Votre contrat de maintenance informatique arrive à son terme et le nouveau prestataire réclame les accès administrateur. L’ancien transmet quelques identifiants, mais conserve la console de sauvegarde ou le second facteur d’authentification. À l’inverse, vous souhaitez simplement faire auditer votre installation pendant que le contrat continue : pouvez-vous exiger immédiatement tous les pouvoirs d’administration ? Ces deux situations appellent des analyses différentes.

La remise des mots de passe administrateur dépend du contrat, du système concerné et du moment où elle est demandée. Dans un arrêt du 11 juin 2026, une cour d’appel a admis la conservation de codes par le prestataire pendant l’exécution du contrat. Dans une autre affaire, une ordonnance du 17 juin 2025 a organisé la remise des accès pour permettre une migration. Ces décisions, examinées ci-dessous, ne consacrent donc ni un droit général de retenir les codes ni une obligation uniforme de les communiquer à toute demande.

Pour agir utilement, il faut distinguer l’accès utilisateur, l’administration technique et la restitution des données personnelles. Il faut aussi préparer une transmission qui fonctionne réellement, sans exposer les dossiers des salariés ou des clients. Le présent article concerne les contrats professionnels de maintenance et d’infogérance soumis au droit français : lecture des clauses, portée des décisions, sécurité de la transmission, preuves à conserver et demandes envisageables devant le juge.

I. Dans quels cas pouvez-vous demander les accès administrateur au prestataire ?

A. Pendant le contrat, les clauses d’administration comptent davantage que l’impression d’être propriétaire de tous les accès

Un accès utilisateur permet, par exemple, de consulter sa messagerie. Un accès administrateur permet d’attribuer des droits, de désactiver un compte ou de modifier une sauvegarde. Une même entreprise peut posséder ses ordinateurs et utiliser une infrastructure dont l’administration a été confiée contractuellement à un tiers. La possession du matériel ne suffit donc pas à résoudre toute question concernant les pouvoirs d’administration.

La première pièce à lire est le contrat applicable à la prestation contestée, avec ses conditions particulières et ses annexes. L’article 1103 du Code civil dispose : « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. » Un ancien contrat de dépannage, un devis de sauvegarde et un abonnement de messagerie peuvent organiser des obligations différentes. Il faut déterminer lequel couvre précisément le compte réclamé.

Cette distinction est au cœur de l’arrêt de la cour d’appel d’Aix-en-Provence du 11 juin 2026, chambre 3-3, RG 25/12413. Une entreprise avait demandé les codes de son serveur, puis rompu plusieurs contrats en reprochant au prestataire de les retenir. La cour a examiné la convention de 2022 et la procédure de réversibilité qu’elle comportait, au lieu de considérer toute conservation des codes comme une inexécution.

Dans ses motifs, la cour relève que le contrat confiait au prestataire la maîtrise de l’administration. Elle distingue les codes administrateur des mots de passe utilisateur évoqués dans un contrat antérieur. Elle retient aussi que la clause de réversibilité organisait la reprise du système à l’issue de la relation. Sur ces éléments, elle juge que la non-communication des codes administrateur pendant le contrat ne caractérisait pas le manquement invoqué. Elle confirme le jugement condamnant le client à payer les factures et l’indemnité de rupture anticipée, pour un principal total de 55 012,76 euros TTC. Ce montant correspond à cette affaire et à ses contrats, pas à un barème de sanction du client (même arrêt, motifs et dispositif).

L’enseignement pratique reste limité : cet arrêt ne donne pas à tout prestataire la faculté de conserver n’importe quel accès. Il montre qu’une obligation de remise doit être identifiée dans la convention et replacée dans la phase concernée. La cour ne tranche pas toutes les configurations techniques, ni tous les refus après la fin d’une prestation. Il ne faut pas transformer une appréciation contractuelle en autorisation générale de bloquer une entreprise.

Pour préparer votre demande, séparez quatre questions. Le compte est-il réservé à votre entreprise ou sert-il à gérer plusieurs clients du prestataire ? Souhaitez-vous un accès en lecture, un audit ou une administration complète ? Le contrat prévoit-il un accès direct, un accès temporaire ou une reprise organisée ? La mission continue-t-elle, ou sa cessation est-elle acquise ? Une réponse précise évite de demander le mot de passe d’une console mutualisée lorsqu’un compte dédié ou un transfert de délégation répondrait au besoin.

