« Serveur en France » ne veut rien dire tant qu’on n’a pas dit qui exploite la machine et sous quel droit se trouve l’entreprise qui la possède. Un centre de données à Roubaix appartenant à une société de droit américain n’offre pas les mêmes garanties qu’un centre de données à Roubaix appartenant à une société de droit français. La localisation du fer est le critère le plus visible, et le moins déterminant.
Cet article démonte la question en quatre couches — localisation, nationalité de l’opérateur, sous-traitants, et engagements contractuels — puis donne les critères sur lesquels nous choisissons réellement un hébergement pour un client, latence et exploitation comprises.
Les quatre couches à distinguer
Un même site peut être « hébergé en France » et voir ses données passer sous un droit étranger. Les quatre questions à poser, dans cet ordre :
- Où sont les machines ? La localisation physique du centre de données. C’est le seul point que la plupart des fournisseurs affichent, et le plus simple à vérifier.
- Quelle est la nationalité de l’entreprise qui les exploite ? Une société soumise au droit d’un pays tiers peut être contrainte de communiquer des données qu’elle détient, où qu’elles se trouvent physiquement. C’est le fond du débat sur la souveraineté, et il ne se règle pas avec une carte.
- Qui sont les sous-traitants ? Sauvegarde externalisée, supervision, protection anti-déni de service, service de diffusion de contenu, messagerie transactionnelle. Un hébergement français dont les sauvegardes partent chez un tiers hors Union européenne réintroduit exactement ce qu’on croyait avoir écarté.
- Qu’engage le contrat ? Localisation garantie ou simplement « préférée », délai d’intervention, périmètre des sauvegardes, durée de conservation, conditions de restitution des données en fin de contrat.
Sur les projets où la souveraineté est un critère réel — santé, secteur public, sous-traitance de grands comptes, données sensibles — c’est la deuxième et la troisième couche qui décident, pas la première.
Ce que le RGPD exige, et ce qu’il n’exige pas
Une confusion tenace mérite d’être levée : le RGPD n’oblige pas à héberger en France. Il oblige à protéger les données personnelles, à documenter les traitements et à encadrer les transferts hors de l’Union européenne. Un hébergement dans l’Union est conforme ; un hébergement français n’est pas « plus conforme ».
Ce que l’hébergement en France apporte est d’un autre ordre, et souvent plus concret : un registre des traitements plus simple à tenir, aucun mécanisme de transfert à justifier, un interlocuteur joignable dans votre fuseau et dans votre langue, et une clause de compétence juridictionnelle exploitable en cas de litige. Sur un appel d’offres public, c’est parfois un critère noté.
La qualification SecNumCloud, délivrée par l’ANSSI, va plus loin que la seule localisation : elle porte sur la sécurité de l’exploitation et sur l’immunité au droit extra-européen. Elle a un coût, et elle ne se justifie pas pour un site de présentation. La poser comme exigence sur un projet vitrine est un excellent moyen de tripler la facture sans gagner en sécurité réelle.
La latence : ce que la distance coûte vraiment
Un serveur proche de vos visiteurs réduit le temps d’aller-retour réseau. L’ordre de grandeur est simple : quelques millisecondes à l’intérieur de la France, environ vingt à trente millisecondes vers l’Europe de l’Ouest, cent à cent cinquante vers la côte est américaine, davantage au-delà.
Mais la latence réseau n’est presque jamais le poste dominant sur un site lent. Sur les audits que nous menons, l’ordre des causes est constant : le temps de génération de la page côté serveur, puis le poids des ressources et le nombre de requêtes, puis le blocage du rendu par des scripts tiers, et enfin le réseau. Déplacer un serveur de Francfort à Paris pour gagner dix millisecondes quand la page met huit cents millisecondes à se générer est une optimisation à l’envers.
Deux conséquences pratiques. D’abord, le référencement d’un site ne se gagne pas en changeant de centre de données : il se gagne sur le temps de génération et sur le poids. Ensuite, si votre audience est internationale, un service de diffusion de contenu placé devant un hébergement français résout la distance pour les ressources statiques, et laisse la partie dynamique là où sont vos données.
Mutualisé, serveur dédié virtuel, infogéré : ce qui change
Le débat porte moins sur la puissance que sur la question « qui intervient à trois heures du matin ».
- Mutualisé. Économique, suffisant pour un site de présentation à faible trafic. Vous ne choisissez ni la version des composants, ni les réglages de cache, et vous partagez les ressources avec des voisins dont vous ne savez rien. Diagnostiquer une lenteur y est difficile.
- Serveur dédié virtuel non infogéré. Maîtrise complète, prix bas, et la totalité de la charge d’exploitation à votre compte : mises à jour du système, sauvegardes testées, supervision, correctifs de sécurité. C’est le choix qui coûte le moins cher jusqu’au premier incident.
- Infogéré. Plus cher à la ligne, et le seul où la maintenance du serveur, la restauration d’une sauvegarde et la réponse à un incident sont contractuelles. Sur un site qui porte du chiffre d’affaires, c’est le seul arbitrage défendable.
Sur une boutique, la question se tranche d’elle-même : une journée d’indisponibilité d’un site d’e-commerce coûte davantage que l’année d’écart entre les deux formules.
Les six points à vérifier avant de signer
- La localisation est-elle contractuelle, ou seulement annoncée sur la page commerciale ?
- Les sauvegardes : fréquence, durée de conservation, localisation, et surtout — ont-elles déjà été restaurées pour de vrai ? Une sauvegarde jamais restaurée est une hypothèse, pas une garantie.
- Le délai d’intervention engagé, en heures ouvrées et hors heures ouvrées, avec ce qui se passe quand il n’est pas tenu.
- La journalisation : durée de conservation des traces d’accès et de modification. C’est ce qui permet de reconstituer un incident, et ce que demandent désormais les questionnaires de sécurité des grands comptes.
- La réversibilité : sous quel format et dans quel délai récupérez-vous vos données et votre configuration si vous partez ?
- Les sous-traitants listés, avec leur pays. La réponse à cette question est le meilleur révélateur du sérieux d’un fournisseur.
En résumé
La localisation des machines est le critère le plus affiché et le moins décisif : la nationalité de l’exploitant, la liste de ses sous-traitants et le contenu du contrat pèsent davantage. Le RGPD n’impose pas la France, il impose de documenter ; l’hébergement français simplifie cette documentation et sert parfois en appel d’offres. La latence réseau arrive en dernier dans les causes de lenteur, derrière le temps de génération et le poids des pages. Et la vraie question d’un hébergement n’est pas sa puissance : c’est de savoir qui répond, en combien de temps, et si la sauvegarde a déjà été restaurée une fois.
