Hébergeur web français : pourquoi héberger en France

Hébergeur web français : ce que l’expression recouvre vraiment

Un hébergeur web français, au sens utile pour un dirigeant de PME ou une agence, cumule trois caractéristiques : une société de droit français qui signe le contrat, des serveurs installés dans des datacenters en France, et une équipe d’exploitation et de support qui travaille depuis la France. Beaucoup d’offres n’en remplissent qu’une ou deux. Une filiale française d’un groupe américain signe un contrat français, mais reste soumise au droit de sa maison mère. Un hébergeur peut avoir son siège en France et ses machines ailleurs. Un revendeur peut vendre sous sa marque des serveurs loués à l’étranger.

Avant de comparer des prix, posez donc trois questions distinctes : qui signe le contrat et où est-il immatriculé ; dans quel pays se trouvent le serveur, ses sauvegardes et ses journaux ; depuis quel pays le support accède-t-il aux machines.

Sur un cas concret : NovaHoster est exploité par l’agence Novatis, installée à Montigny-le-Bretonneux (Yvelines) depuis 2009, comme l’explique la page à propos. Les hébergements mutualisés, WordPress, e-commerce, revendeur et les serveurs dédiés sont en France ; les VPS sont en Roumanie, en Moldavie ou en Russie, et la page des datacenters indique l’emplacement de chaque gamme avant la commande.

Droit applicable et RGPD : ce que change un hébergement web en France

Dès qu’un site enregistre une adresse IP dans ses journaux, un formulaire de contact ou un compte client, il traite des données personnelles au sens du RGPD (règlement (UE) 2016/679). Vous êtes le responsable de traitement ; l’hébergeur, qui stocke ces données pour votre compte, est un sous-traitant. L’article 28 impose qu’un contrat écrit encadre cette relation, quel que soit le pays de l’hébergeur.

Les clauses que l’article 28 exige dans le contrat d’hébergement

l’objet, la durée, la nature et la finalité du traitement, le type de données et les personnes concernées ;
le traitement des données uniquement sur instruction documentée du client ;
la confidentialité imposée au personnel de l’hébergeur ;
les mesures de sécurité mises en œuvre (article 32) ;
le régime des sous-traitants ultérieurs : autorisation préalable et information en cas de changement ;
l’aide apportée pour répondre aux personnes et pour notifier une violation de données (l’article 33 vous laisse 72 heures pour prévenir la CNIL) ;
la suppression ou la restitution des données en fin de contrat ;
la mise à disposition des informations nécessaires aux audits.

Un hébergeur de droit français est soumis directement au RGPD, à la loi Informatique et Libertés et au contrôle de la CNIL ; le contrat est en français et le tribunal compétent en France. Lisez tout de même l’annexe « protection des données » : elle doit exister, reprendre les points ci-dessus et nommer les sous-traitants ultérieurs (datacenter tiers, prestataire de sauvegarde, outil de support).

Le Cloud Act américain : la nationalité de l’hébergeur compte autant que le pays du serveur

Le Cloud Act (Clarifying Lawful Overseas Use of Data Act) est une loi fédérale américaine de 2018. Elle permet aux autorités des États-Unis d’exiger d’un fournisseur soumis à leur juridiction la remise de données qu’il détient ou contrôle, même stockées hors des États-Unis. Le critère n’est pas l’emplacement du disque, mais le lien juridique entre le fournisseur et les États-Unis : société américaine, filiale d’un groupe américain, ou entreprise exerçant une activité suffisante sur ce territoire.

Concrètement, un serveur loué à Paris auprès de la filiale européenne d’un hébergeur américain reste exposé à une telle demande. L’hébergeur peut la contester, mais c’est lui qui en décide, pas vous. Le point devient sensible dès que le site contient des données clients, des devis ou des données RH.