L’exécution de bonne foi s’impose aux parties en vertu de l’article 1104 du Code civil. Cette exigence doit être rapprochée des engagements effectivement souscrits et des contraintes documentées. Elle ne dispense pas de les établir. Il est utile de demander par écrit la clause invoquée pour refuser un accès, la fonction de ce compte et la solution proposée pour permettre l’opération autorisée.

Si une facture est impayée, la discussion change encore. L’article 1219 du Code civil permet à une partie de refuser d’exécuter son obligation lorsque l’autre n’exécute pas la sienne et que cette inexécution est suffisamment grave. Ce texte n’énonce pas un droit automatique de conserver tous les identifiants dès qu’une facture est discutée. Avant d’invoquer cette exception, il faut identifier les obligations réciproques et la gravité de l’inexécution alléguée. L’arrêt du 11 juin 2026 concernait d’abord l’étendue de l’obligation contractuelle de communication ; il ne doit pas être présenté comme une décision générale sur la rétention pour impayé.

B. En sortie de contrat, organiser une reprise effective exige davantage qu’une liste de mots de passe

La fin d’une prestation soulève un besoin différent : permettre à l’entreprise ou à son nouveau prestataire d’exploiter les ressources qui doivent être reprises. La réversibilité peut comprendre des exports de données, des configurations, des documents d’architecture et des droits d’administration. Ces éléments se complètent. Recevoir des fichiers sans pouvoir les déchiffrer, ou un mot de passe sans le moyen de validation associé, peut laisser l’opération techniquement inachevée.

L’ordonnance de référé du tribunal des activités économiques de Marseille du 17 juin 2025, RG 2025R00202, illustre cette approche concrète. Dans cette affaire distincte de celle jugée à Aix-en-Provence, le prestataire ne s’opposait pas au principe de la remise des codes. Les parties divergeaient sur les modalités. Le juge relève notamment que la propriété du système informatique n’était pas contestable et que les parties s’accordaient sur le fait que la remise acterait la fin de la mission.

Le juge a ordonné la réversibilité et la transmission de droits complets d’administration selon un protocole contrôlé par un commissaire de justice. Les ressources visées comprenaient notamment les sauvegardes, les équipements réseau, la messagerie, les serveurs, les bases de données et les certificats de sécurité. Le dispositif prévoyait un coffre-fort, l’insertion des identifiants, le test des accès et le changement des secrets critiques. Il organisait également la clôture des accès du prestataire sortant (ordonnance du 17 juin 2025, motifs et dispositif).

Cette ordonnance ne constitue pas un modèle obligatoire pour chaque entreprise. Elle porte sur un litige particulier, en référé, avec un accord sur le principe de la remise et une discussion sur son exécution. Elle montre cependant l’intérêt d’une demande techniquement définie. Demander seulement de restituer tous les codes laisse ouvertes les questions de périmètre, de sécurité et de vérification. Un inventaire précis permet de savoir ce qui est remis et ce qui reste à traiter.

En pratique, l’inventaire devrait identifier, pour chaque ressource, le titulaire du compte, l’administrateur actuel, le niveau de privilèges demandé et le destinataire autorisé. Ajoutez les dépendances : second facteur d’authentification, codes de récupération, adresse de secours, certificat, clé de chiffrement, compte de facturation ou délégation donnée à un revendeur. Ces vérifications constituent une méthode de préparation ; tous ces objets ne doivent pas nécessairement être remis dans chaque contrat.

Pour une console qui gère plusieurs clients, la solution peut consister à créer un accès propre à l’entreprise ou à transférer une délégation. Il faut éviter d’exiger un secret qui ouvrirait les environnements de tiers. Pour un serveur dédié, la question sera plutôt celle de l’étendue des droits, de la documentation et du contrôle effectif. Le contrat et l’architecture technique doivent guider le choix de la modalité, sans confondre l’objectif de reprise avec un format unique de transmission.

