Datacenter en France : ce que le lieu change, et ce qu’il ne change pas
Choisir un datacenter en France revient à décider où vivent physiquement vos fichiers, vos bases de données, vos sauvegardes et vos journaux. Pour un dirigeant, un DSI de PME ou une agence, ce choix pèse sur quatre points : le temps de réponse pour un public français, le droit applicable aux données, la continuité de service et les preuves à présenter à un client, à un auditeur ou à la CNIL. Il ne garantit ni la sécurité de votre application, ni la qualité du support, ni la conformité du contrat : ces points se vérifient séparément.
Quatre notions se confondent souvent dans les offres d’hébergement datacenter français :
- le lieu du serveur : la salle où se trouve la machine ;
- l’exploitant du datacenter : la société qui possède le bâtiment et loue des baies ;
- l’hébergeur : celui qui loue le serveur et signe votre contrat ;
- le droit applicable à chacun, selon sa nationalité et celle de sa maison mère.
Un « serveur hébergé en France » peut combiner ces éléments de manière favorable ou non : un bâtiment parisien appartenant à un groupe américain, loué par un hébergeur néerlandais, avec des sauvegardes copiées en Irlande, reste « en France » dans la brochure. La suite prend ces critères un par un, puis donne un tableau de questions et une liste de contrôle en douze points.
Latence : ce qu’un serveur hébergé en France apporte à un public français
La distance physique se paie à chaque aller-retour réseau. Entre un visiteur en France et un serveur situé en France, l’aller-retour se compte en général en quelques millisecondes à une vingtaine, selon l’opérateur et la région. Depuis l’Allemagne ou les Pays-Bas, il faut souvent compter un peu plus ; depuis l’Amérique du Nord, nettement plus, de l’ordre de la centaine de millisecondes.
Ce chiffre paraît faible, mais une page dynamique l’additionne : DNS, poignée de main TCP, négociation TLS, requête, puis chaque appel vers une API ou un prestataire de paiement. Une boutique qui enchaîne une dizaine d’allers-retours avant d’afficher le panier ressent directement l’écart. Le guide sur la vitesse de site et les Core Web Vitals détaille quelle part du temps de réponse dépend de l’hébergement et quelle part dépend du site lui-même.
Trois cas où la localisation du serveur compte peu
- Un site vitrine statique derrière un CDN : les fichiers sont servis depuis le point de présence le plus proche du visiteur.
- Un public principalement hors de France : placez le serveur près du public, pas du siège.
- Une application dont le traitement serveur dépasse largement le temps réseau (SQL lent, PHP sans cache) : optimisez avant de déménager.
Pour mesurer plutôt que supposer, lancez ping et traceroute vers l’adresse IP du serveur depuis plusieurs connexions françaises : bureau, 4G, fibre.
Droit applicable, RGPD et lois extraterritoriales : la localisation des données
Le RGPD s’applique dès qu’un site traite des données de personnes situées dans l’Union, quel que soit le pays du serveur. Un datacenter en France simplifie trois choses : aucun transfert hors de l’Union à documenter, un sous-traitant qui relève directement de la CNIL, un contrat de droit français. La CNIL rappelle qu’un stockage hors de l’Union, ou un simple accès depuis un pays tiers, constitue un transfert qui exige un cadre juridique (décision d’adéquation, clauses contractuelles types).
Le lieu du disque ne suffit pas. Un hébergeur soumis à une juridiction non européenne peut recevoir d’une autorité étrangère une demande de remise des données qu’il contrôle, même stockées en France. Pour réduire cette exposition, toute la chaîne doit être européenne : exploitant du bâtiment, hébergeur, signataire du contrat, prestataires de sauvegarde et de supervision. Le guide hébergeur web français : pourquoi héberger en France développe ce point, notamment la loi américaine Cloud Act.
Ce que le datacenter ne fait pas à votre place
Il ne rédige ni votre registre des traitements, ni votre bandeau de cookies, ni votre contrat de sous-traitance (article 28). Le guide RGPD pour un site de PME fournit la liste de contrôle correspondante, côté hébergement et côté formulaires.
Continuité : alimentation, refroidissement et niveaux Tier expliqués prudemment
Un datacenter se juge à ce qui se passe quand un équipement tombe en panne :
- Alimentation : deux arrivées électriques indépendantes (chaînes A et B), onduleurs, groupes électrogènes avec réserve de carburant, essais réguliers en charge réelle.
