Hébergeur de site internet : choisir et changer sans casse

Un hébergeur de site internet loue l’espace serveur où sont stockés les pages, les images, la base de données et souvent la messagerie d’une entreprise, et les rend accessibles en continu. Pour une TPE, le bon choix se joue moins sur la puissance que sur les sauvegardes, le support, la localisation des données et la liberté de partir.

Ce que fait vraiment un hébergeur de site internet

Un site n’existe pas dans le vide. Ses fichiers tournent sur un ordinateur allumé en permanence, installé dans un centre de données relié à internet. Le rôle de l’hébergeur de site consiste à exploiter ces machines et à en louer une part à chaque client : espace disque, mémoire, puissance de calcul.

Un contrat d’hébergement couvre en général six services :

• le stockage des fichiers du site et de sa base de données ;
• la disponibilité, soit un serveur qui répond jour et nuit ;
• des sauvegardes, de fréquence et de durée très variables d’une offre à l’autre ;
• le certificat de sécurité, qui chiffre les échanges avec le visiteur ;
• la messagerie au nom de domaine, incluse ou vendue à part ;
• un espace d’administration pour piloter l’ensemble.

Trois rôles se confondent souvent : le bureau d’enregistrement gère le nom de domaine, l’hébergeur fait tourner le site, le prestataire web l’a construit. Une même société peut cumuler les deux premiers, avec deux contrats et deux jeux d’accès. Le choix de l’adresse elle-même est traité dans le guide pour bien choisir un nom de domaine.

Retrouver l’hébergeur actuel d’un site en ligne

Beaucoup de dirigeants ont hérité d’un site sans savoir où il tourne. Pour une adresse en .fr, la recherche Whois de l’Afnic affiche le bureau d’enregistrement et les serveurs de noms (DNS), qui désignent souvent l’hébergeur ; les factures récurrentes complètent l’enquête. Les mentions légales du site doivent aussi nommer l’hébergeur (dénomination, adresse, téléphone), en application de l’article 6 de la loi pour la confiance dans l’économie numérique du 21 juin 2004, comme le rappelle le portail Entreprendre de Service Public.

Mutualisé, VPS, dédié : cinq formules lues par l’usage

Les offres portent des noms commerciaux variés, mais elles se rangent dans cinq familles. Le point de départ n’est pas la fiche technique : c’est l’usage du site et la personne qui s’en occupera.

Le mutualisé, pour le site vitrine

Dans un hébergement mutualisé, de nombreux sites partagent le même serveur. Le prestataire gère le système et la sécurité de base, le client gère son site. C’est la formule naturelle du site vitrine d’un commerçant ou d’un artisan, d’un blog, d’une petite boutique au trafic modeste. Sa limite : un voisin gourmand ou une pointe de visites ralentit l’ensemble.

Le VPS, quand le site prend du poids

Avec un serveur privé virtuel (VPS), une machine physique est découpée en serveurs isolés aux ressources réservées. Plus de stabilité et de liberté, mais aussi plus de responsabilités : sauf option d’infogérance, correctifs de sécurité et pare-feu reviennent au client. Pour une TPE sans technicien, un VPS non géré ressemble davantage à un piège qu’à un progrès.

Le serveur dédié, rarement justifié

Une machine entière pour un seul client : puissance maximale, coût et administration à l’avenant. Elle se justifie pour une application métier lourde ou un très gros catalogue, rarement pour le site d’une entreprise locale.

L’hébergement géré d’un CMS

Certaines offres sont taillées pour un seul système de gestion de contenu (CMS), le plus souvent WordPress : mises à jour appliquées par le prestataire, cache configuré, sauvegardes automatiques, environnement de test. Cette formule d’hébergement géré coûte davantage qu’un mutualisé, mais elle retire au dirigeant une bonne part de la maintenance technique, à condition de lire ce qui est inclus.

Les plateformes tout compris

Avec une plateforme tout compris, éditeur de pages, hébergement, certificat et souvent nom de domaine tiennent dans un abonnement unique. Rien à installer ni à mettre à jour : le confort est réel pour un commerçant qui publie lui-même. La contrepartie tient à la dépendance, car le site ne se déménage pas tel quel et seuls les contenus s’exportent, un point à peser avec le reste du paysage des offres de création de site dans le 95.

Les offres gratuites servent à tester une idée, pas à porter une activité commerciale. Le prix d’une formule payante, lui, se compare sur toute la durée d’engagement, renouvellement compris.

L’hébergeur, sous-traitant de l’entreprise au sens du RGPD

Dès que le site recueille des données personnelles (formulaire de contact, compte client, prise de rendez-vous), l’hébergeur qui les stocke agit pour le compte de l’entreprise. Le RGPD en fait alors un sous-traitant, et son article 28 impose un contrat écrit, souvent un accord de traitement des données annexé aux conditions générales.

Dans la fiche sur la sous-traitance de son Guide de la sécurité des données personnelles, mise à jour en mars 2024, la CNIL liste ce que ce contrat doit régler, dont trois points vérifiables avant la souscription :

• la confidentialité des données confiées et le partage des responsabilités ;
• la gestion des incidents et leur notification au client ;
• la restitution et la destruction des données en fin de contrat.

La même fiche déconseille de recourir à un service en ligne sans connaître la localisation des données. Selon la CNIL, un transfert hors de l’Union européenne et de l’Espace économique européen reste possible à condition d’assurer un niveau de protection suffisant et approprié : décision d’adéquation de la Commission européenne, clauses contractuelles types ou autres outils encadrés. Un hébergeur aux centres de données situés dans l’Union simplifie ce travail.

