Votre hébergement web devrait être choisi par votre direction, pas uniquement par votre webmaster.
Un hébergement professionnel ne se résume plus à quelques gigaoctets de stockage et à un serveur suffisamment puissant pour afficher votre site. Disponibilité, sauvegardes, cybersécurité, souveraineté, performances, continuité d'activité et responsabilités contractuelles en font désormais une véritable décision de gouvernance.
Dans beaucoup d'entreprises, le choix de l'hébergement web reste encore une décision confiée presque exclusivement au développeur, au webmaster ou à l'agence web.
La discussion porte alors sur la mémoire disponible, les performances du serveur, PHP, MySQL, le CDN ou le prix annuel.
Ces questions sont importantes. Mais elles ne couvrent qu'une partie du problème.
Lorsqu'un site génère des demandes commerciales, héberge des comptes clients, centralise des données personnelles ou constitue un canal important de chiffre d'affaires, une panne d'hébergement devient un incident d'entreprise.
Le choix de l'infrastructure mérite donc de remonter jusqu'aux fonctions qui portent le risque : direction, DSI, RSSI, juridique, DPO et métiers concernés.
Votre hébergeur ne stocke pas seulement votre site. Il héberge une partie de votre capacité à fonctionner.
Pour un site institutionnel très simple, quelques heures d'indisponibilité restent désagréables mais peuvent parfois avoir un impact limité.
La situation change lorsqu'un site permet :
- de générer des prospects ;
- de vendre en ligne ;
- de prendre des rendez-vous ;
- d'accéder à un espace client ;
- de récupérer des documents ;
- de déclencher des automatisations ;
- de gérer des candidatures ;
- de communiquer avec les clients.
Dans ces situations, l'hébergement devient une composante directe du processus commercial ou opérationnel.
Comparer deux hébergeurs uniquement sur le prix mensuel n'a presque aucun sens.
Une offre à 20 € par mois et une infrastructure à plusieurs centaines d'euros par mois ne vendent pas forcément la même chose.
Pour comparer intelligemment, il faut regarder le service dans son ensemble.
Infrastructure
Ressources, isolation, réseau, stockage et capacité à absorber les pics.
Exploitation
Mises à jour, supervision, incidents, logs et maintenance.
Protection
Sauvegardes, sécurité, accès, filtrage et restauration.
Support
Qui intervient réellement lorsqu'un service tombe en panne ?
Engagements
SLA, délais de réponse et conditions de rétablissement.
Conformité
Données, sous-traitants, localisation et responsabilités contractuelles.
La cybersécurité remonte désormais explicitement au niveau de la direction.
En France, la directive NIS2 élargit fortement le périmètre des organisations concernées par les exigences de cybersécurité.
Les informations publiées par l'ANSSI indiquent que plusieurs milliers d'entités, réparties dans 18 secteurs d'activité, sont concernées.
Les exigences présentées par l'ANSSI vont plus loin qu'une simple liste de réglages techniques.
Elles comportent notamment des dispositions en matière de gouvernance, de rôles et responsabilités, de maîtrise des prestataires et de cartographie de l'écosystème numérique.
Même lorsqu'une entreprise n'entre pas directement dans le périmètre de NIS2, cette évolution montre la direction générale : la cybersécurité n'est plus considérée comme une affaire réservée aux techniciens.
Les 10 questions qu'une entreprise devrait poser avant de choisir son hébergement
Une véritable décision d'infrastructure doit répondre à beaucoup plus de questions que : « combien coûte le serveur ? »
Quel niveau d'indisponibilité pouvons-nous réellement accepter ?
Quelques heures de panne sont-elles simplement gênantes ou provoquent-elles immédiatement des pertes commerciales, des appels clients ou l'arrêt d'un processus métier ?
Où sont réellement stockées nos données ?
« Hébergé en Europe » ne suffit pas toujours à décrire précisément la chaîne technique. Il faut comprendre la localisation des données, des sauvegardes et éventuellement des sous-traitants.
Comment nos données sont-elles sauvegardées ?
Le mot « sauvegarde » est souvent utilisé comme s'il garantissait automatiquement la récupération.
