Une agence facture 15 € par mois pour l'hébergement d'un site vitrine. Une autre en demande 250 € pour ce qui ressemble, vu de l'extérieur, au même site : WordPress, une dizaine de pages, un formulaire de contact, deux mille visiteurs mensuels. L'écart est de seize. Seize fois. Et pourtant, dans les deux cas, la ligne sur le devis s'intitule exactement de la même façon : « hébergement et maintenance annuelle ».
Ce genre d'écart intrigue toujours les dirigeants qui comparent deux propositions. Certains y voient une arnaque évidente d'un côté ou de l'autre. La réalité est plus ennuyeuse, et plus intéressante : les deux prix peuvent être parfaitement justifiés, parce qu'ils ne recouvrent tout simplement pas la même chose.
Ce que la facture ne dit jamais, c'est la répartition entre trois postes : la part de machine, la part de service humain, et la part de responsabilité assumée. Le premier poste coûte trois fois rien aujourd'hui. Le deuxième coûte cher, parce que le temps d'un administrateur système compétent se paie. Le troisième ne coûte rien du tout... jusqu'au jour où il coûte énormément.
Parce que le vrai sujet n'est pas le prix. Le vrai sujet, c'est de savoir qui décroche son téléphone un vendredi à 22 h quand le site de commande de votre client le plus important renvoie une erreur 500 en pleine campagne d'e-mailing. Qui intervient. Dans quel délai. Et sur la base de quel engagement écrit.
Cet article propose une cartographie technique des solutions d'hébergement, une décomposition honnête du coût réel, une analyse de la chaîne de responsabilité en cas de panne, et une grille de vérification à passer sur votre contrat actuel. Sans jargon inutile, mais sans simplification qui vous laisserait aussi démuni qu'avant.
La confusion fondatrice : hébergement, infogérance et maintenance ne sont pas la même chose
Avant de comparer des prix, il faut comparer des périmètres. Et sur ce point, le vocabulaire du secteur entretient un flou remarquablement pratique.
Les trois briques que les prestataires facturent souvent en une seule ligne
L'hébergement, au sens strict, c'est une location. Un espace disque, une allocation de mémoire et de processeur, une bande passante, une adresse IP. Rien d'autre. C'est un produit, pas un service. On le compare comme on compare des mètres carrés de stockage.
L'infogérance, ou administration système, c'est le travail humain effectué sur cette machine. Surveillance des ressources, mises à jour du système d'exploitation et des services (PHP, base de données, serveur web), durcissement de la sécurité, configuration des sauvegardes, gestion des certificats, réaction aux incidents. Ce poste-là ne s'achète pas au gigaoctet. Il s'achète à l'heure de compétence disponible.
La maintenance applicative, enfin, concerne ce qui tourne au-dessus : le CMS, ses extensions, son thème, les correctifs fonctionnels, les tests après mise à jour. WordPress publie une mise à jour de sécurité majeure ? Quelqu'un doit l'appliquer, vérifier que le formulaire de devis fonctionne toujours et que la page tarifs ne s'est pas décalée. Ce quelqu'un travaille, et son travail se facture.
Trois métiers. Trois logiques de coût. Une seule ligne sur le devis.
Pourquoi l'amalgame arrange tout le monde (et vous dessert)
Soyons directs : la confusion profite d'abord au prestataire. Elle lui permet de revendre un hébergement mutualisé acheté 5 € en le facturant 40 €, sans jamais avoir à justifier l'écart, puisque le client croit acheter un service alors qu'il achète une location avec une promesse vague de « suivi ».
Elle arrange aussi, il faut le reconnaître, certains clients. Une ligne unique, un interlocuteur unique, pas de questions techniques à se poser. Le confort a du bon. Le problème, c'est qu'il repose sur une zone grise contractuelle qui ne se révèle jamais en période calme.
Elle se révèle le jour de l'incident. Toujours. Le site est en panne depuis trois heures, vous appelez votre prestataire, et vous entendez cette phrase qui devrait figurer au patrimoine immatériel du web français : « Ah non, ça c'est l'hébergeur, nous on ne gère pas le serveur, nous on a juste fait le site. » Vous raccrochez en vous demandant ce que payaient exactement les 480 € annuels de la ligne « hébergement et maintenance ».
Le test simple : demandez la décomposition en trois lignes
Il existe un moyen très rapide de savoir où vous en êtes. Envoyez ce message à votre prestataire :
« Bonjour, pour notre suivi budgétaire interne, pourriez-vous nous détailler la ligne hébergement/maintenance en trois postes distincts : le coût d'hébergement brut et le nom de l'hébergeur, le volume et la nature des interventions d'administration système, et le périmètre de la maintenance applicative ? Merci d'avance. »
La formulation est neutre, factuelle, non accusatoire. Elle passe pour une demande comptable ordinaire, ce qu'elle est d'ailleurs.
Un prestataire solide répond en deux jours avec un tableau. Il n'a rien à cacher : sa marge est une marge de service, elle se justifie par du temps réellement passé, et il sera même content de valoriser ce travail invisible dont personne ne le remercie jamais.
Une réponse floue, un « c'est un forfait global, on ne détaille pas », ou pire, un silence de trois semaines suivi d'un « on en parle à notre prochain point » : voilà un signal. Pas nécessairement de malhonnêteté. Parfois simplement d'une organisation qui n'a jamais formalisé son propre travail, ce qui pose une autre question : si le périmètre n'est pas écrit, comment savoir ce qui sera fait le jour de la panne ?