Sauvegardes : les questions à poser avant de signer

Une sauvegarde annoncée sur une page commerciale ne dit rien de son utilité réelle. La CNIL, dans sa fiche consacrée aux sauvegardes, recommande des copies fréquentes, au moins une copie sur un site géographiquement distinct, au moins une copie isolée hors ligne et des tests réguliers de restauration. L’ANSSI, dans ses « Fondamentaux : sauvegarde des systèmes d’information » d’octobre 2023, juge la sauvegarde indispensable pour répondre efficacement aux incidents de sécurité.

Face à une offre, ces principes deviennent cinq questions :

1. À quelle fréquence le site et sa base de données sont-ils copiés ?
2. Combien de temps chaque copie est-elle conservée ?
3. Les copies sont-elles stockées dans un autre centre de données que celui du site ?
4. Le client peut-il restaurer lui-même une version, et à quel coût ?
5. Les copies se téléchargent-elles ?

La dernière question reste la plus oubliée : une copie qui n’existe que chez l’hébergeur disparaît avec le compte en cas de litige ou de défaillance. La parade : des sauvegardes téléchargeables, rapatriées à intervalles réguliers. La routine des copies externalisées et des tests relève du suivi technique après la mise en ligne.

Support, sécurité, vitesse : lire une offre au-delà du prix

Les pages d’accueil des hébergeurs se ressemblent toutes. Les différences se lisent dans les conditions et les détails techniques.

Un support jugé avant l’incident

Un samedi matin, site en panne, la qualité du support compte plus que la taille du disque. Points à vérifier : canaux proposés, horaires réels, langue, page publique d’état des services. Poser une question technique avant de signer donne une idée assez fidèle des délais de réponse.

La sécurité de base, sans option payante

Certificat gratuit renouvelé automatiquement, versions récentes de PHP, isolation entre les comptes, blocage des connexions répétées, double authentification sur l’espace client : ce socle est attendu aujourd’hui. Le Guide d’hygiène informatique de l’ANSSI et ses 42 mesures offrent une bonne grille de lecture. Un serveur resté sur une version de PHP abandonnée ne reçoit plus de correctifs, signal décrit dans l’article sur le bon moment pour une refonte.

Vitesse et disponibilité écrites au contrat

Un serveur proche des visiteurs répond plus vite : pour une clientèle du Val-d’Oise, des centres de données en France ou dans un pays voisin ont du sens. Côté disponibilité, seule une promesse écrite engage le prestataire : un engagement de disponibilité chiffré dans le contrat, avec la compensation prévue en cas de manquement. Un pourcentage affiché en page d’accueil sans contrepartie contractuelle n’engage personne.

Changer d’hébergeur sans coupure, étape par étape

Un déménagement réussi passe inaperçu des visiteurs. Pour un site qui doit changer d’hébergeur sans modifier ses adresses, Google Search Central décrit quatre phases : préparation, lancement, surveillance, arrêt de l’ancien hébergement. Adaptée à une petite structure, la séquence tient en huit étapes :

1. Dresser l’inventaire : site, base de données, boîtes de messagerie, sous-domaines.
2. Ouvrir le compte chez le nouveau prestataire, au nom de l’entreprise.
3. Abaisser la durée de vie (TTL) des enregistrements DNS au moins une semaine avant la bascule, comme le recommande Google.
4. Copier fichiers et base, puis tester la copie sur une adresse temporaire fermée à l’indexation : pages, formulaires, envois de courriels.
5. Créer les boîtes de messagerie chez le nouveau prestataire et planifier le transfert des messages.
6. Basculer les DNS à une heure creuse, puis retirer les blocages de test.
7. Surveiller pendant plusieurs jours les journaux des deux serveurs et la couverture de l’index dans la Search Console.
8. Résilier l’ancien hébergement quand son trafic, selon la formule de Google, est tombé à zéro.

La messagerie reste le maillon fragile : tant que les enregistrements MX pointent vers l’ancien serveur, les courriels y arrivent pendant que les boîtes neuves restent vides. Si le nom de domaine change aussi de bureau d’enregistrement, l’Afnic conseille de prévoir plusieurs jours de délai de propagation.

Côté référencement, Google signale une baisse temporaire de l’exploration après le lancement, puis une remontée progressive. Une migration qui modifie aussi les adresses des pages devient une refonte, avec son plan de redirections.

Ce que l’entreprise garde entre ses mains

Le choix d’un hébergeur web se défait facilement quand les clés restent chez l’entreprise. Quatre précautions valent pour toutes les formules :

• le compte d’hébergement ouvert au nom de l’entreprise, avec une adresse de courriel qu’elle contrôle, le prestataire recevant un accès délégué ;
• le nom de domaine à son nom, coordonnées à jour : l’Afnic rappelle qu’une adresse électronique invalide bloque les notifications importantes, et qu’un transfert exige le code AUTH_INFO, que l’ancien bureau d’enregistrement doit fournir ;
• une copie récente du site et de sa base, conservée hors de chez l’hébergeur ;
• une fiche d’accès à jour : identifiants dans un gestionnaire de mots de passe, contrats, dates de renouvellement.

Ces points se règlent à la création du site, pas au moment du conflit, et figurent parmi les critères de choix d’un prestataire web.

Prochaine étape : ouvrir le contrat d’hébergement actuel et répondre par écrit à trois questions : à quel nom le compte est-il ouvert, quand une restauration a-t-elle été testée pour la dernière fois, qui détient le code de transfert du nom de domaine ? Une réponse floue justifie de remettre les choses en ordre avant de comparer d’autres offres.