Qui possède vraiment vos comptes Search Console, Analytics et Business Profile

On confie à une agence un audit, des contenus ou une campagne locale. Quelques mois plus tard, elle dispose des accès à la Search Console, à Analytics et parfois à la fiche d’établissement. C’est normal. Ce qui ne l’est pas, c’est que le client ne puisse ni identifier les administrateurs, ni prouver la maîtrise du site ou de la fiche. La distinction paraît administrative, mais elle détermine ce que vous pourrez récupérer lors d’un départ, d’un litige ou d’une simple réorganisation. les décisions et les actifs qui doivent rester chez le client constituent le socle d’une externalisation SEO pilotable. Votre agence doit pouvoir travailler vite, sans devenir le point unique de déblocage.

Le bon réflexe consiste à traiter les comptes Google comme des actifs d’entreprise. On documente qui administre, sur quelle adresse, à quel niveau et grâce à quel moyen de vérification. Ensuite seulement, on attribue les droits opérationnels nécessaires. Cette méthode évite de confondre confort d’usage et pouvoir de reprise. Elle sert aussi le jour où le site change de mains : la transférabilité des comptes est l’un des huit modules d’un audit SEO avant rachat de site.

Propriétaire, propriétaire délégué, utilisateur : trois statuts, trois pouvoirs

Dans Search Console, Google distingue le propriétaire validé, le propriétaire délégué et les utilisateurs. Le premier a démontré le contrôle de la propriété grâce à un jeton de vérification. Le second reçoit l’accès d’un propriétaire, mais ne s’est pas validé lui-même. Les utilisateurs ont des droits plus limités, complets ou restreints selon le cas.

Cette nuance est décisive. Une agence peut avoir besoin d’un accès complet pour analyser les requêtes, envoyer un sitemap ou inspecter une URL. Elle n’a pas besoin d’être la seule personne capable de prouver que le site appartient à l’entreprise. Le moyen de validation doit rester sous contrôle client.

Dans Google Analytics, le vocabulaire change. On gère des rôles, notamment Administrateur, Éditeur, Analyste ou Lecteur, à l’échelle du compte ou de la propriété. Un administrateur au niveau du compte peut gérer les accès des propriétés concernées. Le niveau d’attribution compte autant que le rôle affiché. Depuis le 9 septembre 2026, ce rôle décide aussi du contenu de la page d’indicateurs : seuls Éditeur et Administrateur publient un tableau de bord personnalisé dans Google Analytics.

La fiche d’établissement suit une autre logique : plusieurs propriétaires sont possibles, mais un seul est propriétaire principal. Les gestionnaires peuvent intervenir au quotidien sans disposer des mêmes pouvoirs. Pensez aussi aux propriétés de plateforme dans la Search Console lorsqu’un dispositif de visibilité se prolonge hors du site.

Les trois configurations que l’on découvre trop tard

Première situation : la Search Console a été validée par un fichier déposé par l’agence. Tant que ce fichier ou la balise appartient à son environnement technique, elle garde une voie d’accès qu’un simple tableau des utilisateurs ne révèle pas. Une propriété de domaine vérifiée par DNS pose le même sujet : il faut savoir qui peut modifier la zone DNS.

Deuxième situation : le seul administrateur Analytics est une adresse d’un salarié parti. Les données continuent souvent d’être collectées, mais plus personne ne peut gérer les droits, les liaisons ou les paramètres. Le compte n’est pas perdu au sens technique, mais le temps de récupération peut immobiliser un projet important.

Troisième situation : une fiche d’établissement au nom du prestataire a été créée lors d’une ouverture, puis oubliée. Lorsque le propriétaire principal n’est plus joignable, la reprise dépend de la procédure de demande d’accès de Google et des éléments fournis. Rien ne justifie d’attendre une rupture contractuelle pour vérifier ce point.

Pourquoi la validation compte plus que les droits

Les droits visibles dans l’interface répondent à la question « qui peut agir aujourd’hui ? ». La validation répond à une autre question : « qui peut démontrer demain qu’il contrôle l’actif ? ». Une liste d’utilisateurs propre ne remplace jamais un moyen de validation maîtrisé. Conservez donc, hors du périmètre du prestataire, l’accès au domaine, au CMS ou au compte qui sert réellement à cette preuve.

L’inventaire des sept accès à vérifier

Le contrôle prend moins d’une heure si les bonnes personnes sont présentes. Réunissez un dirigeant ou un référent interne, la personne qui gère le domaine et le prestataire. L’objectif n’est pas de retirer des accès, mais de vérifier que les sept accès à vérifier sont rattachés à des identités professionnelles pérennes.