Pourtant, une sauvegarde n'est utile que si elle est disponible, suffisamment récente, correctement isolée et réellement restaurable.
Combien de temps faudrait-il pour redémarrer après un incident majeur ?
Un serveur peut être détruit, compromis ou rendu inutilisable. Il faut alors distinguer la sauvegarde du véritable processus de reprise.
Qui est responsable de la sécurité du système ?
L'hébergeur sécurise-t-il uniquement son infrastructure ? Qui maintient WordPress ? Qui installe les correctifs ? Qui surveille les logs ? Qui gère les comptes administrateurs ?
Notre infrastructure est-elle réellement supervisée ?
Savoir qu'un site est indisponible uniquement lorsqu'un client téléphone n'est pas une stratégie de supervision.
L'hébergement protège-t-il les performances du site ?
Une bonne infrastructure ne réparera jamais un site mal développé. Mais un serveur sous-dimensionné peut dégrader une application pourtant correctement optimisée.
Quel support obtenons-nous réellement en cas d'urgence ?
Une assistance accessible uniquement par ticket pendant les heures ouvrées n'est pas équivalente à une astreinte technique.
Que se passe-t-il si nous voulons changer de prestataire ?
Une infrastructure professionnelle doit également préparer sa propre réversibilité.
Qui porte contractuellement le risque ?
Lorsque plusieurs prestataires interviennent, chacun peut considérer que l'incident se situe dans le périmètre d'un autre.
C'est souvent précisément au moment où le système tombe en panne que cette ambiguïté devient visible.
« Nous avons des sauvegardes » n'est pas une réponse suffisante.
Le RGPD impose notamment, selon les risques, de disposer de moyens permettant de rétablir la disponibilité des données personnelles et leur accès dans des délais appropriés après un incident physique ou technique.
Une politique de sauvegarde professionnelle doit donc répondre à quatre questions simples :
Combien perdons-nous ?
Si nous restaurons, combien d'heures ou de données peuvent disparaître ?
Combien de temps ?
Combien d'heures faut-il réellement pour remettre le service en production ?
Où sont les copies ?
Une sauvegarde située sur la même infrastructure peut partager certains risques.
Sont-elles testées ?
Une sauvegarde jamais restaurée reste une promesse non vérifiée.
Héberger un site professionnel, c'est aussi gérer une chaîne de responsabilités.
La CNIL rappelle que lorsqu'une organisation confie des données à un sous-traitant, celui-ci doit fournir des garanties suffisantes en matière de sécurité.
La CNIL recommande notamment d'encadrer contractuellement la sous-traitance, de connaître les mesures de sécurité utilisées et de prévoir des moyens permettant d'en vérifier l'effectivité.
Elle attire également l'attention sur la localisation effective des données lors du recours à des services cloud.
Externaliser l'infrastructure ne dispense pas l'entreprise de comprendre qui traite ses données, quelles mesures de sécurité existent et comment les responsabilités sont réparties.
« Serveur en France » et « souveraineté numérique » ne sont pas toujours synonymes.
La souveraineté est souvent réduite à la localisation physique du datacenter.
Or plusieurs éléments doivent être étudiés :
- localisation du serveur principal ;
- localisation des sauvegardes ;
- nationalité et juridiction des prestataires ;
- chaîne de sous-traitance ;
- accès administrateurs ;
- transferts éventuels de données ;
- niveau de qualification ou certification nécessaire.
Pour les environnements ayant des exigences importantes de sécurité et de confiance, l'ANSSI a notamment développé la qualification SecNumCloud.
L'objectif du référentiel est d'identifier des prestataires cloud offrant un niveau élevé de sécurité et de confiance.
99 %, 99,9 % ou 99,99 % : derrière les décimales se cachent des heures d'indisponibilité.
Les SLA sont souvent regardés comme une donnée marketing.
Mais un taux de disponibilité doit être rapproché du coût réel d'une panne.
Mais le chiffre seul ne suffit pas.
Il faut également comprendre ce que le contrat considère réellement comme une indisponibilité, la manière dont elle est mesurée et ce que le prestataire s'engage à faire lorsqu'elle survient.
L'infrastructure influence aussi l'expérience commerciale.
