Hébergement mutualisé, VPS ou cloud : où placer son site quand on n'est pas dev
Choisir un hébergement web ressemble à choisir un local commercial. On peut sous-louer un coin de boutique partagée, prendre un local indépendant ou s'installer dans un centre d'affaires avec services premium. Chacun a sa logique, et le mauvais choix coûte cher : soit en performance, soit en facture, soit en dépendance technique.
Le mutualisé, ou la solution sans douleur
Un hébergement mutualisé chez o2switch, Hostinger ou Infomaniak coûte entre 5 et 15 euros par mois. Vous partagez un serveur avec quelques centaines d'autres sites, mais l'hébergeur gère tout : sécurité, mises à jour, sauvegardes, certificat SSL. Pour un site vitrine, un blog WordPress, une boutique e-commerce de moins de 1 000 produits, c'est largement suffisant. Le bémol classique, c'est le voisinage bruyant : si un autre site sur la même machine se fait pirater ou consomme massivement, votre temps de réponse peut chuter. La plupart des hébergeurs ont toutefois mis en place des isolations par conteneur qui limitent l'impact.
L'autre intérêt du mutualisé moderne, c'est l'environnement intégré. Un panneau de gestion type cPanel ou la console maison d'o2switch permet en quelques clics d'installer WordPress, de configurer un email, de gérer un sous-domaine ou de restaurer une sauvegarde. Pour un dirigeant non technique, la courbe d'apprentissage est très douce. La quasi-totalité des opérations courantes se résout sans appeler de prestataire.
Les limites apparaissent quand le site grossit. Un mutualisé n'aime pas les pics de trafic soudain (passage à la télé, viralité réseaux sociaux, campagne pub massive) parce que ses ressources CPU et mémoire sont bridées pour préserver les autres clients du serveur. Au-delà de 30 000 à 50 000 visiteurs mensuels avec un thème WordPress chargé, on commence à sentir le plafond. Au-delà de 100 000, c'est devenu inconfortable.
Le VPS, le bon compromis quand on grossit
Un VPS (serveur privé virtuel) chez Hetzner, OVH ou Scaleway commence autour de 5 euros mensuels pour un usage léger et grimpe à 30 à 80 euros pour une configuration sérieuse. Vous obtenez une machine virtuelle dédiée, avec un accès root complet. La contrepartie est claire : vous êtes responsable de la sécurité, des mises à jour système, des sauvegardes. Sans compétence sysadmin, c'est risqué. Beaucoup de PME externalisent l'administration via un prestataire pour 100 à 300 euros mensuels supplémentaires, ce qui reste rentable quand le mutualisé montre ses limites.
La performance d'un VPS de milieu de gamme bat largement celle d'un mutualisé haut de gamme à prix équivalent. Sur des sites WordPress un peu chargés, le passage à un VPS divise souvent par deux ou trois le temps de chargement de pages. Pour un e-commerçant qui mesure son taux de conversion, le gain compense largement le surcoût.
L'autre raison de basculer en VPS, c'est la liberté de configuration. Vous pouvez installer un Nginx réglé finement, un Redis pour le cache objet, une base PostgreSQL spécifique, des cron jobs personnalisés, des outils de monitoring. Un mutualisé n'autorise pratiquement rien de cela. Pour une application métier sur mesure ou un site avec des intégrations multiples, le VPS devient quasi obligatoire.
Le cloud, à manipuler avec précaution
AWS, Google Cloud et Azure restent les grands acteurs, suivis par OVHcloud et Scaleway côté français. Le cloud séduit par sa flexibilité : on paye à l'usage, on monte en charge en quelques clics. Sur le papier c'est génial, en pratique les factures dérapent souvent. Une instance oubliée, un bucket de stockage mal configuré, un trafic sortant sous-estimé : on a vu des PME passer de 200 à 2 000 euros mensuels en deux mois sans avertissement. Le cloud se justifie quand vous avez une charge variable (e-commerce saisonnier, plateforme événementielle) ou des besoins de calcul lourd. Sinon, le VPS classique coûte deux à trois fois moins cher pour un service équivalent.
