Comment choisir un prestataire de développement à distance : la checklist

Pour choisir un prestataire de développement à distance, vérifiez cinq points avant de signer : des réalisations que vous pouvez contrôler vous-même, la propriété du code et des comptes de votre côté, un processus de livraison visible, une communication adaptée à vos horaires et à votre langue, et un contrat qui couvre la propriété intellectuelle, les données personnelles et la sortie. Puis commencez par une petite mission payée. La grille ci-dessous transforme chaque point en questions à poser et en preuves à demander.

1. Des références vérifiables

Des captures d'écran et des logos ne prouvent pas grand-chose. Demandez ce que vous pouvez vérifier sans faire confiance au prestataire :

• Des produits en ligne. Les URL de sites et d'applications en production. Ouvrez-les, testez-les sur votre téléphone, vérifiez qu'ils sont rapides et fonctionnent.
• Le périmètre exact. « Nous l'avons fait » peut vouloir dire tout le produit ou une seule page. Demandez quelles parties, quelle stack, en combien de temps, avec qui.
• Un client à appeler. Un échange de dix minutes avec un ancien client vaut mieux qu'une étude de cas. Demandez ce qui s'est mal passé et comment cela a été géré.
• Du code qui leur appartient. Projets open source, produits maison ou court exercice technique. Méfiez-vous de l'inverse : un prestataire qui vous montre le code privé d'un autre client fera de même avec le vôtre.

Le portfolio de ShipFastDev applique cette règle : il ne présente que des produits publics, en ligne.

2. La propriété : votre code, vos comptes

Le pire scénario en sous-traitance n'est pas un code médiocre, c'est de ne pas pouvoir récupérer son code. Avant le premier jour :

• Le dépôt est dans votre organisation GitHub, GitLab ou Bitbucket, et le prestataire y est invité. S'il existe déjà sur son compte, demandez un transfert : sur GitHub, les issues, pull requests, wiki, étoiles et abonnés suivent le dépôt transféré, et les anciens liens sont redirigés automatiquement.
• L'hébergement, le nom de domaine, les comptes de stores, d'analyse et de paiement sont au nom de votre entreprise, le prestataire n'y est qu'utilisateur.
• Vous pouvez imposer la double authentification à toute votre organisation ; sur GitHub, les collaborateurs externes sans 2FA sont retirés de l'organisation.
• Le contrat vous cède les droits sur le code au paiement. Le détail est dans propriété du code et sous-traitance.

3. Un processus de livraison visible

Demandez au prestataire de décrire une semaine type, puis demandez des preuves. Quelques questions inspirées des indicateurs de livraison de DORA (délai de mise en production, fréquence de déploiement, temps de rétablissement, taux d'échec et taux de déploiements correctifs) :

• À quelle fréquence mettez-vous en production pour un client comme nous ? Chaque semaine est bon signe (voir des mises en production hebdomadaires).
• Combien de temps entre une petite demande et sa mise en ligne ?
• Quand une mise en production casse quelque chose, comment le savez-vous et en combien de temps revenez-vous en arrière ?
• Y a-t-il un environnement de préproduction ? Des tests automatisés ? Qui relit le code ?
• Comment utilisez-vous les outils d'IA, et comment leur production est-elle relue ? La question est légitime : dans l'enquête Stack Overflow 2025, 84 % des répondants utilisent ou prévoient d'utiliser l'IA, 45,7 % se méfient de la justesse de ses résultats et 66 % citent comme frustration des solutions « presque justes, mais pas tout à fait ».

Une réponse floue (« nous suivons les bonnes pratiques agiles ») est un signal d'alerte. Une réponse concrète (« tout passe par une pull request relue, on déploie le jeudi et vous recevez un journal des changements ») est ce que vous cherchez.

4. Les bases de la sécurité

Un petit projet ne justifie pas un audit, mais il faut un vocabulaire commun. Le Secure Software Development Framework du NIST (SP 800-218) a notamment été conçu pour que les acheteurs de logiciels puissent discuter des pratiques de développement sécurisé avec leurs fournisseurs. Demandez comment sont gérés les secrets (jamais dans le dépôt), les mises à jour de dépendances, l'accès à la production et la fin de contrat. Le guide de l'ANSSI sur l'externalisation identifie la perte de maîtrise du système d'information, les interventions à distance et l'hébergement mutualisé comme principaux risques, et préconise un plan d'assurance sécurité auquel le prestataire s'engage.