Le procès-verbal de remise peut distinguer les accès reçus, ceux qui ont été testés et ceux qui restent inutilisables. Un compte peut fonctionner en lecture seule tout en étant insuffisant pour assurer une migration. Inversement, l’échec d’un test peut provenir d’une dépendance à configurer et ne démontre pas, à lui seul, un refus du prestataire. Documenter le résultat exact protège les deux parties et facilite la correction des anomalies.

La réception technique doit aussi être distinguée du règlement des comptes entre les parties. Le document peut constater une transmission sans prétendre résoudre tous les désaccords antérieurs. Si une décharge est proposée, il faut examiner ce qu’elle constate et ce à quoi elle ferait éventuellement renoncer. Dans l’arrêt du 11 juin 2026, la cour a admis une demande de décharge dans le contexte contractuel d’un accès destiné à un audit ; cette appréciation ne permet pas de déclarer valable toute renonciation générale présentée lors d’une migration (arrêt, motifs relatifs à la communication des codes).

Pour la dimension plus large de la sortie, les questions d’export et de copies conservées sont développées dans notre analyse de la restitution des données à la fin d’un contrat SaaS ou d’infogérance. La remise des pouvoirs d’administration demeure un point distinct : elle concerne la capacité de gérer les ressources reprises, au-delà de la seule possession d’un export.

II. Comment obtenir une transmission sûre et préparer un recours si elle reste bloquée ?

A. Préparer une remise contrôlée, avec des droits vérifiés et des responsabilités identifiées

Une transmission sûre commence par un inventaire partagé. Pour chaque ressource, indiquez ce que le nouveau prestataire doit pouvoir accomplir : administrer les utilisateurs, modifier la configuration, vérifier une sauvegarde ou restaurer un environnement. L’expression accès complet peut masquer des besoins différents. Une liste centrée sur les opérations attendues permet de comparer la demande aux engagements du contrat et d’éviter les discussions purement nominales sur la qualité d’administrateur.

L’ordonnance du tribunal des activités économiques de Marseille du 17 juin 2025, RG 2025R00202, apporte un exemple précis : la remise ordonnée portait sur des accès identifiés et sur les procédures d’authentification associées. Le protocole prévoyait leur insertion dans un coffre-fort, un test et un changement des secrets critiques. Ce sont les mesures adoptées pour cette affaire ; elles constituent des points de comparaison utiles pour préparer une solution adaptée, pas une procédure légale uniforme de changement de prestataire.

Qui est autorisé à recevoir les accès ? Le représentant de l’entreprise devrait identifier la personne ou l’équipe destinataire, la mission confiée et les ressources comprises dans cette mission. Une instruction écrite évite que le prestataire sortant doive choisir seul entre plusieurs interlocuteurs dont les pouvoirs sont discutés. Si plusieurs sociétés utilisent une même infrastructure, il faut aussi préciser pour laquelle la demande est formulée. Il est prudent de ne pas confondre un compte de facturation commun avec les droits techniques propres à chaque environnement.

Comment préserver les environnements des tiers ? Une console de supervision peut regrouper plusieurs clients. Dans ce cas, demandez quelle modalité permettrait de reprendre votre environnement sans recevoir les secrets des autres. Cela peut conduire à examiner une délégation dédiée, une création de compte ou un export de configuration. La pertinence de chaque solution se vérifie avec le technicien et le contrat. Exiger le mot de passe historique d’un compte mutualisé n’est pas toujours la seule manière d’obtenir les pouvoirs nécessaires à la reprise.

La fiche de la CNIL consacrée à la gestion des habilitations, datée du 13 mars 2024, recommande de limiter les droits aux besoins des missions, de faire valider les habilitations et de retirer les permissions devenues inutiles. Elle déconseille aussi les comptes partagés sans encadrement ni traçabilité. Cette fiche présente des bonnes pratiques de sécurité ; ce n’est pas une décision judiciaire sur les droits de votre entreprise. Elle ne remplace ni l’identification de l’obligation de remise ni l’interprétation des clauses.