Mutualisé, VPS, dédié, cloud : ce que vous achetez réellement
Passons à la machine. Quatre grandes familles, des logiques radicalement différentes, et un piège tarifaire majeur au milieu.
L'hébergement mutualisé
Le principe tient en une image : un immeuble en colocation. Des dizaines, parfois des centaines de sites cohabitent sur une même machine physique, se partagent le processeur, la mémoire et le disque. L'hébergeur administre tout : le système, les services, les sauvegardes, la sécurité de base. Vous n'avez accès qu'à votre appartement, via un panneau de gestion type cPanel ou une interface maison.
Côté tarifs, le marché français est mûr et compétitif. Chez o2switch, Infomaniak, OVHcloud, PlanetHoster, LWS ou Hostinger, on trouve des offres solides entre 3 € et 15 € par mois, souvent avec le nom de domaine offert la première année. Certaines formules sont illimitées en nombre de sites, ce qui en fait un excellent choix pour une petite agence ou un indépendant multi-projets.
Ce qui est inclus par défaut, généralement : panneau de gestion, certificats SSL Let's Encrypt automatisés, sauvegardes quotidiennes avec une rétention de quelques jours à quelques semaines, support de premier niveau par ticket ou téléphone, protection anti-DDoS basique au niveau du réseau.
Les limites, maintenant, parce qu'elles sont réelles. L'effet voisin bruyant, d'abord : si un site partageant votre machine se fait attaquer ou lance un script gourmand, votre temps de réponse s'en ressent. Les plafonds de processus PHP ensuite, qui bloquent net les traitements lourds. L'absence d'accès root, qui interdit toute configuration serveur spécifique. Les restrictions sur les tâches planifiées, souvent limitées à une exécution toutes les quinze minutes. Et l'impossibilité, dans la plupart des cas, d'installer une brique technique qui sort du cadre standard.
Pour quel profil ? Site vitrine, blog, boutique à faible ou moyen trafic, application métier légère, projet en phase d'amorçage. Autrement dit : l'écrasante majorité des sites d'entreprise en France. Il n'y a aucune honte à être en mutualisé. C'est même souvent le choix rationnel.
Le VPS (serveur privé virtuel)
Ici, on change de logique. Le VPS vous attribue une part garantie et isolée d'une machine physique : tant de cœurs, tant de mémoire, tant de disque, à vous seul. Vous obtenez un accès root, donc la maîtrise complète de la configuration.
Et c'est là que commence le piège tarifaire du secteur.
Parce qu'un VPS d'entrée de gamme se trouve à 4 € ou 5 € par mois. Moins cher qu'un bon hébergement mutualisé. Un dirigeant qui compare deux lignes de devis en conclut logiquement que le VPS est une affaire. Il ne l'est pas. Il est nu.
Ce qui n'est pas inclus dans un VPS non managé : absolument tout le travail humain. La machine arrive avec un système d'exploitation fraîchement installé et rien d'autre. Il faut installer et configurer le serveur web, PHP, la base de données, le pare-feu, le certificat SSL, le système de sauvegarde, la supervision. Puis maintenir tout cela dans le temps : appliquer les correctifs de sécurité du noyau, surveiller l'espace disque, gérer les montées de version, réagir aux alertes. Un serveur Linux exposé sur Internet et laissé sans mise à jour pendant six mois devient une passoire. Ce n'est pas une opinion, c'est une observation quotidienne.
D'où la distinction essentielle entre VPS non managé (vous, ou votre prestataire, faites tout) et VPS managé (l'hébergeur ou un infogérant prend en charge l'administration). L'écart de prix entre les deux, souvent de 50 € à 200 € mensuels, ne correspond pas à une différence de matériel. Il correspond à du temps humain. C'est exactement ce qu'il facture, et c'est parfaitement normal.
Pour quel profil de site ? Trafic soutenu et régulier, application spécifique nécessitant une configuration sur mesure, contraintes de performance sérieuses, exigences de conformité imposant l'isolation des données, boutique en ligne dont le chiffre d'affaires dépend directement de la disponibilité.
Le serveur dédié et le cloud à la demande
Le serveur dédié, c'est la machine physique entière. La question se pose rarement avant un trafic vraiment conséquent (disons plusieurs dizaines de milliers de visiteurs quotidiens), un traitement de données volumineux, ou une contrainte réglementaire d'isolation physique. En dessous, c'est souvent du surdimensionnement flatteur.
Le cloud à l'usage, façon AWS, Google Cloud ou Scaleway, propose autre chose : l'élasticité. Les ressources s'ajustent automatiquement au trafic, vous ne payez que la consommation réelle. Formidable pour un site à forte saisonnalité, ou pour absorber le pic d'une campagne télévisée. Le revers, c'est l'imprévisibilité budgétaire. Une configuration mal réglée, un script qui boucle, une attaque un peu appuyée, et la facture mensuelle peut tripler sans prévenir. On a vu des budgets partir en vrille pour une image mal dimensionnée servie des millions de fois.
