Héberger en France, ce que ça change vraiment

Le sujet a l’air énorme quand on n’y a jamais touché. Des sigles partout, des avis qui se contredisent, et tout le monde a l’air très sûr de lui. C’est normal de s’y perdre. En vrai il y a trois questions, et elles tiennent sur une page.

Quand un prestataire vous dit qu’il héberge en France, il répond à une question sur trois.

La première, c’est où sont les machines. Un bâtiment, une adresse, une ville. Ça se vérifie, et ça s’écrit dans un contrat.

La deuxième, c’est à qui appartient l’entreprise qui tient ces machines. Un bâtiment à Paris peut très bien appartenir à une société américaine. Le bâtiment est en France, l’entreprise non, et c’est l’entreprise qui décide.

La troisième, c’est est-ce que ça tombe, est-ce que ça fuit, et est-ce que vous récupérez tout si ça brûle. Ça n’a aucun rapport avec les deux premières.

Beaucoup de gens croient l’inverse, alors autant le poser tout de suite. Le RGPD, le règlement européen sur les données personnelles, ne vous oblige nulle part à héberger en France. Ni même en Europe.

Il vous demande deux choses. Choisir un prestataire sérieux, et savoir où vont vos données. Si elles sortent de l’Europe, il faut un cadre juridique écrit qui le prévoit.

Héberger à Francfort ou à Amsterdam, c’est donc pareil que Roubaix aux yeux du texte. On reste en Europe, il n’y a pas de sortie. Si on vous dit le contraire, on vous vend quelque chose.

Ça se complique quand les données partent aux États-Unis. Il existe un accord entre l’Europe et les États-Unis qui l’autorise. Le tribunal de l’Union européenne l’a confirmé le 3 septembre 2025, en rejetant le recours d’un député français. Un pourvoi a été déposé fin octobre. La juridiction du dessus n’a pas encore tranché.

Une loi américaine de 2018, le CLOUD Act, oblige une entreprise soumise au droit américain à remettre aux autorités les données qu’elle a entre les mains. Peu importe le pays où elles sont stockées.

Le serveur peut donc être n’importe où. Ce qui compte, c’est le passeport de l’entreprise qui le tient.

Le 10 juin 2025, une commission d’enquête du Sénat a auditionné Microsoft France, sous serment. Un sénateur a demandé si l’entreprise pouvait garantir que les données de citoyens français ne partiraient jamais aux autorités américaines sans l’accord de la France.

Je ne mets pas ça ici pour taper sur Microsoft. N’importe quel dirigeant de la filiale française d’un groupe américain aurait répondu pareil, parce que c’est la seule réponse exacte. Cette phrase parle d’une structure juridique. Elle ne parle pas des gens qui travaillent là-bas.

Question honnête, réponse honnête. À ma connaissance, aucun cas de données d’une PME française remises aux autorités américaines n’a été rendu public. L’histoire de l’espionnage industriel généralisé, je n’ai rien de solide pour l’appuyer.

Ce qui arrive, en revanche, et c’est beaucoup plus bête, c’est que le service s’arrête.

En février 2025, un décret américain a placé des responsables de la Cour pénale internationale sous sanctions. En mai, la presse a raconté que la boîte mail du procureur avait été coupée. Microsoft a démenti et affirmé n’avoir jamais suspendu ses services.

Je ne sais pas qui dit vrai, et c’est difficile à démêler de l’extérieur. Ce qui est certain, c’est la suite. En octobre 2025, la Cour a quitté la suite bureautique de Microsoft pour un outil libre financé par l’État allemand. Le doute a suffi à déclencher un déménagement.

L’État a créé un label pour ça. Il s’appelle SecNumCloud, et c’est l’ANSSI, l’agence de cybersécurité de l’État, qui le délivre.

C’est le niveau le plus exigeant du pays. Pour l’obtenir, l’entreprise qui fait tourner le service doit relever du droit européen. C’est ce point-là qui la met hors de portée des lois américaines.

Une dizaine d’offres sont labellisées aujourd’hui. OVHcloud, Outscale, Cloud Temple, NumSpot, et depuis décembre 2025 l’offre de S3NS, une société détenue majoritairement par Thales avec Google.

Un piège à connaître. Le label porte sur une offre précise, à une date précise. Une entreprise peut être labellisée pour ses serveurs et pas pour sa messagerie, pour une région et pas pour une autre. « Notre hébergeur est SecNumCloud » ne veut rien dire tant qu’on n’a pas lu la ligne exacte du catalogue de l’agence.

Au niveau européen, un label équivalent était prévu. Le critère qui aurait mis les fournisseurs hors de portée des lois étrangères en a été retiré. La Commission a présenté un nouveau texte en juin 2026 pour le réintroduire dans les marchés publics. Comptez deux à trois ans avant que ça change quoi que ce soit.

