On-premise ou SaaS : où héberger ses services informatiques ?

En clair

Pour se déplacer, on peut acheter une voiture, la louer en longue durée, ou prendre un taxi. Avec sa voiture, on choisit tout mais on fait l'entretien, l'assurance et les réparations. En location, le loueur s'occupe du gros entretien. En taxi, on ne s'occupe de rien, mais on ne choisit ni le trajet exact ni le véhicule, et on dépend du chauffeur. Pour l'informatique, c'est pareil : on-premise (chez soi), hébergé (chez un prestataire) ou SaaS (un service prêt à l'emploi). Aucune formule n'est meilleure dans l'absolu : tout dépend du service et de l'entreprise.

Aucun prix n'est donné ici. Informations vérifiées le 20 octobre 2026.

1. Les quatre façons d'héberger un service

Modèle	Où tourne le logiciel	Qui l'administre	Exemple
On-premise (sur site)	Sur vos serveurs, dans vos locaux	Vous	Active Directory, serveur de fichiers, GLPI sur une VM Proxmox au bureau
Auto-hébergé chez un hébergeur (IaaS, VPS, serveur dédié)	Sur une machine louée dans un centre de données	Vous (le système et l'application)	Nextcloud ou BookStack sur un VPS en France
Hébergé et infogéré (cloud privé, service managé)	Chez un prestataire	Le prestataire, selon le contrat	GLPI hébergé par un intégrateur, base de données gérée
SaaS (Software as a Service)	Chez l'éditeur, partagé entre ses clients	L'éditeur	Microsoft 365, Google Workspace, Confluence Cloud, Intune

Entre les deux extrêmes, la plupart des entreprises sont hybrides : annuaire local synchronisé avec le cloud, messagerie en SaaS, application métier sur site, sauvegardes chez un hébergeur. Pour les grandes familles de cloud (IaaS, PaaS, SaaS) et les fournisseurs, voir le comparatif du cloud.

2. Qui est responsable de quoi ?

C'est le point le plus souvent mal compris : passer en SaaS ne transfère pas toute la responsabilité.

Élément	On-premise	IaaS / VPS	SaaS
Bâtiment, électricité, climatisation	Vous	Hébergeur	Éditeur
Matériel (serveurs, disques, réseau)	Vous	Hébergeur	Éditeur
Système d'exploitation et correctifs	Vous	Vous	Éditeur
Application, mises à jour	Vous	Vous	Éditeur
Disponibilité du service	Vous	Partagée	Éditeur (selon le contrat)
Comptes, droits, double authentification	Vous	Vous	Vous
Configuration de sécurité du service	Vous	Vous	Vous
Données : contenu, classement, partages	Vous	Vous	Vous
Sauvegarde de vos données	Vous	Vous	Souvent vous (voir l'encadré)
Conformité RGPD	Vous	Vous, avec l'hébergeur comme sous-traitant	Vous, avec l'éditeur comme sous-traitant

Un SaaS n'est pas une sauvegarde

Les grands services en ligne protègent leur plateforme contre les pannes, mais pas vos données contre vos propres erreurs : fichier supprimé il y a six mois, boîte d'un salarié parti effacée, compte piraté qui chiffre OneDrive. Les corbeilles et la rétention ont des durées limitées. Prévoyez une sauvegarde indépendante de Microsoft 365, Google Workspace ou de vos autres SaaS critiques, selon la règle 3-2-1.