Comment transmettre les secrets ? Convenez avec les professionnels concernés d’un canal protégé, de destinataires identifiés et de modalités de réception. Dans l’affaire marseillaise, le juge a retenu un coffre-fort et un contrôle par commissaire de justice. Dans une autre configuration, la création de comptes nominatifs pourrait être examinée. L’important, pour préparer la discussion, est de pouvoir décrire la solution, son périmètre et les opérations de vérification qu’elle rend possibles (ordonnance du 17 juin 2025, protocole de remise).

Que faut-il tester ? Ne vous limitez pas à l’ouverture d’une session. Vérifiez les privilèges nécessaires aux opérations convenues et les dépendances susceptibles de bloquer la reprise. Un mot de passe peut être exact alors que sa validation dépend encore d’un appareil détenu par l’ancien prestataire. Un compte peut permettre de consulter une sauvegarde sans pouvoir la restaurer. Le relevé de test peut indiquer l’opération vérifiée, son résultat et la correction attendue, sans y faire apparaître le secret lui-même.

L’organisation de ces opérations doit rester cohérente avec l’exécution de bonne foi prévue par l’article 1104 du Code civil. Cette règle ne dicte pas un outil informatique précis. Elle accompagne la discussion sur les modalités d’une obligation identifiée. Si une partie invoque un obstacle de sécurité, demandez une explication concrète et une solution alternative ; si le client doit fournir une autorisation ou préparer un environnement, faites préciser cette contribution. Une coopération documentée permet d’identifier plus clairement l’origine d’un blocage.

Quand retirer les anciens accès ? Sur le plan opérationnel, coordonnez cette étape avec la validation de la reprise et les missions qui restent autorisées. Couper le seul outil de maintenance encore utilisable avant le test de la solution entrante peut désorganiser la transition. À l’inverse, conserver des privilèges sans rôle défini laisse une incertitude de sécurité. Le protocole marseillais comprenait une phase de clôture, la suppression de comptes techniques et la coupure de connexions du prestataire sortant. Ce séquencement doit être adapté à l’environnement réel (même ordonnance, étapes de contrôle et de clôture).

Enfin, séparez les constatations de réception des éventuelles renonciations juridiques. Un document peut constater qu’un compte est transmis, qu’un test reste négatif ou qu’une configuration doit être complétée. Il peut préciser qui doit agir pour chaque point restant à résoudre. Une formule globale indiquant que tout est parfait, alors que certains tests n’ont pas été faits, rend la situation plus difficile à comprendre. L’article 1353 du Code civil rappelle l’importance de prouver l’obligation et le fait qui l’aurait éteinte : conserver une réception détaillée aide à distinguer les opérations réellement achevées des points toujours discutés.

B. Prouver le blocage, formuler la bonne demande et distinguer la remise des accès de l’indemnisation

Un dossier utile commence par une chronologie vérifiable. Rassemblez les contrats effectivement signés, leurs annexes, les demandes d’accès, les réponses du prestataire et les résultats des tests. Identifiez les ressources qui fonctionnent encore et celles qui restent inaccessibles. Évitez les formules globales si seule une console est concernée : le juge et l’expert doivent comprendre l’obligation alléguée et la difficulté concrète.

L’article 1353 du Code civil énonce : « Celui qui réclame l’exécution d’une obligation doit la prouver. » Le même texte impose à celui qui se prétend libéré de justifier le paiement ou le fait ayant éteint son obligation. Pour une transmission d’accès, cette logique invite à conserver la preuve de ce qui était dû et de ce qui a été remis. Un fichier contenant des identifiants n’établit pas nécessairement que les droits convenus étaient opérationnels ; un rapport de test doit préciser ce qu’il a réellement vérifié.

Le prestataire entrant peut décrire les anomalies sans conclure à la place du juge. Son relevé devrait indiquer l’environnement testé, le rôle obtenu et l’action impossible : modifier une règle réseau, lancer une restauration ou administrer un compte, par exemple. Il peut aussi expliquer les conséquences techniques prévisibles du blocage. Les secrets eux-mêmes doivent être protégés : on peut conserver la preuve d’un échec d’authentification sans diffuser un mot de passe dans chaque pièce du dossier.

