Infogérance serveur : de quoi parle-t-on exactement ?
L’infogérance serveur consiste à confier l’administration quotidienne d’un VPS ou d’un serveur dédié à un prestataire : surveillance, mises à jour, sécurité, sauvegardes et traitement des incidents. Vous restez propriétaire du serveur, des données et des applications ; le prestataire prend en charge la couche système pour que vous n’ayez plus à vous connecter en SSH à 23 h parce qu’un service est tombé.
Le mot recouvre pourtant des prestations très différentes. Chez certains, c’est une sonde qui envoie un e-mail quand le serveur ne répond plus. Chez d’autres, c’est une équipe qui applique les correctifs, durcit la configuration et restaure une sauvegarde avant que vous ayez remarqué la panne. La seule façon de comparer deux offres est de lire le périmètre du contrat d’infogérance ligne par ligne, et de poser les bonnes questions avant de signer.
Les trois niveaux d’infogérance que vous rencontrerez
Les offres du marché se rangent presque toutes dans l’un de ces trois niveaux. Identifiez celui dont vous avez besoin avant de regarder les prix.
Niveau 1 : surveillance seule (monitoring)
Le prestataire installe des sondes (disponibilité HTTP, CPU, disque, mémoire, services critiques) et vous alerte. Il ne touche pas au serveur : en cas de panne, c’est vous qui réparez. Utile seulement si vous avez déjà un technicien capable d’intervenir.
Niveau 2 : infogérance système
C’est le niveau le plus courant quand on parle d’externaliser l’administration serveur. Le prestataire administre le système et les services de base : mises à jour de sécurité, pare-feu, accès SSH, serveur web, base de données, PHP ou runtime, sauvegardes, diagnostic et résolution des incidents d’infrastructure. Il ne modifie pas votre code.
Niveau 3 : infogérance système + applicative
Le prestataire intervient aussi sur l’application : mise à jour d’un CMS ou d’une extension, bug bloquant, cache applicatif, déploiement. Ce niveau est rare en forfait fixe, parce que chaque application est différente ; il se vend le plus souvent en temps d’intervention mensuel ou sur devis.
Un contrat qui ne nomme pas son niveau est un contrat à faire préciser : « serveur géré » seul ne dit rien du périmètre réel.
Ce qu’un contrat d’infogérance serveur couvre en général
Voici le périmètre à attendre d’une infogérance système sérieuse. Si une ligne manque dans la proposition, demandez pourquoi.
- Mises à jour du système d’exploitation : correctifs de sécurité de la distribution (Debian, Ubuntu, AlmaLinux, Windows Server…), du noyau et des paquets, avec redémarrage planifié si nécessaire. Le contrat doit indiquer la fréquence et la fenêtre horaire.
- Sécurité de base : pare-feu, accès SSH par clé, protection contre la force brute, permissions des fichiers, suppression des services inutiles, veille sur les vulnérabilités.
- Sauvegardes : planification, rétention définie et surtout test de restauration. Une sauvegarde jamais restaurée n’est pas une sauvegarde.
- Monitoring : disponibilité et ressources surveillées 24h/24, avec seuils d’alerte et escalade vers un humain.
- Traitement des incidents : diagnostic, remise en service, puis explication de la cause. Un ticket fermé par « redémarré, ça remarche » n’est pas un traitement d’incident.
- Astreinte : technicien joignable hors heures ouvrées, selon la formule. C’est souvent ce qui sépare les paliers de prix.
- Audit initial : état des lieux à la reprise (versions, services exposés, sauvegardes, points faibles) et corrections proposées.
Ce qui reste à votre charge, même avec le meilleur contrat
L’infogérance couvre l’infrastructure. Ce qui est propre à votre projet reste votre responsabilité : le prestataire ne connaît ni votre code ni vos règles métier.
- Le code de votre application : bugs, régressions, compatibilité avec une nouvelle version de PHP ou de Node.js. Le prestataire peut vous montrer la ligne de log qui prouve que l’erreur 500 vient de l’application ; la correction revient à votre développeur.
- Le CMS et ses extensions : WordPress, PrestaShop, thèmes et plugins. Un contrat système ne met pas à jour vos extensions, alors que c’est là que se trouvent la plupart des failles exploitées. Quand une vulnérabilité PHP est publiée, l’infogérant met à jour les paquets du serveur ; vérifier que votre boutique fonctionne sur la version corrigée est votre ressort. Le guide sur la faille PHP2Shell montre concrètement comment changer de version PHP dans Plesk et quoi tester ensuite.