Le cloud impose aussi une compétence DevOps qui n'est pas anodine. Comprendre les groupes de sécurité, les buckets S3, les load balancers, les politiques IAM, les routes entre VPC : ce langage technique demande des mois de pratique. Beaucoup de PME ont voulu "passer au cloud" en pensant simplifier les choses et se sont retrouvées avec une infrastructure plus complexe à maintenir que leur ancien serveur dédié.
Un argument souvent avancé pour le cloud est la haute disponibilité. C'est vrai pour qui sait configurer un multi-AZ avec failover, des sauvegardes croisées, du monitoring sérieux. Pour qui se contente de lancer une instance EC2 dans une seule zone, le cloud n'apporte aucun gain de fiabilité par rapport à un VPS bien géré, et coûte sensiblement plus cher.
Les critères qui devraient guider le choix
Avant de basculer d'un type d'hébergement à un autre, posez quatre questions simples. Quel est votre trafic réel actuel, et la trajectoire à 18 mois ? Combien d'heures par mois êtes-vous prêt à investir dans l'administration technique, ou à payer à un prestataire ? Quelle est la criticité du site : un site vitrine peut tomber deux heures sans drame, un e-commerce qui réalise 80 % de son chiffre en ligne ne peut pas. Quelle est la sensibilité des données : un site qui stocke des données personnelles ou bancaires impose des contraintes de conformité supplémentaires.
Les réponses à ces quatre questions dessinent en général le bon choix sans qu'il soit nécessaire de comparer dix fiches techniques. Un site WordPress vitrine avec 5 000 visites mensuelles et aucune équipe technique reste sur un mutualisé. Un e-commerce qui fait 200 000 euros de chiffre annuel migre vers un VPS managé. Une plateforme SaaS avec montée en charge variable et équipe technique dédiée passe au cloud.
L'hébergement souverain et la question de la donnée
Depuis le RGPD et les arrêts CJUE sur les transferts hors UE, le choix d'un hébergeur européen prend du poids pour qui traite des données personnelles sensibles. OVHcloud, Scaleway, Infomaniak (en Suisse, hors UE mais conformité solide), Hetzner ou Outscale sont des choix robustes. Les filiales européennes de Microsoft Azure ou AWS proposent aussi des configurations conformes, mais le débat juridique sur la portée extraterritoriale du Cloud Act américain reste vif.
Pour une PME française qui traite des données clients standards, un hébergeur européen suffit à se mettre à l'abri des principales remarques d'audit. Pour des données plus sensibles (santé, fiscalité, professions juridiques réglementées), des certifications spécifiques comme HDS pour la santé ou SecNumCloud pour les administrations sont à vérifier.
Les sauvegardes, le sujet qu'on découvre trop tard
Quel que soit le type d'hébergement, la question des sauvegardes mérite une vraie attention. Beaucoup de mutualisés annoncent des sauvegardes automatiques quotidiennes, mais ne précisent pas leur durée de rétention. Trois jours, sept jours, trente jours : la différence est considérable quand un incident est découvert tardivement (une injection SQL passée inaperçue pendant deux semaines, par exemple).
La règle du 3-2-1 reste pertinente : trois copies des données, sur deux supports différents, dont une hors site. Pour un site WordPress, cela peut concrètement se traduire par les sauvegardes de l'hébergeur, des sauvegardes hebdomadaires sur un Backblaze B2 ou un AWS S3 via UpdraftPlus, et une copie mensuelle téléchargée localement. Le coût annuel total tourne autour de 50 à 100 euros pour la plupart des sites, ce qui est sans commune mesure avec le coût de reconstruction après perte totale.
Les VPS et le cloud demandent une discipline encore plus stricte, parce qu'aucune sauvegarde n'est automatique par défaut. Mettre en place une routine rsync ou borg vers un serveur secondaire, ou activer les snapshots du fournisseur cloud, sont des étapes qu'on pense souvent à faire "demain" et qu'on découvre absentes le jour de la panne.
