Boutique en ligne déjà en activité : ce qu’il faut vérifier avant d’acheter

Le vendeur ouvre un ordinateur portable, tourne l’écran vers vous, montre un graphique à la courbe ascendante et annonce un chiffre, immédiatement suivi des autres chiffres et des affirmations : la boutique tourne, le chiffre d’affaires est tel, le flux d’acheteurs est tel, et le prix est celui-ci. Tout a l’air en ordre, et c’est précisément pour cela qu’il vaut la peine de s’arrêter, parce que presque chacune de ces affirmations est vérifiable, et presque aucune n’est vérifiée tant que le contrat n’est pas encore signé.

Cet article porte sur le contrôle technique avant l’achat d’une boutique en ligne déjà en activité, et non sur ce que vaut une telle boutique, parce que l’évaluation et les questions fiscales sont le travail d’autres personnes, que nous ne touchons ici volontairement pas. Nous avons écrit à part comment construire une boutique à partir de zéro, et de même combien coûte la création d’une boutique en ligne. Ici il s’agit d’une tout autre situation : la boutique existe déjà, elle a un historique, et la question est ce qui, de cet historique, vous passe vraiment, et ce qui reste chez le vendeur.

L’accès à l’analytique montre moins qu’il n’y paraît

La première chose que demande tout acheteur raisonnable est un accès en lecture à Google Analytics, et c’est juste, mais cela ne suffit pas, parce que cet accès prouve moins que la plupart des gens ne le pensent. Google Analytics 4 a cinq rôles, à savoir Administrateur, Éditeur, Responsable marketing, Analyste et Lecteur, et c’est précisément le rôle de Lecteur que l’on attribue en général à l’acheteur : le Lecteur voit les paramètres et les données et peut modifier ce qui apparaît dans les rapports, mais ne peut pas gérer les utilisateurs ni modifier les paramètres de la propriété.

L’attribution elle-même dit déjà quelque chose, parce que seul un Administrateur peut ajouter un utilisateur, et les utilisateurs sont identifiés par l’adresse e-mail d’un compte Google, donc un vendeur qui n’arrive pas à accorder l’accès en lecture n’est pas Administrateur de cette propriété, et c’est une question à poser tout de suite. Une capture d’écran n’est pas un accès, et une conversation où le vendeur montre son écran n’en est pas un non plus, même si les chiffres ont l’air convaincants.

Vient ensuite un détail que peu de gens connaissent et qui peut inverser entièrement la conclusion, parce que Google Analytics permet d’imposer à une propriété des restrictions de données, et deux de ces restrictions portent précisément sur l’argent : « Pas de métriques sur les coûts » masque les métriques de coûts, et « Pas de métriques sur les revenus » masque les métriques de revenus. Les valeurs restreintes n’apparaissent pas dans les rapports, et l’utilisateur voit zéro à la place. L’acheteur qui voit des zéros dans la colonne des revenus n’a donc pas vu que la boutique ne gagne rien ; il a peut-être vu une restriction, et le seul moyen de le savoir est de demander si la restriction a été posée.

Il y a aussi une limite plus générale, qu’il convient de garder en tête pendant tout le contrôle, et elle touche la mesure elle-même : l’analytique montre ce qu’a enregistré le code de mesure installé, non combien de personnes sont vraiment venues. Un code posé seulement sur la page de remerciement, un code qui se déclenche deux fois, un code sur un environnement de développement, ou un même code qui sert plusieurs sites, dans le rapport ressemblent à des visites. Aucun de ces cas n’est une fraude par définition, mais chacun fait du chiffre autre chose que ce que l’acheteur croit.

Search Console est un autre objet et un autre contrôle

Google Search Console montre ce que Google lui-même a enregistré sur l’apparition du site dans les résultats de recherche, donc elle est en partie indépendante du code de mesure installé par le vendeur, et c’est précisément cette indépendance qui la rend plus précieuse que l’analytique, même si les chiffres y sont plus petits et moins flatteurs. Les rôles y sont différents de ceux de l’analytique : Propriétaire, utilisateur avec accès complet, utilisateur avec accès limité et associé, et une propriété doit avoir au moins un propriétaire confirmé, sinon personne n’a d’accès.

