Hébergement souverain : comment choisir l'hébergeur, et qui exploite votre site ensuite
Un hébergement souverain vise à placer vos données sous le seul droit français ou européen. Najumi n'est pas hébergeur et ne possède pas de datacenter : nous choisissons avec vous un hébergeur adapté à vos données, puis nous exploitons l'application (supervision, veille sur les failles, mises à jour, sauvegardes). Si vous avez besoin de SecNumCloud, l'infrastructure se prend chez un prestataire qualifié par l'ANSSI.
30min avec Mathis
Sans engagement
4,8/5
(51 avis Google)
+30 clientsnous ont fait confiance
Pourquoi « hébergé en France » ne veut-il pas dire « souverain » ?
Parce que l'adresse du serveur ne dit pas quel droit s'applique à l'entreprise qui l'opère. Trois niveaux sont à distinguer. Un hébergeur européen évite l'essentiel des transferts hors de l'Union, que le RGPD encadre sans imposer de localisation française (CNIL). Un hébergeur français, avec ses propres datacenters, réduit la chaîne d'intermédiaires. La qualification SecNumCloud de l'ANSSI, elle, contrôle l'offre et sa protection face aux lois extra-européennes. Elle ne s'hérite pas : un service posé sur une offre qualifiée ne devient pas qualifié, et il ne peut pas s'en prévaloir. Nous ne nous en prévalons donc pas.
- Le pays du serveur et le droit applicable à l'opérateur sont deux questions
- Le mot souverain n'est pas une qualification officielle
- SecNumCloud porte sur une offre précise, pas sur un fournisseur entier
- Vos données décident du niveau, pas l'argument commercial
Deux chiffres pour situer le sujet
3 ans
Durée de validité d'une qualification SecNumCloud, avec des audits de surveillance annuels (ANSSI, FAQ SecNumCloud).
7
Flux publics lus chaque heure par notre veille : alertes et avis du CERT-FR, php.net, WordPress, CISA KEV, Node.js, GitHub Advisories.
Quand faut-il se poser la question de l'hébergeur ?
Avant de signer, et chaque fois que la nature des données change. Pour des données de santé, un hébergeur certifié HDS s'impose : ce n'est ni notre métier ni notre certification. Nous vous aidons à le choisir et à déployer dessus.
Organisations à qui un client ou un marché impose un hébergement en France
Sites dont un temps fort concentre la fréquentation sur quelques heures
Équipes qui reprennent un site laissé par un prestataire parti
DSI qui séparent l'infrastructure, chez un spécialiste, et l'exploitation applicative
Choix de l'hébergeur
Localisation, droit applicable, engagement de disponibilité, sauvegardes, support : on compare sur pièces, et l'engagement reste celui de l'hébergeur.
Supervision de disponibilité
Des sondes Uptime Kuma vérifient chaque site suivi en continu. Une coupure brève est confirmée avant d'alerter, pour que l'alerte reste lue.
Veille sur les failles
Un flux automatisé filtre les publications de sécurité sur notre stack et les envoie à l'équipe, CERT-FR en tête.
Détection dans les journaux
CrowdSec lit les journaux d'accès de notre compte d'hébergement mutualisé. Il signale les attaques sérieuses, il ne les bloque pas.
Contrôle quotidien WordPress
Sur ce même compte, un script revoit chaque installation : version du cœur, fichiers modifiés, nouveaux administrateurs, PHP caché dans les médias. Il n'écrit que s'il trouve quelque chose.
Sauvegardes hors hébergeur
Sur la plupart des sites WordPress suivis, une copie hebdomadaire part vers un serveur distinct en France. Fréquence, rétention et test de restauration s'écrivent au contrat.
Cas client
Choralies : préparer un site à un pic que l'on connaît d'avance
Le festival des Choralies a lieu tous les trois ans à Vaison-la-Romaine. Son trafic ne suit pas une courbe : il se concentre à l'ouverture des inscriptions et à l'approche de l'événement, avec une audience internationale et un programme dense. Une lenteur à ce moment-là touche directement l'image du festival. Nous avons développé la plateforme sur WordPress en tenant compte de ces temps forts. C'est le raisonnement que nous appliquons à l'exploitation : partir du calendrier du client plutôt que d'une moyenne de disponibilité.
+40 000
Visites lors d'un pic pendant l'événement (page projet Choralies).