Reste une catégorie intermédiaire qui a beaucoup progressé : les hébergements infogérés spécialisés par CMS. WP Engine, Kinsta, WPServeur pour WordPress, par exemple. Comptez 25 € à 150 € mensuels selon le trafic. On y paie l'optimisation fine pour un seul applicatif, un support qui connaît le CMS par cœur, des environnements de préproduction en un clic, et des sauvegardes réellement testées. Pour une entreprise sans compétence technique interne dont le site compte vraiment, c'est souvent le meilleur rapport tranquillité/prix du marché.
Tableau de correspondance : besoin réel, typologie adaptée, budget cohérent
| Profil de site | Solution adaptée | Budget hébergement annuel | Budget global avec service |
|---|---|---|---|
| Vitrine 5 à 15 pages, trafic faible | Mutualisé | 50 € à 180 € | 400 € à 900 € |
| Blog actif, 5 000 à 20 000 visites/mois | Mutualisé performant ou infogéré CMS | 150 € à 500 € | 800 € à 2 000 € |
| Boutique en ligne, catalogue moyen | Infogéré CMS ou VPS managé | 400 € à 1 800 € | 2 000 € à 6 000 € |
| Application métier, données sensibles | VPS managé ou dédié | 1 000 € à 4 000 € | 4 000 € à 15 000 € |
| Plateforme à fort trafic ou saisonnalité marquée | Cloud élastique | Variable, à plafonner | Sur devis, avec alertes budgétaires |
Ces fourchettes sont indicatives et reflètent le marché français observé en 2025-2026. Elles servent surtout à repérer les anomalies : un devis à 3 000 € annuels pour un site vitrine de huit pages mérite au minimum une explication détaillée.
Décomposer le coût réel : où part vraiment votre budget mensuel
Entrons dans le détail du calcul. C'est là que les choses deviennent claires.
Le coût machine : la partie visible, et la moins chère
Un hébergement mutualisé de qualité chez un acteur français sérieux : 5 € à 12 € mensuels. Un VPS correctement dimensionné pour un site professionnel : 15 € à 60 €. Un serveur dédié d'entrée de gamme : 60 € à 150 €.
Voilà. C'est tout. C'est la partie du budget que tout le monde regarde, et c'est presque toujours la plus petite.
Ce poste a été divisé par dix en quinze ans, et la tendance continue. La virtualisation, la concurrence entre hébergeurs, la baisse du coût du stockage et l'automatisation des déploiements ont écrasé les marges. Un serveur qui coûtait 400 € mensuels en 2010 se remplace aujourd'hui par un VPS à 30 € plus performant. Cette déflation explique pourquoi le raisonnement « je paie cher, donc j'ai une grosse machine » n'a plus aucun sens. Vous ne payez presque jamais la machine.
Le coût humain : la partie invisible, et la plus déterminante
Une heure d'administration système en France, c'est entre 70 € et 130 € hors taxes selon le niveau et la structure. Un intégrateur web se situe plutôt entre 50 € et 90 €. Ce sont les tarifs du marché, pas une invention d'agence.
Maintenant, que représente une infogérance sérieuse en volume horaire mensuel ? Comptons honnêtement. Surveillance et traitement des alertes : 30 minutes à 1 heure. Application et vérification des correctifs de sécurité : 1 à 2 heures. Contrôle des sauvegardes et test de restauration périodique : 30 minutes à 1 heure. Veille sécurité sur le CMS et ses extensions : 30 minutes. Mise à jour applicative avec tests : 1 à 2 heures. Réserve pour incident : variable.
Total réaliste : entre 3 et 6 heures mensuelles pour un site professionnel standard. Soit, au tarif du marché, entre 200 € et 600 € par mois de coût humain réel.
Faisons alors le calcul inverse, celui qui remet tout en perspective. Votre contrat de « maintenance et hébergement » est facturé 30 € mensuels. Retirez 8 € d'hébergement. Il reste 22 €. À 90 € de l'heure, cela finance quatorze minutes d'intervention humaine par mois.
Quatorze minutes. De quoi lire une alerte et cliquer sur « mettre à jour ». Pas de quoi tester après coup, pas de quoi vérifier une sauvegarde, et certainement pas de quoi intervenir un vendredi soir.
Est-ce que ce contrat est une escroquerie ? Non, pas nécessairement. Il peut être parfaitement adapté à un site vitrine sans enjeu, où une indisponibilité de 48 heures ne coûte rien. Mais alors, il faut le dire ainsi, et le client doit le savoir. Le problème n'est jamais le prix bas. Le problème, c'est le prix bas vendu comme une garantie.
Les coûts périphériques rarement isolés
D'autres postes se glissent dans le forfait sans jamais apparaître :
- Sauvegardes externalisées et hors site. Une sauvegarde stockée sur le même serveur que le site n'est pas une sauvegarde, c'est une copie. Le jour où la machine brûle (souvenez-vous de Strasbourg en mars 2021), les deux disparaissent ensemble. Une vraie sauvegarde vit ailleurs, chez un autre fournisseur si possible. Coût : 5 € à 30 € mensuels selon le volume.
- Certificats SSL étendus, CDN, protection anti-DDoS avancée, pare-feu applicatif. Le SSL basique est gratuit aujourd'hui. Le reste ne l'est pas, et devient nécessaire dès que le site attire l'attention.
- Licences. Thème premium, extensions payantes, briques SaaS connectées. Entre 200 € et 1 500 € annuels sur un site un peu ambitieux, à renouveler tous les ans sous peine de perdre les mises à jour de sécurité. Ce poste est le champion toutes catégories de l'oubli budgétaire.
