Choisir l’hébergement d’un site internet semble souvent secondaire. On compare un prix mensuel, un espace disque, parfois un nom de domaine inclus, puis on décide. Pour une petite entreprise, ce choix influence pourtant des sujets très concrets : le site reste-t-il disponible quand un prospect cherche vos horaires ? Peut-on restaurer une page supprimée ? Qui intervient en cas de panne ? Que se passe-t-il si vous changez d’agence ou de prestataire ?
Le bon hébergement n’est pas forcément le plus puissant. C’est celui qui correspond au rôle du site, au niveau de risque, aux compétences disponibles et aux responsabilités acceptées par chaque partie. Un site vitrine de TPE, un site de réservation, une boutique en ligne et un extranet client ne demandent pas les mêmes garanties.
Avant de choisir un hébergement de site internet, posez donc les questions qui révèlent la réalité du service : disponibilité, sauvegardes, sécurité, localisation, support, réversibilité et coûts de sortie.
Commencer par le rôle réel du site
Un hébergement se choisit d’abord selon ce que le site doit faire. Un site vitrine qui présente une activité locale n’a pas les mêmes enjeux qu’un site e-commerce ou qu’un portail qui stocke des documents clients.
Classez votre site dans l’un de ces cas :
| Type de site | Risque principal | Besoin prioritaire |
|---|---|---|
| Site vitrine simple | perte de crédibilité, demandes manquées | disponibilité correcte, sauvegardes, support clair |
| Site avec formulaires | perte de demandes, données personnelles | sécurité, suivi des envois, confidentialité |
| Site de réservation | activité bloquée en cas de panne | disponibilité, alertes, reprise rapide |
| Boutique en ligne | chiffre d’affaires interrompu | performance, sécurité paiement, restauration testée |
| Espace client | données sensibles, accès privés | contrôle des accès, hébergement adapté, journalisation |
Cette première étape évite deux erreurs. La première consiste à sous-dimensionner un site critique parce que l’offre d’appel paraît suffisante. La seconde consiste à payer une infrastructure complexe pour un site qui a surtout besoin d’être simple, rapide et maintenable.
Si vous préparez une création ou une refonte, intégrez cette décision dès le brief. Notre ressource sur le brief de site internet exploitable aide à cadrer objectifs, contenus, contraintes et indicateurs avant de parler technique.
Vérifier la disponibilité attendue
La disponibilité indique si le site reste accessible. Pour une TPE, le sujet ne doit pas être abordé uniquement avec un pourcentage commercial. Demandez plutôt ce qui se passe concrètement en cas d’incident.
Questions utiles :
- quel niveau de disponibilité est annoncé ?
- l’engagement est-il contractuel ou seulement indicatif ?
- comment les incidents sont-ils signalés ?
- existe-t-il une page de statut publique ?
- qui surveille le site en dehors des heures ouvrées ?
- quel délai de rétablissement est prévu ?
- que couvre réellement le support en cas de panne ?
Un site peut être techniquement hébergé, mais indisponible pour d’autres raisons : nom de domaine expiré, certificat HTTPS non renouvelé, erreur de configuration DNS, extension défaillante, quota dépassé ou mise à jour cassée. Demandez donc aussi qui surveille ces éléments.
Pour un site vitrine, il n’est pas toujours nécessaire de viser des garanties de très haut niveau. En revanche, il faut connaître le risque accepté. Si une panne de quelques heures ferait perdre des réservations, des commandes ou des demandes importantes, la question de l’hébergement devient une décision commerciale, pas seulement technique.
Demander comment les sauvegardes fonctionnent
Une sauvegarde n’a de valeur que si elle peut être restaurée. Beaucoup d’entreprises pensent être protégées parce qu’un prestataire annonce des backups automatiques. Il faut aller plus loin.
Demandez :
- ce qui est sauvegardé : fichiers, base de données, médias, configuration ;
- à quelle fréquence les sauvegardes sont créées ;
- pendant combien de temps elles sont conservées ;
- où elles sont stockées ;
- qui peut déclencher une restauration ;
- combien de temps une restauration prend ;
- si des tests de restauration sont réalisés ;
- si une copie indépendante existe en cas de problème chez le prestataire.