5. Les données personnelles

Si le prestataire manipule des données personnelles de vos utilisateurs, il agit comme sous-traitant au sens du RGPD et un contrat écrit est obligatoire. Le guide du sous-traitant de la CNIL détaille ce qu'il doit prévoir (objet et durée, nature et finalité du traitement, mesures de sécurité, sort des données en fin de contrat) et propose des clauses types. Le régulateur britannique en donne une liste comparable : instructions documentées, confidentialité, sécurité, sous-traitance ultérieure encadrée, assistance en cas de demande ou de violation, suppression ou restitution des données, audits. Si le prestataire est hors UE, vérifiez aussi les règles de transfert (exemple dans le développement nearshore au Maroc).

6. La communication

• Heures communes : au moins trois ou quatre heures par jour pour une startup dont les priorités bougent souvent.
• Langue : celle des réunions et celle des tickets écrits.
• Rythme : un point écrit hebdomadaire (livré, en cours, bloqué) et un interlocuteur nommé.
• Délais de réponse : pour une demande normale et pour un incident en production.

7. Conditions commerciales et réversibilité

Fixez le modèle de prix (voir forfait, régie ou abonnement), le préavis et ce que le prestataire remet à la fin : dépôt, documentation, identifiants renouvelés, données restituées ou supprimées. Une séparation se négocie bien plus facilement avant de commencer.

Les signaux d'alerte

• Il veut garder le code sur son propre compte « pour l'instant ».
• Aucune référence ne peut être ouverte ni vérifiée.
• Un forfait sur un périmètre flou, sans procédure de changement.
• Aucune mise en production avant « la fin du projet ».
• Le commercial ne sait pas dire qui écrira le code.
• Il vous montre le code ou les données privés d'un autre client.
• Il demande un accès administrateur à tout dès le premier jour.

Commencez par une mission test payée

Choisissez une tâche réelle et courte (une à deux semaines) avec une définition claire de « terminé », et payez-la. Vous verrez comment le prestataire estime, communique, pose ses questions et livre. Associez-la au plan d'accès décrit dans intégrer un développeur à distance.

Questions fréquentes

Comment évaluer une agence ou un prestataire de développement ?

Vérifiez des réalisations en ligne, appelez un ancien client, demandez comment il déploie et relit le code, confirmez que le dépôt et les comptes seront à vous, et testez-le sur une petite mission payée.

Que doit contenir un contrat de prestation de développement ?

Le périmètre ou le modèle de prix, la cession des droits sur le code, la confidentialité, un contrat de sous-traitance RGPD si des données personnelles sont traitées, des engagements de sécurité, le préavis et les obligations de réversibilité.

À qui doit appartenir le dépôt GitHub ?

À votre entreprise. Créez l'organisation vous-même et invitez le prestataire. Si le code est déjà sur son compte, demandez un transfert du dépôt : l'historique, les issues et les pull requests suivent.

Quels sont les signes d'un mauvais prestataire ?

Code conservé sur son compte, références invérifiables, forfait sur un périmètre flou, aucune mise en production avant la fin, et refus de dire qui fera réellement le travail.

Sources

1. Transferring a repository, GitHub Docs, n.d.
2. Requiring two-factor authentication in your organization, GitHub Docs, n.d.
3. DORA's software delivery performance metrics, DORA, 2026-01
4. 2025 Developer Survey – AI, Stack Overflow, 2025-07
5. SP 800-218, Secure Software Development Framework (SSDF) Version 1.1, NIST, 2022-02
6. What needs to be included in the contract?, Information Commissioner's Office (ICO), n.d.
7. Guide du sous-traitant (RGPD), CNIL, 2017-09
8. Externalisation et sécurité des systèmes d'information : un guide pour maîtriser les risques, ANSSI, 2010-12