L’utilisateur avec accès limité voit le rapport Performances, donc les requêtes, les clics, les impressions et la position moyenne, mais ne peut pas ajouter d’utilisateurs, envoyer un sitemap ni inspecter complètement une adresse précise, donc cela suffit à l’acheteur pour voir le trafic de recherche, mais pas pour reprendre la propriété. C’est une différence voulue, qu’il convient de comprendre avant l’entretien, parce qu’un vendeur qui n’offre que l’accès d’utilisateur avec accès limité offre des chiffres, pas un moyen de reprendre.

Il y a aussi la question de l’âge de l’historique lui-même, et cela tranche souvent plus que la taille des chiffres, parce que Google commence à collecter des données sur une propriété dès le moment où quelqu’un l’ajoute, avant même la validation, donc une propriété créée récemment ne peut pas montrer plusieurs années d’historique, quelle que soit la durée d’activité de la boutique. Demandez quand la propriété a été créée, et comparez cela à l’âge que la boutique revendique.

Maintenant ce que cet outil peut montrer de travers, et ce ne sont pas des accusations de malhonnêteté du vendeur, simplement de la mécanique : une propriété peut être de deux types, à savoir une propriété de préfixe d’URL, qui ne couvre qu’une adresse avec son protocole, et une propriété de domaine, qui couvre tout le domaine avec tous les sous-domaines. Une propriété de domaine peut donc mélanger en un seul chiffre le trafic de la boutique et celui d’un blog tout à fait distinct, et le seul moyen de le voir est de regarder de quel type est la propriété ouverte.

La deuxième question de mécanique est la validation, et elle se passe ainsi : la propriété se valide par une preuve sur le site, et l’un des moyens autorisés est précisément le code de suivi Google Analytics. Cela signifie que les deux outils peuvent avoir été validés avec le même code, contrôlé par la même personne, donc deux contrôles apparemment indépendants peuvent parler du même site, éventuellement le mauvais. De plus, des jetons de propriété inutilisés permettent à un propriétaire retiré plus tôt de se valider de nouveau, donc l’acheteur, une fois devenu propriétaire, doit revoir quelles preuves restent encore sur le site.

Enfin, il convient de connaître la borne de la fenêtre historique, qui ici est stricte : les données de performances se conservent seize mois, donc une histoire de croissance sur trois ans ne se tire pas de cet outil, et un vendeur qui la promet doit la prouver autrement. Et pour finir : il n’est pas juste d’attendre que les chiffres de l’analytique et de l’outil de recherche coïncident, parce qu’ils mesurent des choses différentes, et aucun document Google ne promet un rapport déterminé entre eux.

L’exportation n’est pas la boutique

Le deuxième gros ennui se niche dans le mot exportation, parce que l’acheteur l’entend comme une copie de la boutique, alors qu’en pratique c’est un extrait de tables précises, avec des limites précises. WooCommerce, dans sa base, inclut un outil d’importation et d’exportation de produits, et il fonctionne vraiment, mais c’est un outil produits : il ne couvre pas du tout les clients ni les commandes, et pour ceux-là il faut soit une extension payante, soit un accès direct à la base de données.

Les images sont un détail à part, aux conséquences disproportionnées, et la raison est dans la mécanique de l’exportation : l’exportation des produits travaille avec les adresses des images, non avec les fichiers eux-mêmes, donc les images doivent être joignables au moment de l’import, et l’outil de base ne transfère pas les textes alternatifs des images. Pour une boutique de quelques milliers de produits, cela signifie qu’après le déménagement une partie des images peut simplement manquer, et on ne le découvre que lorsqu’il est déjà trop tard pour négocier le prix.

Sur les plateformes plus fermées, les limites sont plus strictes, et il faut les connaître avant l’entretien sur le prix, pas après : les hachages de mots de passe ne passent en général pas, et cela signifie que tous les clients existants devront, après le déménagement, renouveler leur mot de passe, ce qui est une perte directe de clients et que le vendeur mentionnera rarement. La licence du thème reste souvent attachée au compte du vendeur, les extensions sont des abonnements distincts avec leurs propres licences, et l’historique des commandes, sur une partie des plateformes, ne se réimporte pas du tout par le panneau d’administration.