- Refroidissement : redondance N+1 au minimum (une unité de plus que le besoin), surveillance de la température par allée ou par baie.
- Sécurité physique : contrôle d’accès à plusieurs niveaux, vidéosurveillance, détection et extinction incendie, registre des interventions.
- Maintenance sans coupure : remplacer un équipement sans arrêter les serveurs.
Les niveaux Tier : ce qu’ils disent et ce qu’ils ne disent pas
La classification de l’Uptime Institute va de Tier I à Tier IV. Schématiquement : Tier I, une seule chaîne sans redondance ; Tier II, des composants redondants mais une seule chaîne de distribution ; Tier III, plusieurs chaînes et une maintenance sans interruption ; Tier IV, toute défaillance unique est absorbée.
Deux précautions. D’abord, « équivalent Tier III » n’est pas une certification : seul l’Uptime Institute délivre un certificat, qui porte sur les plans, sur le bâtiment construit ou sur l’exploitation. Demandez lequel, et pour quel site. Ensuite, le Tier décrit le bâtiment, pas votre serveur : un disque unique sans sauvegarde dans un Tier IV reste un point de défaillance unique. Les taux de disponibilité associés à chaque niveau circulent beaucoup ; ils sont théoriques. Ce qui vous engage, c’est le SLA écrit du prestataire.
La continuité se construit aussi de votre côté. Le guide sauvegarde 3-2-1 pour un site de PME explique comment conserver une copie hors du datacenter, quel que soit son niveau.
Connectivité : plusieurs opérateurs, peering et protection contre les attaques
Un bâtiment bien alimenté mais raccordé à un seul opérateur reste fragile. Cinq questions font la différence :
- Combien d’opérateurs de transit distincts arrivent dans le bâtiment, par combien de chemins physiques séparés ?
- Le réseau est-il annoncé en BGP, avec bascule automatique si un opérateur tombe ?
- Le datacenter est-il présent sur un point d’échange Internet français, France-IX par exemple ? Le peering raccourcit le chemin vers les fournisseurs d’accès du pays.
- Une protection contre les attaques par déni de service est-elle incluse ? Avec quel volume absorbé et quel délai de mitigation ?
- La bande passante annoncée est-elle garantie ou partagée ?
Un traceroute depuis une box Orange, Free, SFR ou Bouygues montre combien de sauts séparent vos visiteurs du serveur et par quels réseaux ils passent. Un chemin court, sans détour à l’étranger, est en général bon signe.
Certification datacenter ISO 27001, HDS, SecNumCloud, PCI DSS : ce que chaque label garantit
Les certifications rassurent, à condition de savoir ce qu’elles couvrent.
ISO/IEC 27001 : la sécurité de l’information, pas la qualité du service
Cette norme internationale certifie qu’une organisation applique un système de management de la sécurité de l’information : analyse de risques, politiques, contrôles, audits, amélioration continue. Un auditeur indépendant vérifie le système, pas chaque serveur. Sur le certificat, lisez l’entité certifiée, le périmètre, la validité et l’organisme certificateur. Un certificat au nom de l’exploitant du bâtiment ne couvre pas l’hébergeur qui y loue des baies.
HDS hébergement santé : obligatoire pour les données de santé à caractère personnel
En France, quiconque héberge pour le compte d’un tiers des données de santé à caractère personnel recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi médico-social doit être certifié « hébergeur de données de santé ». Le référentiel est publié par l’Agence du Numérique en Santé sur esante.gouv.fr, qui tient la liste des hébergeurs certifiés. La certification distingue plusieurs activités (locaux, infrastructure, plateforme, administration, sauvegarde) : un prestataire peut n’être certifié que pour certaines. Un cabinet médical, une mutuelle ou une agence qui construit un service avec dossier patient vérifie ce point avant de choisir l’hébergement. Un mutualisé classique, même en France, n’est pas HDS par défaut.
