Pour changer de prestataire informatique sans perdre ses accès, on ne résilie rien avant d’avoir repris la main sur les actifs : compte administrateur, nom de domaine, sauvegardes et documentation. On fait ensuite cohabiter l’ancien et le nouveau prestataire avec des rôles écrits. On révoque les accès de l’ancien en dernier, une fois la passation confirmée.
Cet article suit cet ordre, avec la liste des accès à contrôler et la démarche à suivre si le contrat ne prévoit rien. Vous avez déjà décidé de changer, par exemple parce que les interventions tardent ou que la facture monte. Vous craignez surtout de perdre la main sur votre informatique. L’auteur travaille chez A5 Numérique, intégrateur en Île-de-France (voir le site).
Ne rien résilier avant d’avoir la main
Le piège est d’annoncer le départ d’abord. Un prestataire qui apprend son éviction peut avoir moins d’intérêt à faciliter la suite. Préparez donc avant de prévenir. Voici l’ordre complet, du premier test à la clôture :
- Testez chaque accès vous-même (voir « Accès administrateur ») et reprenez la liste des actifs : licences, abonnements, contrats tiers.
- Relisez le contrat actuel et notez la date de reconduction, le préavis et les conditions de sortie.
- Choisissez le successeur.
- Notifiez l’ancien prestataire, par écrit.
- Faites cohabiter les deux, avec des rôles écrits.
- Testez une restauration de sauvegarde.
- Basculez le support vers le nouveau prestataire.
- Révoquez les accès de l’ancien.
- Clôturez par écrit.
Cette liste ne porte aucune durée, exprès. Le délai total dépend du préavis du contrat, de la taille du parc et de l’état de la documentation. Les calendriers en jours que publient certains prestataires ne sont pas des références indépendantes. Prenez la date de fin de préavis comme point d’arrivée et comptez à rebours.
Les mots du contrat : prestataire, infogérance, maintenance, réversibilité
Quatre termes reviennent dans les contrats. Les confondre coûte cher à la sortie.
- La maintenance corrective intervient quand quelque chose tombe en panne ; la maintenance informatique d’entreprise peut aussi être préventive (mises à jour, contrôles).
- L’infogérance confie au prestataire le fonctionnement courant du système d’information, dans la durée.
- Le contrat d’infogérance fixe le périmètre pris en charge, les engagements de service (délai de prise en charge, délai de résolution) et la part au forfait ou hors forfait.
- La réversibilité décrit ce que le prestataire sortant doit rendre : données, accès, documentation, avec un délai et un format.
Cherchez la clause de réversibilité dans votre contrat. Il arrive que la clause n’existe pas ou qu’elle tienne en une ligne. Voir « Documentation et demande écrite » pour ce cas.
Profitez du changement pour rédiger de nouveaux besoins. Dans le nouveau contrat, exigez des engagements de service écrits, une frontière nette entre forfait et hors forfait, et une durée d’engagement que vous pouvez défendre. Un audit indépendant de l’existant avant de signer évite de reprendre un parc dont personne ne connaît l’état.
Accès administrateur : la liste à vérifier, par ordre de gravité
Le test est le même pour chaque ligne : connectez-vous vous-même, avec un compte au nom de l’entreprise, sans passer par le prestataire. Si c’est impossible, vous tenez un point de dépendance.
| Actif | Ce qu’on risque si on le perd | Comment vérifier |
|---|---|---|
| Nom de domaine et DNS (Domain Name System, l’annuaire d’Internet) | Plus de site, plus de messagerie, aucun moyen de rediriger | Vérifiez chez le bureau d’enregistrement (là où le domaine est géré) que le titulaire est votre entreprise, avec une adresse que vous lisez |
| Compte administrateur de la messagerie ou de la suite bureautique en ligne | Impossible de créer, bloquer ou récupérer une boîte | Ouvrez la console d’administration avec votre propre compte |
| Sauvegardes | Une panne sans retour en arrière | Demandez qui y accède, où elles sont stockées et la date du dernier test de restauration |
| Pare-feu et VPN (réseau privé virtuel) | Plus d’accès distant, ou un accès resté ouvert | Connectez-vous à l’interface d’administration avec un compte nominatif |
| Serveurs et NAS (stockage en réseau) | Données inaccessibles | Ouvrez une session administrateur, localement ou à distance |
| Logiciel de dépannage à distance et de supervision | Le prestataire garde un accès après son départ | Listez les postes enrôlés et le compte propriétaire |
| Téléphonie, lignes opérateur, copieurs, alarmes et caméras connectées | Contrats et réglages perdus, faciles à oublier | Retrouvez le contrat ou le portail de chaque équipement, à votre nom |
Les équipements de la dernière ligne ne relèvent pas de l’informatique stricte, mais ils dépendent du même prestataire. Un copieur qui envoie ses scans par mail ou une ligne d’alarme dont personne ne possède l’identifiant se découvrent un jour de panne.