Au même groupe appartiennent trois détails que l’on retient rarement et dont chacun, à lui seul, coûte de l’argent. Les cartes cadeaux avec un solde restant sont des engagements envers les clients, et elles ne se déplacent pas toujours avec le reste des données, donc la question de combien de solde inutilisé il y a dans la boutique appartient à l’entretien sur le prix. Un certificat de sécurité ne se transmet pas comme un bien, mais se délivre de nouveau au nom du nouveau titulaire, et cela n’est de routine que si le nom de domaine est déjà entre vos mains, tandis que la licence du thème est souvent liée au compte du vendeur, donc après le déménagement il peut s’avérer que l’apparence doit s’acheter une deuxième fois.

De là découle une étape de contrôle qui ne coûte rien et dit beaucoup. Demandez au vendeur de produire une exportation de test encore avant le contrat, et ouvrez-la vous-même, parce que vous y verrez tout de suite si les clients y sont, si les commandes ont des lignes de produits, si les images ont des adresses, et si quelque chose de ce qui est visible dans la boutique n’apparaît pas du tout dans le fichier.

Le nom de domaine passe par un changement de titulaire, pas par un changement de serveurs de noms

La partie nom de domaine est celle où les acheteurs confondent trois opérations tout à fait différentes, et cette confusion tend à finir avec le nom de domaine qui reste au nom du vendeur. Le changement de serveurs de noms n’est qu’une indication de qui dessert les enregistrements du domaine, et n’a rien à voir avec la titularité ; le transfert — le changement de bureau d’enregistrement — change qui administre le nom de domaine ; et le changement de titulaire est celui qui change au nom de qui le nom de domaine est enregistré.

Pour les noms de domaine en .fr, c’est l’Afnic qui fixe la procédure du changement de titulaire, et c’est précisément cette exigence qui protège les titulaires contre le fait qu’un inconnu réécrive le nom à son profit. L’opération passe par un bureau d’enregistrement, authentifiée par le code AUTH_INFO ; le titulaire actuel et le futur titulaire confirment, le plus souvent par e-mail. Lorsqu’une confirmation par e-mail n’est pas possible, il existe une Demande d’opération Afnic (DOA) sur papier. L’Afnic ne reçoit pas les demandes directement : si un bureau d’enregistrement administre le nom, la demande passe par lui. La procédure est décrite dans la FAQ de l’Afnic.

Deux détails dans cette procédure comptent plus que les autres, et le premier est que, une fois le changement de titulaire traité, le titulaire précédent ne contrôle plus le nom. L’Afnic prévoit une période de rédemption de trente jours après une suppression, ce qui n’est pas un droit de revenir sur un changement de titulaire déjà accompli, donc l’opération doit être faite correctement du premier coup. Le second est que la demande d’une personne morale est faite par les personnes qui ont le pouvoir de la représenter et doit satisfaire aux exigences formelles du bureau d’enregistrement, donc il ne suffit pas qu’un salarié quelconque de l’entreprise l’envoie.

Une attention particulière est due au cas où le vendeur est une société que l’on prévoit de liquider, parce que c’est précisément ici que l’achat de la boutique peut se terminer par la perte du nom de domaine. L’Afnic n’a pas de règle selon laquelle le changement de titulaire devrait être fait avant la fin de la liquidation, l’activité suspendue bloquerait le changement, ou un court délai de transition suivrait la radiation au terme duquel le nom deviendrait librement enregistrable par n’importe qui. Si la société est radiée, le titulaire n’existe plus ; cela suit du droit des sociétés et de l’exigence que les données du titulaire soient exactes. Lorsque le titulaire sortant n’existe plus (fusion, rachat), l’Afnic prévoit une opération Recover, une transmission forcée vers un nouveau titulaire, avec des pièces. Un acheteur qui attend que le vendeur règle ses affaires peut découvrir que le titulaire n’existe plus, et que seule l’opération Recover, avec des pièces, permet encore de faire passer le nom.

Le compte de paiement ne passe pas avec le contrat d’achat

L’idée que l’encaissement passe aussi avec la boutique est répandue et fausse, mais il est tout aussi faux de dire qu’un compte de paiement ne se déplace pas du tout, parce que la formulation juste est au milieu : le contrat d’achat, à lui seul, ne fait pas bouger le compte, mais le prestataire de services de paiement a sa propre procédure, et il peut aussi refuser.