Transferts hors UE : un cadre juridique instable

Le chapitre V du RGPD (articles 44 à 49) encadre les transferts vers des pays tiers. Les États-Unis ont connu trois cadres successifs : le Safe Harbor, invalidé par la Cour de justice de l’Union européenne en 2015, le Privacy Shield, invalidé en 2020 (arrêt « Schrems II »), puis le Data Privacy Framework, adopté en 2023 et lui aussi contesté devant les juridictions européennes. À chaque invalidation, les entreprises concernées ont dû refaire leurs contrats. Héberger chez un prestataire de droit français, avec des serveurs en France, supprime cette dépendance : pas de transfert à justifier, pas de clauses contractuelles types à négocier (la CNIL décrit ces outils dans la source citée en fin de guide).

Attention aux briques invisibles : un site hébergé en France qui charge ses polices, ses statistiques ou son chat depuis des services américains réalise un transfert à chaque visite.

Latence : un public français servi depuis la France

Le temps de réponse d’un site dépend d’abord du traitement côté serveur, mais la distance s’ajoute à chaque échange. Entre un visiteur en France et un serveur en France, l’aller-retour réseau se compte en général en quelques millisecondes. Entre la France et la côte est des États-Unis, il faut souvent compter autour de 80 à 100 ms. Or une première connexion HTTPS exige plusieurs allers-retours (DNS, TCP, TLS, puis la requête) avant le premier octet : l’écart se multiplie, et un site dynamique outre-Atlantique démarre souvent plusieurs centaines de millisecondes plus tard qu’un site équivalent hébergé près de ses visiteurs.

Un CDN masque une partie de cet écart pour les fichiers statiques, pas pour les pages dynamiques : panier, espace client, recherche, et surtout le back-office utilisé toute la journée par vos équipes.

Comment mesurer vous-même

Depuis un poste en France, lancez ping -c 10 votre-domaine.fr et relevez la moyenne de la colonne time.
Mesurez le TTFB (time to first byte) avec curl -o /dev/null -s -w "%{time_starttransfer}\n" https://votre-domaine.fr/ ; cet indicateur combine réseau et traitement serveur.

Chez NovaHoster, les packs d’hébergement web mutualisé en France (NVMe, PHP 8.x avec OPcache, Plesk, SSL gratuit) démarrent à 99 €/an HT.

Support en français, heures françaises, facturation en euros HT

Un support basé en France répond aux heures où vos équipes travaillent, dans leur langue, et connaît l’écosystème local : Afnic pour les .fr, solutions de paiement françaises, obligations de facturation. Un incident à 9 h heure de Paris tombe parfois en pleine nuit pour une équipe étrangère, ou impose d’expliquer un problème PrestaShop en anglais.

Chez NovaHoster, le support fonctionne 7 jours sur 7 par livechat et tickets, assuré par des développeurs ; le guide pour ouvrir une demande de support efficace indique quelles informations joindre pour obtenir une réponse en une seule fois.

La facturation, un point souvent négligé

Devise : une facture en dollars subit le taux de change et parfois des frais bancaires ; le prix réel varie chaque mois.
TVA : une facture française mentionne un montant HT et la TVA française, récupérée sans formalité. Une facture hors UE relève de l’autoliquidation, avec un traitement comptable différent.
Renouvellement : vérifiez la durée d’engagement, le préavis et le prix du renouvellement, souvent différent du prix d’appel.

NovaHoster facture en euros HT ; l’hébergement web est couvert par un satisfait ou remboursé de 30 jours.

Vérifier où sont réellement vos données hébergées : la méthode en cinq étapes

Voici comment vérifier, en moins d’une heure, la localisation réelle d’un hébergement actuel ou envisagé.