- Environnement de préproduction. Un clone du site pour tester avant de toucher à la production. Indispensable dès que le site génère du chiffre d'affaires. Coût : celui d'un hébergement supplémentaire, plus le temps de synchronisation.
- Noms de domaine et DNS gérés. Modeste en euros, majeur en conséquences. On y revient.
La marge du prestataire : le sujet dont personne ne parle
Abordons-le franchement, puisque tout le monde tourne autour.
La revente d'hébergement mutualisé en marque blanche est une pratique courante et parfaitement légitime. Une agence achète un compte revendeur, y installe les sites de ses clients, et facture le tout. Elle y gagne du temps de gestion, une cohérence technique, et oui, une marge.
Ce qui distingue une pratique saine d'une pratique discutable, c'est la nature de cette marge.
Une marge de service se justifie par une valeur ajoutée mesurable : le prestataire surveille, intervient, met à jour, teste, garantit un délai. Il vend son temps et sa disponibilité. Que l'hébergement lui coûte 4 € et qu'il facture 90 € n'a alors aucune importance, puisque les 86 € restants correspondent à du travail effectif.
Une marge de revente sèche, c'est facturer 60 € un hébergement acheté 4 € sans rien faire de plus qu'y déposer les fichiers une fois pour toutes. Là, le client paie quinze fois le prix d'un produit qu'il pourrait acheter lui-même en dix minutes.
Comment poser la question sans dégrader la relation ? Ne demandez pas la marge, c'est frontal et un peu déplacé. Demandez le contenu du service. « Concrètement, sur une année type, quelles interventions sont menées sur notre hébergement, et à quelle fréquence ? » Un prestataire qui travaille répond avec plaisir. Il attend cette question depuis longtemps, en général.
Le coût caché majeur : la réversibilité
Voici le poste qui ne figure sur aucun devis et qui coûte le plus cher.
Frais de sortie non annoncés à la signature. Refus de transférer les fichiers ou la base de données. Accès administrateur conservés « pour des raisons de sécurité ». Délais de réponse qui s'allongent mystérieusement dès que le mot « transfert » est prononcé.
Et surtout, le classique des classiques : le nom de domaine déposé au nom du prestataire. Techniquement, il en devient le titulaire. Juridiquement, récupérer un domaine dont on n'est pas titulaire déclaré prend des mois, coûte des frais d'avocat, et ne réussit pas toujours. Pendant ce temps, votre adresse web principale, celle qui figure sur vos cartes de visite et dans dix ans d'indexation Google, ne vous appartient pas.
Un site dont vous ne détenez ni les accès, ni les sauvegardes, ni le nom de domaine ne vous appartient pas vraiment. Vous en louez l'usage. C'est une position d'une fragilité considérable, et elle se découvre toujours au pire moment : lors d'un désaccord, d'une fin de collaboration, ou d'une liquidation judiciaire du prestataire.
Panne : la chaîne de responsabilité, maillon par maillon
Le site est hors ligne. Quatre acteurs se renvoient la balle. Voici comment démêler cela, de préférence avant l'incident.
Cartographier les acteurs avant l'incident
- L'hébergeur possède l'infrastructure physique : machines, réseau, alimentation, climatisation, sécurité du datacenter.
- Le prestataire digital a construit ou intègre le site. Il est parfois aussi revendeur d'hébergement, parfois simple intermédiaire, parfois infogérant. Sa position exacte doit être écrite noir sur blanc.
- L'éditeur du CMS et des extensions publie le code et ses correctifs. WordPress, PrestaShop, Drupal, et les milliers de modules tiers qui gravitent autour.
- Le registrar gère le nom de domaine et sa résolution DNS. Souvent confondu avec l'hébergeur, alors que ce sont deux fonctions distinctes qui peuvent relever de deux sociétés différentes.
- Vous, enfin, titulaire des données, responsable de traitement au sens du RGPD, et décideur des arbitrages budgétaires.
Les six grandes familles de pannes et leur responsable naturel
Panne matérielle ou réseau du datacenter. Disque défaillant, coupure de fibre, incident électrique. Responsabilité : hébergeur, dans les limites de son contrat. C'est le cas le plus net, et paradoxalement le plus rare.
Serveur saturé par un pic de trafic ou un dimensionnement inadapté. Zone d'arbitrage. Si le prestataire a alerté par écrit sur le sous-dimensionnement et que le client a refusé la montée en gamme pour raison budgétaire, la responsabilité penche vers le client. Si personne n'a jamais surveillé les ressources ni prévenu, elle penche vers le prestataire, dont le devoir de conseil est une obligation reconnue par les tribunaux français.
Piratage par extension non mise à jour. La question devient simple : la maintenance applicative était-elle contractualisée ? Si oui, le prestataire devait appliquer les correctifs et engage sa responsabilité. Si non, si le contrat ne couvrait que l'hébergement, la charge revient au client, même s'il ignorait qu'il en avait la charge. L'ignorance ne transfère pas la responsabilité.
Erreur de manipulation lors d'une mise à jour. Fichier écrasé, base corrompue, migration ratée. Responsabilité du prestataire, sans grande ambiguïté. C'est précisément à cela que servent les environnements de préproduction et les sauvegardes préalables.