Stripe, dans sa documentation, décrit précisément ce cas, en indiquant que le propriétaire actuel du compte qui veut le céder à un autre, par exemple en vendant l’entreprise, doit d’abord s’adresser au service d’assistance pour savoir quelles informations mettre à jour. Ensuite on change les informations du compte bancaire pour les versements, le nom légal de l’entreprise, le numéro d’identification fiscale et les données du représentant, et l’entreprise avertit expressément de ne pas envoyer les données du nouveau propriétaire par e-mail, tandis que si l’entreprise a été reprise sous une personne morale d’un autre pays, la procédure est différente.

Il y a encore un détail qui porte précisément sur les données et que les acheteurs apprennent tard : si le passage ne se fait pas en reprenant le même compte, mais en basculant vers un nouveau, alors on peut copier d’un compte à l’autre les clients et les moyens de paiement, mais les paiements individuels, les factures, les offres et les abonnements, les codes promo, les événements et les journaux ne se copient pas. Pour une boutique avec des abonnements, c’est critique, parce qu’interrompre les abonnements, c’est interrompre les revenus, et cette question doit se poser avant l’opération, pas après.

Nous n’avons pas utilisé, pour cette vérification, les conditions des contrats d’acquisition des banques ou des intermédiaires de paiement français, parce que nous ne les avons pas lues, et il est plus honnête de le dire que de combler le trou par une conjecture, donc c’est une lacune volontaire, pas un oubli. Si la boutique encaisse par une banque ou un intermédiaire de paiement français, la question de savoir si le contrat peut être cédé se pose à ce prestataire, et la procédure Stripe ne s’y reporte pas.

La liste clients est la partie juridiquement la plus tranchante

C’est ici que l’acheteur peut acquérir non un actif, mais une obligation, et c’est précisément pour cela que cette section est écrite comme un avertissement, non comme un mode d’emploi. Le départ est dans la structure de l’opération : si vous achetez les titres de la société (cession de titres), le responsable du traitement reste le même sujet juridique et la base ne change pas de propriétaire ; si vous achetez la boutique comme un ensemble d’actifs auprès d’un autre sujet (cession d’actifs), les données à caractère personnel arrivent chez un nouveau responsable du traitement, et c’est un cas tout à fait différent.

Le règlement général sur la protection des données ne promet rien sur l’achat d’une boutique, et il n’y a pas d’article qui dise que la base clients passe automatiquement. Il faut une base juridique au titre de l’article 6, et il y a une obligation d’informer : l’article 13 exige de nommer l’identité du responsable du traitement au moment où les données sont obtenues, tandis que l’article 14, qui porte précisément sur le cas où les données n’ont pas été obtenues auprès de la personne elle-même, exige du nouveau responsable du traitement qu’il communique son identité, ses finalités, la base juridique, les catégories de données et la source, et qu’il le fasse au plus tard dans un délai d’un mois ou lors de la première communication.

Sur les e-mails de prospection, un second texte s’ajoute, et c’est le cœur de cette section. L’article L. 34-5 du code des postes et des communications électroniques interdit la prospection directe par courrier électronique auprès d’une personne physique sans consentement préalable. L’exception autorise la prospection par e-mail si les coordonnées ont été collectées auprès de cette personne, dans le respect de la loi Informatique et Libertés, à l’occasion d’une vente ou d’une prestation de services, si la prospection porte sur des produits ou services analogues fournis par la même personne physique ou morale, et si une possibilité de s’opposer, simple et gratuite, est offerte lors de la collecte et ensuite. La CNIL a rappelé que cette exception ne peut pas être mobilisée lorsqu’aucune vente ou prestation n’a eu lieu — la simple création d’un compte ne suffit pas. Reste, à part, la base juridique de l’article 6 du règlement.

Et maintenant ce qui en fait un piège : cette exception est écrite pour l’entreprise qui a obtenu les adresses dans ses propres ventes, donc la même qui servait les clients. L’acheteur qui n’a pas obtenu les adresses n’est pas cette entreprise, donc l’exception du précédent propriétaire ne voyage pas avec le fichier. La CNIL, le 5 décembre 2022, a rappelé les règles de la vente de fichiers clients : l’acquéreur doit être en mesure de démontrer le consentement pour la prospection électronique ; si le vendeur n’a pas recueilli le consentement pour cet acquéreur, ce dernier doit le recueillir lui-même. Ce n’est pas une autorisation de reprendre la liste telle quelle.