La vérification en trois clics n’a pas vocation à remplacer un audit technique. Elle produit toutefois une preuve simple : capture d’écran des personnes autorisées, date du contrôle et adresse de contact interne. Cette trace permet de retrouver vite le bon interlocuteur lorsque l’urgence arrive.

Ne cherchez pas une adresse générique à tout prix. Une boîte fonctionnelle surveillée, complétée par un second administrateur nommé, est souvent plus robuste qu’un identifiant partagé sans responsable. Le point important est la continuité : un changement d’équipe ne doit ni couper les alertes, ni empêcher la mise à jour des droits. Le registre d’accès doit donc indiquer un titulaire interne et un remplaçant.

Reprendre la main sans casser la mesure

La séquence est plus importante que la vitesse. Ajoutez d’abord l’adresse professionnelle du client avec le niveau de droit requis. Vérifiez qu’elle fonctionne dans une session séparée. Documentez ensuite le moyen de validation et les liaisons utiles, par exemple Analytics, Tag Manager ou Google Ads. Ne supprimez jamais l’ancien accès avant ce test.

Pour Search Console, créez ou conservez une validation indépendante de celle de l’agence. Pour Analytics, contrôlez l’échelle du droit : compte, propriété, groupes et comptes liés. Pour Business Profile, transférez la propriété principale seulement après avoir ajouté le nouveau propriétaire, car la plateforme impose des conditions et des délais à certains nouveaux accès.

Le piège le plus banal consiste à modifier simultanément le marquage, le conteneur Tag Manager et les droits Analytics. Si les données baissent ensuite, personne ne sait si le problème vient de la mesure ou du trafic. Les indicateurs à exiger dans un rapport mensuel deviennent alors difficiles à interpréter. L’ordre des opérations protège aussi la capacité à expliquer ce qui a changé.

• Ajouter un second accès interne avant toute révocation.
• Tester l’ouverture et les actions essentielles avec ce nouvel accès.
• Archiver la preuve de validation, la liste des droits et la date du contrôle.
• Retirer les comptes devenus inutiles seulement après validation du fonctionnement.

La clause d’accès à insérer dans tout contrat de prestation

La bonne clause ne cherche pas à transformer une agence en simple exécutant. Elle définit les comptes qui doivent être créés au nom du client, les droits nécessaires pendant la mission et la remise attendue à la fin. Une clause d’accès est un outil de continuité, pas un signal de défiance.

Vous pouvez partir d’une formulation simple : « Les comptes, propriétés, conteneurs et fiches créés pour le Client sont ouverts au nom du Client ou lui sont transférés sans délai. Le Prestataire reçoit les autorisations nécessaires à l’exécution de sa mission. À la demande du Client et au plus tard à la fin du contrat, il remet la liste des accès, moyens de validation, identifiants d’actifs et justificatifs utiles. »

La remise ne doit pas attendre le dernier jour. Prévoyez un état initial au démarrage, une mise à jour lors de chaque création d’actif et un récapitulatif de sortie. Cette exigence rejoint la nécessité de formaliser la remise des accès dans le cahier des charges. La preuve à conserver reste très concrète : capture des droits, date, adresse interne et emplacement du moyen de validation.

Le jour où votre prestataire part, que gardez-vous vraiment

Le départ d’une agence ne devrait pas déclencher une chasse aux mots de passe. Si le client détient les validations, les rôles administrateur nécessaires et une liste d’actifs tenue à jour, la transition devient un contrôle de continuité. Il garde les données, la capacité de décider et le choix du prochain partenaire.

Le sujet dépasse Google. Nom de domaine, hébergement, DNS et outils de mesure répondent à la même question : qui peut restaurer l’accès sans demander l’autorisation d’un tiers ? Un plan de sortie de prestataire réellement exécutable commence par cette réponse documentée.

Avant de signer, vérifiez donc les sept accès. Pendant la mission, mettez à jour le registre. Et à chaque changement de personne, répétez le contrôle. La propriété des comptes Google devient alors un processus de gouvernance ordinaire, pas une crise à résoudre.

Sources et références

Les distinctions entre propriétaire validé, propriétaire délégué et utilisateurs dans Search Console sont détaillées par Google Search Console sur la gestion des propriétaires et des autorisations. Les méthodes qui prouvent le contrôle d’un site figurent dans l’aide Google sur la validation de propriété. Pour les rôles et les niveaux compte ou propriété, consultez la documentation Google Analytics sur la gestion des utilisateurs et la présentation de la hiérarchie Analytics. Les accès d’un conteneur sont expliqués dans l’aide Google Tag Manager sur les utilisateurs et autorisations. Enfin, les rôles et le transfert de propriété d’une fiche sont précisés dans l’aide Google Business Profile consacrée aux propriétaires et gestionnaires.