SecNumCloud : le référentiel de l’ANSSI pour le cloud de confiance
SecNumCloud est le référentiel publié par l’ANSSI sur cyber.gouv.fr pour qualifier des fournisseurs de services cloud. Il couvre la sécurité technique et organisationnelle et comporte des exigences visant à limiter l’exposition aux lois extraterritoriales. Il est attendu, selon les doctrines en vigueur, pour certains usages du secteur public et des opérateurs d’importance vitale. Une PME classique n’y est pas tenue ; la liste des prestataires qualifiés publiée par l’ANSSI sert de référence si vous travaillez pour ces clients.
PCI DSS : le paiement par carte
Cette norme du secteur des cartes de paiement s’impose aux entités qui stockent, traitent ou transmettent des données de carte. Pour la plupart des boutiques, la voie la plus simple consiste à ne jamais faire transiter le numéro de carte par votre serveur : page de paiement hébergée ou champs encapsulés par le prestataire de paiement, lui-même certifié. C’est alors votre questionnaire d’auto-évaluation qui compte, pas la certification du datacenter.
Datacenter, hébergeur, service : trois périmètres de certification à ne pas confondre
Une certification s’attache à une entité juridique et à un périmètre déclaré. Une chaîne d’hébergement comporte au moins trois niveaux, et une certification ne « descend » pas automatiquement de l’un à l’autre.
| Niveau | Qui est certifié | Ce que cela couvre | Ce que cela ne couvre pas |
|---|---|---|---|
| Bâtiment | L’exploitant du datacenter | Accès physique, énergie, refroidissement, incendie, procédures d’exploitation du site | La configuration de votre serveur, vos sauvegardes, les accès logiques |
| Hébergeur | La société qui loue le serveur ou l’espace | Ses procédures, ses accès administrateurs, ses sauvegardes, dans le périmètre déclaré | Votre application, vos comptes utilisateurs, vos extensions |
| Service | Une offre précise de l’hébergeur ou de l’éditeur | La gamme nommée sur le certificat (par exemple certaines activités HDS) | Les autres gammes du même prestataire |
Pour chaque certification annoncée, demandez trois pièces : la copie du certificat, le périmètre et le nom de l’entité certifiée, à comparer avec la société qui signe votre contrat. Un revendeur qui cite la certification de son fournisseur doit pouvoir dire lequel, et sur quelle gamme.
Vérifier l’emplacement réel d’un serveur en quatre étapes
Une adresse postale sur un site commercial n’est pas une preuve.
- Récupérez l’adresse IP du site.
dig +short votre-domaine.frounslookup votre-domaine.fr. Derrière un CDN, vous obtenez l’adresse du CDN : demandez celle du serveur d’origine. - Interrogez le registre de l’adresse.
whois 203.0.113.10renvoie l’organisation titulaire du bloc, le registre régional (RIPE NCC pour l’Europe) et souvent un champ pays. Le nom révèle fréquemment le véritable opérateur, qui n’est pas toujours celui qui vous facture. - Suivez le chemin réseau.
tracerouteoumtraffiche les routeurs traversés ; leurs noms contiennent souvent un code de ville. Une latence finale de quelques millisecondes depuis Paris est cohérente avec un serveur en France ; plusieurs dizaines ne le sont pas. - Posez la question par écrit et faites-la figurer au contrat. Demandez la ville et le datacenter du serveur, des sauvegardes, des journaux et des réplicas, ainsi que les pays d’accès du support. Conservez la réponse avec le contrat.
Tableau : critère, question à poser, preuve à demander
Envoyez ces questions telles quelles au service commercial. Une réponse vague est déjà une information.
| Critère | Question à poser | Preuve à demander |
|---|---|---|
| Localisation du serveur | Dans quelle ville et quel datacenter se trouve ma machine ? | Nom du site, adresse IP, clause contractuelle |
| Localisation des sauvegardes | Où sont copiées les sauvegardes, et dans quel pays ? | Description du dispositif, clause au contrat |
| Entité contractante | Quelle société signe, et qui est sa maison mère ? | Extrait Kbis ou équivalent, CGV |
| Accès du support | Depuis quels pays vos équipes accèdent-elles aux serveurs ? | Liste écrite, registre des sous-traitants ultérieurs |
| Niveau Tier | Certifié par l’Uptime Institute, ou « équivalent » ? | Certificat avec type (conception, construction, exploitation) |
| Connectivité | Combien d’opérateurs, quel peering, quelle protection DDoS ? | Liste des transitaires, points d’échange, fiche anti-DDoS |
| ISO 27001 | Qui est certifié et sur quel périmètre ? | Certificat, périmètre, organisme, validité |
| HDS | Pour quelles activités êtes-vous certifié ? | Certificat HDS et inscription sur la liste de l’ANS |
| Disponibilité | Quel SLA, comment est-il mesuré et compensé ? | Clause SLA, historique des incidents |
| Réversibilité | Comment récupérer fichiers, bases et e-mails en fin de contrat ? | Procédure écrite, format des exports, délai |
Liste de contrôle en 12 points avant de choisir un datacenter en France
Cochez chaque point avec une réponse écrite.
