Ce que votre hébergeur protège, et ce qu'il vous laisse

Ou : un hébergement web sécurisé ressemble à une copropriété, et personne ne lit le règlement.

Vous cherchez un hébergement web sécurisé, et chaque page d’offre vous en promet un : certificat SSL gratuit, sauvegardes automatiques, protection anti-DDoS, antivirus. Tout cela est exact, et rien de cela ne dit qui répare quoi le jour où le site tombe. La vraie question n’est pas de savoir si l’hébergeur est sécurisé, mais où s’arrête sa part. Il protège le bâtiment, le réseau et le serveur partagé ; vous restez responsable de ce que vous y installez, du mot de passe de votre WordPress et des extensions oubliées. Infomaniak, par exemple, conserve une sauvegarde par jour pendant sept jours pour les fichiers et les bases de données de l’hébergement : une erreur remarquée au dixième jour ne se répare plus avec ses copies. Cette frontière entre l’hébergeur et son client est le critère que l’on oublie au moment de comparer les hébergeurs web, et c’est elle que ce guide trace.

Sur une offre mutualisée, la sécurité se joue à trois étages. Le premier appartient à l’hébergeur seul : le centre de données, le réseau, la protection anti-DDoS qui absorbe les attaques par saturation avant qu’elles n’atteignent le serveur, l’isolation des comptes qui empêche un voisin compromis de lire vos fichiers. Le deuxième est partagé : l’hébergeur fournit le certificat Let’s Encrypt et son renouvellement automatique, la sauvegarde quotidienne, un pare-feu applicatif (WAF, pour Web Application Firewall, un filtre qui inspecte les requêtes envoyées au site) comme ModSecurity, parfois un antivirus comme ImunifyAV+ chez o2switch. À vous de vérifier qu’ils fonctionnent et de savoir vous en servir. Le troisième étage n’appartient qu’à vous : les mises à jour du CMS et de ses extensions, le mot de passe FTP, les comptes administrateurs, la double authentification de l’espace client.

C’est une copropriété. Le syndic entretient la toiture, la porte d’entrée et l’ascenseur ; il ne ferme pas votre appartement à clé et n’arrose pas vos plantes pendant les vacances. Quand un cambrioleur passe par la fenêtre restée ouverte, le règlement ne vous rembourse rien, même si la porte d’entrée était blindée. Sur un mutualisé, la fenêtre porte des noms connus : une extension pas à jour, un mot de passe réutilisé, un compte administrateur créé pour un stagiaire en 2019 et jamais supprimé.

Les sauvegardes montrent bien ce partage. Toutes les offres relevées pour ce guide en incluent, mais pas les mêmes : sept jours chez Infomaniak, trente, quarante-cinq ou quatre-vingt-dix jours chez o2switch selon la formule, six semaines de copies hebdomadaires chez Hostinger, cinq points de restauration étalés sur deux semaines pour l’espace FTP d’un hébergement OVHcloud. La durée de conservation, le contenu (fichiers, bases de données, mails) et le lieu de stockage décident de tout le jour où il faut revenir en arrière. L’incendie du centre de données d’OVHcloud à Strasbourg, en mars 2021, a rappelé le dernier point : des sauvegardes rangées dans le même bâtiment que le serveur brûlent avec lui.

Pour qui : un indépendant, une association ou une petite entreprise qui veut un site vitrine sur un mutualisé, sauvegardé chaque jour dans un autre centre de données et protégé contre les attaques par saturation.

À partir de : 5,75 € HT par mois pour l’hébergement web Infomaniak, facturé à l’année par défaut, sans prix promotionnel affiché (relevé du 12 novembre 2026), sauvegarde quotidienne conservée sept jours comprise.

Pour démarrer : commander l’hébergement web Infomaniak, activer la double authentification du compte, puis programmer une copie du site hors de l’hébergeur.

Hébergement web sécurisé : ce que l’offre couvre et ce qui reste à votre charge

Relevé le 12 novembre 2026 dans la documentation et sur les pages d’offres des hébergeurs cités. La colonne de droite est la plus courte ; c’est aussi la seule que personne d’autre ne remplira.