Identifiez l’adresse IP du site. dig +short votre-domaine.fr (ou nslookup sous Windows). Si le site passe par un CDN, vous obtenez l’adresse du CDN, pas celle du serveur d’origine ; demandez alors cette dernière au prestataire.
Consultez le registre de l’adresse. whois 203.0.113.10 indique l’organisation à laquelle le bloc est attribué et le registre régional (RIPE NCC pour l’Europe, ARIN pour l’Amérique du Nord). Le nom de l’organisation révèle souvent le véritable opérateur du datacenter, qui n’est pas toujours celui qui vous facture.
Tracez le chemin réseau. traceroute votre-domaine.fr (tracert sous Windows) liste les routeurs traversés. Les derniers sauts portent souvent un code de ville (par, rbx, fra, ams). Un temps final de quelques millisecondes depuis la France est incompatible avec un serveur sur un autre continent.
Lisez les en-têtes. curl -I https://votre-domaine.fr/ ; certains CDN ou reverse proxies y indiquent le nœud qui a servi la page.
Demandez l’écrit. Faites confirmer, avant la commande, le pays et la ville du datacenter pour le serveur, les sauvegardes et les journaux, ainsi que le pays depuis lequel le support accède aux machines. Une réponse vague est une information en soi.

Les sauvegardes méritent une question à part : il est fréquent qu’un serveur soit en France et que ses copies partent dans un autre pays, parfois chez un tiers. Le guide pour sauvegarder, migrer et restaurer un site détaille comment organiser vos propres copies, indépendantes de celles de l’hébergeur, et comment les tester.

Hébergeur français, hébergeur étranger, plateforme SaaS : le tableau comparatif

Le tableau décrit des situations typiques ; chaque contrat peut s’en écarter, d’où l’importance des vérifications précédentes.

Critère	Hébergeur français (société et serveurs en France)	Hébergeur étranger (ou filiale d’un groupe non européen)	Plateforme SaaS (site clé en main)
Droit du contrat	Droit français, tribunaux français, CGV en français	Droit du pays du siège, parfois arbitrage, CGV en anglais	Droit du pays de l’éditeur, CGV non négociables
RGPD et article 28	Sous-traitant soumis directement au RGPD et à la CNIL	RGPD applicable, recours plus complexe ; transfert à encadrer si hors UE	Éditeur sous-traitant, chaîne de sous-traitants ultérieurs souvent longue
Exposition au Cloud Act	Non, si aucune entité américaine dans la chaîne	Oui pour une société américaine ou sa filiale, même avec serveurs en UE	Fréquente : la plupart des grandes plateformes sont américaines
Latence pour un public français	Faible, serveur à quelques centaines de kilomètres	Faible si datacenter en UE, élevée hors Europe	Dépend du CDN de la plateforme ; back-office souvent lointain
Support	Français, heures françaises	Anglais ou français traduit, fuseaux décalés	Centre d’aide en ligne, assistance humaine selon le forfait
Facturation	Euros HT, TVA française	Dollars ou euros, autoliquidation possible	Abonnement mensuel, souvent en dollars
Réversibilité	Export complet (fichiers, bases, e-mails) par Plesk ou SFTP	Export complet en général possible	Export partiel : le thème et certaines fonctions ne sortent pas

La plateforme SaaS convient à une vitrine simple sans données sensibles ; elle devient un problème quand le site stocke des données clients ou doit être migré, car la sortie est rarement complète.

Liste de contrôle : les questions à poser à un hébergeur avant de signer

Envoyez ces questions par écrit au service commercial et conservez les réponses avec le contrat. Elles distinguent vite un hébergeur transparent d’un revendeur qui ignore où sont ses machines.

Localisation et entité

Quelle société signe le contrat, dans quel pays est-elle immatriculée, qui est sa maison mère ?
Dans quelle ville et quel datacenter se trouvent le serveur, les sauvegardes et les journaux ?
Toutes les gammes sont-elles au même endroit ? Si non, lesquelles sont ailleurs ?

Conformité

Fournissez-vous un accord de sous-traitance conforme à l’article 28 du RGPD, et pouvez-vous l’envoyer avant la commande ?
Quelle est la liste de vos sous-traitants ultérieurs et comment sommes-nous prévenus d’un changement ?
Sous quel délai nous informez-vous d’une violation de données ?
Depuis quel pays vos administrateurs et votre support accèdent-ils aux serveurs ?
Quelles certifications pouvez-vous prouver par un certificat nominatif et daté ?

