Comme souvent, les PME découvrent un problème juridique après avoir payé le service. Un cabinet d'expertise financière nous a contactés après qu'une de leurs données de clients a transité par une région AWS aux États-Unis. Non pas que le client se soit plaint, mais la question "où sont mes données exactement ?" est restée sans réponse satisfaisante. C'est le problème du cloud américain, et il est rarement traité honnêtement.
Ce que dit vraiment le Cloud Act
Le Cloud Act de 2018 est une loi américaine qui autorise les autorités fédérales à accéder aux données stockées par les fournisseurs américains, même si les serveurs sont en Europe. Cela concerne AWS, Azure, Google Cloud. Le débat juridique sur l'application exacte existe, mais la réalité est simple : en cas de demande américaine, la conformité aux lois US de ces entreprises n'est pas négociable.
Le point que peu de gens disent : ce n'est pas un sujet réservé aux entreprises qui défendent des secrets. Si vous stockez des données de clients, des contrats, de la comptabilité chez un fournisseur américain, vous êtes concerné. Pour un cabinet médical, un avocat, un cabinet comptable, ou un industriel sous contrat de confidentialité, c'est un risque concret.
La définition concrète du cloud souverain
- Données en France, dans un datacenter français
- Hébergeur français, avec une domiciliation sociale française
- Sous droit français uniquement, pas sous juridiction américaine
- Pas de sous-traitance américaine dans la chaîne
Le tour d'horizon fait vite apparaître qu'il existe des différences de taille entre les hébergeurs : certains "français" reposent techniquement sur des infra US. La règle que je conseille : demandez par écrit au prestataire où sont vos données, qui les opère, et quelle est la politique de secret. WordPress.org
Le vrai coût comparé
Une PME standard avec un site WordPress et une base de données paie en moyenne 400 € par mois chez AWS. Le détail : instances EC2, stockage S3, API et surtout l'egress de la bande passante sortante. Sur AWS, cette facturation est opaque et peut exploser sur un simple site qui monte en trafic.
Chez OVHcloud, Scaleway ou un prestataire opéré comme WebSentinel, le même service (VPS dédié, disque SSD NVMe, base PostgreSQL) revient à 30 à 50 € par mois. C'est jusqu'à 90 % d'économie pour une exigence de souveraineté alliée à un support en français.
Comment migrer sans coupe
Étape 1 : auditez. Listez les services utilisés. On m'invente régulièrement des services AWS que la PME paie sans les utiliser. Un inventaire honnête fait parfois tomber la facture de moitié avant même toute migration.
Étape 2 : choisissez le bon hébergeur. Pas le premier qui apparaît dans Google : celui qui est immatriculé en France, avec datacenters en France, certifié ISO 27001, et avec un support joignable.
Étape 3 : migrez en parallèle. Copiez fichiers et bases vers le nouvel hébergeur, testez le site complet, laissez le DNS sur l'ancien. La bascule se joue ensuite en 5 minutes.
Étape 4 : sécurisez et coupez. Firewall, sauvegardes, supervision. Enfin supprimez l'infra AWS (et vous découvrirez parfois des services oubliés encore facturés).
La méthode détaillée est dans notre guide pour migrer d'AWS vers un hébergeur français, et un audit de votre cloud actuel chiffre le gain avant de se lancer.
Ce que j'ai appris avec les PME du Nord
Le cloud souverain ne sert pas qu'à se protéger du Cloud Act. La vraie raison d'adhésion au moment du départ, c'est la facture AWS incompréhensible et le support en anglais. Un client industriel de la métropole a divisé sa facture d'hébergement par 6, et il a gagné un support local qui répond au téléphone. Ce sont les deux motivations réelles, bien avant les considérations juridiques.
Si vous voulez sortir vos données des infrastructures américaines, notre page Cloud Souverain explique concrètement ce qu'on met en place chez les entreprises de la région, depuis Lille.
Pour aller plus loin : documentation officielle WordPress · dev blog WordPress Core · documentation Google Search Central · crawling et indexing Google
Pour approfondir : règlement européen sur la protection des données.
| Critère | Poids | Recommandation |
|---|---|---|
| Performance | 25% | Objectif LCP < 2,5 s |
| Sécurité | 25% | Mises à jour hebdomadaires |
| Accessibilité | 15% | Conformité WCAG 2.1 AA |
| SEO | 35% | Balisage structuré complet |
Pour approfondir : Commission européenne – économie numérique.
