Checklist d'achat d'une plateforme web : 42 questions à poser aux fournisseurs
42 questions à poser à tout fournisseur de plateforme web ou de CMS avant de signer : accessibilité, rôles et approbations, connexion, sécurité, propriété des données, sortie, support, conditions contractuelles et coût. Avec ce à quoi ressemble une bonne réponse.
Les démos des fournisseurs sont conçues pour montrer ce qu'une plateforme fait bien. Cette checklist sert à découvrir le reste avant de signer. Elle compte 42 questions réparties en neuf groupes, chacune accompagnée d'une note sur ce à quoi ressemble une bonne réponse et sur ce qui doit vous inquiéter. Elle convient à une agence gouvernementale, une université, un groupe hospitalier ou une entreprise qui gère de nombreux sites. Copiez les questions dans votre propre grille d'évaluation et posez les mêmes à chaque fournisseur.
Avant de parler aux fournisseurs : trois points à régler en interne
Qui publiera ? Comptez les personnes et les services. Une plateforme adaptée à cinq personnes de l'équipe web peut échouer avec deux cents contributeurs occasionnels.
À quoi la plateforme doit-elle se connecter ? Listez les outils de paiement, de formulaires, de réservation, de dossiers, de cartes, de recrutement et de recherche, et décidez lesquels sont simplement liés et lesquels doivent être intégrés.
Quelle est votre échéance, et pourquoi ? Si vous êtes un gouvernement d'État ou local américain, la règle web de l'ADA Title II s'applique désormais à partir du 26 avril 2027 (50,000 personnes ou plus) ou du 26 avril 2028 (entités plus petites et districts spéciaux). Voir le guide de l'échéance Title II.
A. Accessibilité (questions 1 à 7)
Quelle norme d'accessibilité vise votre rendu public, et comment savez-vous qu'il la respecte ? Bon signe : une version et un niveau précis (par exemple WCAG 2.1 ou 2.2 AA) et un test daté. Inquiétant : « entièrement conforme ADA » sans rien derrière.
Pouvons-nous voir votre rapport de conformité d'accessibilité le plus récent, avec la date et l'auteur des tests ? Bon signe : un document qui liste les problèmes connus. Inquiétant : aucun problème connu, ou aucun rapport.
L'interface d'édition est-elle accessible au personnel qui utilise un lecteur d'écran ou uniquement le clavier ? Beaucoup de fournisseurs ne testent que les pages publiques.
Que fait l'éditeur pour empêcher les contributeurs d'ajouter des défauts ? Cherchez un texte alternatif obligatoire, des contrôles de titres, des alertes sur les intitulés de liens vagues et des limites sur les couleurs.
En combien de temps corrigez-vous un défaut d'accessibilité dans vos gabarits, et l'inscrirez-vous au contrat ? Bon signe : un nombre de jours, par écrit.
Vendez-vous ou recommandez-vous une surcouche d'accessibilité ? Une surcouche ajoute une barre d'outils par-dessus la page ; elle ne corrige pas le code sous-jacent. Un fournisseur qui s'appuie dessus est un signal d'alerte.
Pouvons-nous mener notre propre audit, et nous aiderez-vous à corriger ce qu'il relève ? La réponse doit être oui, sans frais pour les défauts de leur code.
B. Rôles, approbations et gouvernance (8 à 13)
Quels rôles existent, et que peut faire chacun ? Demandez la liste réelle. Les rôles personnalisés sont plus rares que les démos ne le laissent croire.
Un contributeur peut-il être limité à la section d'un seul service ou à un seul site ?
Peut-on exiger une approbation avant publication, et pour qui ? Demandez s'il s'agit d'une étape ou de plusieurs, et si elle peut être activée pour certains contributeurs seulement.
Qu'est-ce qui est enregistré dans le journal d'audit, combien de temps est-il conservé et pouvons-nous l'exporter ? Utile pour les demandes d'accès aux documents publics et pour enquêter sur une mauvaise modification.
Comment les éléments de marque sont-ils protégés ? Un service peut-il modifier l'en-tête, les couleurs ou le pied de page, ou seulement son propre contenu ?
Pouvons-nous programmer la publication, l'expiration et des rappels de révision ? Les pages obsolètes sont l'échec de gouvernance le plus courant.
C. Connexion et accès (14 à 17)
Le personnel peut-il se connecter via notre fournisseur d'identité, et pouvons-nous l'imposer ? Demandez-leur de le montrer en fonctionnement avec votre fournisseur, pas sur une diapositive.
L'authentification multifacteur est-elle disponible pour chaque compte ?
Qu'advient-il d'un compte quand quelqu'un part ? La suppression de l'accès doit se faire en une étape et immédiatement.
Le personnel du fournisseur peut-il accéder à nos contenus, et cet accès est-il journalisé ?
