Cahier des charges pour un site web en Suisse : éléments à prévoir

Pourquoi rédiger un cahier des charges pour un site web en Suisse

Un cahier des charges n’est pas obligatoire. Les méthodes de gestion de projet varient et les approches agiles privilégient des cycles très courts. Rédigez toutefois au minimum un document court : il dessine le projet et facilite les offres des agences et prestataires consultés.

Le document fixe périmètre, budget, délais et critères qualité. Il aligne objectifs métiers, analyse concurrentielle, design, fonctionnalités front et back et exigences non fonctionnelles. Structuré autour du contexte, des objectifs, des spécifications techniques, du budget et du calendrier, il rend les offres comparables, fiables et conformes aux besoins.

L’enjeu concret reste l’estimation. Le cahier des charges permet au prestataire de chiffrer précisément coûts et délais et de produire une demande d’offre exploitable. Comptez quelques heures de rédaction pour une base aussi complète que possible : plus le document est précis, plus les offres le seront.

Contexte, objectifs et publics du projet

L’introduction présente le commanditaire et son organisation. Pour la personne qui porte le projet : parcours, expertises et vision. Pour l’entreprise : services et produits, historique, taille, spécialités et compétences disponibles en interne. Elle précise aussi l’équipe qui suivra le projet.

Elle expose les objectifs à plus ou moins long terme, ainsi que les attentes d’usage et financières. Elle identifie l’audience : futurs clients, utilisateurs, marché visé et initiatives proches déjà existantes.

Cette partie ne devrait pas être sous-traitée : elle porte sur votre activité et votre projet. Aucun prérequis technique n’est nécessaire, mais une relecture par des personnes de confiance aux compétences variées limite les zones d’ombre.

Périmètre fonctionnel et arborescence

Le périmètre distingue explicitement les fonctionnalités publiques (front) des fonctions d’administration (back). Pour chacune, précisez l’acteur concerné, le parcours utilisateur étape par étape, les points d’entrée et de sortie, le statut (indispensable ou souhaitable) et le critère de fin.

Les rubriques à couvrir comprennent en général les types de contenus et leur mode de publication. Ajoutez les formulaires : champs, données collectées, destinataires des notifications, messages de confirmation. Précisez les espaces membres : inscription, rôles et droits, mot de passe oublié. Le cas échéant, décrivez une boutique en ligne : catalogue, panier, paiement, livraison, retours.

La liste des exclusions vaut autant que celle des fonctions incluses : rédaction des textes, production photographique, traduction, reprise de données historiques, connexion à un logiciel métier. Chiffrées séparément le cas échéant, ces exclusions évitent les discussions en cours de projet sur des prestations non budgétées.

Design, expérience utilisateur et contenus

Pour la charte graphique, indiquez si elle existe déjà (logo, couleurs, typographies, éléments d’identité et format de fourniture) ou si sa création fait partie du mandat. Précisez les gabarits d’écran attendus, le comportement responsive, les points de rupture à couvrir, le nombre de langues et la gestion des contenus pour chacune.

Pour l’accessibilité, fixez des exigences retenues et vérifiables : contrastes suffisants, navigation au clavier, structure des titres, textes alternatifs des images, libellés des champs de formulaire. Pour le référencement, prévoyez la structure des URL, les balises de titre et de description, le plan du site et surtout le plan de redirection depuis l’ancien site. Objectif : ne pas perdre les adresses existantes.

Sur les contenus, établissez l’inventaire de l’existant. Déterminez qui fournit textes et images, sous quel délai, et qui les intègre. Le ton éditorial et l’arborescence cible se décident à ce stade : ils conditionnent la charge de reprise ou de migration et le calendrier de mise en ligne.

Spécifications techniques et intégrations

Le cahier des charges nomme la solution de gestion de contenus ou le framework retenu, sa licence et les compétences nécessaires pour le maintenir en interne ou chez un tiers. Il précise l’hébergement : lieu des serveurs, sauvegardes, disponibilité attendue. Il précise le nom de domaine : titulaire, gestion du DNS. Il couvre aussi les adresses e-mail professionnelles et les certificats servant au chiffrement des échanges.

