Comment changer de prestataire informatique sans que tout s'arrête ?

Le scénario en bref

Exemple, inventé pour illustrer. Une PME fictive de 15 postes veut changer de prestataire informatique. Son installation est banale : Microsoft 365 pour la messagerie et les fichiers, un petit serveur au bureau, un pare-feu, un wifi et une sauvegarde gérée par l'ancien prestataire. Un détail compte plus que tout le reste : son nom de domaine en .fr a été enregistré par l'ancien prestataire, à son propre nom.

L'ancien prestataire n'est pas hostile. Mais c'est lui qui a tout installé, et une partie de ce dont l'entreprise a besoin pour travailler n'est qu'entre ses mains. Voici ce qu'il faut récupérer, puis l'ordre dans lequel on reprend la gestion.

Que garde l'ancien prestataire entre les mains ?

Avant de résilier quoi que ce soit, faites la liste de ce qu'il détient. Le principe : tout ce qui appartient à votre entreprise doit être à son nom, ou au minimum accessible par elle sans passer par lui. Le domaine, le compte administrateur de Microsoft 365 et la sauvegarde sont les trois points qui arrêtent le plus souvent une entreprise quand l'accès reste chez l'ancien prestataire.

Les comptes de service sont les comptes techniques qu'utilisent une machine ou un logiciel : le copieur qui envoie les scans par mail, le logiciel de sauvegarde, une tâche automatique sur le serveur. Ce sont ceux qu'on oublie, et ceux qui cessent de fonctionner quand on change un mot de passe sans prévenir.

Dans quel ordre reprendre la gestion ?

Huit étapes, dans cet ordre. Pour chacune : ce qu'on fait, pourquoi, et le piège.

Étape 1 : faire l'inventaire

Ce qu'on fait. On fait le tour avec l'ancien prestataire et sur place : postes, serveur, pare-feu, wifi, imprimantes, comptes Microsoft 365, abonnements payés par lui, logiciels métier, sauvegarde. Dans un cabinet médical ou dentaire, on ajoute les lecteurs de cartes Vitale et CPS, la messagerie sécurisée de santé et l'hébergement du logiciel métier. Le tableau ci-dessus sert de liste de départ.

Pourquoi. On ne récupère que ce qu'on sait exister. Dans l'exemple, c'est l'inventaire qui révèle que le nom de domaine est au nom de l'ancien prestataire : le point le plus délicat de toute la reprise.

Le piège. Faire l'inventaire de mémoire. Les comptes de service et les abonnements renouvelés automatiquement ne sont souvent connus que du prestataire.

Étape 2 : lire le contrat et envoyer le préavis au bon moment

Ce qu'on fait. On relit le contrat (préavis, réversibilité, restitution des données, détail plus bas) et on envoie le préavis pour que le contrat se termine après la fin prévue de la reprise, pas avant.

Pourquoi. Tant que le contrat court, l'ancien prestataire reste responsable, la sauvegarde continue de tourner et il a une raison claire de répondre aux questions.

Le piège. Résilier d'abord « pour être tranquille ». L'entreprise se retrouve alors sans personne de responsable au moment où elle en a le plus besoin.

Étape 3 : obtenir des accès administrateurs à votre nom

Ce qu'on fait. On demande à l'ancien prestataire de créer des comptes administrateurs au nom de l'entreprise, plutôt que de partager les siens. Dans Microsoft 365, Microsoft recommande au moins deux comptes d'administrateur général réservés aux urgences. Pour le pare-feu, le wifi et le serveur, on demande les mots de passe administrateur. Dès réception, on change chaque mot de passe et on le range dans un coffre de mots de passe.

Pourquoi. Le jour où l'entreprise ne peut plus se connecter à son propre Microsoft 365, plus personne ne peut ajouter un employé, débloquer un compte ou récupérer une boîte mail.

Le piège. Garder tels quels des mots de passe reçus par mail. Un mot de passe qui a circulé par mail n'est plus secret. Protégez aussi ces comptes par une double authentification (voir notre article la double authentification suffit-elle sur Microsoft 365 ?).