D. Sécurité (18 à 22)
Quels audits indépendants ou certifications détenez-vous aujourd'hui ? Demandez le rapport ou le certificat, sa date et son périmètre. « En cours » ne veut pas dire détenu.
Comment les vulnérabilités sont-elles détectées et corrigées, et en combien de temps ?
Dans quel délai nous informerez-vous d'un incident touchant nos données, et comment ? Obtenez un nombre d'heures dans le contrat.
Où nos données sont-elles stockées, et qui sont vos sous-traitants ? Si la localisation compte pour vous, obtenez-la par écrit.
Remplirez-vous notre questionnaire de sécurité ? Un fournisseur qui refuse, ou vous demande de vous fier à une page de synthèse, sera difficile à tenir à quoi que ce soit ensuite.
E. Fiabilité et performance (23 à 26)
Quelle disponibilité vous engagez-vous à inscrire au contrat, comment est-elle mesurée, et quelle est la compensation ? Un chiffre marketing n'est pas un engagement.
Que s'est-il passé lors de votre dernière panne importante ? Un fournisseur qui répond franchement est meilleur signe qu'un fournisseur qui prétend n'en avoir eu aucune.
Comment les sauvegardes sont-elles réalisées, conservées et testées ? Demandez quand une restauration a été testée pour la dernière fois.
Comment le site gère-t-il un pic de trafic soudain ?
F. Propriété des données et sortie (27 à 32)
À qui appartiennent nos contenus, médias, envois de formulaires et données d'analyse ? La réponse doit être : à vous.
Pouvons-nous exporter l'intégralité du site nous-mêmes, dès aujourd'hui, sans vous le demander ? Demandez-leur de le faire pendant la démo.
Que contient l'export ? Seulement le texte, ou aussi les médias, la structure des pages, les gabarits et le code ? Un autre fournisseur pourrait-il faire tourner le site à partir de lui ?
L'export coûte-t-il quelque chose, pendant ou après le contrat ?
Nos noms de domaine et notre DNS restent-ils dans nos comptes ? Si le fournisseur détient votre domaine, partir devient plus difficile.
Qu'advient-il de nos données à la fin du contrat ? Cherchez une période de transition, un export final et une confirmation écrite de suppression.
G. Créer et modifier des sites (33 à 36)
Combien de temps faut-il pour lancer le site d'un nouveau service ou programme ? Demandez-leur d'en créer un en direct.
Quelles modifications nécessitent le fournisseur, et lesquelles notre personnel peut-il faire ? Comptez combien de modifications courantes seraient facturables.
Comment gérez-vous les formulaires, et les envois peuvent-ils être transmis à nos propres systèmes ?
Pouvons-nous utiliser notre propre domaine pour chaque site, y compris les sites des services ?
H. Support et formation (37 à 39)
Quels horaires de support et délais de réponse figurent au contrat ?
La formation est-elle incluse, et pouvons-nous réutiliser les supports en interne ?
Qui est notre interlocuteur attitré, et que se passe-t-il s'il part ?
I. Contrat et coût (40 à 42)
Quel est le coût total sur cinq ans, renouvellements compris ? Demandez-le dans un seul tableau séparant coûts ponctuels et récurrents.
Quelles limites modifient le prix ? Utilisateurs, sites, pages, stockage, trafic et usage de l'IA sont les plus courantes.
Quel est le plafond des hausses de prix annuelles, et pouvons-nous partir sans pénalité au renouvellement ?
Comment noter les réponses
Pour chaque question, attribuez 0 (non ou non montré), 1 (oui, mais seulement décrit) ou 2 (montré en fonctionnement dans le produit). Les questions 1, 2, 27, 28 et 40 décident de la plupart des résultats : donnez-leur un poids double. Un fournisseur qui obtient de bonnes notes sur les diapositives et de mauvaises sur « montré en fonctionnement » vous dit quelque chose.
Note
Signification
0
Non disponible, sans réponse, ou seulement sur une feuille de route
1
Réponse écrite mais non démontrée
2
Démontré dans le produit, ou étayé par un document daté
Comment We.Inc répond à certaines de ces questions
Nous préférons que vous nous évaluiez avec cette liste plutôt que de nous croire sur parole. Aujourd'hui, notre plateforme en marque blanche vous offre : des rôles propriétaire, admin et membre plus des permissions par client (questions 8 et 9) ; une seule étape d'approbation avant la publication d'un site (10) ; un journal d'audit des actions de l'organisation (11) ; vos propres domaines pour le portail et chaque site (36) ; et le téléchargement complet du code ou sa synchronisation avec votre propre GitHub (28 et 29). Les sites sont construits par IA, l'accessibilité est donc à tester par votre équipe avant publication ; nous ne revendiquons pas de conformité. Nous ne revendiquons ni certifications de sécurité ni chiffre de disponibilité contractuel. Pour passer le reste en revue avec nous, réservez une démo et apportez cette checklist. Voir aussi la plateforme en marque blanche We.Inc.