Sept jours, quarante-cinq ou quatre-vingt-dix

La durée pendant laquelle l’hébergeur garde vos copies varie de sept à quatre-vingt-dix jours d’une offre à l’autre, et elle ne figure pas toujours sur la page de vente. Fréquence, durée de conservation et contenu chez huit hébergeurs sont réunis dans le comparatif des sauvegardes incluses.

Revenir à hier sans effacer aujourd’hui

Restaurer une sauvegarde complète remet aussi à hier les commandes, les commentaires et les fichiers ajoutés depuis. Les panneaux d’Infomaniak, d’OVHcloud ou de Hetzner proposent des restaurations partielles, chacun avec ses pièges, détaillés dans la méthode pour remettre le site dans l’état d’hier.

Une copie que l’hébergeur ne peut pas perdre

Une sauvegarde rangée chez l’hébergeur peut disparaître avec le compte, après une résiliation ou une erreur de manipulation. La copie externe se fait sans SSH, depuis cPanel, un client FTP ou une extension WordPress, comme l’explique le guide pour sauvegarder son site ailleurs.

Strasbourg, une nuit de mars 2021

Dans la nuit du 9 au 10 mars 2021, un bâtiment entier d’OVHcloud a brûlé à Strasbourg, avec des sauvegardes de clients rangées sous le même toit. La suite judiciaire, de 100 000 euros en première instance à 1 800,48 euros en appel, est retracée dans les leçons de l’incendie pour vos sauvegardes.

Le cadenas gratuit et le cadenas payant

Un certificat Let’s Encrypt chiffre aussi bien qu’un certificat payant ; ce qui change, c’est la vérification de l’identité et la garantie. Les prix relevés chez OVHcloud, de 54,99 à 109,99 euros hors taxes par an, sont mis face au gratuit dans le choix d’un certificat SSL.

Quand le navigateur accuse votre propre site

L’alerte « Votre connexion n’est pas privée » s’affiche chez vos visiteurs, mais quand elle les touche tous, sa cause est sur le serveur : certificat non renouvelé après un changement de DNS, nom de domaine non couvert, enregistrement CAA trop strict. Le diagnostic est détaillé dans la réparation d’une alerte HTTPS.

Les premières heures après une intrusion

Un site piraté ne se répare pas en supprimant le fichier suspect. Les étapes dans l’ordre, ce que l’hébergeur fait et ne fait pas, et les guichets publics de Belgique, de France et de Suisse sont réunis dans que faire quand le site est piraté.

Un voisin visé, une adresse coupée

Sur un mutualisé, de nombreux sites partagent souvent la même adresse IP. Quand l’un d’eux subit une attaque par saturation, la protection de l’hébergeur filtre ce qu’elle peut, et le dernier recours technique coupe toute l’adresse. Le mécanisme est expliqué dans ce que fait l’hébergeur face à un DDoS.

Le filtre devant la porte

Un pare-feu applicatif bloque les requêtes qui ressemblent à une attaque connue ; il ne corrige pas l’extension vulnérable qui se trouve derrière lui. Ce que proposent Infomaniak, OVHcloud, o2switch, PlanetHoster et Cloudflare est comparé dans la grille des pare-feu applicatifs.

Les murs entre voisins

L’isolation des comptes décide si le piratage du site voisin reste chez le voisin. Les questions à poser au support avant de signer, du cloisonnement des fichiers à l’adresse d’envoi des mails, sont rassemblées dans la sécurité d’un hébergement mutualisé.

Le faux courriel de renouvellement

Le compte client tient le domaine, la zone DNS et les mails : c’est la clé de tout le reste, et les faux avis de renouvellement visent précisément cette clé. Les signes qui trahissent un faux et la double authentification à activer sont expliqués dans repérer l’hameçonnage qui vise votre hébergeur.

Les autres questions à régler avec votre hébergeur

• les avis et duels d’hébergeurs
• le vrai prix d’un hébergeur
• ce que permet un mutualisé
• louer un serveur en Europe
• où héberger son WordPress
• le choix d’un registrar
• héberger ses adresses mail
• mesurer la vitesse d’un hébergeur
• déménager son site sans coupure
• un hébergeur soumis au droit européen
• l’hébergement adapté à chaque projet