Exploitation

Quelle fréquence de sauvegarde, quelle rétention, et la restauration est-elle en libre-service ?
Quel engagement de disponibilité, et quelle compensation en cas de manquement ?
Comment les comptes sont-ils isolés entre eux sur une offre mutualisée ?
Quels horaires et canaux de support, et qui répond : un technicien ou un script ?
Comment récupère-t-on l’intégralité des données en fin de contrat, et sous quel délai sont-elles effacées ?

Pour référence, NovaHoster répond publiquement sur l’exploitation : sauvegardes quotidiennes, isolation par CloudLinux (LVE, CageFS), Imunify360, SLA de 99,99 % sur le mutualisé, export complet depuis Plesk Obsidian.

Et les VPS ? Le cas où l’hébergeur français n’héberge pas en France

Il faut le dire clairement, car c’est le type d’information que ce guide vous apprend à exiger : tous les hébergeurs français n’hébergent pas toutes leurs gammes en France, NovaHoster compris. Les serveurs VPS sont hébergés en Roumanie, en Moldavie ou en Russie, au choix du client à la commande. La Roumanie est membre de l’Union européenne et relève du RGPD sans transfert à justifier ; la Moldavie et la Russie n’en font pas partie. Pour un projet qui impose que les données restent en France, un VPS n’est donc pas la bonne gamme, et le site le dit avant l’achat.

Pour une machine complète en France, les serveurs dédiés sont proposés en 67 configurations à Gravelines, Roubaix et Strasbourg, infogérance incluse chaque année. Pour un site d’entreprise, un WordPress ou une boutique, le mutualisé, l’hébergement WordPress et l’hébergement e-commerce sont en France.

Décider en pratique : la localisation ne remplace ni la sécurité ni les sauvegardes

Un serveur en France protège le cadre juridique de vos données, pas leur intégrité : un WordPress non mis à jour se fait pirater aussi vite à Roubaix qu’ailleurs. L’hébergeur règle la partie « infrastructure » de l’article 32 ; la partie « application » reste à votre charge. Le guide sur les bonnes pratiques de sécurité pour un hébergement décrit cette routine et l’exploitation des alertes Imunify360. L’ANSSI publie par ailleurs un guide d’hygiène informatique dont plusieurs mesures s’appliquent directement à un site hébergé.

Une grille de décision en trois niveaux

Le site ne collecte presque rien (vitrine, formulaire de contact) : un hébergeur de droit français avec serveurs en France suffit et élimine les questions de transfert, souvent dès une centaine d’euros par an HT.
Le site stocke des données clients (e-commerce, espace membre, rendez-vous) : exigez l’accord de sous-traitance avant la commande, la localisation écrite des sauvegardes et, pour écarter le Cloud Act, une chaîne sans entité américaine.
Le site traite des données sensibles ou réglementées (santé, données judiciaires, secteur public) : la localisation en France est un préalable, pas une réponse ; faites valider le choix par votre DPO et exigez les certifications prévues par votre réglementation.

Dans tous les cas, gardez la main : domaine à votre nom, sauvegarde hors hébergement, accès documentés, ligne « hébergeur » à jour dans votre registre des traitements (article 30). Un hébergeur, même français, reste un prestataire que vous devez pouvoir quitter en quelques jours ; si la migration entrante est gratuite en 24 heures, demandez avant de signer ce qu’il en est de la sortante.

Questions fréquentes

Un hébergeur web français est-il obligatoirement conforme au RGPD ?

Non. Le RGPD s’applique à tout hébergeur qui traite des données de résidents européens, français ou non, mais l’appliquer suppose un contrat de sous-traitance conforme à l’article 28, des mesures de sécurité et une gestion des sous-traitants ultérieurs. Un hébergeur de droit français relève directement de la CNIL, ce qui simplifie les recours, mais la conformité se vérifie dans le contrat, pas dans la nationalité.