La performance, mesurée et pas devinée
Beaucoup de choix d'hébergement se font sur la base de promesses commerciales (uptime garanti 99,99 %, SSD NVMe, datacenter Tier 4) qui ne se vérifient jamais dans les conditions réelles d'usage. Avant d'engager un budget significatif, mesurer concrètement le temps de chargement d'une page représentative depuis plusieurs localisations (PageSpeed Insights, GTmetrix, KeyCDN Performance Test) donne une information bien plus utile que les fiches techniques.
Pour un site WordPress, l'optimisation logicielle compte souvent plus que le matériel sous-jacent. Un thème léger, un cache configuré correctement, des images compressées, un CDN devant le site : ces réglages divisent les temps de chargement par trois ou quatre, indépendamment de l'hébergeur choisi. Un mutualisé bien optimisé bat un VPS mal réglé dans 90 % des cas.
L'utilisation d'un CDN (Cloudflare, BunnyCDN, KeyCDN) reste l'optimisation au meilleur rapport effort-bénéfice. Quelques dizaines d'euros annuels suffisent à offrir une couverture mondiale, à filtrer une partie des attaques basiques, et à réduire significativement la charge sur le serveur d'origine. Pour la majorité des sites, c'est devenu un réflexe à intégrer dès le départ.
Le bon choix pour la majorité des PME
Pour 90 % des PME françaises, un mutualisé de qualité ou un petit VPS managé couvrent tous les besoins pendant des années. Migrer vers du cloud avant d'en avoir besoin coûte plus que cela ne rapporte, et la complexité technique qu'on importe finit par mobiliser un temps précieux qu'on aurait mieux utilisé à développer le business. La règle prudente consiste à choisir l'hébergement qui correspond à l'usage actuel plus 18 mois de croissance prévisible, et à reconsidérer la question quand cette fenêtre se rapproche.
L'angle sécurité que personne ne vérifie
Le choix de l'hébergeur a aussi une dimension sécurité qui se révèle au pire moment. Les hébergeurs mutualisés sérieux disposent d'équipes de monitoring 24/7, de scanners de malware automatiques, de protections DDoS de niveau réseau. Les hébergeurs low-cost se contentent souvent du minimum et laissent l'utilisateur découvrir l'attaque à travers ses propres outils. Pour un site qui n'est pas critique, c'est acceptable. Pour un e-commerce ou une application métier, c'est un risque mal calibré.
La double authentification sur l'interface d'administration de l'hébergeur, les notifications de connexion inhabituelle, les journaux d'accès consultables : ces fonctionnalités banales sont absentes chez certains acteurs et représentent pourtant la première ligne de défense en cas de compromission d'un mot de passe administrateur. Vérifier leur présence avant de signer évite des situations désagréables.
Les certifications du datacenter (ISO 27001, Tier 3 ou 4 selon Uptime Institute, certifications sectorielles) ne sont pas du marketing pur. Elles attestent de procédures réelles de continuité, de redondance électrique, de contrôle d'accès physique. Pour un hébergement qui porte des données critiques, ces certifications valent qu'on y regarde de près, même si elles ne sont pas le seul critère.
Le coût réel de la migration entre hébergeurs
Changer d'hébergement n'est pas neutre. Une migration WordPress correctement préparée demande entre 4 et 12 heures de travail technique, plus une période de surveillance des erreurs 404, des liens cassés, des bugs résiduels. Pour un site complexe avec des intégrations multiples, la migration peut s'étaler sur une semaine et générer une période d'instabilité visible pour les utilisateurs. Le coût total, en prestation externe, tourne autour de 500 à 2 000 euros selon la complexité. Cela ne disqualifie pas la migration, mais oblige à anticiper le sujet : on ne change pas d'hébergement à la veille d'une campagne commerciale ou pendant une période de pic de trafic. Le bon moment se trouve sur une période creuse, avec un planning de bascule documenté et un plan de retour arrière en cas d'incident.