Étape 4 : faire travailler les deux prestataires en parallèle

Ce qu'on fait. Pendant la transition, les deux prestataires ont accès. Le nouveau découvre l'installation, pose ses outils de suivi et documente ce qu'il trouve ; l'ancien reste disponible pour les questions. Dans Microsoft 365, le nouveau prestataire demande son propre accès délégué (GDAP, l'accès limité à certains rôles que Microsoft prévoit pour les partenaires), que l'entreprise accepte.

Pourquoi. Le nouveau prestataire trouve toujours des choses que personne n'avait notées : une tâche planifiée sur le serveur, un vieil accès à distance, une règle du pare-feu. Mieux vaut poser la question pendant que l'ancien répond encore.

Le piège. Couper l'ancien prestataire dès que le nouveau a « les codes ». Dans l'exemple, c'est pendant cette période qu'on découvre que le copieur envoie ses scans avec un compte que personne n'avait listé.

Étape 5 : reprendre la sauvegarde avant de couper l'ancienne

Ce qu'on fait. Le nouveau prestataire met en place sa sauvegarde, la laisse tourner, puis fait une restauration d'essai : on remet réellement un fichier ou une machine pour vérifier que ça marche. Ensuite seulement, l'ancienne sauvegarde peut s'arrêter. On décide aussi du sort de son historique : le récupérer, le faire conserver jusqu'à une date fixée, ou y renoncer en connaissance de cause.

Pourquoi. Entre l'arrêt de l'ancienne sauvegarde et le premier essai réussi de la nouvelle, l'entreprise n'est pas protégée. Si le serveur tombe en panne à ce moment-là, il n'y a rien à restaurer.

Le piège. Croire qu'une sauvegarde « réussie » se restaure. Seule une restauration d'essai le prouve (voir serveur en panne : la sauvegarde permet-elle de tout récupérer ?).

Étape 6 : copier la zone DNS, puis transférer le domaine

Ce qu'on fait. D'abord, on exporte toute la zone DNS : les enregistrements qui disent où se trouvent le site et la messagerie, et ceux qui protègent vos mails contre l'usurpation (SPF, DKIM, DMARC). On la recopie à l'identique chez le futur gestionnaire. Ensuite, on transfère le nom de domaine et on le met au nom de l'entreprise (détail plus bas).

Pourquoi. Le nom de domaine porte toute la messagerie. Un enregistrement oublié pendant le transfert, et les mails n'arrivent plus, ou arrivent dans les indésirables de vos clients.

Le piège. Transférer le domaine sans avoir copié la zone. Faites-le aussi en début de semaine, quand quelqu'un peut vérifier que les mails passent.

Étape 7 : retirer tous les accès de l'ancien prestataire

Ce qu'on fait. Une fois la reprise faite, on retire tout ce qui permet encore à l'ancien prestataire d'entrer :

• son accès délégué à Microsoft 365, que l'entreprise retire elle-même dans les réglages de Microsoft 365, à la page des partenaires ;
• ses comptes personnels dans Microsoft 365, sur le pare-feu et sur le serveur ;
• ses outils d'accès à distance et de suivi installés sur les postes et le serveur ;
• les mots de passe qu'il connaissait, qu'on change.

Pourquoi. Un ancien prestataire qui garde des accès, c'est une porte que personne ne surveille. Même sans mauvaise intention : si ses propres comptes sont piratés, les vôtres sont exposés.

Le piège. Oublier les outils d'accès à distance installés sur les postes : ils continuent de fonctionner après la fin du contrat. Autre oubli fréquent : retirer la relation de revendeur Microsoft ne retire pas l'accès délégué. Les deux se vérifient séparément.

Étape 8 : vérifier, puis laisser le contrat se terminer

Ce qu'on fait. On reprend l'inventaire ligne par ligne : chaque élément est-il au nom de l'entreprise, accessible par elle, géré par le nouveau prestataire ? La restauration d'essai a-t-elle réussi ? Les mails partent-ils et arrivent-ils ? Alors seulement, le contrat de l'ancien prestataire arrive à son terme.