Expiration de domaine ou de certificat. Responsabilité de celui qui détient à la fois la ligne budgétaire et l'alerte de renouvellement. Ce cas produit chaque année des drames évitables : un domaine expiré redevient disponible à la vente, et certains acteurs surveillent ces expirations avec une attention professionnelle. Récupérer un domaine racheté par un tiers coûte parfois plusieurs milliers d'euros. Parfois, c'est simplement impossible.
Perte de données sans sauvegarde exploitable. Le maillon responsable est celui qui devait tester les restaurations. Notez bien la formulation : tester, pas configurer. Une sauvegarde jamais restaurée est une sauvegarde dont personne ne connaît l'état. Combien de contrats mentionnent des « sauvegardes quotidiennes » sans qu'aucune restauration n'ait jamais été tentée en trois ans ? Beaucoup. Vraiment beaucoup.
Ce que dit vraiment le droit français
Point juridique, sans prétention à l'exhaustivité, mais avec les distinctions qui comptent.
La première, essentielle : obligation de moyens contre obligation de résultat. Par défaut, un prestataire informatique est tenu à une obligation de moyens. Il doit mettre en œuvre les diligences d'un professionnel compétent, sans garantir le résultat. Sauf si le contrat prévoit expressément un engagement de résultat chiffré, typiquement un taux de disponibilité. Cette clause change tout : sans elle, prouver la faute est difficile ; avec elle, il suffit de constater le manquement.
Le statut d'hébergeur, tel que défini par la LCEN de 2004, limite fortement la responsabilité de l'hébergeur quant aux contenus stockés. Attention, ce régime concerne le contenu publié, pas la qualité technique du service. Sur le plan technique, ce sont les conditions générales et le contrat qui s'appliquent, avec leurs plafonds d'indemnisation, souvent calés sur quelques mois d'abonnement. Autrement dit : si votre site à 200 000 € de chiffre d'affaires annuel tombe trois jours, l'hébergeur à 8 € mensuels vous remboursera peut-être 24 €.
Quand le prestataire choisit lui-même l'infrastructure et la revend au client, sa responsabilité s'étend. Il ne peut plus se retrancher derrière « c'est l'hébergeur », puisqu'il a sélectionné cet hébergeur et l'a présenté comme adapté au besoin. Son devoir de conseil s'exerce pleinement sur ce choix.
Enfin, le RGPD. Sur ce terrain, la position est nette : le responsable de traitement reste le client. Si des données personnelles fuitent à cause d'une faille technique chez le sous-traitant, c'est vous qui devez notifier la CNIL sous 72 heures, vous qui informez les personnes concernées, vous qui répondez en cas de contrôle. Un recours contre le sous-traitant reste possible ensuite, mais il ne vous exonère de rien vis-à-vis de l'autorité. D'où l'importance du contrat de sous-traitance prévu par l'article 28, que beaucoup de PME n'ont jamais signé avec leur agence web.
La clause qui règle 90 % des litiges : le SLA
Le SLA (Service Level Agreement, ou convention de niveau de service) est le document qui transforme une promesse commerciale en engagement opposable. Quatre éléments à examiner.
Le taux de disponibilité annoncé. Il faut le traduire en minutes, sinon il ne veut rien dire :
| Taux annoncé | Indisponibilité annuelle tolérée | Équivalent mensuel |
|---|---|---|
| 99 % | 3 jours 15 heures | environ 7 heures |
| 99,5 % | 1 jour 20 heures | environ 3 h 40 |
| 99,9 % | 8 heures 45 | environ 43 minutes |
| 99,99 % | 52 minutes | environ 4 minutes |
Un « 99 % » qui sonne rassurant autorise donc plus de trois jours et demi d'arrêt par an sans le moindre manquement contractuel. La nuance mérite d'être connue avant de signer.
GTI et GTR. La garantie de temps d'intervention (GTI) fixe le délai avant qu'un technicien commence à travailler sur l'incident. La garantie de temps de rétablissement (GTR) fixe le délai avant que le service soit rétabli. L'écart entre les deux est considérable : un contrat qui garantit une GTI de 4 heures sans aucune GTR promet qu'on regardera le problème, pas qu'on le résoudra. C'est la subtilité contractuelle la plus fréquemment ignorée.
Plages horaires et canal de signalement. « Support 5j/7, 9h-18h » signifie qu'une panne survenue vendredi à 19 h sera traitée lundi matin. Soixante-trois heures d'arrêt, sans qu'aucun engagement ne soit rompu. Si votre activité tourne le week-end, il faut une astreinte, et l'astreinte se paie. C'est logique : quelqu'un renonce à ses soirées.
Les pénalités. Elles se chiffrent presque toujours en pourcentage de l'abonnement mensuel. Sur un contrat à 80 € mensuels, une pénalité de 10 % par tranche d'indisponibilité représente 8 €. Comparez ce montant au préjudice réel d'une journée hors ligne pour votre entreprise, et vous comprendrez que les pénalités ne sont pas un mécanisme d'indemnisation. Elles sont un signal d'engagement. Leur vraie utilité est de montrer que le prestataire accepte d'être mesuré.
Ce qui reste toujours à votre charge, quel que soit le contrat
Trois responsabilités ne se délèguent jamais complètement, et il vaut mieux le savoir :
La détention des accès et des noms de domaine. Votre nom, votre adresse e-mail, votre carte bancaire sur le compte registrar. Le prestataire y accède techniquement, vous en restez titulaire. Non négociable.
