable des données, et combien de temps il faudra pour partir le jour où l’on ne travaillera plus ensemble.

Les deux modèles, tels qu’ils existent vraiment#

Chez le prestataire. Le compte d’hébergement est ouvert à son nom. Le nom de domaine aussi, très souvent. Il facture l’hébergement au client, généralement avec une marge, parfois dans un forfait qui mélange hébergement, maintenance et petites évolutions. Le client n’a aucun accès direct ; il n’en a d’ailleurs jamais eu besoin.

Chez le client. Le compte est ouvert au nom de l’entreprise cliente, avec son adresse électronique et son moyen de paiement. Le prestataire y reçoit un accès délégué, et travaille exactement comme dans le premier cas.

Vu du quotidien, les deux modèles sont indiscernables : dans les deux, c’est le prestataire qui fait le travail. La différence n’apparaît qu’aux moments où l’on n’aimerait pas être.

Ce que le premier modèle coûte réellement#

Il ne coûte rien tant que tout va bien. Il coûte tout, d’un coup, dans quatre situations.

Le prestataire cesse son activité. Cessation, liquidation, maladie, retraite non préparée. Les comptes sont à son nom, donc dans son patrimoine — ou dans une procédure collective à laquelle vous êtes étranger. Le temps, lui, ne s’arrête pas : un nom de domaine non renouvelé retombe dans le domaine public et se rachète dans la journée par n’importe qui. Nous avons détaillé cette course contre la montre dans notre article sur le prestataire injoignable.

La relation se dégrade. Le sujet devient alors le levier : on ne discute plus du travail, on discute de ce qui se passera si l’accès n’est pas rendu. Aucune des deux parties n’en sort grandie.

Un impayé. C’est la situation symétrique, et elle est plus délicate qu’il n’y paraît. Suspendre une prestation de maintenance non réglée est légitime. Rendre inaccessible un site dont le client est propriétaire, ou retenir ses données, expose à des poursuites — et transforme un recouvrement banal en contentieux. La zone grise n’aide personne.

Vous voulez simplement partir. Rien de dramatique, aucun conflit : une agence plus proche, un besoin qui change. Si les comptes sont chez le prestataire, ce départ suppose une migration, une négociation, un calendrier, et souvent une facture de sortie. Si les comptes sont chez vous, il suppose de retirer un accès.

Ce que le second modèle coûte, honnêtement#

Il coûte deux choses, et il faut les dire.

Une demi-journée à l’ouverture du projet. Créer les comptes au nom de l’entreprise, avec une adresse électronique générique qui ne dépend d’aucun salarié, un moyen de paiement d’entreprise, et la double authentification correctement posée. C’est fastidieux, ça n’intéresse personne, et c’est un investissement qui se rembourse au premier incident.

Une discipline côté client. Un compte que l’on possède est un compte dont on paie la facture : si la carte bancaire expire et que personne ne surveille l’adresse de facturation, le service s’arrête. Ce n’est pas théorique : c’est la panne la plus fréquente et la plus absurde du secteur.

En dehors de ces deux points, le modèle n’a aucun inconvénient pour le client. Il en a un pour le prestataire : il ne retient plus personne. C’est précisément pourquoi il n’est pas proposé plus souvent.

Le cas particulier de la mutualisation#

Beaucoup d’agences hébergent l’ensemble de leurs clients sur un même serveur. C’est économiquement rationnel, et ce n’est pas une faute — à condition que ce soit dit.

Trois conséquences méritent d’être connues du client :

• Vous ne savez pas ce qui tourne à côté de vous. Un site voisin compromis, un voisin qui consomme toutes les ressources un jour de soldes, et votre site ralentit ou tombe sans que vous ayez rien fait.
• La facturation ne se rattache à aucune ligne vérifiable. Vous payez un forfait, pas un service identifiable ; personne ne peut vous dire ce que coûte réellement votre site.
• La sortie suppose une extraction manuelle, que personne n’a envie de faire, et qui n’arrive jamais en haut de la pile.

Rien de tout cela n’est rédhibitoire. Tout cela doit figurer au contrat.

Le RGPD tranche une partie du débat#

Un point souvent ignoré, et qui n’est pas facultatif : dès que le site collecte la moindre donnée personnelle — un formulaire de contact suffit —, le client est responsable de traitement et le prestataire qui héberge et exploite est sous-traitant au sens du règlement.

Cela impose un contrat écrit précisant les mesures de sécurité, les éventuels sous-traitants ultérieurs (l’hébergeur du prestataire en est un), la localisation des données, et leur sort en fin de contrat. Ce document existe rarement dans les relations entre TPE et petites agences. Son absence est une non-conformité, indépendamment de la qualité du travail fourni.

Accessoirement, il règle le débat de fond : c’est le client qui répond des données ; il est logique que les comptes qui les portent soient à son nom.

Notre règle : le client possède, le prestataire opère#

Nous appliquons la même règle à tous nos clients, y compris ceux pour lesquels nous assurons l’hébergement et la maintenance au quotidien :

• le nom de domaine est déposé au nom de l’entreprise cliente ;
• le compte d’hébergement est ouvert à son nom, avec son moyen de paiement ;
• la zone DNS est sous son contrôle ;
• le dépôt de code lui appartient ;
• nous y disposons d’accès délégués, que l’on nous retire quand on veut.

Ce n’est pas de la générosité. C’est la seule configuration dans laquelle notre client nous garde parce que le travail lui convient, et non parce que partir coûterait trop cher. Cela nous prive d’un confort commercial ; cela nous évite surtout des conversations désagréables.

Les quatre lignes à faire figurer au contrat#

Vous n’avez pas besoin d’un contrat de quarante pages. Quatre points suffisent à éliminer l’essentiel des litiges du secteur :

1. Au nom de qui sont ouverts le domaine, l’hébergement, la zone DNS et le dépôt de code.
2. Quels accès le prestataire détient, et à quel titre.
3. Sous quel délai et dans quel format le code, les données et les sauvegardes sont restitués sur simple demande — sans motif à fournir, et sans facture de sortie.
4. Ce qu’il advient en cas de cessation d’activité du prestataire ou d’impayé du client.

Ces quatre lignes ne coûtent rien à écrire au moment où tout le monde s’entend bien. C’est précisément le seul moment où on peut les écrire.