Pourquoi. Une reprise est finie quand chaque point est vérifié, pas quand quelqu'un dit « c'est bon ».

Le piège. Clore la reprise sur une impression, et découvrir trois mois plus tard qu'un abonnement est toujours facturé par l'ancien prestataire.

Combien de temps prend un changement de prestataire informatique ?

Cela dépend moins de la taille de l'entreprise que de quatre facteurs. Le bon planning se fixe après l'inventaire, en partant de la date de fin du préavis.

• La réactivité de l'ancien prestataire. S'il remet vite les accès et la documentation, la reprise avance. S'il tarde, tout attend.
• Le préavis du contrat. Il fixe la date jusqu'à laquelle l'ancien prestataire reste responsable.
• Le nom de domaine. Pour un .fr, le changement de bureau d'enregistrement est immédiat si l'ancien bureau l'accepte, se fait automatiquement au bout de 8 jours s'il ne réagit pas, et peut prendre jusqu'à 22 jours s'il s'y oppose. Si le domaine est au nom de l'ancien prestataire, il faut d'abord changer de titulaire, ce qui demande son accord.
• La sauvegarde. Il faut laisser tourner la nouvelle et réussir une restauration d'essai avant d'arrêter l'ancienne.

Les licences Microsoft 365 ne bloquent rien : elles peuvent changer de partenaire plus tard, sans toucher aux données (voir plus bas).

Que faire si l'ancien prestataire ne répond plus ou refuse de donner les accès ?

Commencez par une demande écrite et datée, qui liste précisément ce que vous attendez et cite la clause du contrat qui le prévoit. Ensuite, chaque élément a sa propre voie :

• Le matériel (pare-feu, wifi, serveur) vous appartient. Sans les mots de passe, on peut le remettre à zéro et le reconfigurer, au prix d'une interruption qu'il faut planifier.
• Le nom de domaine ne change de titulaire qu'avec l'accord du titulaire actuel. Si c'est le prestataire et qu'il bloque, l'Afnic propose pour le .fr une médiation gratuite et des procédures de règlement des litiges (Syreli, PARL Expert) ; reste la voie judiciaire. À voir avec un juriste.
• Les licences Microsoft 365 : sans son accord, on achète de nouvelles licences chez le nouveau partenaire et on laisse les anciennes arriver à leur échéance.
• Les données : quand un prestataire traite des données personnelles pour vous, le RGPD (article 28) l'oblige, à votre choix, à vous les rendre ou à les supprimer à la fin de la prestation.

Le cas le plus difficile est Microsoft 365 quand personne dans l'entreprise n'a de compte administrateur. C'est pour cela que l'étape 3 se fait au tout début, tant que la relation est bonne.

Le nom de domaine est au nom du prestataire : comment le récupérer ?

Le titulaire d'un nom de domaine est la personne inscrite comme telle dans l'annuaire Whois, et c'est elle qui détient les droits. L'Afnic, qui gère le .fr, cite elle-même ce cas fréquent : un prestataire informatique qui enregistre le nom à son nom plutôt qu'à celui de son client, par facilité. Deux opérations distinctes sont alors nécessaires :

1. Le changement de titulaire (la « transmission ») : le titulaire actuel confirme qu'il cède le nom, votre entreprise confirme qu'elle le reprend, et le bureau d'enregistrement (l'entreprise qui enregistre le domaine pour vous) met à jour le titulaire.
2. Le changement de bureau d'enregistrement, si vous voulez aussi quitter celui de l'ancien prestataire : on demande au bureau actuel le code « auth-info », gratuit, et on le remet au nouveau bureau, qui lance le transfert. Sans ce code, le transfert est impossible.

• Vérifiez d'abord qui est titulaire, avec la recherche Whois du site de l'Afnic.
• Pour un .com, le principe est le même : un code de transfert à obtenir auprès du bureau d'enregistrement actuel.
• Copiez la zone DNS avant le transfert (étape 6).
• Ne laissez pas le domaine expirer pendant la discussion : pour un .fr, une période de rédemption de 30 jours s'ouvre, pendant laquelle aucune transmission ni aucun transfert n'est possible ; ensuite le nom retombe dans le domaine public, au premier arrivé.