Hors de France, cette question est tranchée de façons différentes, et cet écart est plus honnête à montrer qu’à recouvrir. La conférence des autorités allemandes de protection des données (Datenschutzkonferenz) a, en 2024, adopté une position stricte, considérant que la vente d’une base clients comme actif détaché exige en général un consentement préalable, tandis que la loi organique espagnole 3/2018 (LOPDGDD) contient une disposition qui, en cas de modification structurelle ou de transmission d’une entreprise ou d’une branche d’activité, présume licite le traitement s’il est nécessaire à la continuité des services. La France n’a pas de disposition nationale de ce type : la CNIL a publié, le 5 décembre 2022, un rappel des règles sur la vente de fichiers clients, qui est un guide, non une présomption légale. Il reste donc à l’acheteur le règlement, l’article L. 34-5 et un avis juridique sur l’opération concrète.

Les contrôles qui ne dépendent pas du vendeur

Tous les contrôles précédents dépendent de ce que le vendeur accorde et de ce que montrent ses paramètres, donc à côté d’eux il convient d’en poser au moins un dont la source est une autre, et le plus simple de ces contrôles sont les journaux du serveur, parce qu’ils enregistrent les requêtes indépendamment du fait qu’un code de mesure soit installé sur la page et du fait que le visiteur ait consenti aux cookies.

Ce n’est pas une méthode Google et aucun document Google ne la recommande, donc nous ne la présentons pas non plus comme une recommandation officielle, mais comme une pratique où, en comparant le volume des requêtes des journaux aux sessions d’analytique sur la même période, on voit en général soit un rapport raisonnable, soit un écart sur lequel il convient de poser une question. L’accès aux journaux est en général donné par le panneau d’hébergement, donc ce contrôle exige l’accès à l’hébergement, et c’est précisément pour cela qu’il convient de le demander en même temps que le reste.

La deuxième source indépendante est le relevé du prestataire de services de paiement, et c’est la seule de toutes qui montre de l’argent, non des visites. Ici une distinction compte : un relevé que le vendeur envoie comme document n’est pas le même que le relevé que vous voyez dans le panneau du prestataire lui-même, parce que le premier peut être préparé par n’importe qui et le second non, donc demandez l’accès au panneau, ou au moins un écran partagé avec ce panneau ouvert.

Il y a encore un contrôle qui coûte cinq minutes et que presque tout le monde saute : regarder comment la boutique apparaît aujourd’hui dans le moteur de recherche, en saisissant son nom et quelques expressions des noms de produits. Si la boutique affirme un trafic de recherche stable, mais n’apparaît pas sous son propre nom, ou apparaît derrière des places de marché sur lesquelles elle vend elle-même, alors le trafic vient d’ailleurs, et il convient de savoir d’où, parce que la publicité payante peut simplement s’arrêter après l’opération.

La troisième est le côté comptable, que nous ne touchons pas sur le fond, mais dont l’existence mérite d’être mentionnée, parce que c’est la seule qui relie tout le reste à des chiffres déclarés, et si l’analytique, le panneau de paiement et la comptabilité racontent trois histoires différentes, alors le problème n’est pas la précision de la mesure, et à partir de là ce n’est plus une conversation technique.

L’état du code et de la plateforme se contrôle à peu de frais

Le contrôle de l’état technique sonne comme un audit coûteux, mais la plus grande partie de la réponse s’obtient en quelques heures et avec des données publiques. La première étape est d’établir la version de la plateforme et du langage et de la comparer au calendrier de support publié par l’éditeur, parce qu’après la fin du support les nouvelles vulnérabilités ne sont plus corrigées, même si la boutique continue de tourner exactement comme avant.

La deuxième étape est la liste des extensions, avec leur historique de mises à jour, parce qu’une extension abandonnée est à la fois un risque de sécurité et un coût caché : à un moment il faudra la remplacer, et le remplacement dans une boutique en activité signifie en général réécrire aussi tout ce qui a été construit autour. La troisième est la question de savoir si la boutique a déjà été piratée et ce qui a été fait ensuite, et cette question mérite d’être posée directement, parce qu’une réponse évasive est ici aussi parlante qu’une réponse affirmative.

