Hébergement web : mutualisé, VPS ou cloud, comment choisir
Un hébergement web mutualisé, un serveur privé virtuel (VPS) ou une offre cloud ne se distinguent pas d’abord par leur puissance, mais par la répartition des responsabilités : plus vous montez en contrôle, plus la sécurité, les mises à jour et les sauvegardes vous reviennent. Le bon choix part donc de ce que votre équipe sait administrer, puis de l’endroit où vos données doivent rester.
Trois familles, trois partages des tâches
Héberger un site, c’est louer de la capacité de calcul, de la mémoire, du stockage et une connexion à internet dans un centre de données. Ce qui varie d’une formule à l’autre, c’est la part de la machine qui vous est réservée et la part du travail d’administration que vous assumez.
| Mutualisé | VPS | Cloud (instances, plateformes) | |
|---|---|---|---|
| Ressources | Partagées entre de nombreux sites | Réservées sur une machine virtuelle | Allouées à la demande, ajustables |
| Système et logiciels serveur | Gérés par l’hébergeur | Gérés par vous (sauf offre « infogérée ») | Selon le service : par vous ou par le fournisseur |
| Accès administrateur | Non | Oui | Oui, ou aucun accès système pour les plateformes |
| Facturation | Forfait mensuel ou annuel | Forfait selon la taille de la machine | Souvent à l’usage, plus difficile à prévoir |
| Compétences requises | Faibles | Administration Linux, sécurité | Variables, parfois élevées |
À ces trois familles s’ajoutent les créateurs de sites tout-en-un, où l’hébergement est inclus dans un abonnement et totalement invisible. Ils relèvent de la même logique que les outils sans code : simplicité immédiate, dépendance à la plateforme. Notre article sur les limites des outils no-code détaille ce compromis.
L’hébergement mutualisé : simple, mais partagé
Sur une offre mutualisée, votre site cohabite avec des dizaines ou des centaines d’autres sur le même serveur physique. L’hébergeur installe et met à jour le système d’exploitation, le serveur web, le langage (PHP le plus souvent) et la base de données. Vous déposez vos fichiers, vous gérez votre application, généralement un CMS comme WordPress, et c’est tout.
Les limites tiennent au partage. Les ressources de chaque compte sont plafonnées (processeur, mémoire, nombre de processus simultanés), et un voisin trop gourmand peut ralentir l’ensemble. Vous ne pouvez pas installer de logiciel particulier sur le serveur ni régler finement sa configuration. Pour un site vitrine, le blog d’une association ou une petite boutique, ces limites sont rarement atteintes.
Exemple
Un cabinet d’architectes de six personnes publie un site de présentation de vingt pages, un portfolio et un formulaire de contact. Une offre mutualisée bien choisie couvre le besoin pour des années. L’effort doit porter ailleurs : mises à jour du CMS et des extensions, mots de passe solides, sauvegardes externes.
Le VPS : la liberté, et la charge qui va avec
Un serveur privé virtuel est une machine virtuelle dont le processeur, la mémoire et le stockage vous sont réservés. Vous y avez un accès administrateur complet : vous choisissez le système, installez ce que vous voulez, réglez le serveur web et la base de données. C’est la formule naturelle pour un site qui a besoin d’un logiciel particulier, d’un trafic soutenu ou de plusieurs applications sur la même machine.
Le revers est souvent sous-estimé. Sauf offre explicitement infogérée, l’hébergeur garantit la machine virtuelle et le réseau, pas ce qui tourne dessus. Les correctifs de sécurité du système, la configuration du pare-feu, la surveillance, les sauvegardes et la réaction à une intrusion sont à votre charge. Un VPS laissé sans mises à jour pendant un an est une cible facile, et les réflexes décrits dans notre article sur la cybersécurité des TPE s’appliquent à lui comme à un poste de travail.
Le piège classique
Un prestataire installe le site sur un VPS « parce que c’est plus rapide », livre, puis disparaît. Personne dans l’entreprise ne sait se connecter au serveur ni qui doit le mettre à jour. Avant de choisir un VPS, nommez la personne ou le prestataire qui l’administrera, par contrat, pour toute sa durée de vie.