- Le contenu et les données métier : produits, commandes, articles, fichiers de vos utilisateurs. Le prestataire les sauvegarde ; il ne les corrige pas.
- Les mots de passe et les accès : comptes d’administration du CMS, clés d’API, identifiants de paiement. Leur robustesse, leur rotation et leur partage vous appartiennent.
- Les licences de thèmes, d’extensions et de logiciels tiers.
- La conformité de vos traitements : registre RGPD, mentions légales, durées de conservation. L’hébergeur est sous-traitant ; vous restez responsable de traitement.
Pour savoir vite si un incident vient du serveur ou de votre code, le guide pour lire les logs en production montre où trouver les journaux et comment distinguer les deux.
Tableau : inclus, optionnel ou à votre charge
Ce que l’on observe en général sur une infogérance système ; comparez ligne à ligne avec le contrat proposé.
| Tâche | Inclus en général | Optionnel ou sur devis | À votre charge |
|---|---|---|---|
| Correctifs de sécurité du système | Oui | ||
| Mise à jour des services (web, base de données, PHP, runtime) | Oui | ||
| Pare-feu, accès SSH, durcissement | Oui | ||
| Monitoring et alertes | Oui | ||
| Sauvegardes et test de restauration | Oui | Copie externalisée hors du serveur, rétention longue | |
| Diagnostic et résolution d’un incident serveur | Oui | ||
| Astreinte nuit et week-end | Selon formule | Souvent le palier supérieur | |
| Rapport d’activité mensuel | Souvent | ||
| Installation d’un nouveau service (Redis, Node.js, Docker…) | Temps d’intervention inclus ou devis | ||
| Migration vers un autre serveur | Sur devis | ||
| Mise à jour du CMS, des thèmes, des extensions | Niveau applicatif uniquement | Oui en infogérance système | |
| Correction d’un bug dans votre code | Rare, sur devis | Oui | |
| Contenu, catalogue, commandes | Oui | ||
| Mots de passe, comptes admin, clés d’API | Oui | ||
| Optimisation du cache applicatif | Niveau applicatif | Oui en infogérance système | |
| Conformité RGPD de vos traitements | Oui |
Si un prestataire coche « inclus » partout, code et extensions compris, demandez combien d’heures d’intervention sont réellement comprises par mois. Un périmètre illimité à prix fixe n’existe pas.
Les indicateurs à exiger dans le contrat d’infogérance
Le périmètre dit ce que le prestataire fait. Les indicateurs disent en combien de temps et avec quelle preuve. Exigez qu’ils soient écrits.
Délai de prise en charge et délai de résolution
Deux notions différentes. La prise en charge est le temps avant qu’un technicien commence à travailler sur votre ticket. La résolution est rarement garantie, car une panne matérielle ne se règle pas sur commande. Exigez au moins la première, en heures, différenciée selon la gravité (serveur injoignable, service dégradé, simple demande).
Plage horaire et astreinte
« Support 24h/24 » peut vouloir dire qu’un robot accuse réception à 3 h du matin. Demandez quand un humain intervient réellement, jours fériés compris, et si cela change selon le palier.
Rapport mensuel
Même court, il doit lister les mises à jour appliquées, les incidents traités, les sauvegardes réussies et échouées, l’espace disque et les recommandations. Sans rapport, vous payez un service que vous ne pouvez pas vérifier.
Procédure d’incident
Qui vous prévient, par quel canal, et qui décide d’une restauration de sauvegarde qui écrase deux heures de commandes ? Ces règles s’écrivent avant le premier incident, pas pendant.
Réversibilité
En fin de contrat, vous repartez avec un serveur fonctionnel, la documentation, les identifiants root, les scripts de sauvegarde et un export des données. Un prestataire qui refuse de l’écrire vous rend dépendant.
Liste de contrôle :
- Niveau d’infogérance nommé (surveillance, système, système + applicatif).
- Délai de prise en charge en heures, par niveau de gravité.
- Plage horaire d’intervention humaine et conditions d’astreinte.
- Fréquence et fenêtre des mises à jour, règle de redémarrage.