La vérification périodique qu'une sauvegarde restaurable existe. Une fois par an minimum, demandez la preuve d'un test de restauration réel, avec la date et le résultat. Pas la configuration de la sauvegarde, la preuve qu'elle a été remontée avec succès.
La désignation d'un interlocuteur unique côté entreprise. Une personne qui sait où sont les accès, qui connaît le contrat, qui reçoit les alertes de renouvellement. Sans cela, les informations se dispersent entre la comptabilité, l'assistante partie l'an dernier et l'ancien stagiaire qui avait créé le compte Google.
L'impact silencieux de l'hébergement sur votre visibilité
Un chapitre souvent négligé, alors que ses effets se mesurent directement en trafic.
Temps de réponse serveur et performance perçue
Le TTFB, ou temps jusqu'au premier octet, mesure le délai entre la requête du navigateur et la première donnée reçue. C'est le tout premier maillon de la chaîne de performance : rien ne peut s'afficher avant. Google recommande de rester sous 200 millisecondes, et considère qu'au-delà de 600 ms, il y a un problème à corriger.
Or ce délai dépend presque entièrement du serveur. Un mutualisé saturé en heure de pointe peut passer de 300 ms à 2 secondes. Ces deux secondes se répercutent intégralement sur le LCP (Largest Contentful Paint), l'un des Core Web Vitals que Google utilise comme signal de classement. Vous pouvez optimiser vos images pendant trois semaines : si le serveur met deux secondes à répondre, le gain sera invisible.
Et l'effet sur les visiteurs est encore plus brutal que l'effet sur le référencement. Les études de terrain convergent depuis des années : au-delà de trois secondes de chargement, une part significative des visiteurs abandonne. Sur mobile, en 4G moyenne, la marge est encore plus mince.
Indisponibilité et exploration par les moteurs
Que se passe-t-il quand Googlebot rencontre une erreur 500 ? Rien de dramatique au premier passage : il repasse plus tard. C'est le comportement normal, prévu, et une panne de quelques heures ne laisse généralement aucune trace.
La répétition, en revanche, change la donne. Face à des erreurs 5xx récurrentes, le robot réduit sa fréquence de passage pour ne pas aggraver la charge d'un serveur qu'il juge en difficulté. Le budget d'exploration se contracte. Les nouvelles pages mettent plus longtemps à être découvertes, les mises à jour tardent à être prises en compte. Sur un site qui publie régulièrement, cette dégradation est perceptible en quelques semaines.
Après une panne prolongée, plusieurs jours voire plusieurs semaines sont parfois nécessaires pour que le rythme d'exploration retrouve son niveau antérieur. Ce n'est pas une pénalité, c'est de la prudence algorithmique. Mais l'effet sur la visibilité est bien réel.
Localisation du serveur, adresse IP partagée et voisinage
Faisons le tri entre ce qui compte et ce qui relève du mythe entretenu par certains argumentaires commerciaux.
Ce qui compte : la latence réseau. Un serveur en Australie servant une clientèle française ajoute mécaniquement du délai. Pour un site à audience nationale, un hébergement en France ou en Europe de l'Ouest est le choix évident. Ce qui compte aussi : les contraintes réglementaires, avec le RGPD et la question de la souveraineté des données, particulièrement sensible pour les secteurs de la santé, du juridique et du public.
Ce qui relève de la légende : l'idée qu'un serveur physiquement situé en France améliorerait mécaniquement le positionnement sur Google France. Le ciblage géographique se pilote par l'extension du domaine, la langue du contenu, les signaux de localisation et la configuration dans la Search Console. La localisation du serveur n'est qu'un signal marginal, largement neutralisé par les CDN modernes.
Le cas particulier qui mérite attention : les IP partagées avec des sites compromis. Sur un mutualisé bas de gamme, votre site peut cohabiter avec des centaines d'autres sous la même adresse. Si certains diffusent du spam ou hébergent du contenu malveillant, l'adresse peut se retrouver sur des listes noires. L'impact sur le référencement organique est débattu et probablement faible. L'impact sur la délivrabilité de vos e-mails, en revanche, est direct et bien documenté : vos messages atterrissent en indésirables, et vous mettez parfois des mois à comprendre pourquoi.
Ce que doit prévoir le contrat pour protéger votre référencement
Trois clauses spécifiques, rarement présentes, toujours utiles :
Le maintien des redirections lors de toute modification de structure. Une refonte qui casse cent URL indexées efface plusieurs années de travail SEO en une nuit. Le plan de redirection doit être une livrable contractuel, pas une attention facultative.
La gestion du certificat SSL et son renouvellement automatique surveillé. Un certificat expiré déclenche un avertissement de sécurité dans tous les navigateurs. Le trafic s'effondre en quelques heures.
Le plan de continuité en cas de migration : fenêtre d'intervention, procédure de retour arrière, période de double hébergement, contrôle post-migration des URL et de l'indexation. Une migration mal préparée est l'un des rares événements capables de faire chuter durablement un trafic organique construit sur des années.
Diagnostiquer votre situation actuelle : la méthode en sept vérifications
Assez de théorie. Voici de quoi faire le point sur votre propre situation, en une heure environ. Aucune compétence technique particulière n'est requise.