- Le serveur, les sauvegardes et les journaux sont en France, et la clause de localisation figure au contrat.
- La société qui signe est de droit français ou européen, sans maison mère hors de l’Union si c’est votre exigence.
- Un contrat de sous-traitance conforme à l’article 28 du RGPD est fourni avant la commande.
- Les pays d’accès du support et des sous-traitants ultérieurs sont listés.
- L’alimentation est redondante (deux chaînes, onduleurs, groupes électrogènes testés).
- Le refroidissement est redondant et la maintenance se fait sans coupure.
- Le niveau Tier annoncé est justifié par un certificat, ou présenté honnêtement comme « équivalent ».
- Plusieurs opérateurs de transit et une présence sur un point d’échange français sont documentés.
- Une protection anti-DDoS est incluse, limites écrites.
- Chaque certification (ISO 27001, HDS, SecNumCloud, PCI DSS) est fournie avec son périmètre et son entité, et correspond à la gamme achetée.
- Le SLA est écrit, mesurable et assorti de pénalités ou d’avoirs.
- La réversibilité (export complet, délai, format) et vos sauvegardes hors datacenter sont prévues dès le départ.
Si vous hésitez encore entre hébergement partagé et machine entière, le guide mutualisé, VPS ou serveur dédié : lequel choisir compare les trois formules.
Où sont les serveurs NovaHoster, et ce qu’il faut nous demander
Appliquée à NovaHoster, la méthode donne ceci. L’hébergement mutualisé des packs hébergement web, l’hébergement WordPress, l’hébergement e-commerce et l’offre revendeur sont hébergés en France. Les serveurs dédiés sont installés à Gravelines, Roubaix ou Strasbourg ; l’emplacement est indiqué sur chaque configuration avant la commande. Les serveurs VPS, eux, sont hébergés en Roumanie, en Moldavie ou en Russie, au choix du client à la commande. Un projet qui impose contractuellement un datacenter français ne doit donc pas être placé sur cette gamme. La page Nos datacenters récapitule chaque gamme.
Sur les certifications, ce guide n’en attribue aucune à NovaHoster ni à ses datacenters partenaires : ce genre d’affirmation se vérifie sur pièce. Posez-nous les mêmes questions qu’à tout prestataire, par ticket ou par livechat : quelles certifications détiennent les sites qui hébergent votre gamme, au nom de quelle entité, sur quel périmètre, avec quelle validité ; où sont conservées les sauvegardes quotidiennes. Vous recevrez une réponse écrite à joindre à votre dossier.
Questions fréquentes
Un datacenter en France garantit-il la conformité au RGPD ?
Quelle latence attendre d’un serveur hébergé en France ?
Comment savoir dans quel pays mon site est hébergé ?
La certification ISO 27001 suffit-elle pour héberger des données de santé ?
SecNumCloud est-il obligatoire pour une PME ?
Que signifie « Tier III » pour un datacenter ?
Les sauvegardes doivent-elles aussi être hébergées en France ?
Tous les serveurs NovaHoster sont-ils en France ?
Guides liés
Pour aller plus loin sur le même sujet, et sur ce qui l’entoure :
Sources techniques
[1] Agence du Numérique en Santé — Certification des hébergeurs de données de santé (HDS) [2] ANSSI — SecNumCloud pour les fournisseurs de services cloud [3] CNIL — Transférer des données hors de l’UE [4] ISO — ISO/IEC 27001, systèmes de management de la sécurité de l’information [5] PCI Security Standards Council — Norme PCI DSS
Les options visibles et les formules dépendent de votre abonnement. Faites vérifier le contexte depuis l’Espace client, sans transmettre de mot de passe.
Demander une vérification