- Politique de sauvegarde : fréquence, rétention, lieu, test de restauration.
- Rapport d’activité : périodicité et contenu.
- Procédure d’incident et personne à prévenir chez vous.
- Temps d’intervention inclus par mois et tarif de l’heure supplémentaire.
- Clause de réversibilité et délai de restitution.
- Localisation des données et engagement RGPD du sous-traitant.
Infogérance ou administrateur système interne : comparer le vrai coût
Embaucher, prendre un freelance ou souscrire une infogérance ? Il n’y a pas de réponse universelle, mais il y a une façon honnête de compter.
L’administrateur système salarié
Un profil compétent représente en général plusieurs milliers d’euros par mois charges comprises, plus l’outillage, la formation et les congés. En contrepartie, il connaît votre environnement à fond et peut aussi gérer l’applicatif, le réseau et les postes. Le point faible est la continuité : une seule personne ne couvre ni les nuits, ni les week-ends, ni ses vacances. Avec un ou deux serveurs, ce poste est souvent sous-occupé.
Le freelance
Facturé à l’heure ou à la journée, il est économique pour un besoin ponctuel : audit, migration, mise en place initiale. Pour la surveillance continue, vérifiez sa disponibilité réelle : en mission ailleurs, il ne répondra pas forcément à 2 h du matin, son tarif d’urgence grimpe vite et il n’offre aucune redondance.
L’infogérance forfaitaire
Elle se facture en général quelques dizaines à quelques centaines d’euros par mois et par serveur, selon le niveau et l’astreinte. Vous achetez une équipe, une supervision déjà en place et une procédure rodée. La limite est le périmètre : ce qui sort du forfait se paie au temps passé, et le prestataire ne fera pas votre développement.
La combinaison la plus fréquente en PME : une infogérance pour le système, un développeur (interne, agence ou freelance) pour l’applicatif.
Les signes qu’il est temps d’externaliser l’administration serveur
Deux ou trois de ces signaux suffisent pour traiter le sujet avant le prochain incident.
- Personne ne sait quand les derniers correctifs ont été appliqués. Si la réponse est « à l’installation », vous exposez des failles connues depuis des mois.
- Les sauvegardes n’ont jamais été restaurées, ou vivent sur le même disque que le site.
- Vous apprenez les pannes par vos clients.
- Le serveur a été configuré par quelqu’un qui est parti, et le mot de passe root circule dans un vieux fil d’e-mails.
- Votre développeur passe son temps en administration au lieu de livrer des fonctionnalités. C’est le coût caché le plus fréquent.
- Vous avez subi une compromission (phishing hébergé à votre insu, spam, minage) et nettoyé sans comprendre l’origine.
- Le chiffre d’affaires dépend du serveur : boutique, SaaS, prise de rendez-vous. Une heure d’arrêt coûte plus que le mois d’infogérance.
- Vous passez du mutualisé à un VPS sans mesurer que la mise à jour du système, du pare-feu et du PHP devient votre travail.
À l’inverse, avec un administrateur disponible, une supervision en place, des sauvegardes testées et une astreinte organisée, la surveillance seule peut suffire.
Infogérance VPS ou serveur dédié : ce qui change
Sur un VPS
L’infogérance VPS couvre le système invité : l’hyperviseur et le matériel restent gérés par l’hébergeur. L’infogérant surveille la machine virtuelle, ses services et ses ressources, car une saturation de RAM ou de disque se voit vite sur un VPS. Un serveur VPS est souvent la première étape vers l’autonomie, et le moment où l’on découvre qu’on n’a pas le temps de l’administrer. Vérifiez si le redimensionnement est inclus.
Sur un serveur dédié
Le prestataire gère toute la machine : RAID et état des disques, firmware, reboot via console de secours, puis le système. Le monitoring matériel s’ajoute au monitoring logiciel. Les serveurs dédiés NovaHoster sont hébergés en France, à Gravelines, Roubaix ou Strasbourg, et l’infogérance y est incluse chaque année.
Dans les deux cas : la sauvegarde hors serveur
Une infogérance planifie des sauvegardes locales, mais une copie externe reste indispensable : si le serveur est perdu, la copie locale l’est aussi. Une sauvegarde automatique stockée hors de l’hébergement, avec restauration en un clic, complète utilement le contrat.
