Hébergement web infogéré : ce qu'il couvre et comment le choisir

Classique ou infogéré : la vraie différence

Un hébergement mutualisé ou un serveur loué fournit de l'espace et de la puissance. La question arrive ensuite : qui applique les mises à jour de sécurité ? Qui vérifie que les sauvegardes fonctionnent vraiment ? Qui intervient un dimanche quand le site tombe ? Avec un hébergement classique, la réponse est le plus souvent « vous », ou votre webmaster s'il en a la charge. Avec un hébergement infogéré, le prestataire prend contractuellement la responsabilité de la plateforme.

L'infogéré a un intérêt réel pour les sites qui comptent : boutique en ligne, portail client, application métier utilisée chaque jour, site qui génère l'essentiel des contacts commerciaux. Pour un site vitrine simple et peu modifié, un bon hébergement classique avec sauvegardes automatiques et un CMS tenu à jour suffit souvent.

Un point à clarifier dès le départ : qui est responsable de quoi entre l'hébergeur, l'infogérant et l'agence qui a développé le site ? Les incidents abandonnés entre trois acteurs qui se renvoient la balle sont un classique. Exigez un schéma de responsabilités écrit (qui gère le serveur, le CMS, les extensions, le contenu, le nom de domaine, les DNS).

Ce que comprend en général une offre infogérée

• Supervision : disponibilité, temps de réponse, espace disque, charge, expiration des certificats et du nom de domaine. Voir le guide supervision informatique.
• Sauvegardes : quotidiennes, conservées plusieurs semaines, stockées sur un autre site que le serveur, et testées par des restaurations régulières (règle 3-2-1).
• Sécurité : certificats TLS renouvelés automatiquement, pare-feu applicatif (WAF), protection contre les attaques par déni de service, durcissement du serveur, correctifs appliqués rapidement.
• Performance : cache, optimisation de la base de données, ressources dimensionnées pour les pics de trafic.
• Maintenance applicative (souvent en option) : mises à jour du CMS, WordPress notamment, et de ses extensions, testées avant mise en production.

Vérifiez ce qui est inclus et ce qui est en option : la maintenance du CMS et les interventions sur le code sont souvent facturées à part.

Disponibilité : lire l'engagement

Un contrat d'hébergement sérieux précise un taux de disponibilité, des délais d'intervention par niveau de gravité et des pénalités si ces engagements ne sont pas tenus, selon les principes détaillés dans le guide SLA informatique. Deux points de lecture : le périmètre de la mesure (l'infrastructure de l'hébergeur ou votre site réellement accessible ?) et l'exclusion éventuelle des maintenances planifiées. Exigez aussi un rapport périodique : disponibilité constatée, incidents, interventions, sauvegardes vérifiées.

Localisation des données et RGPD

Un site qui collecte des données personnelles (formulaires, comptes clients, commandes) fait de l'hébergeur un sous-traitant au sens du RGPD. Demandez où se trouvent les serveurs et les sauvegardes, quels sous-traitants interviennent, et exigez l'accord de traitement prévu par l'article 28. Le guide RGPD en entreprise détaille ces obligations ; pour des données sensibles, la qualification SecNumCloud de l'ANSSI peut être un critère.

Migration depuis l'hébergeur actuel

Une migration propre suit toujours le même schéma : inventaire de l'existant, copie sur la nouvelle plateforme, tests complets, baisse préalable de la durée de vie des enregistrements DNS, bascule, puis conservation de l'ancien hébergement quelques jours en secours. Demandez qui fait quoi, quand, et quel est le plan de retour arrière. Voir aussi le guide migration informatique.

À exiger dans le contrat

1. Le nom de domaine enregistré au nom de votre entreprise, avec vos propres accès au registraire.
2. Un schéma de responsabilités entre hébergeur, infogérant et agence web.
3. Le taux de disponibilité, son périmètre de mesure et les maintenances exclues.
4. Les délais d'intervention par gravité, y compris le week-end si votre activité l'exige.
5. La fréquence, la rétention et la localisation des sauvegardes, et les tests de restauration.
6. Ce qui est inclus (mises à jour serveur, CMS, extensions) et ce qui est facturé en plus.
7. La localisation des données et l'accord de traitement RGPD.
8. La réversibilité : export complet des fichiers et de la base dans un format standard, sans frais excessifs.

Signaux d'alerte

• Le nom de domaine est au nom du prestataire ou de l'agence.
• Aucune réponse claire sur la date du dernier test de restauration.
• Un taux de disponibilité affiché sans pénalité ni reporting.
• Un engagement long avec reconduction tacite et préavis difficile à respecter.