Un signal, quand même. En avril 2026, après appel d’offres, l’hébergement des données de santé des Français a été confié à Scaleway, un acteur français. Elles étaient chez Microsoft depuis 2019. Le déménagement est prévu entre fin 2026 et début 2027.

Sur le prix, il n’y a plus vraiment de débat. Les hébergeurs français sont dans les mêmes eaux, souvent moins chers sur le stockage et la bande passante.

La contrepartie est ailleurs, et je préfère le dire. Il y a moins de services tout prêts. Quand vous tombez sur un problème inhabituel, il y a moins de réponses déjà écrites sur internet. Et beaucoup d’outils supposent par défaut que vous êtes chez Amazon.

Ce que vous gagnez : une facture lisible, un support qui répond en français, quelqu’un dans le même fuseau horaire, et un contrat français devant un tribunal français. Le jour où ça se passe mal, ce dernier point arrête d’être une phrase en l’air.

Le poste vraiment cher arrive plus tard. C’est le jour où vous voulez partir. Une base dans un format fait maison, des morceaux de code écrits pour un seul fournisseur, six ans d’historique dans un service qui n’existe nulle part ailleurs. Le devis de sortie se compte en mois de travail, et il n’apparaît sur aucune page de tarifs.

Attention au raccourci inverse. Héberger en France ne protège de rien tout seul.

Dans la nuit du 10 mars 2021, un incendie a détruit un bâtiment d’OVHcloud à Strasbourg et abîmé celui d’à côté. 3,6 millions de sites web sont devenus injoignables, rattachés à 464 000 noms de domaine. OVHcloud a compté entre 12 000 et 16 000 clients touchés. Beaucoup ont découvert ce matin-là que leur sauvegarde était dans le même bâtiment que le reste.

Un hébergeur français avec une sauvegarde jamais testée, ça reste une sauvegarde jamais testée.

Vous n’avez pas besoin d’avoir retenu tout ce qui précède pour vous servir de ce qui suit. Voilà ce que je demande, moi, avant d’installer quoi que ce soit pour un client. Ça tient dans un mail, et les réponses vous apprendront plus que n’importe quelle page « sécurité ».

1. 01 Dans quel pays et quelle région sont mes données, et où sont les sauvegardes ? Une réponse qui commence par « en Europe » n’est pas une réponse. On veut un pays.
2. 02 Quelle société signe le contrat, et qui la possède ? C’est elle, et sa maison mère, qui déterminent la loi qui s’applique. Pas l’adresse du bâtiment.
3. 03 Quelle loi régit le contrat, et quel tribunal tranche en cas de litige ? Une clause qui envoie le litige à l’étranger transforme un désaccord à 4 000 € en procédure à 40 000 €.
4. 04 Quels sont vos propres prestataires, et lesquels sont hors d’Europe ? Vous avez le droit à cette liste. Le support, la surveillance des serveurs et le filtrage des mails sont les maillons qu’on oublie.
5. 05 Comment je récupère tout, dans quel format, en combien de temps, pour combien ? À poser le premier jour. Pas le jour du divorce.
6. 06 C’était quand, le dernier test de restauration, et il a pris combien de temps ? « On fait des sauvegardes » ne veut rien dire. Une sauvegarde jamais restaurée, c’est une hypothèse.

Autant appliquer la méthode à la page que vous êtes en train de lire.

• Les pages sont fixes et servies depuis la France, chez Scaleway, à Paris.
• La prise de rendez-vous passe par Cal.com, dans sa version européenne.
• La vidéo plus haut est sur YouTube. Le lecteur ne se charge que si vous cliquez dessus. Tant que vous ne cliquez pas, rien ne part chez Google.
• L’adresse du domaine et la redirection sont gérées par Cloudflare, une société américaine. Au passage, elle voit votre adresse IP.

Je pourrais virer Cloudflare. Je ne l’ai pas fait, parce que la redirection de l’adresse courte n’était pas faisable autrement chez mon hébergeur. Et parce que sur un site sans compte utilisateur, l’enjeu est petit. C’est un choix, pas un oubli, et il est écrit dans ma politique de confidentialité.

C’est le même raisonnement que chez mes clients. On regarde ce qu’on accepte, et pourquoi.

Pour les outils métier que je construis, l’hébergement est en France, chez une société française, avec les données et les sauvegardes sous le même droit que le client. Vous restez propriétaire du code, donc la porte de sortie est ouverte dès le premier jour. Ça ne coûte pas plus cher, et ça évite d’avoir à y repenser dans trois ans.

Si vous héritez d’un outil qui tourne déjà, ne changez rien tout de suite. Posez les six questions. Selon les réponses, soit vous êtes tranquille, soit vous savez exactement quoi négocier au prochain renouvellement.