La CNIL rappelle, dans ses règles essentielles de sécurité, l’intérêt d’effectuer des sauvegardes régulières et de prévoir une copie déconnectée du réseau selon la logique 3-2-1. Pour un site professionnel, l’idée à retenir est simple : ne dépendez pas d’une seule copie, au même endroit, contrôlée par le même compte.
Un exemple concret : si votre site WordPress est compromis et que les sauvegardes sont stockées dans le même espace administrateur, l’attaquant peut parfois les supprimer aussi. Une sauvegarde isolée, ou au moins indépendante du site principal, réduit ce risque.
Clarifier les responsabilités de sécurité
L’hébergement ne règle pas toute la sécurité. Il faut distinguer ce qui relève de l’hébergeur, de l’agence, du CMS, des extensions et de l’entreprise.
L’ANSSI, dans son guide sur l’externalisation et la sécurité des systèmes d’information, insiste sur les risques liés à la perte de maîtrise, aux interventions à distance et à l’hébergement mutualisé. Même pour un petit site, ces sujets se traduisent par des questions pratiques :
- qui possède les accès administrateur ?
- les accès sont-ils nominatifs ou partagés ?
- la double authentification est-elle activée ?
- qui applique les mises à jour ?
- qui surveille les failles connues ?
- les environnements de test et de production sont-ils séparés ?
- les logs utiles sont-ils accessibles en cas d’incident ?
- que se passe-t-il si l’agence ou le freelance n’est plus disponible ?
Pour un site construit avec un CMS, demandez explicitement qui maintient le thème, les extensions, les formulaires et les modules de paiement. Un hébergeur peut garantir l’infrastructure sans corriger une extension vulnérable. Une agence peut maintenir le site sans maîtriser le réseau de l’hébergeur. Les responsabilités doivent être écrites.
Regarder la localisation et les données personnelles
La localisation de l’hébergement compte surtout lorsque le site collecte ou traite des données personnelles : formulaire de contact, compte client, réservation, newsletter, espace privé, statistiques ou paiement.
La question ne se limite pas à « l’hébergeur est-il français ? ». Il faut vérifier où les données sont traitées, quels sous-traitants peuvent y accéder et si des transferts hors Union européenne ou Espace économique européen existent. La CNIL explique que les transferts de données hors de l’UE doivent assurer un niveau de protection suffisant et être encadrés par des outils juridiques adaptés.
Pour une petite entreprise, les vérifications prioritaires sont :
- pays d’hébergement principal ;
- localisation des sauvegardes ;
- sous-traitants techniques ;
- outil d’e-mail transactionnel utilisé par les formulaires ;
- outil de statistiques ;
- prestataire de paiement ;
- durée de conservation des données ;
- procédure de suppression ou d’export.
Il ne s’agit pas de transformer le choix d’hébergement en audit juridique complet. Mais si votre site collecte des demandes clients, vous devez pouvoir expliquer où vont les données et qui intervient dans leur traitement. La page de formulaire de contact détaille aussi les informations à demander sans créer de risque ou de friction inutile.
Évaluer la performance sans se limiter au serveur
Un hébergement rapide aide, mais il ne compensera pas toujours une page trop lourde. Les images non optimisées, scripts publicitaires, polices nombreuses, extensions inutiles ou requêtes externes peuvent ralentir un site même sur une bonne infrastructure.
Avant de payer plus cher, identifiez la cause réelle :
| Symptôme | Cause possible | Action prioritaire |
|---|---|---|
| page lente dès le premier affichage | serveur lent, cache absent, page dynamique lourde | mesurer le temps de réponse et activer le cache |
| page lourde sur mobile | images trop grandes, scripts nombreux | optimiser médias et ressources |
| lenteur aléatoire | hébergement mutualisé saturé, base de données lente | surveiller les pics et demander les limites |
| formulaire lent | service e-mail ou anti-spam externe | tester l’envoi et les erreurs |
| administration lente | CMS chargé, extensions, base non entretenue | nettoyer et mettre à jour |
Demandez quelles options sont incluses : cache, CDN, compression, HTTP/2 ou HTTP/3, environnement de préproduction, logs, limites CPU ou mémoire. Puis contrôlez les pages importantes, pas seulement la page d’accueil. Les articles, pages services, réalisations et formulaires peuvent avoir des comportements différents.
