Un client m'appelle un mardi matin, paniqué. Son site vitrine affiche une page blanche. Le certificat SSL a expiré pendant la nuit, et Chrome affiche désormais un avertissement rouge qui fait fuir à peu près tout le monde. Il me demande : « Mais c'est à moi de gérer ça, ou à mon hébergeur ? »
Bonne question. Et c'est précisément là que le bât blesse quand on cherche à héberger un site web sécurisé : la plupart des gens choisissent un hébergement sur le prix et la facilité, puis découvrent trois mois plus tard que la sécurité ne fait pas partie du forfait de base. La sécurité, ce n'est pas une case qu'on coche à l'installation. C'est un ensemble de décisions — techniques et contractuelles — qu'on prend avant même d'ouvrir un compte.
Je vais vous montrer ce que j'ai appris en me brûlant les doigts sur plusieurs projets, avec des chiffres réels et les conneries que j'ai faites.
Points clés à retenir
- La sécurité d'un site dépend à 50 % de l'hébergeur et à 50 % de ce que vous configurez vous-même.
- Un certificat SSL gratuit (Let's Encrypt) suffit dans 95 % des cas — inutile de payer 80 € par an.
- En mutualisé, vous partagez le serveur avec d'autres : exigez l'isolation des comptes par écrit.
- Comptez 3 à 8 €/mois pour un mutualisé correct, 10 à 30 €/mois pour un VPS, 60 € et plus pour du dédié.
- Une sauvegarde « incluse » qu'on ne peut pas restaurer en un clic ne vaut rien.
- Les trois quarts des incidents que j'ai vécus venaient d'un plugin ou d'un mot de passe, pas du serveur.
Comment héberger un site web sécurisé : la vraie répartition des rôles
Voici ce que personne ne vous dit clairement au moment de l'achat. L'hébergeur sécurise l'infrastructure : les serveurs, le réseau, la disponibilité électrique, les sauvegardes physiques. Vous, vous sécurisez l'application : les accès, les mises à jour, la configuration HTTPS, les extensions. Entre les deux, il y a une zone grise contractuelle où les ennuis arrivent.
J'ai perdu une demi-journée à comprendre ça sur un projet de boutique en ligne. Le site tombait en erreur 500 plusieurs fois par semaine. Je soupçonnais mon code. En réalité, un autre compte hébergé sur le même serveur mutualisé consommait toute la mémoire disponible. Personne ne m'avait prévenu que le mutualisé, c'est un immeuble partagé : si le voisin inonde sa salle de bain, votre plafond prend l'eau.
Ce qu'il faut exiger contractuellement de son hébergeur
Avant de signer, posez ces questions. Si on vous répond par une brochure commerciale au lieu d'une réponse directe, fuyez.
- Isolation des comptes : le mutualisé est-il cloisonné (conteneurs, limites CPU/RAM par compte) ou tout le monde partage-t-il le même processus ?
- Sauvegardes : incluses ou option payante ? Quelle fréquence ? Et surtout : puis-je restaurer moi-même, ou faut-il ouvrir un ticket et attendre 48 h ?
- Chiffrement au repos : les disques sont-ils chiffrés ? Sur un mutualisé bas de gamme, souvent non.
- Localisation des données : en Europe ou ailleurs ? Si vous traitez des données personnelles, ça change tout côté conformité.
- Politique de divulgation de failles : l'hébergeur a-t-il une adresse dédiée pour signaler une vulnérabilité ? Un acteur sérieux en a une.
- Durée de rétention des logs, et accès que vous y avez.
Le point sur les sauvegardes est celui qui m'a coûté le plus cher. Sur un ancien forfait, la restauration passait obligatoirement par le support. Un vendredi soir, script malencontreux, base de données écrasée. J'ai attendu jusqu'au lundi matin. Trois jours de perte sèche. Depuis, je refuse tout hébergement sans accès direct aux sauvegardes.
La procédure concrète pour un site réellement sécurisé
Une fois le compte ouvert, voici l'ordre dans lequel je procède, et pourquoi cet ordre compte.
- Activer le HTTPS et forcer la redirection HTTP → HTTPS. Ensuite seulement, activer HSTS (qui dit au navigateur de ne plus jamais passer par HTTP). Ne faites pas l'inverse : j'ai bloqué un domaine entier pendant deux heures comme ça, le temps que le cache du navigateur expire.
- Créer un compte administrateur au nom neutre, pas « admin ». Mot de passe généré, stocké dans un gestionnaire.
- Activer l'authentification à deux facteurs sur le panneau d'administration et sur le panneau de l'hébergeur. Le panneau de l'hébergeur, c'est la porte d'entrée que tout le monde oublie.
- Programmer les mises à jour automatiques des composants, mais tester d'abord sur une copie. Une mise à jour casse rarement ; une mise à jour non testée casse parfois tout.
- Configurer une sauvegarde quotidienne hors du serveur (stockage objet, autre fournisseur). Une sauvegarde stockée sur la machine qu'elle protège ne sert à rien en cas de compromission.
- Poser une limite de tentatives de connexion, et un WAF si l'hébergeur en propose un.
Six étapes. Une heure de travail. Ça couvre la majorité des attaques opportunistes, celles qui scannent le web en permanence à la recherche de portes ouvertes.
Combien coûte l'hébergement d'un site web ?