Faut-il changer les licences Microsoft 365 de fournisseur ?

Pas forcément, et ce n'est jamais urgent. Changer de partenaire de facturation ne touche ni les comptes, ni les mails, ni les fichiers : ils restent dans le Microsoft 365 de l'entreprise. Seul celui qui facture change. Deux voies existent :

• Le transfert entre partenaires. C'est le nouveau partenaire qui envoie la demande, et l'ancien doit l'accepter. Microsoft ne fait pas le transfert sans son accord ; sans réponse, la demande expire après 30 jours. Une fois acceptés, la plupart des transferts prennent moins d'une heure selon Microsoft, parfois jusqu'à 72 heures.
• De nouvelles licences à l'échéance. On achète les licences chez le nouveau partenaire et on laisse les anciennes arriver au bout de leur engagement.

Ne confondez pas licences et accès : c'est l'accès délégué (GDAP) qui permet à un prestataire d'administrer votre Microsoft 365, et il se retire à part (étape 7).

Que vérifier dans le contrat avant de résilier ?

Quatre points : le préavis, la réversibilité, la restitution des données et ce qui appartient à qui.

• Le préavis : sa durée et sa forme (recommandé, mail). Il fixe la date jusqu'à laquelle l'ancien prestataire reste responsable.
• La réversibilité : ce que le prestataire s'engage à remettre en fin de contrat (accès, documentation, données), dans quel délai et à quel prix.
• La restitution des données : ce que le prestataire doit vous rendre, sous quel format et dans quel délai. Pour les données personnelles, le RGPD vous laisse le choix : il doit vous les rendre ou les supprimer. Demandez-les avant qu'elles soient supprimées.
• La propriété : nom de domaine, licences, matériel loué ou acheté, abonnements à engagement. Ce qui est au nom du prestataire doit avoir un plan de sortie.

Cabinet médical ou dentaire : un point de plus

Si l'ancien prestataire héberge ou sauvegarde des données de santé hors du cabinet (sauvegarde externalisée, serveur hébergé, logiciel en ligne), la loi impose qu'il soit certifié hébergeur de données de santé (HDS, article L.1111-8 du code de la santé publique). La sauvegarde des données de santé fait partie des activités soumises à cette certification. Deux conséquences pour la reprise :

• Le contrat d'hébergement doit prévoir la sortie. L'article R.1111-11 du code de la santé publique impose qu'il décrive les prestations de fin d'hébergement et la réversibilité, et qu'il engage l'hébergeur à restituer l'intégralité des données de santé, puis à les détruire sans en garder de copie, après votre accord formel. Relisez ces clauses avant de résilier.
• Le nouveau prestataire doit être certifié, lui aussi, pour ce qu'il héberge ou sauvegarde hors du cabinet. L'Agence du numérique en santé publie la liste des hébergeurs certifiés : vérifiez-y le nom de la société et les activités couvertes.

Demandez la restitution des données avant leur destruction, et vérifiez qu'elles se relisent dans votre logiciel métier. Pour la sauvegarde elle-même, voir comment sauvegarder les données patients.

Ce que DeepIT fait lors d'une reprise

Quand une PME ou un cabinet nous confie son informatique après un autre prestataire, nous suivons cet ordre : l'inventaire, les accès au nom de l'entreprise, la sauvegarde testée avant de couper l'ancienne, puis le domaine et le retrait des accès de l'ancien prestataire. DeepIT est partenaire Microsoft : nous administrons Microsoft 365 par un accès délégué que vous acceptez, et nous pouvons reprendre vos licences si vous le souhaitez. Nous intervenons à Marseille et dans les Bouches-du-Rhône (Aix-en-Provence, Aubagne, La Ciotat, Vitrolles…), à distance d'abord, sur place quand il le faut.

Voir comment nous gérons l'informatique des PME, l'informatique des cabinets médicaux, notre gestion externalisée et nos forfaits. Pour en parler : prendre rendez-vous.

Préparer la reprise de votre informatique→