Le datacenter de votre hébergeur web français peut être certifié, audité, situé à deux pas de chez vous. Mais la faille qui expose vos données sensibles en 2026 se situe rarement dans la salle serveur.
Elle se loge dans un sous-traitant qui réplique vos bases hors de l’UE, un compte administrateur oublié après le départ d’un prestataire, ou un plugin WordPress mis à jour par personne depuis six mois. Cet article détaille les points de contrôle que les checklists classiques laissent de côté.
Sous-traitants et transferts hors UE : le maillon que votre hébergeur ne surveille pas pour vous
Un hébergeur web français affiche ses serveurs en France. La donnée, elle, peut transiter ailleurs. Beaucoup de prestataires d’hébergement utilisent des briques tierces pour le CDN, les sauvegardes externalisées ou l’analyse de logs. Si l’un de ces sous-traitants opère depuis un pays hors Union européenne, le cadre RGPD s’applique, avec des obligations de clauses contractuelles types ou de garanties équivalentes.
Le problème est concret. Vous signez un contrat avec un hébergeur basé à Clermont-Ferrand ou à Paris, mais la chaîne de sous-traitance n’est pas toujours documentée jusqu’au dernier maillon. Certains hébergeurs publient une liste de sous-traitants dans leurs conditions générales. D’autres ne la mettent pas à jour, ou la rendent difficile à trouver.
Avant de souscrire, demandez la liste exhaustive des sous-traitants, leur localisation géographique et le type de données qu’ils manipulent. Si votre hébergeur ne peut pas la fournir en quelques jours, c’est un signal. En cas de contrôle ou de fuite, c’est le responsable de traitement (vous) qui devra prouver la conformité du transfert, pas l’hébergeur.
Accès administrateur et gestion des comptes : la surface d’attaque oubliée
Les audits de sécurité web se concentrent sur les certificats SSL, les pare-feu et les mises à jour logicielles. Les accès humains reçoivent moins d’attention, alors qu’ils représentent une surface d’attaque directe.
Comptes fantômes et droits trop larges
Un développeur freelance intervient pendant trois mois sur votre site, puis disparaît. Son accès SSH ou son compte cPanel reste actif. Même scénario avec un ancien salarié disposant d’un accès root au serveur. Un compte admin non révoqué est une porte ouverte permanente, même si le mot de passe est robuste.
Vérifiez trimestriellement la liste des comptes actifs sur votre panneau d’administration, votre accès FTP/SSH et votre tableau de bord d’hébergement. Supprimez tout compte qui ne correspond pas à une personne en activité sur le projet.
Authentification multi-facteurs côté hébergeur
Tous les hébergeurs web français ne proposent pas la double authentification sur leur interface de gestion. Certains la proposent mais ne l’activent pas par défaut. Vérifiez si le MFA est disponible, et s’il couvre aussi l’accès aux bases de données et aux fichiers, pas uniquement le tableau de bord client.
- Exigez le MFA sur chaque accès à privilèges : panneau hébergeur, SSH, base de données, back-office WordPress.
- Documentez qui possède quel niveau d’accès, et à quelle date ce droit a été attribué.
- Mettez en place une procédure de révocation immédiate lors de chaque fin de mission ou départ.
Certification HDS et SecNumCloud : ce que le label couvre (et ce qu’il ne couvre pas)
Pour les données de santé, la certification HDS (Hébergeur de Données de Santé) est obligatoire. Des contenus récents rappellent que la certification HDS doit être délivrée par un organisme accrédité COFRAC pour être valide. Ce point mérite vérification directe : un hébergeur peut afficher « conforme HDS » sans que le périmètre certifié couvre précisément votre usage.
La certification porte sur un périmètre défini (infrastructure physique, infogérance, sauvegarde). Si vous hébergez des données sensibles qui sortent de ce périmètre (par exemple un module de paiement géré par un tiers, ou un service d’emailing externe), la certification de l’hébergeur ne protège pas cette partie de la chaîne.
Le référentiel SecNumCloud, délivré par l’ANSSI, va plus loin en matière de souveraineté. Il impose que l’hébergeur soit détenu majoritairement par des entités européennes et que les données restent sur le territoire de l’UE. En revanche, les retours terrain divergent sur la facilité d’intégration de ces offres cloud souveraines pour des PME qui utilisent des CMS standards comme WordPress ou PrestaShop.
Sécurité applicative et plugins WordPress : le périmètre que l’hébergeur ne gère pas
Un hébergeur web sécurisé protège la couche serveur. La couche applicative, c’est votre responsabilité. Et c’est là que se concentrent la majorité des attaques sur les sites web.
Les plugins WordPress obsolètes restent le premier vecteur d’intrusion sur les sites hébergés en France. Un plugin non mis à jour depuis plusieurs mois peut contenir des vulnérabilités référencées publiquement. Les attaquants n’ont pas besoin de sophistication : ils automatisent l’exploitation de failles connues sur des milliers de sites simultanément.
Certains hébergeurs français intègrent un pare-feu applicatif (WAF) de type ModSecurity, activé par défaut. D’autres le proposent en option ou ne le proposent pas. Posez la question avant de souscrire, car un WAF correctement configuré bloque une part significative des requêtes malveillantes avant qu’elles n’atteignent votre CMS.
- Maintenez un inventaire de vos plugins et thèmes, avec la date de dernière mise à jour de chacun.
- Supprimez tout plugin inactif : même désactivé, son code reste accessible sur le serveur.
- Testez vos sauvegardes en conditions réelles, au moins une fois par trimestre. Une sauvegarde qui ne se restaure pas n’est pas une sauvegarde.
- Vérifiez que votre hébergeur propose des sauvegardes automatiques quotidiennes et que leur rétention couvre au minimum plusieurs jours.
Cartographie des données sensibles : le prérequis avant toute checklist hébergement
Les guides de sécurité hébergement web listent des mesures techniques. Mais sans cartographie préalable de vos données, vous protégez à l’aveugle. Les approches récentes distinguent quatre niveaux : données publiques, internes, sensibles, et critiques ou régulées.
Une PME qui collecte des adresses email pour une newsletter et une entreprise qui stocke des dossiers médicaux n’ont pas le même besoin d’hébergement. La première peut se contenter d’un hébergement mutualisé RGPD standard. La seconde doit viser un hébergeur certifié HDS, avec chiffrement au repos et en transit, et un contrôle strict des accès.
Avant de comparer les offres d’hébergeurs web français, listez les types de données que votre site ou application manipule. Identifiez celles qui relèvent d’une réglementation spécifique (santé, données financières, données de mineurs). Cette cartographie détermine le niveau de certification requis, le type de contrat à exiger et les clauses de réversibilité à négocier.
Le datacenter sécurisé ne protège que ce qu’on lui confie dans les règles. Le reste, accès humains, sous-traitants non documentés, plugins abandonnés, transferts hors UE silencieux, reste sous votre responsabilité. La checklist la plus utile en 2026 n’est pas celle qui audite le serveur, mais celle qui audite tout ce qui gravite autour.