Le cloud : élasticité et responsabilité partagée
Sous le terme cloud, les grands fournisseurs proposent des services de natures très différentes : des machines virtuelles comparables à un VPS mais redimensionnables en quelques minutes, des plateformes où l’on déploie son application sans gérer le système, des bases de données et du stockage gérés. Leur intérêt tient à l’élasticité : absorber un pic de trafic, ajouter des ressources pendant une opération commerciale, répartir un service sur plusieurs zones géographiques.
Cette souplesse a deux contreparties. La facturation à l’usage rend le coût mensuel difficile à prévoir, et une mauvaise configuration peut coûter cher. Surtout, la sécurité y est explicitement partagée. La CNIL le rappelle dans son guide de sécurité : le client ne doit pas présumer que l’obligation de sécurité incombe au seul fournisseur. Il lui revient notamment de gérer les droits d’accès, de chiffrer les données au repos et en transit, et de formaliser par contrat la répartition des responsabilités.
Comparer les offres : les points techniques qui comptent
Les fiches commerciales mettent en avant l’espace disque et le nombre de sites autorisés. Les critères qui font la différence au quotidien sont ailleurs.
- Les versions logicielles proposées (PHP, base de données) et le rythme auquel l’hébergeur les met à jour.
- Le certificat HTTPS inclus et renouvelé automatiquement.
- Les sauvegardes : fréquence, durée de conservation, lieu de stockage, coût et délai d’une restauration.
- La séparation du nom de domaine : pouvoir gérer le domaine chez un autre prestataire, comme nous le recommandons dans notre article sur l’achat d’un nom de domaine.
- La messagerie : incluse ou non, et avec quelles limites d’envoi. Sans messagerie incluse, une adresse mail à votre nom de domaine reste possible chez un autre fournisseur.
- Le support : horaires, langue, canal, et engagement de disponibilité écrit.
- La réversibilité : export complet des fichiers et des bases sans frais ni format propriétaire.
Localisation des données et RGPD
Dès que votre site traite des données personnelles (formulaire de contact, comptes clients, commandes), l’hébergeur devient votre sous-traitant au sens de l’article 28 du RGPD. Le règlement impose alors un contrat qui précise notamment l’objet et la durée du traitement, les mesures de sécurité, le sort des données en fin de contrat et le recours éventuel à d’autres sous-traitants. Chez la plupart des hébergeurs, ce contrat prend la forme d’un accord de traitement des données à accepter en ligne ; vérifiez qu’il existe et conservez-le.
Le RGPD n’impose pas d’héberger en France, ni même en Europe. Mais tout transfert de données hors de l’Union doit reposer sur un outil prévu par le règlement : décision d’adéquation, clauses contractuelles types ou autre garantie. Pour les États-Unis, la Commission européenne a adopté le 10 juillet 2023 une décision d’adéquation fondée sur le cadre de protection des données UE-États-Unis, qui couvre les entreprises américaines certifiées. Le Tribunal de l’Union européenne a rejeté le 3 septembre 2025 un recours visant à l’annuler ; un pourvoi a été formé devant la Cour de justice fin octobre 2025 et, au moment où nous écrivons, il n’a pas été tranché.
Côté réglementation
La localisation physique ne dit pas tout. Un prestataire soumis au droit d’un pays tiers peut être tenu de communiquer des données qu’il contrôle, même stockées en Europe. Pour des données sensibles, la nationalité et le contrôle du fournisseur comptent autant que l’adresse du centre de données : c’est tout l’objet de notre article sur le cloud souverain.
Une obligation plus prosaïque s’ajoute : les mentions légales d’un site professionnel doivent indiquer le nom ou la dénomination sociale de l’hébergeur, son adresse et son numéro de téléphone. Le manquement est puni d’un an d’emprisonnement et de 75 000 euros d’amende.
Sauvegardes : ne pas tout confier à l’hébergeur
La plupart des offres incluent des sauvegardes automatiques. Elles sont utiles pour annuler une mauvaise manipulation de la veille, beaucoup moins en cas d’incident grave : elles sont souvent stockées dans le même centre de données que le site, conservées quelques jours ou quelques semaines, et leur restauration dépend du bon vouloir du support.
Les précautions recommandées par la CNIL donnent une méthode simple à appliquer à un site web :
- Sauvegarder fréquemment. Fichiers et base de données, avec une fréquence adaptée au rythme de mise à jour du site ; quotidienne pour une boutique en ligne.
