Céder un actif numérique de gré à gré ressemble souvent à une impasse mexicaine : l'acheteur refuse de payer avant d'avoir les accès administrateur, et le vendeur refuse de transférer le nom de domaine sans avoir l'argent sur son compte.

Dans cette zone grise, les transactions informelles menées via messagerie privée ou email exposent le vendeur à des risques majeurs : annulation rétroactive de virement, litiges post-cession infondés ou vol pur et simple de l'actif.

Pour sécuriser la cession d'un site web, la solution ne repose pas sur la confiance mutuelle, mais sur le respect d'une chronologie technique stricte et l'usage d'un tiers de confiance impartial.

Le dilemme du premier pas : l'asymétrie des risques entre particuliers

Lors d'une vente directe non encadrée, céder les accès techniques avant d'avoir les garanties financières nécessaires constitue une erreur fatale. Les arnaques les plus courantes exploitent les failles des moyens de paiement traditionnels :

  • L'illusion du virement reçu : Un acheteur malveillant fournit une capture d'écran d'un virement ou initie un virement bancaire instantané via un compte piraté. Quelques jours plus tard, la banque annule l'opération pour fraude, alors que le nom de domaine a déjà changé de titulaire.

  • Le chargeback PayPal : Passer par des plateformes de paiement grand public expose le vendeur à la politique de protection des acheteurs. Il suffit que le repreneur ouvre un litige pour « bien immatériel non conforme » ou « accès non reçu » pour que les fonds soient gelés et souvent restitués à l'acquéreur.

  • La prise d'otage technique : Dès que le code d'autorisation (Auth-Code) du registrar est transmis et validé, récupérer la propriété légale du domaine sans passer par une procédure judiciaire longue et coûteuse devient quasi impossible.

La chronologie critique : qui transfère quoi, et à quel moment ?

Pour éliminer l'asymétrie du risque, le transfert d'un site internet doit impérativement respecter un protocole en quatre étapes distinctes.

Étape Action financière Action technique Responsabilité 1. Séquestre Dépôt et sécurisation des fonds Aucun transfert Acheteur & Tiers de confiance 2. Données & Code Fonds bloqués en séquestre Copie du dépôt Git / DB épurée Vendeur 3. Propriété (NDD) Fonds bloqués en séquestre Transmission de l'Auth-Code Vendeur 4. Clôture Déblocage des fonds vers le vendeur Période d'inspection et recette Acheteur & Tiers de confiance

1. La neutralisation du risque financier (fonds sécurisés)

Rien ne doit bouger tant que les fonds ne sont pas physiquement isolés. L'argent ne doit pas transiter sur le compte personnel du vendeur (ce qui effraie l'acheteur), ni rester sur le compte de l'acheteur (ce qui fragilise le vendeur).

2. La transmission des actifs froids (fichiers et base de données)

Une fois la garantie de paiement actée, le vendeur met à disposition les sauvegardes : code source, médias et exports de base de données (débarrassée des clés d'API de production privées et des données personnelles non conformes). À ce stade, le site tourne toujours sur le serveur d'origine et le nom de domaine reste sous le contrôle exclusif du vendeur.

3. Le transfert de propriété légale (le nom de domaine)

C'est le point de non-retour. Le vendeur déverrouille le domaine chez son registrar (transfer lock désactivé) et transmet le code d'autorisation de transfert (Auth-Code ou code EPP). Dès que l'acheteur initie le transfert entrant chez son propre bureau d'enregistrement, la propriété juridique bascule.

4. La période d'inspection et de recette

Une période contractuelle de 3 à 5 jours ouvrés permet à l'acheteur de vérifier que le site déployé est conforme aux métriques et fonctionnalités promises lors de la négociation.

Le compte de séquestre (Escrow) : le seul arbitre neutre

Tenter de reproduire ce séquençage par soi-même entre particuliers conduit inévitablement à un blocage contractuel. La seule méthode pour sécuriser l'opération consiste à automatiser la chronologie grâce à un système de séquestre (escrow).

Dans ce schéma, la marketplace ou le tiers de confiance agit comme un coffre-fort neutre :

  • L'acheteur dépose l'intégralité du prix de vente sur un compte séquestre dédié.

  • Le vendeur reçoit la confirmation irrévocable que l'argent est sécurisé et entame la migration technique.

  • Le vendeur fournit les preuves de transfert du nom de domaine et des accès d'hébergement.

  • Les fonds ne sont libérés sur le compte bancaire du vendeur qu'une fois la période d'inspection validée ou expirée, sans possibilité de chargeback unilatéral.

    • Passer par une place de marché spécialisée comme Lunil, accessible ici, permet d'encadrer directement ce processus. En intégrant un mécanisme de séquestre automatisé au cœur des transactions, la plateforme protège le vendeur contre les acheteurs fantômes et garantit le paiement intégral dès que la passation technique est finalisée, sans litige improvisé.

    Checklist de sécurité avant de valider la passation

    Avant de déclarer la cession terminée et de libérer la transaction, appliquez ces vérifications fondamentales :

    • Révoquer les accès d'administration : Supprimez vos accès administrateur sur les consoles tierces (Search Console, régies publicitaires, passerelles de paiement) uniquement après la validation du transfert de domaine.

    • Supprimer les secrets d'infrastructure : Renouvelez les clés API (Sendgrid, AWS, Stripe) pour ne laisser aucune dépendance liée à vos comptes personnels.

    • Consigner les traces de transfert : Conservez des captures d'écran horodatées de l'acceptation de l'Auth-Code par le registrar et des accusés de réception du code source.

    Vendre un site internet ne doit pas dépendre de la bonne foi de votre interlocuteur. L'alignement strict entre la validation des fonds en séquestre et le transfert progressif des accès techniques reste la seule protection efficace contre les cessions frauduleuses.