La souveraineté des données : un critère non négociable
Pour un organisme public, les données hébergées doivent rester soumises au droit français et européen. Cela exclut de facto les hébergeurs américains soumis au Cloud Act (Amazon AWS, Microsoft Azure, Google Cloud dans leurs configurations standard), qui peuvent être contraints de communiquer des données à des autorités américaines sans notification. Privilégiez des hébergeurs français ou européens, idéalement qualifiés SecNumCloud par l’ANSSI.
Les indicateurs de performance à exiger
- Taux de disponibilité : minimum 99,9 % garanti par SLA (soit moins de 9 heures d’indisponibilité par an). Evitez les offres mutualisées low-cost sans engagement de disponibilité.
- Temps de réponse : un site municipal doit se charger en moins de 3 secondes. Cela passe par un serveur bien dimensionné et géographiquement proche des utilisateurs.
- Support technique : en cas d’incident (attaque DDoS, panne serveur), l’hébergeur doit être joignable rapidement, y compris en dehors des horaires de bureau.
La sécurité de l’infrastructure
Un hébergeur sérieux pour un site municipal doit proposer :
- Une protection anti-DDoS intégrée — les sites municipaux sont régulièrement ciblés par ce type d’attaque, comme en témoignent les incidents de fin 2024 sur les mairies de Marseille, Nice, Bordeaux…
- Un pare-feu applicatif (WAF) actif en amont du site.
- Des sauvegardes automatiques avec rétention d’au moins 30 jours, stockées sur une infrastructure séparée.
- Des certificats SSL inclus et renouvelés automatiquement.
- Une isolation des environnements : votre site ne doit pas partager les ressources d’un serveur mutualisé sans isolation correcte.
Hébergeurs recommandés pour les collectivités françaises
Parmi les hébergeurs français fiables pour les collectivités : OVHcloud (le plus répandu, datacenter en France), Scaleway (filiale Iliad, qualifié SecNumCloud sur certaines offres), Gandi, ou encore des hébergeurs spécialisés secteur public comme Atos ou les offres mutualisées proposées par certaines communautés d’agglomération. Évitez les revendeurs d’hébergement sans datacenter propre — impossible d’auditer la sécurité réelle de l’infrastructure sous-jacente.