Il liste les intégrations : interfaces avec des services tiers, CRM, outil de facturation ou de newsletter, mesure d’audience et suivi des conversions. Il décrit les environnements séparés (développement, test, production) et la procédure de mise en production. Il précise la fréquence et la durée de conservation des sauvegardes, ainsi que la manière dont une restauration est testée.

Enfin, il répartit la maintenance : qui applique les mises à jour de sécurité, à quelle fréquence et selon quelle procédure de test. Lorsqu’un fournisseur de nuage traite des données personnelles pour votre compte, il agit comme sous-traitant. Le responsable du traitement doit s’assurer qu’il peut garantir la sécurité des données.

Conformité LPD/nLPD : données personnelles, cookies et mentions légales

La nouvelle loi fédérale sur la protection des données (LPD) est en vigueur depuis le 1er septembre 2023, tout comme son ordonnance d’application (OPDo). Elle s’applique dès qu’il y a un traitement de données personnelles par des personnes privées, physiques ou morales, ainsi que par l’administration fédérale. Elle concerne donc toutes les entreprises de Suisse, quelle que soit leur taille.

Le site doit comporter une politique de confidentialité adaptée à votre structure. Elle est présente sur le site et sur tout support servant à collecter des données, et acceptée sur les formulaires. Les mentions légales doivent faire figurer les coordonnées de la société, la forme juridique, le numéro IDE/TVA si disponibles et les éventuelles autorités de surveillance.

Pour les mentions légales, prévoyez un extrait du registre du commerce. Un extrait certifié conforme coûte 40 francs, quelle que soit la forme juridique. Les extraits non certifiés sont téléchargeables gratuitement via la recherche d’entreprises ou l’index central des raisons de commerce Zefix.

Les formulaires imposent l’acceptation de la politique de confidentialité avec un lien vers celle-ci. Un responsable des données est désigné pour traiter les demandes d’accès, de modification et de suppression.

Le bandeau de consentement aux cookies doit permettre d’accepter ou de refuser certaines catégories, par exemple le marketing. Les consentements sont enregistrés en cas de contrôle des autorités. Prévoyez donc l’historique des consentements et un formulaire d’accès aux données personnelles.

Les principes applicables restent la licéité, la bonne foi, la finalité, la transparence, la proportionnalité, l’exactitude et la sécurité. Toute personne qui traite des données personnelles doit s’assurer qu’elles sont exactes et prendre les mesures appropriées pour les rectifier ou les effacer.

Les informations dues à la personne concernée comprennent l’identité et les coordonnées du responsable du traitement, la finalité du traitement et, le cas échéant, les destinataires ou catégories de destinataires.

Les données personnelles sensibles comprennent notamment les données sur les opinions ou activités religieuses, philosophiques, politiques ou syndicales, la santé, la sphère intime, l’origine raciale ou ethnique, les données génétiques, les données biométriques identifiant une personne physique de manière équivoque, les données sur des poursuites ou sanctions pénales et administratives, ainsi que les données sur des mesures d’aide sociale.

Sécurité et cyberrésilience

Le cahier des charges décrit la gestion des accès : comptes nominatifs, rôles distincts, authentification à deux facteurs, retrait des accès au départ d’un collaborateur. Il décrit le processus de mise à jour du CMS et des extensions, avec test préalable sur un environnement séparé. Il précise les sauvegardes chiffrées, avec restauration régulièrement éprouvée, et le chiffrement des échanges.

Il prévoit la procédure de signalement. L’Office fédéral de la cybersécurité (OFCS) est le service officiel auquel signaler les failles de sécurité en Suisse.

L’OFCS est le centre de compétences de la Confédération en matière de cybersécurité. Il est le premier interlocuteur de l’économie, de l’administration, des établissements d’enseignement et de la population. Il assure la mise en œuvre coordonnée de la cyberstratégie nationale.

Ce cadre évolue. Le Conseil fédéral a chargé l’OFCS, en collaboration avec l’OFCOM et le SECO, d’élaborer d’ici à l’automne 2026 un projet de consultation législative sur la cyberrésilience des produits numériques. Il s’aligne notamment sur le Cyber Resilience Act européen entré en vigueur le 11 décembre 2024. Il est utile de prévoir dès maintenant, dans le contrat de maintenance, une clause d’adaptation aux exigences de cybersécurité qui découleront de ces travaux.