Lorsque des éléments techniques risquent de disparaître et qu’un litige est envisagé, l’article 145 du Code de procédure civile, dans sa version applicable depuis le 1er septembre 2025, permet, sous ses conditions, de demander avant tout procès des mesures d’instruction légalement admissibles pour conserver ou établir une preuve. Le texte exige un motif légitime. Une mesure de preuve n’est pas automatiquement une mesure de reprise d’exploitation : sa mission doit correspondre à ce que l’on cherche à établir.

La demande amiable peut ensuite nommer chaque ressource, rappeler le fondement contractuel, préciser le destinataire autorisé et proposer une modalité de remise vérifiable. Demandez aussi une réponse distincte pour les éléments contestés : inexistence du compte, droits appartenant à un tiers, difficulté de sécurité ou prestation supplémentaire alléguée. Cela permet de distinguer un désaccord juridique d’une impossibilité technique et de préparer, si nécessaire, une demande d’exécution ciblée.

L’article 1221 du Code civil autorise le créancier, après mise en demeure, à poursuivre l’exécution en nature, sous réserve de l’impossibilité d’exécution et de la disproportion prévue par le texte. Une obligation de créer ou de transmettre un accès doit donc être établie ; la demande doit aussi porter sur une opération réalisable. Le texte ne transforme pas une prestation non convenue en obligation par le seul effet d’un courrier.

Dans un litige relevant du président du tribunal de commerce, l’article 873 du Code de procédure civile prévoit notamment des mesures conservatoires ou de remise en état pour prévenir un dommage imminent ou faire cesser un trouble manifestement illicite. Son second alinéa permet l’exécution d’une obligation, même de faire, lorsque son existence n’est pas sérieusement contestable. Il faut rattacher les pièces et la mesure demandée à la voie effectivement invoquée, sans supposer que toute divergence sur les codes justifie la même décision.

L’ordonnance marseillaise du 17 juin 2025 fournit un exemple d’organisation sous contrôle d’un commissaire de justice, avec une astreinte prévue dans cette affaire. Elle ne garantit pas qu’un autre dossier recevra le même protocole ou le même montant. Surtout, le juge y a refusé d’accorder la provision indemnitaire demandée : l’examen de la faute, du préjudice et du lien de causalité nécessitait, selon ses motifs, un débat au fond (ordonnance, demande de provision et dispositif).

Il faut donc distinguer deux objectifs : obtenir les moyens de reprendre l’activité et obtenir réparation d’un préjudice. L’article 1231-1 du Code civil encadre les dommages et intérêts liés à l’inexécution ou au retard d’exécution, avec la réserve de force majeure qu’il prévoit. Pour construire une demande, documentez séparément les dépenses de reprise, les opérations devenues nécessaires et les pertes alléguées. Leur seule facturation ne démontre pas qu’elles sont toutes imputables au prestataire.

Enfin, évitez de confondre la demande de remise avec une rupture immédiate pour faute. L’article 1226 du Code civil place la résolution par notification aux risques et périls du créancier ; sauf urgence, il prévoit une mise en demeure préalable de satisfaire à l’engagement dans un délai raisonnable, avec la mention exigée par cet article. Il prévoit également la notification motivée lorsque l’inexécution persiste et la preuve de sa gravité en cas de contestation. L’arrêt d’Aix-en-Provence rappelle concrètement le coût possible d’une rupture fondée sur une obligation que le juge ne retient pas. Faire préciser les droits d’administration avant de rompre permet d’aborder séparément le besoin technique et la justification juridique de la rupture (arrêt du 11 juin 2026).

Conclusion

Dans un contrat de maintenance informatique, la question des mots de passe administrateur se résout par l’examen de la prestation, des clauses et du moment de la demande. Un audit pendant l’exécution du contrat et une migration à sa sortie ne présentent pas les mêmes enjeux. Les deux décisions étudiées montrent l’utilité de cette distinction et les limites d’une réponse automatique.

La démarche la plus solide consiste à identifier les droits nécessaires, vérifier leur fondement, proposer une transmission sécurisée et conserver des preuves de fonctionnement. La préparation technique complète l’analyse du contrat et permet de vérifier ce qui a été effectivement remis. Si le désaccord persiste, la demande de remise des accès et la demande d’indemnisation doivent chacune reposer sur leurs conditions propres et sur des éléments précis.