Notre ressource sur les images d’un site professionnel montre par exemple comment une optimisation éditoriale et technique peut réduire le poids d’une page sans changer d’hébergeur.
Tester le support avant d’en dépendre
Le support est souvent plus important que la fiche technique. En cas d’incident, vous avez besoin de savoir qui répond, dans quel délai et avec quel niveau de compétence.
Avant de choisir, posez une demande simple au support :
- expliquez votre type de site ;
- demandez comment sont gérées les sauvegardes ;
- demandez comment restaurer une version précédente ;
- demandez qui intervient si le site est inaccessible ;
- vérifiez la clarté de la réponse.
Une réponse rapide mais vague n’est pas suffisante. Une bonne réponse doit préciser les limites : ce qui est inclus, ce qui relève d’une option, ce qui dépend du développeur ou de l’agence, ce qui est facturé à part.
Pour une TPE sans compétence technique interne, un hébergement bon marché avec support minimal peut coûter cher le jour où le site bloque. À l’inverse, un support clair, même avec une offre simple, peut faire gagner beaucoup de temps.
Prévoir la réversibilité dès le départ
La réversibilité est la capacité à quitter un prestataire proprement. Elle paraît lointaine au moment de signer, mais elle devient critique lors d’une refonte, d’un changement d’agence, d’une fermeture de compte ou d’un désaccord commercial.
Demandez dès le départ :
- qui possède le nom de domaine ;
- qui possède le compte d’hébergement ;
- pouvez-vous exporter les fichiers ?
- pouvez-vous exporter la base de données ?
- pouvez-vous récupérer les médias originaux ?
- les sauvegardes sont-elles téléchargeables ?
- le site dépend-il d’un constructeur propriétaire ?
- quelles données sont perdues si vous partez ?
- quels frais de sortie ou délais s’appliquent ?
L’ANSSI publie aussi des recommandations sur l’hébergement cloud des systèmes d’information sensibles, en reliant le choix d’offre à la sensibilité des données et au niveau de menace. Même si un site de TPE n’entre pas dans ces catégories sensibles, le principe reste utile : plus le site est important pour l’activité, plus il faut anticiper la maîtrise, les dépendances et la sortie.
Un site vitrine développé sur mesure, versionné et documenté sera généralement plus facile à déplacer qu’un site entièrement enfermé dans une plateforme propriétaire. Cela ne signifie pas qu’il faut refuser toutes les plateformes fermées, mais il faut connaître la conséquence avant de choisir.
Comparer le coût complet
Le prix de l’hébergement ne se résume pas à l’abonnement affiché. Comparez le coût complet sur une année, puis sur la durée probable du site.
Incluez :
- hébergement ;
- nom de domaine ;
- e-mails associés ;
- certificat HTTPS si non inclus ;
- sauvegardes avancées ;
- restauration payante ;
- support premium ;
- environnement de test ;
- CDN ou options de performance ;
- maintenance CMS ;
- intervention en cas d’incident ;
- frais de migration ou de sortie.
Le moins cher peut convenir pour un site simple, bien maintenu, avec peu de données et un propriétaire à l’aise techniquement. Il devient fragile si personne ne sait restaurer le site, renouveler le domaine, sécuriser les accès ou diagnostiquer une panne.
Pour décider, reliez le coût au rôle commercial du site. Si votre site génère des demandes qualifiées, suivez aussi les indicateurs décrits dans notre article sur l’efficacité d’un site vitrine. Un hébergement fiable se justifie plus facilement lorsqu’il protège un canal d’acquisition réel.
Prochaine étape
Avant de signer, demandez au prestataire une réponse écrite à sept points : disponibilité, sauvegardes, restauration, sécurité, localisation des données, support et réversibilité. Si la réponse reste floue, le risque n’est pas forcément bloquant, mais il doit être assumé.
Pour un site vitrine professionnel, une bonne base consiste à garder le nom de domaine au nom de l’entreprise, documenter les accès, activer la double authentification, prévoir des sauvegardes restaurables et savoir qui appeler en cas d’incident. Ce socle protège mieux votre activité qu’une fiche technique impressionnante mais impossible à comprendre le jour où le site ne répond plus.