Budget, délais et modalités de collaboration

L’estimation se décompose par lot : conception et maquettes, développement front et back, intégration des contenus, migration et redirections, tests, mise en production, formation. Demandez un taux journalier par profil : direction de projet, design, développement, contenu. Demandez aussi deux scénarios chiffrés, un périmètre de base et une variante étendue, plutôt qu’un prix global unique.

Le phasage et la méthode de projet figurent dans le document : étapes et jalons, livrables attendus à chaque étape, interlocuteurs de part et d’autre, outils de suivi, instance de décision. Prévoyez aussi la procédure applicable à toute demande hors périmètre, avec estimation et validation écrite avant exécution.

Sur le plan contractuel, précisez les livrables et la propriété intellectuelle : cession des droits sur le code et les créations, licences portant sur le CMS et les composants tiers. Précisez les garanties en cas de défaut et le contenu exact de la maintenance : prestations incluses, délais d’intervention selon la gravité. Précisez les conditions de paiement, avec échéancier lié aux jalons et retenue libérée après la recette.

Évaluation des offres, recette et maintenance

La comparaison des offres gagne à s’appuyer sur une grille pondérée. Celle-ci couvre la compréhension du besoin, les références sur des projets comparables, les compétences de l’équipe affectée, la méthode proposée, les délais et le prix total sur plusieurs années (développement, hébergement, licences, maintenance). Elle intègre aussi la conformité en matière de protection des données et les mesures de sécurité. Faites répondre par écrit aux points ambigus avant de trancher.

La recette se prépare avant le lancement. Un cahier de tests reprend les parcours décrits dans le périmètre et les critères d’acceptation. Il est complété par des tests sur les navigateurs et appareils utilisés par votre audience et, si nécessaire, par des tests de charge. Les anomalies sont consignées, classées par gravité, et leur correction encadrée par des délais, jusqu’au procès-verbal de recette.

Après la mise en ligne, le cahier des charges fixe la formation des personnes qui administreront le site. Il fixe la documentation remise : manuel d’administration, procédure de sauvegarde et de restauration. Il fixe les modalités de support : canal, horaires, délais par gravité. Il prévoit enfin le transfert à votre nom des comptes essentiels : hébergement, nom de domaine, mesure d’audience, certificats.

Checklist récapitulative des éléments à prévoir

Avant de diffuser le cahier des charges, vérifiez qu’il contient la présentation de l’organisation, son historique et ses compétences internes. Vérifiez aussi les objectifs à court et long terme et les attentes d’usage et financières. Vérifiez encore les publics cibles, clients et utilisateurs, le marché et les initiatives comparables.

Vérifiez la liste des fonctionnalités front et back avec acteurs, parcours, statut et critères d’acceptation. Vérifiez la liste explicite des exclusions et des prestations non incluses. Vérifiez la charte graphique ou sa création, les gabarits, le responsive, les langues et les exigences d’accessibilité.

Vérifiez le plan des URL, le plan de redirection et l’inventaire des contenus à reprendre. Vérifiez le CMS ou framework, l’hébergement, le nom de domaine, les e-mails, les intégrations, la mesure d’audience, les environnements et les sauvegardes.

Ajoutez la politique de confidentialité, le bandeau de consentement par catégories avec historique, les mentions légales avec extrait du registre du commerce, les cases d’acceptation sur les formulaires et le responsable des données. Ajoutez l’identification des rôles de responsable du traitement et de sous-traitant, y compris pour l’hébergement. Vérifiez la référence à la LPD et à son ordonnance d’application (OPDo).

Ajoutez la gestion des accès, les mises à jour, le chiffrement et la procédure de signalement des failles. Ajoutez l’estimation par lot et par profil, les scénarios chiffrés, le phasage, les livrables, la propriété intellectuelle, les garanties, la maintenance et les conditions de paiement.

Ajoutez la grille d’évaluation des offres, le cahier de tests de recette, la formation, la documentation et le support après lancement.