Google recommande aux propriétaires de sites de viser de bonnes performances Core Web Vitals afin d'offrir une bonne expérience utilisateur.
Les seuils de référence incluent notamment un Largest Contentful Paint dans les 2,5 premières secondes, un Interaction to Next Paint inférieur à 200 ms et un CLS inférieur à 0,1.
Le code, les médias et JavaScript jouent naturellement un rôle majeur.
Mais les performances serveur, le cache, la base de données, le CDN et l'architecture de l'hébergement contribuent également au résultat final.
Le scénario important n'est pas « tout fonctionne ». C'est « que faisons-nous lorsque tout ne fonctionne plus ? »
Une infrastructure professionnelle ne se juge pas uniquement dans des conditions normales.
Elle doit aussi être conçue pour les incidents :
- panne matérielle ;
- attaque informatique ;
- erreur humaine ;
- mise à jour défaillante ;
- corruption d'une base de données ;
- expiration d'un certificat ;
- incident réseau ;
- compromission d'un compte administrateur ;
- défaillance d'un prestataire tiers.
La vraie question est donc : quelle organisation entre en action lorsqu'un de ces scénarios survient ?
Ce qu'une entreprise devrait réellement acheter
Pour un site stratégique, l'offre ne devrait pas être décrite uniquement par son processeur, sa mémoire et son espace disque.
| Composante | Question à poser |
|---|---|
| Hébergement | Quelle architecture est mise à disposition du site ? |
| Maintenance | Qui maintient le CMS, les extensions et la stack technique ? |
| Sauvegardes | À quelle fréquence et pendant combien de temps ? |
| Restauration | Qui restaure et dans quel délai ? |
| Supervision | Quels incidents sont détectés automatiquement ? |
| Sécurité | Quelles mesures sont mises en œuvre et par qui ? |
| Support | Quel niveau d'assistance est disponible en cas d'urgence ? |
| SLA | Quels engagements sont réellement contractuels ? |
| Réversibilité | Comment récupérer l'intégralité du système et des données ? |
L'hébergement le moins cher peut devenir extraordinairement coûteux le jour où quelque chose se passe mal.
Imaginons une plateforme à 30 € par mois.
Sur le papier, l'économie face à une infrastructure managée semble évidente.
Mais que se passe-t-il lorsqu'un vendredi soir :
Le site tombe
Les campagnes continuent pourtant à envoyer du trafic.
Personne n'est alerté
L'incident est découvert plusieurs heures plus tard.
Le backup échoue
La dernière copie réellement exploitable date de plusieurs jours.
Le coût mensuel du serveur devient alors presque insignifiant face au coût de l'incident.
Hébergement, maintenance et sécurité devraient être pensés comme un seul service.
Pour Instants Web Agency, une infrastructure professionnelle ne devrait pas se limiter à louer un espace sur un serveur.
Pour les sites stratégiques, nous raisonnons plutôt en ensemble cohérent :
- hébergement adapté au trafic et aux enjeux ;
- maintenance du CMS et des composants ;
- sauvegardes régulières ;
- procédures de restauration ;
- supervision ;
- mises à jour de sécurité ;
- suivi des performances ;
- support technique ;
- documentation ;
- réversibilité.
Le serveur n'est finalement qu'une petite partie du service.
Références officielles pour approfondir le sujet
Hébergement web professionnel, sécurité et disponibilité
Quelle différence entre hébergement web classique et hébergement professionnel ?
Pourquoi la direction devrait-elle s'intéresser à l'hébergement web ?
Qu'est-ce qu'un SLA d'hébergement ?
Combien de sauvegardes faut-il conserver ?
Qu'est-ce que SecNumCloud ?
Un hébergement en France garantit-il la conformité RGPD ?
Pourquoi tester les restaurations de sauvegarde ?
Votre site est-il simplement hébergé… ou réellement protégé et supervisé ?
Disponibilité, sauvegardes, restauration, cybersécurité, performances, supervision, maintenance, SLA et réversibilité : nous analysons votre infrastructure actuelle pour identifier les risques techniques qui pourraient devenir demain des risques commerciaux.
Demander un audit d'hébergement →