- Garder une copie ailleurs. Au moins une sauvegarde sur un site géographiquement distinct, et pas dans le même centre de données que le site, ce que la CNIL demande de vérifier aussi chez un fournisseur cloud.
- Isoler une copie. Une sauvegarde déconnectée du réseau, hors d’atteinte d’un rançongiciel ou d’un compte piraté.
- Chiffrer. Protéger les sauvegardes au même niveau que les données d’origine, et chiffrer les transferts.
- Tester la restauration. Restaurer réellement le site sur un environnement de test, au moins une fois par an.
Choisir son hébergement web en quatre questions
Pour une petite structure, la décision tient en quelques questions posées dans l’ordre. Le site a-t-il des besoins techniques qu’un mutualisé ne couvre pas ? Si non, restez sur un mutualisé de qualité. Si oui, qui administrera le serveur, et pour combien de temps ? Sans réponse claire, préférez un VPS infogéré ou une plateforme gérée. Où les données doivent-elles rester, et à quel droit le prestataire est-il soumis ? Enfin, comment récupérerez-vous le site le jour où vous changerez d’hébergeur ?
Ces questions s’inscrivent dans une démarche plus large d’équipement, que nous décrivons dans notre guide des technologies numériques pour l’entreprise. Nos autres analyses figurent dans le dossier Technologie, et les termes techniques (VPS, CMS, IaaS) sont expliqués dans le lexique.
À lire aussi
Questions fréquentes
Quelle est la différence entre un hébergement mutualisé et un VPS ?
Sur un hébergement mutualisé, des centaines de sites partagent le même serveur et l’hébergeur administre tout le système. Un VPS est une machine virtuelle dont les ressources vous sont réservées et dont vous avez la maîtrise complète, y compris la responsabilité des mises à jour et de la sécurité du système.
Un hébergement mutualisé suffit-il pour un site d’entreprise ?
Pour un site vitrine, un blog ou une petite boutique à trafic modéré, oui dans la plupart des cas. Il devient limitant lorsque le site consomme beaucoup de ressources, demande des logiciels particuliers sur le serveur ou subit des pics de trafic importants, par exemple lors d’une campagne publicitaire.
L’hébergeur de mon site doit-il être en France pour respecter le RGPD ?
Non, le RGPD n’impose pas d’hébergement en France. Il exige un contrat de sous-traitance avec l’hébergeur et, si des données personnelles sortent de l’Union européenne, un outil de transfert prévu par le règlement. Un hébergement dans l’Union simplifie toutefois beaucoup la conformité.
Les sauvegardes de l’hébergeur suffisent-elles ?
Rarement. Elles sont souvent conservées dans le même centre de données que le site, sur une durée courte, et leur restauration dépend du prestataire. La CNIL recommande de conserver au moins une sauvegarde dans un lieu distinct et une copie déconnectée du réseau, et de tester régulièrement la restauration.
Faut-il indiquer son hébergeur sur son site ?
Oui. Les mentions légales d’un site professionnel doivent indiquer le nom ou la dénomination sociale de l’hébergeur, son adresse et son numéro de téléphone. Le manquement à cette obligation d’information est puni d’un an d’emprisonnement et de 75 000 euros d’amende.
Sources
- CNIL, « Sécurité : Cloud, informatique en nuage », guide de la sécurité des données personnelles, 2024. lien
- CNIL, « Sécurité : Sauvegarder », guide de la sécurité des données personnelles, 2024. lien
- EUR-Lex, règlement (UE) 2016/679 (RGPD), article 28. lien
- Commission européenne, communiqué IP/23/3721 sur la décision d’adéquation UE-États-Unis, 10 juillet 2023. lien
- Le Club des juristes, Maxime Lassalle, « Le Tribunal de l’Union européenne valide le Data Privacy Framework », septembre 2025. lien
- WilmerHale, « European Court of Justice to Review Challenge to EU-U.S. Data Privacy Framework », décembre 2025. lien
- Entreprendre.service-public.gouv.fr, « Quelles sont les mentions obligatoires sur un site internet ? ». lien
Innomédia · Technologie · Une erreur, une précision ? Écrivez à la rédaction.