Dans son guide sur l’authentification, qui couvre aussi les comptes à privilèges, l’ANSSI, l’agence de l’État pour la cybersécurité, recommande de privilégier l’authentification multifacteur et d’utiliser un coffre-fort de mots de passe. Un coffre-fort détenu par l’entreprise limite aussi les mots de passe qui circulent par mail.
Documentation et demande écrite : quoi réclamer, même sans clause
Réclamez au sortant la documentation de votre système d’information : schéma réseau, inventaire du matériel et des licences, procédures de restauration, éléments de configuration, contrats tiers. Demandez des exports plutôt que des captures d’écran : une configuration exportée se rejoue, une capture se recopie à la main.
Si le contrat ne contient aucune clause de réversibilité, la voie est la demande écrite. Elle tient en cinq lignes :
- L’objet : la restitution des éléments de votre système d’information.
- La liste précise de ce que vous demandez, ligne à ligne.
- Le format attendu pour chaque élément.
- Une date de réponse raisonnable.
- Un contact côté entreprise.
Envoyez-la en un seul courrier daté, et gardez la preuve de l’envoi. Si le temps manque, priorisez : le titulaire du nom de domaine, l’administrateur de la messagerie, les sauvegardes. La perte de ces trois actifs peut arrêter l’activité. Une mise en demeure reste le dernier recours. Formalisez et conservez les preuves, sans attendre de résultat garanti : l’issue dépend du contrat.
Cohabiter sans zone grise
Pendant la cohabitation, les deux prestataires travaillent sur le même parc. Sans règles écrites, chacun croit que l’autre s’occupe du problème. Réduisez aussi les droits de l’ancien prestataire au strict nécessaire. Une matrice simple suffit :
| Sujet | Qui décide | À écrire |
|---|---|---|
| Incidents du quotidien | L’ancien prestataire, jusqu’à la bascule du support | Le canal de contact, le nom du référent |
| Message aux utilisateurs | L’entreprise | Qui appeler, à partir de quelle date, par quel canal |
| Modification de la configuration | Un seul prestataire à la fois | Qui a le droit de changer quoi, et comment il le consigne |
Avant de basculer le support, testez une restauration de sauvegarde sur un poste ou un dossier réel. Une sauvegarde qui n’a jamais été restaurée reste une hypothèse. Prévenez ensuite les équipes : qui appeler, par quel numéro ou quelle adresse, pour quel type de demande.
Révoquer en dernier, et récupérer les données
Révoquez les accès de l’ancien prestataire après la confirmation de la passation, pas d’un seul coup au début. Une coupure prématurée vous prive d’un recours si le nouveau prestataire découvre une lacune. La liste de révocation :
- les comptes administrateurs créés pour lui, y compris sur les portails des éditeurs ;
- les accès VPN et les clés SSH (accès sécurisé à distance) ;
- les logiciels de dépannage à distance et de supervision, à retirer des postes ;
- les mots de passe partagés, à changer tous.
Un compte à privilèges oublié reste un accès ouvert, même sans mauvaise intention.
Reste la question des données. Si le prestataire a traité des données personnelles pour votre compte, le contrat doit encadrer leur sort à la fin. La CNIL (Commission nationale de l’informatique et des libertés) recommande que le contrat avec un sous-traitant règle, en fin de contrat, la restitution et la destruction des données. Sa page ne fixe ni délai ni format : c’est à vous de les écrire dans le contrat ou dans la demande écrite décrite plus haut. Je conseille aussi de demander une confirmation écrite de la destruction, à titre de preuve.
Après la bascule : le bilan
Faites un point d’étape après la bascule, à une date adaptée à votre parc. Quatre questions suffisent :
- Les accès de l’ancien prestataire sont-ils tous révoqués ?
- Un test de restauration a-t-il été fait avec le nouveau ?
- Chacun sait-il qui répond à quoi ?
- La documentation est-elle à jour ?
Une réponse négative donne la prochaine action : notez-la et datez-la.
