Où sont vos données, et à quel nom
Trois choses déterminent votre indépendance : le nom de domaine, l'hébergement, et l'endroit où vit le code. La règle n'est pas « tout à votre nom », c'est « tout récupérable ». Un prestataire peut parfaitement les administrer, et même vous vendre l'hébergement : c'est souvent plus simple pour vous, et c'est ce que je propose à mes clients qui ne veulent pas gérer un serveur.
Ce qui compte, c'est ce qui se passe le jour où vous partez : le domaine vous est transféré sans discussion, une copie complète du site et de la base vous est remise, et le code est déjà sur un dépôt dont vous avez les accès. L'hébergement mutualisé chez un prestataire est une commodité ; il ne doit jamais être une serrure.
Le test tient en une phrase : si vous changiez de prestataire demain, que devriez-vous refaire ou racheter ? La réponse doit être « rien », au pire un changement d'hébergeur, qui se fait en une journée.
Une sauvegarde qui n'a jamais été restaurée n'est pas une sauvegarde
Tout le monde en a. Presque personne ne les a essayées. Or une sauvegarde peut tourner pendant deux ans en enregistrant un dossier vide, et personne ne s'en apercevra avant le jour où on en a besoin.
Ce qu'il faut : fichiers et base de données, conservés ailleurs que sur le serveur du site, avec une restauration d'essai périodique. Et la réponse à une question toute bête : combien de temps faut-il pour remettre le site en ligne, et combien d'heures de données perdrait-on ?
Deux chiffres suffisent à décrire votre niveau de protection : le temps de remise en ligne, et la quantité de travail perdue. Si personne ne les connaît, c'est que personne n'a testé.
Le RGPD, sans la peur
RGPD veut dire « Règlement général sur la protection des données ». C'est le texte européen, en vigueur depuis 2018, qui encadre ce qu'une entreprise peut faire des informations personnelles qu'elle recueille : un nom, un courriel, un numéro de téléphone, une adresse de livraison. Il ne vous interdit pas de les collecter, il vous demande de savoir pourquoi vous les avez, combien de temps vous les gardez, et de pouvoir les rendre ou les supprimer si la personne le demande.
Ce n'est ni un piège ni une paperasse insurmontable. Pour un site vitrine ou une boutique, l'essentiel tient en quatre points : ne collecter que ce dont vous avez besoin, dire à quoi ça sert, savoir combien de temps vous le gardez, et pouvoir supprimer une donnée quand on vous le demande.
Le bandeau de cookies n'est pas obligatoire par principe : il l'est si vous déposez des traceurs publicitaires ou de mesure non exemptés. Beaucoup de sites en affichent un alors qu'ils n'en ont aucun besoin, c'est un repoussoir gratuit.
Hébergement en France, en Europe, ou ailleurs ?
Pour une TPE ou une PME française, l'hébergement en France est le choix par défaut, et c'est celui que je privilégie autant que possible : proximité juridique, support dans votre langue, latence plus faible, et un interlocuteur joignable un lundi matin. Ça n'a rien d'un luxe, les hébergeurs français sont au même prix que les autres, quelques euros par mois.
Il existe des cas où un service étranger s'impose : une brique technique qui n'a pas d'équivalent, une plateforme imposée par votre métier. Alors on le sait, on le note dans la politique de confidentialité, et on vérifie le cadre juridique du transfert. Ce qui n'est pas acceptable, c'est de l'ignorer.
La vraie question n'est pas le pays mais la maîtrise : qui a la main sur le serveur, qui applique les mises à jour de sécurité, et à qui vous téléphonez à 8 h un lundi quand rien ne répond.
Vous ne savez pas où votre site est hébergé ni ce qui est sauvegardé ? Je fais l'état des lieux, sans engagement.