Quinze questions à poser avant de signer un contrat d’infogérance
Les réponses floues sont une information en soi.
- Quel niveau d’infogérance proposez-vous : surveillance, système, ou système + applicatif ?
- Quel est le délai de prise en charge garanti pour un serveur injoignable, et pour un service dégradé ?
- À quelles heures un humain intervient-il réellement ? Nuits, week-ends et jours fériés compris ?
- Combien de minutes ou d’heures d’intervention sont incluses chaque mois, et quel est le tarif au-delà ?
- Qui applique les mises à jour de sécurité, à quelle fréquence, et comment sont gérés les redémarrages ?
- Les mises à jour des services (serveur web, base de données, PHP, Node.js) font-elles partie du forfait ?
- Quelle est la politique de sauvegarde : fréquence, rétention, localisation, et testez-vous les restaurations ?
- Que surveillez-vous exactement, et comment suis-je prévenu en cas d’alerte ?
- Que se passe-t-il en cas de compromission : qui analyse, qui nettoie, qui décide de la restauration ?
- Intervenez-vous sur mon CMS ou mon code ? Si oui, dans quelles limites et à quel tarif ?
- Recevrai-je un rapport d’activité, et que contient-il ?
- Qui a accès root à mon serveur chez vous, et comment ces accès sont-ils tracés ?
- Où sont localisées la machine et ses sauvegardes, et quel est votre engagement RGPD en tant que sous-traitant ?
- Que récupère-t-on à la fin du contrat : documentation, identifiants, scripts, données ? Sous quel délai ?
- Qui sont les techniciens qui interviendront : des administrateurs, des développeurs, un sous-traitant externe ?
L’infogérance serveur chez NovaHoster : ce que comprend l’offre
Comme point de comparaison, voici ce que couvre l’infogérance serveur NovaHoster, telle qu’elle s’applique à un VPS ou à un serveur dédié.
- Monitoring : surveillance continue de la disponibilité et des ressources du serveur, avec alerte vers l’équipe.
- Mises à jour : application des correctifs du système et des services installés.
- Sécurité : durcissement de la configuration (pare-feu, accès, permissions) et suivi des vulnérabilités.
- Incidents : diagnostic et remise en service par ticket prioritaire et livechat, avec le niveau d’urgence indiqué dès l’ouverture.
- Tarif : dès 49 € HT par mois, en complément d’un VPS ou d’un serveur dédié actif. Sur les serveurs dédiés, l’infogérance est incluse chaque année.
Le support est assuré 7j/7 par des développeurs, qui comprennent votre pile et vous orientent quand le problème vient de l’application plutôt que du serveur. Le code, le CMS et ses extensions restent à votre charge, comme pour toute infogérance système.
La qualité de votre demande compte autant que le contrat. Le guide pour ouvrir une demande de support efficace explique quoi joindre (horodatage, message d’erreur, dernière modification) pour éviter les allers-retours. Si votre besoin dépasse un serveur ou mêle système et applicatif, un devis sur mesure permet de définir le périmètre avant de signer.
Questions fréquentes
Qu’est-ce que l’infogérance d’un serveur ?
Que contient un contrat d’infogérance serveur ?
L’infogérance couvre-t-elle WordPress ou PrestaShop ?
Infogérance VPS : est-ce utile sur un petit serveur ?
Infogérance ou administrateur système interne : que choisir ?
Quel délai de prise en charge exiger d’un infogérant ?
Comment externaliser l’administration serveur sans perdre le contrôle ?
L’infogérance est-elle incluse avec un serveur dédié NovaHoster ?
Guides liés
Pour aller plus loin sur le même sujet, et sur ce qui l’entoure :
Sources techniques
[1] ANSSI — Externalisation et sécurité des systèmes d’information : un guide pour maîtriser les risques [2] ANSSI — Guide d’hygiène informatique : renforcer la sécurité de son système d’information en 42 mesures [3] CNIL — Guide du sous-traitant (RGPD) [4] Debian — Informations sur la sécurité et mises à jour de sécurité [5] Canonical — Cycle de publication et durée de support d’Ubuntu
Les options visibles et les formules dépendent de votre abonnement. Faites vérifier le contexte depuis l’Espace client, sans transmettre de mot de passe.
Demander une vérification