Identifier qui héberge réellement votre site
Trois outils gratuits suffisent. La base whois de l'AFNIC pour les domaines en .fr, ou n'importe quel service whois pour les autres extensions. Un outil de résolution DNS type DNSChecker pour voir l'adresse IP réelle. Un service comme BuiltWith ou une simple lecture des en-têtes de réponse HTTP pour identifier le serveur.
Puis recoupez avec le nom qui apparaît sur votre relevé bancaire ou vos factures. Si votre prestataire facture « hébergement premium » et que le site tourne chez un hébergeur mutualisé d'entrée de gamme, ce n'est pas illégal, mais cela mérite une conversation.
Vérifier la titularité de votre nom de domaine
La vérification la plus importante de cette liste, et celle qui prend trois minutes. Consultez le whois du domaine et lisez le champ titulaire. Vous devez y voir la raison sociale de votre entreprise. Pas celle de votre agence, pas le nom personnel d'un développeur, pas une société inconnue.
Si ce n'est pas le cas, demandez le transfert de titularité immédiatement, pendant que la relation est bonne. La procédure est simple et gratuite quand tout le monde coopère. Elle devient un cauchemar quand la relation se dégrade.
Demander la preuve d'une sauvegarde restaurable
Quatre questions précises : à quelle fréquence les sauvegardes sont-elles réalisées ? Combien de temps sont-elles conservées ? Où sont-elles stockées, physiquement et chez quel fournisseur ? Et surtout : à quelle date remonte le dernier test de restauration réel ?
Cette dernière question est celle qui compte vraiment. Elle sépare les prestataires qui ont un processus de ceux qui ont une case cochée dans un panneau d'administration. On croise encore régulièrement des sauvegardes automatiques qui échouaient silencieusement depuis huit mois, découvertes le jour où il aurait fallu les utiliser.
Relire les clauses de disponibilité et de réversibilité de votre contrat
Ressortez le contrat, même s'il date de 2019 et dort dans un classeur. Cherchez les mots « disponibilité », « intervention », « rétablissement », « réversibilité », « résiliation », « restitution des données ». Si aucun de ces termes n'apparaît, vous n'avez pas de contrat de service. Vous avez une facture récurrente.
Mesurer les performances réelles de votre serveur
PageSpeed Insights, GTmetrix ou WebPageTest, tous gratuits. Regardez spécifiquement le temps de réponse serveur, pas seulement la note globale. Répétez la mesure à différents moments : un mardi à 10 h et un dimanche à 23 h ne donnent pas les mêmes résultats sur un mutualisé chargé. L'écart entre les deux mesures est justement l'information intéressante.
Inventorier les accès en votre possession
Faites la liste, honnêtement. Compte registrar. Panneau d'hébergement. FTP ou SFTP. Base de données. Compte administrateur du CMS. Comptes des services tiers connectés (analytics, e-mailing, paiement, réservation).
Combien sont réellement en votre possession, dans un gestionnaire de mots de passe accessible à au moins deux personnes de l'entreprise ? Dans la plupart des PME, la réponse honnête tourne autour de deux sur sept. Ce n'est pas grave tant que tout va bien. Ça le devient très vite autrement.
Chiffrer le coût d'une journée d'indisponibilité pour votre activité
Le calcul qui dimensionne objectivement tout votre budget hébergement, et qui met fin aux discussions stériles sur le prix.
Prenez votre chiffre d'affaires annuel généré ou influencé par le site : ventes directes, demandes de devis converties, prises de rendez-vous. Divisez par 365. Ajoutez le coût du temps perdu en interne à gérer la crise. Ajoutez, avec toute la prudence nécessaire, une estimation du préjudice d'image.
Le résultat vous donne votre seuil. Une PME industrielle dont le site génère 200 000 € annuels de demandes qualifiées perd environ 550 € par jour d'arrêt. Un budget hébergement et infogérance de 3 000 € annuels représente alors moins de six jours de panne évités. La rentabilité de l'investissement devient évidente, et la discussion change complètement de nature.
À l'inverse, pour un site vitrine sans conversion mesurable dans un secteur où les clients viennent par recommandation, une indisponibilité de deux jours ne coûte presque rien. Un mutualisé à 8 € mensuels et une maintenance légère sont alors le choix rationnel. Payer 4 000 € annuels serait du gaspillage.
Il n'y a pas de bon ou de mauvais budget dans l'absolu. Il n'y a qu'un budget cohérent ou incohérent avec l'enjeu réel.
Bien choisir et bien contractualiser : ce qu'il faut exiger
Les questions à poser avant de signer
Quatre questions, à poser calmement, idéalement par écrit pour garder une trace :
« Chez quel hébergeur, sur quelle typologie technique, et à quel coût brut ? » Un prestataire transparent répond sans hésiter. Il n'a aucune raison de cacher qu'il utilise un hébergeur reconnu.
« Qui intervient en cas de panne, dans quel délai, et sur quelle plage horaire ? » Attention aux réponses en « on est très réactifs ». Demandez des heures et des jours.
« Où sont stockées les sauvegardes, et qui teste leur restauration ? » Le mot « teste » est le mot-clé de la question.
« Que se passe-t-il concrètement si nous décidons de partir dans deux ans ? » La réaction à cette question en dit souvent plus long que la réponse elle-même.