Le Cloud Act s’applique-t-il si le serveur est physiquement en France ?

Oui, dès lors que le fournisseur est soumis à la juridiction américaine : société américaine, filiale européenne d’un groupe américain ou entreprise exerçant une activité suffisante aux États-Unis. Le Cloud Act vise les données que le fournisseur détient ou contrôle, où qu’elles soient stockées. Seule une chaîne sans entité américaine, du datacenter au contrat, écarte cette exposition.

Comment savoir si mon site est hébergé en France ?

Relevez l’adresse IP avec dig ou nslookup, puis consultez whois pour identifier l’organisation propriétaire du bloc d’adresses et le registre (RIPE pour l’Europe). Lancez un traceroute : les derniers sauts portent souvent un code de ville, et un temps de réponse de quelques millisecondes depuis la France exclut un autre continent. Faites ensuite confirmer par écrit l’emplacement du serveur, des sauvegardes et des journaux.

Quelle différence de latence entre un hébergement en France et aux États-Unis ?

Un aller-retour réseau France–France se compte en général en quelques millisecondes ; France–côte est des États-Unis, souvent autour de 80 à 100 ms. Comme une connexion HTTPS exige plusieurs allers-retours avant le premier octet, l’écart se multiplie et un site dynamique outre-Atlantique démarre souvent plusieurs centaines de millisecondes plus tard. Un CDN atténue l’écart sur les fichiers statiques, pas sur les pages dynamiques.

Que doit contenir le contrat de sous-traitance avec mon hébergeur ?

L’article 28 du RGPD exige au minimum : l’objet, la durée et la finalité du traitement, le traitement sur instruction du client, la confidentialité du personnel, les mesures de sécurité, l’encadrement des sous-traitants ultérieurs, l’aide à la réponse aux personnes et à la notification des violations, la suppression ou restitution des données en fin de contrat, et la contribution aux audits. Demandez ce document avant la commande.

Les données hébergées en France sont-elles à l’abri de toute demande étrangère ?

Non, aucune localisation ne garantit cela. Un hébergeur français avec des serveurs en France n’est pas soumis au Cloud Act, mais il reste tenu de répondre aux réquisitions judiciaires françaises et aux mécanismes d’entraide internationale prévus par la loi. L’avantage réel est que ces demandes passent par le droit français et un juge français, avec des voies de recours connues.

Un hébergeur français peut-il avoir des serveurs à l’étranger ?

Oui, et c’est fréquent pour certaines gammes. NovaHoster, par exemple, héberge le mutualisé, WordPress, l’e-commerce et les serveurs dédiés en France, mais ses VPS sont en Roumanie, en Moldavie ou en Russie. Le bon réflexe est de demander l’emplacement gamme par gamme, et de vérifier que le pays est annoncé avant la commande plutôt que découvert après.

Faut-il un hébergeur certifié pour héberger des données personnelles ?

Le RGPD n’impose aucune certification pour héberger des données personnelles ordinaires ; il impose un contrat conforme et des mesures de sécurité adaptées. Les données de santé font exception : le Code de la santé publique exige un hébergeur certifié HDS. Pour toute certification annoncée, demandez le certificat, l’organisme émetteur, le périmètre et la date de validité.

Guides liés

Pour aller plus loin sur le même sujet, et sur ce qui l’entoure :

Sources techniques

[1] EUR-Lex — Règlement (UE) 2016/679 (RGPD), texte intégral [2] CNIL — Le règlement général sur la protection des données (RGPD) [3] CNIL — Guide du sous-traitant (RGPD) [4] CNIL — Transférer des données hors de l’UE [5] ANSSI — Guide d’hygiène informatique

Votre situation ne correspond pas exactement à ce guide ?

Les options visibles et les formules dépendent de votre abonnement. Faites vérifier le contexte depuis l’Espace client, sans transmettre de mot de passe.

Demander une vérification

Hébergeur web français : pourquoi héberger son site en France (RGPD, Cloud Act, latence, support)