Parlons chiffres, parce que c'est là que les comparaisons en ligne deviennent inutiles. Les prix affichés correspondent presque toujours à la première année, avec un renouvellement parfois deux à trois fois plus cher. Lisez la ligne « prix de renouvellement », pas la bannière.
| Type d'hébergement | Prix mensuel réaliste | Pour qui | Niveau de sécurité de base |
|---|---|---|---|
| Mutualisé entrée de gamme | 3 à 8 € | Site vitrine, blog | Correct si isolation garantie |
| Mutualisé premium / WordPress managé | 15 à 40 € | E-commerce, trafic moyen | Bon : WAF, sauvegardes, support |
| VPS | 10 à 30 € | Développeur, site à trafic variable | Dépend entièrement de vous |
| Serveur dédié | 60 à 200 € | Fort trafic, besoins spécifiques | Élevé, mais à administrer |
| Cloud à l'usage | Variable, imprévisible | Charges irrégulières | Bon, facturation à surveiller |
À cela s'ajoute le certificat SSL : gratuit avec Let's Encrypt chez la quasi-totalité des hébergeurs, ou 50 à 80 € par an pour un certificat payant. Franchement, dans la plupart des cas, le gratuit fait le travail. Je paie un certificat payant uniquement pour des domaines où je veux une validation étendue visible dans la barre d'adresse.
Le coût caché, c'est celui d'une faille. Un site compromis, c'est le nettoyage, la perte de référencement, parfois la perte de clients. J'ai chiffré une fois la remise en état d'un site piraté : deux jours de travail, plus une semaine de trafic divisé par trois. Ça valait largement les 20 €/mois que le client aurait dû mettre dans un forfait correct.
Comment héberger un site web chez soi ?
Techniquement, oui, c'est possible. Un vieux PC, un Raspberry Pi, un NAS Synology, et vous servez des pages depuis votre salon. J'ai essayé.
Ce que j'ai découvert, et qui n'est jamais dit assez fort : votre fournisseur d'accès internet vous attribue en général une adresse IP dynamique, qui change. Vous devrez donc passer par un service de DNS dynamique pour que le domaine pointe toujours au bon endroit. Ensuite, il faut ouvrir des ports sur la box, ce qui expose votre réseau domestique. Et il faut gérer les certificats, les mises à jour, les pannes de courant.
- Un Raspberry Pi consomme presque rien et suffit pour un site à faible trafic.
- Un NAS Synology propose des paquets serveur web tout prêts, pratique pour un usage interne.
- La disponibilité réelle d'une connexion résidentielle est très inférieure à celle d'un datacenter.
Mon verdict, sans détour : pour un site personnel que vous êtes seul à consulter, c'est un excellent terrain d'apprentissage. Pour un site professionnel, je déconseille formellement. Une coupure de courant chez vous et votre boutique tombe. Et la sécurité d'un serveur exposé en direct sur internet demande une rigueur que peu de gens maintiennent sur la durée.
Et héberger un site web sur son propre PC pour un usage local ?
Là, c'est différent et ça a du sens. Un serveur local sur votre machine (via un environnement comme XAMPP ou un conteneur Docker) pour développer et tester avant de publier. Je travaille comme ça depuis un moment. Le PC reste éteint la nuit, aucune exposition, aucune contrainte de sécurité. C'est un outil de développement, pas un hébergement.
Comment héberger un site web gratuitement ?
Le gratuit existe. Il a des contreparties concrètes qu'il faut connaître avant de s'engager.
Les plateformes de publication (type Wix, ou les générateurs de sites) hébergent votre site sur leur infrastructure, avec un sous-domaine gratuit. Vous n'avez rien à sécuriser côté serveur — ils s'en chargent. En échange, vous êtes verrouillé dans leur système, souvent avec leur bandeau publicitaire, et vous migrerez mal le jour où vous voudrez partir.
GitHub Pages est une option que j'utilise pour des sites statiques. Gratuit, HTTPS inclus, pas de serveur à gérer. Mais c'est réservé aux sites statiques : pas de base de données, pas de formulaire serveur, pas de boutique. Un blog de documentation, oui. Un site e-commerce, non.
Les offres d'hébergement dites gratuites à vie chez des hébergeurs classiques : je m'en méfie. Dans mon expérience, elles s'accompagnent de ressources très limitées et d'un support réduit au minimum. J'ai vu un compte gratuit suspendu sans préavis pour cause de « consommation excessive » alors que le site recevait quelques visites par jour. Ce qui est gratuit a un propriétaire, et ce propriétaire, c'est l'hébergeur.
Pour un projet sérieux, le minimum de 3 à 5 € par mois pour un mutualisé correct reste l'investissement le plus rentable possible.
Faut-il un hébergeur différent pour un site sécurisé ?
Non, pas un hébergeur différent — mais un forfait différent. Chez un même fournisseur, l'offre d'entrée de gamme et l'offre supérieure n'ont souvent pas les mêmes garanties contractuelles. C'est écrit en petites lignes. Le passage du forfait basique au forfait du dessus m'a apporté les sauvegardes accessibles en un clic et une meilleure isolation, pour environ 12 € de plus par mois. Le rapport bénéfice/prix était évident.
Ce qui reste quand on a tout configuré
Une chose que vous ne contrôlerez jamais complètement : la vigilance dans le temps. La sécurité d'un hébergement n'est pas un état, c'est une habitude. Un mot de passe qui fuit sur un vieux forum oublié, un thème abandonné depuis deux ans, et tout votre travail de configuration part en fumée.
Je me suis fait avoir une fois, sans aucune attaque sophistiquée. Le mot de passe de mon panneau d'administration traînait dans un fichier texte sur une clé USB. Rien de plus bête. Depuis, j'ai une règle simple : je consacre une heure tous les deux mois à vérifier les accès, les mises à jour et l'état des sauvegardes. Une heure, six fois par an.
La vraie question n'est peut-être pas « quel hébergeur choisir », mais : accepterez-vous de tenir cette heure-là ? Parce que si la réponse est non, le forfait le plus cher ne vous sauvera pas.