Les mentions non négociables du contrat
- Titularité du nom de domaine et des accès au nom du client. Sans exception, sans « c'est plus pratique pour nous ». Le prestataire peut être contact technique, jamais titulaire.
- Engagement de disponibilité chiffré et vérifiable. Un pourcentage, une méthode de mesure, un outil de contrôle. Sans mesure, l'engagement est décoratif.
- Clause de réversibilité avec périmètre et délai précis. Quels fichiers, quel format, sous combien de jours ouvrés, avec ou sans frais. Écrit à la signature, pas négocié à la rupture.
- Périmètre exact de la maintenance. Ce qui est inclus, ce qui est facturé en supplément, et à quel tarif horaire. Un contrat qui liste précisément ce qu'il ne couvre pas est infiniment plus rassurant qu'un contrat qui promet vaguement de « tout gérer ».
Les signaux d'alerte dans une proposition commerciale
Quatre indices qui doivent déclencher au minimum une demande de précision :
Une ligne « hébergement et maintenance » sans aucun détail, aucune décomposition, aucun volume horaire. Le flou est rarement innocent.
Un refus, ou une réticence, à communiquer le nom de l'hébergeur. Aucune raison légitime n'existe. Un prestataire fier de son infrastructure la mentionne spontanément.
Une absence totale de mention des sauvegardes dans le devis et le contrat. C'est le point le plus critique de toute exploitation web, et il n'apparaît nulle part ? Cela signifie généralement qu'il repose sur les sauvegardes par défaut de l'hébergeur, avec une rétention de quelques jours et aucun test.
Un engagement de durée long sans clause de sortie proportionnée. Trois ans, c'est très long en informatique. Si vous vous engagez sur cette durée, exigez une clause de sortie annuelle motivée.
Internaliser, externaliser, ou mixer : arbitrer selon votre maturité
Pour une PME sans équipe technique, le modèle recommandé est l'externalisation complète auprès d'un prestataire unique, avec un contrat détaillé et un interlocuteur identifié. Chercher à comprendre l'administration système pour économiser 100 € mensuels est un mauvais calcul : le temps du dirigeant vaut plus cher, et la compétence ne s'improvise pas en regardant des tutoriels.
Pour une structure disposant d'un profil technique en interne, un VPS non managé peut avoir du sens, à condition d'accepter deux réalités souvent sous-estimées. D'abord, ce profil ne sera pas disponible pendant ses congés ni le soir. Ensuite, si cette personne quitte l'entreprise, la connaissance part avec elle. La documentation de la configuration devient alors un livrable aussi important que le serveur lui-même. On a vu des serveurs devenir intouchables faute de savoir comment ils avaient été montés.
Enfin, le montage qui donne les meilleurs résultats sur la durée, tous profils confondus : contrat d'hébergement souscrit directement au nom du client, prestation de service facturée séparément par le prestataire. Le client paie son hébergeur, voit le prix réel, détient les accès. Le prestataire facture son temps sans avoir à le déguiser en produit. Chacun sait ce qu'il achète et ce qu'il vend.
Ce montage a un mérite supplémentaire, et pas des moindres : il rend le changement de prestataire possible sans changer d'infrastructure. La relation tient alors sur la qualité du service, pas sur une dépendance technique. C'est plus sain pour les deux parties, y compris pour le prestataire, dont les clients restent par satisfaction et non par contrainte.
Payer le bon prix pour le bon niveau de responsabilité
La règle à retenir tient en une phrase : un hébergement pas cher n'est pas un problème, un hébergement pas cher vendu comme un service en est un.
Des millions de sites tournent parfaitement sur du mutualisé à 6 € mensuels, et c'est très bien ainsi. Ce qui pose problème, c'est de croire qu'on a acheté une garantie de disponibilité, une surveillance et une intervention rapide, alors qu'on a acheté un espace disque et rien de plus. La déconvenue n'arrive pas à la signature. Elle arrive un vendredi soir, ou pendant les vacances de Noël, ou le jour du lancement de la campagne préparée pendant trois mois.
Le curseur se règle sur un seul critère : le coût d'une indisponibilité pour votre activité, pas le prix d'une machine. Un site qui ne rapporte rien ne mérite pas un budget d'infogérance. Un site qui porte 40 % des demandes commerciales mérite une infrastructure surveillée, des sauvegardes testées et un engagement de rétablissement chiffré. Le budget suit l'enjeu, jamais l'inverse.
Reste un dernier point, et peut-être le plus important. La transparence devrait être un critère de sélection au même titre que la compétence technique. Un prestataire qui explique où va l'argent, qui nomme son hébergeur, qui décompose son forfait et qui accepte que le nom de domaine soit au nom du client est un prestataire avec lequel on peut travailler dix ans. Celui qui esquive ces questions n'est pas forcément malhonnête. Mais il vous place, sans toujours en avoir conscience, dans une position de dépendance dont vous découvrirez le prix au plus mauvais moment.
Alors, une suggestion simple pour finir : ressortez votre contrat cette semaine. Vérifiez le titulaire de votre domaine. Demandez la date du dernier test de restauration. Trois vérifications, une heure de votre temps. Si tout est en ordre, vous dormirez mieux. Et si quelque chose cloche, vous l'aurez découvert un mardi matin au calme, plutôt qu'un vendredi soir dans l'urgence.
