Le site client est défiguré. Le client appelle l'hébergeur. L'hébergeur renvoie l'agence. L'agence dit que le contrat de maintenance n'inclut pas la sécurité. Le client paie trois prestataires et personne n'a le runbook. Ce chaos n'est pas technique — c'est l'absence de frontières écrites.
Trois acteurs interviennent : hébergeur (infrastructure, réseau, parfois système d'exploitation), agence ou intégrateur (site, code, parfois exploitation), client (contenu, données métier, conformité sectorielle). Les CGV d'hébergement limitent la responsabilité de l'hébergeur ; votre contrat agence doit compléter, pas supposer.
Matrice RACI simplifiée
| Domaine | Hébergeur | Agence | Client |
|---|---|---|---|
| Disponibilité datacenter / hyperviseur | R | I | I |
| OS / correctifs (VPS managé) | R/A selon offre | C | I |
| CMS, plugins, thème | I | R/A | C |
| Sauvegardes testées métier | C | R/A | A |
| Certificat SSL (Let's Encrypt auto) | R | C | I |
| Contenu publié (texte, images) | I | C | R/A |
| Registre RGPD / DPA | I | C | R/A |
| Communication incident | C | R | A |
| Signalement abus | R technique | C | R éditorial |
R = responsable, A = approbateur, C = consulté, I = informé — adaptez à votre contrat réel.
Offres managées : lire la profondeur
- Mutualisé — hébergeur : plateforme, PHP, messagerie limitée. Vous : site, mises à jour, sauvegardes métier.
- VPS non managé — vous ou l'agence : tout sauf l'hyperviseur.
- VPS ou serveur managé — correctifs système, supervision infrastructure — pas forcément le code WordPress.
- WordPress managé — mises à jour du cœur parfois incluses — plugins tiers souvent exclus.
Comparez sur l'annuaire en croisant le type d'offre et les compétences internes. Pour les accès partagés, voir Accès SFTP équipe.
Éviter les zones grises
- Document écrit — une page « qui fait quoi en incident ».
- Accès — pas de compte unique partagé entre agence et client.
- Restauration testée trimestrielle — responsable nommé.
- Escalade — numéros hébergeur, agence et client sur une fiche unique.
Chaque zone grise devient un litige post-incident. Les tribunaux ne tranchent pas philosophiquement : ils lisent les CGV hébergeur et le bon de commande agence.
Un client qui signe « hébergement tout inclus » sans lire les CGV découvre souvent, après piratage, que les mises à jour WordPress n'étaient pas couvertes. L'agence qui promet « site livré clé en main » sans clause de maintenance post-lancement se retrouve en première ligne — sans rémunération pour l'intervention.
Le sommet : « tout inclus » n'existe pas — seulement « tout flou »
Voici ce que le mot « tout inclus » masque en réalité.
Décider et avancer sans angle mort
Sur une demi-journée, vous pouvez clarifier les frontières :
- Rédigez une matrice RACI sur une page.
- Alignez CGV hébergeur, contrat agence et attentes client.
- Testez une restauration et la communication incident.
- Revoyez à chaque changement d'offre (mutualisé → VPS).
Commencez par une réunion à trois voix — client, agence, hébergeur si possible — pour valider qui patch, qui restaure et qui communique. Sans cette page écrite, chaque incident devient un ping-pong de responsabilité. Voir aussi le plan de reprise pour formaliser les sauvegardes.
Questions fréquentes
L'hébergeur est-il responsable du piratage WordPress ?
En général non pour le code applicatif et les mises à jour CMS — sauf faille infrastructure prouvée côté hébergeur. Le client ou l'agence maintient l'application ; l'hébergeur fournit l'OS ou l'hyperviseur selon l'offre souscrite.
Qui doit faire les sauvegardes ?
Double vigilance : la sauvegarde « meilleur effort » de l'hébergeur n'équivaut pas à la continuité métier. Le responsable de traitement ou le client doit disposer d'une copie testée régulièrement.
Agence web : quel périmètre courant ?
Déploiement, thème, plugins, parfois maintenance — rarement infogérance infrastructure complète sauf contrat MSP explicite. Clarifiez le périmètre dans le bon de commande, pas après l'incident.
Contenu illicite signalé : qui répond ?
L'éditeur du site (client) en premier ; l'hébergeur agit comme intermédiaire technique (retrait, suspension) selon la LCEN et les CGV. Voir le guide sur le signalement d'abus.
Avant la prochaine panne, une question à trois voix : qui met à jour, qui restaure, qui communique ? Si chacun regarde les autres, vous n'avez pas trois prestataires — vous n'avez personne.