Pics identifiés avant la mise en ligne
Audience internationale prise en compte
Programme dense et évolutif à structurer
Site resté debout pendant tout le festival, selon notre cliente
4,8
51 avis
Ce qu'en dit notre cliente, et deux autres sites livrés
Le site a été nickel, il a tenu le coup pendant tout le festival. Nous sommes très satisfaits du travail réalisé !
Adeline Marconnet
Consultante en Communication
Comment reprenons-nous l'exploitation d'un site ?
Quatre temps. Le niveau d'engagement se décide au contrat, avec l'hébergeur, pas sur cette page.
Étape #1
On fait l'inventaire de ce qui existe
Hébergeur, comptes, domaines, certificats, versions, sauvegardes réelles. Souvent, personne n'a la liste complète, et c'est le premier risque à fermer.
Étape #2
On confirme ou on change d'hébergeur
On compare vos besoins aux engagements écrits de l'hébergeur. Si le vôtre convient, on le garde : changer n'est pas un objectif.
Étape #3
On met le site sous surveillance
Sondes, veille sur les failles, droits d'accès revus et sauvegardes vérifiées.
Étape #4
On rend compte et on s'exerce
Compte rendu régulier, correctifs de sécurité, revue des comptes. Le test de restauration et sa cadence figurent au contrat pour ne pas rester une intention.
Hébergement et exploitation : les questions d'une DSI
Mathis Haumont
Co-fondateur & CTO
N'hésitez pas à me contacter à tout moment. Je suis là pour répondre à toutes vos questions !
Najumi héberge-t-il les sites de ses clients ?
Non, pas sur une infrastructure à nous. Selon les projets, les sites que nous suivons tournent chez o2switch, OVH, IONOS ou Hostinger, ou chez l'hébergeur du client. Nous ne présentons pas ce parc comme souverain : c'est à vérifier hébergeur par hébergeur. o2switch, par exemple, indique gérer ses propres datacenters en France.
Qu'est-ce qu'un hébergement souverain ?
Une offre qui vise à soustraire vos données à des lois étrangères, en plus de les héberger en France ou en Europe. Le terme n'est pas une qualification officielle. Le repère vérifiable en France est SecNumCloud, délivré par l'ANSSI à des offres précises et listées sur cyber.gouv.fr, section solutions qualifiées.
Avez-vous une qualification SecNumCloud ou une certification ISO 27001 ?
Non, ni l'une ni l'autre. Nous ne sommes pas non plus hébergeur certifié HDS. L'ANSSI rappelle qu'une offre hébergée sur un cloud qualifié n'hérite pas de la qualification : si vous déployez chez un prestataire SecNumCloud, c'est son offre qui est qualifiée, pas notre intervention.
Proposez-vous une astreinte de nuit et de week-end ?
Pas en standard. La supervision tourne en continu, mais l'intervention repose sur deux associés. Une astreinte garantie relève d'un infogéreur, que nous pouvons associer. L'engagement de réponse de notre contrat est détaillé sur la page maintenance .
Que se passe-t-il quand une faille critique sort ?
La veille la remonte, on regarde si elle touche votre stack, puis on applique le correctif ou une mesure d'attente. Cette veille automatisée date d'octobre 2026 : nous l'avons montée après une faille PHP repérée trop tard à notre goût, puis étendue à Node.js deux jours plus tard, quand une seconde faille a montré un manque.
Quelles garanties sur les sauvegardes et la reprise ?
Nous n'annonçons pas de plan de reprise générique. Sur la plupart des sites WordPress que nous suivons, une copie hebdomadaire part hors de l'hébergeur. Pour un site critique, on écrit au contrat, avec l'hébergeur, la perte de données acceptable, la durée de remise en service visée et la fréquence des tests de restauration.
Et si nous changeons de prestataire ?
Accès, code, sauvegardes et documentation vous sont remis. Pour les données personnelles, la CNIL prévoit dans ses clauses types le renvoi ou la destruction en fin de mission, avec justification écrite. Le cadre général est sur la page grands comptes et ETI , et les liaisons avec vos outils sur intégration SI et ERP .
Combien coûte l'exploitation d'un site ?
Cela dépend de la technologie, du niveau de surveillance et de l'hébergeur retenu. Les coûts de l'hébergeur restent les siens, et le reste se chiffre après l'inventaire. Devis gratuit et sans engagement, depuis notre page contact .
Parlons de votre hébergement
Prêt à transformer votre idée en réalité ? Décrivez-nous votre projet et recevez une estimation personnalisée.
Devis gratuit et sans engagement