La quatrième étape porte sur le code, si la boutique a été adaptée, et elle est proche de la question que nous avons examinée à part dans l’article sur ce qui vous appartient lorsque le système est prêt. Ici le côté pratique suffit : où se trouve le dépôt, qui peut y accéder, et s’il vous passe avec la boutique, parce qu’un dépôt dans le compte personnel du vendeur reste, après l’opération, dans le compte personnel du vendeur, si on ne le déplace pas à part.

À côté du dépôt, il y a les accès et les clés, et ils tendent à être éparpillés dans des endroits que personne n’a notés : panneau d’hébergement, compte du nom de domaine, panneau de paiement, service d’e-mail, clés des services externes et analytique. Une liste de ces éléments mérite d’être demandée par écrit avant l’opération et vérifiée après, parce qu’une clé que personne n’a remise se révèle en général lorsque quelque chose cesse de fonctionner, et à ce moment-là le vendeur est déjà parti.

La cinquième est la liste des coûts récurrents qui arrivent avec la boutique, et elle tend à être plus longue que l’acheteur ne l’attend, parce qu’y figurent l’abonnement de la plateforme, les abonnements distincts des extensions, le thème, les commissions de l’intermédiaire de paiement, l’hébergement, le nom de domaine et les certificats, et chacun a sa propre date de renouvellement et son propre prix après le premier terme. Cette liste mérite d’être mise dans un seul tableau avant de discuter le prix, parce que c’est précisément elle qui montre quel est le coût mensuel réel de la boutique.

Que demander avant de signer

Tout ce qui précède aboutit à un ensemble d’exigences qui ne prend pas beaucoup de temps et qui, à un vendeur honnête, ne pose pas de difficulté : du côté de l’analytique, c’est l’accès Lecteur à la propriété elle-même, non des captures d’écran, avec la réponse à la question de savoir si la restriction « Pas de métriques sur les revenus » a été posée, et du côté de Search Console l’accès d’utilisateur avec accès limité, avec l’indication du type de propriété ouverte.

Du côté des données, c’est une exportation de test avant le contrat, la réponse à la question de savoir si les hachages de mots de passe passent, et de la clarté sur ce qu’il advient de l’historique des commandes. Du côté du nom de domaine, c’est une attestation de savoir au nom de qui le nom est enregistré aujourd’hui, et un accord sur le fait que le changement de titulaire a lieu avant le paiement ou en même temps, non après.

Du côté des paiements, c’est une question au prestataire de services de paiement, non au vendeur, parce que lui seul peut dire si le compte passe et à quelles conditions, et la conviction du vendeur sur ce point n’est pas une preuve. S’il y a des abonnements dans la boutique, alors la même question doit se poser encore une fois à part, précisément sur eux, parce que les abonnements sont la partie qui, dans un déménagement, casse le plus souvent. Du côté de la protection des données, c’est de la clarté sur la façon dont la liste a été collectée et sur ce qui a été dit alors aux clients, et un accord écrit sur le fait qu’après l’opération le nouveau responsable du traitement remplira son obligation d’informer.

Cet ensemble d’exigences a l’air long, mais il est plus court qu’une semaine passée, après l’opération, à tenter de récupérer un nom de domaine ou de rétablir des abonnements, et un vendeur honnête en prépare la plus grande partie en quelques heures. Un vendeur qui s’oppose à ces exigences a, par ce même geste, répondu à la question la plus importante, et c’est le moyen le moins cher possible de le savoir.

Et pour finir, il y a deux choses que cet article ne fait volontairement pas, parce que ce n’est pas notre travail et que se faire passer pour une autre profession serait le pire que l’on puisse faire ici. Nous ne donnons pas d’avis sur ce que vaut la boutique, et nous ne remplaçons pas un avocat sur la question de l’usage d’une liste clients concrète, parce que les deux sont le travail d’autres personnes. Si vous voulez que nous vérifiions la partie technique avant que vous signiez, contactez-nous, et nous le ferons avec l’équipe de création de site e-commerce.