3. Comparaison point par point

Critère	On-premise / auto-hébergé	SaaS
Mise en route	Lente : matériel, installation, configuration	Rapide : compte créé, service disponible
Maintenance	À votre charge : correctifs, mises à jour, matériel, supervision	Assurée par l'éditeur
Compétences nécessaires	Système, réseau, sécurité, sauvegarde, astreinte	Administration fonctionnelle, sécurité des comptes
Contrôle et personnalisation	Total : version, configuration, extensions, intégrations	Limité à ce que propose l'éditeur
Rythme des changements	Vous décidez quand mettre à jour	L'éditeur impose les nouveautés et les retraits de fonctions
Disponibilité	Dépend de votre infrastructure (alimentation, redondance)	Généralement élevée, mais une panne de l'éditeur vous touche sans recours immédiat
Dépendance à Internet	Le service interne fonctionne même si la connexion tombe	Aucun accès sans Internet
Accès à distance	À organiser (VPN, proxy inverse, exposition maîtrisée)	Natif, depuis partout
Localisation des données	Vous savez exactement où elles sont	Selon le contrat et les options de l'éditeur
Lois applicables	Droit du pays où sont vos serveurs	Droit du pays de l'éditeur en plus (par exemple le Cloud Act pour un éditeur américain)
Réversibilité	Vos données sont chez vous ; le format reste un sujet	Dépend des exports proposés et du contrat
Structure des coûts	Investissement initial, puis maintenance et temps humain	Abonnement par utilisateur ou par usage, sans investissement initial
Coût caché principal	Le temps de l'équipe et l'astreinte	L'accumulation d'abonnements et la dépendance

4. Ce qui change en 2026

Les éditeurs poussent vers le SaaS ou l'abonnement. Atlassian arrête ses offres Data Center à installer soi-même (fin de vie le 28 mars 2029). Microsoft a remplacé Exchange Server 2016 et 2019, sans support depuis le 14 octobre 2025, par Exchange Server Subscription Edition, qui reste installable sur site mais avec des licences à maintenir sous abonnement ou Software Assurance. Une solution « sur site » n'est donc plus forcément un achat définitif.
La souveraineté devient un critère courant. Gartner parle de « géopatriation » : des entreprises rapatrient données et applications d'hyperscalers étrangers vers des clouds souverains ou locaux, ou vers leurs propres serveurs. Le cabinet prévoit que la majorité des entreprises européennes l'auront fait d'ici 2030, plutôt vers des clouds européens que par un retour complet sur site.
Le Data Act européen facilite le changement de fournisseur cloud. Applicable depuis le 12 septembre 2025, il impose aux fournisseurs de faciliter la migration vers un concurrent ou vers vos propres serveurs, et les frais de changement doivent disparaître complètement à partir du 12 janvier 2027.
SecNumCloud et les offres qualifiées se développent pour les données sensibles. Voir le comparatif du cloud.

5. Service par service

Il n'y a pas de réponse globale : on décide service par service. Voici les tendances pour une PME, à adapter.

Service	Tendance raisonnable	Pourquoi
Messagerie et agenda	SaaS	Exchange sur site demande beaucoup d'expertise et reste une cible privilégiée des attaques ; la disponibilité et le filtrage sont mieux assurés par un service spécialisé
Bureautique collaborative, stockage de fichiers	SaaS, ou Nextcloud auto-hébergé si la souveraineté prime	Coédition et accès mobile ; l'auto-hébergement est réaliste avec une équipe compétente
Annuaire et identités	Hybride	Active Directory local pour les postes et applications internes, synchronisé avec Entra ID pour le cloud. Voir l'hybridation AD, Entra et Microsoft 365.
Gestion des appareils (MDM)	SaaS	Les appareils sont partout, et les inscriptions automatiques passent de toute façon par les services des constructeurs. Voir les MDM.
Inventaire et assistance	Au choix	GLPI s'installe facilement sur site (voir installer GLPI) et existe aussi en version hébergée
Wiki et documentation	Au choix	Auto-hébergement simple (BookStack), mais prévoyez une copie hors ligne des procédures d'urgence. Voir les bases de connaissances.
Gestionnaire de mots de passe	SaaS chiffré de bout en bout, ou auto-hébergé avec grande rigueur	Une panne ou une perte est critique ; l'auto-hébergement exige sauvegardes et haute disponibilité. Voir les gestionnaires de mots de passe.
Application métier, ERP	Selon l'éditeur et les intégrations	Les liens avec les machines, l'atelier ou d'autres logiciels locaux favorisent souvent le sur site
Serveur de fichiers techniques, gros volumes	Sur site	Débit local, volumes importants, faible latence
Téléphonie	SaaS (téléphonie hébergée)	Les standards sur site deviennent rares
Sauvegarde	Hybride	Une copie locale pour restaurer vite, une copie externalisée et protégée contre l'effacement
Supervision	Sur site, avec une sonde externe	La supervision doit fonctionner quand le reste tombe, et quelqu'un doit voir de l'extérieur si le site entier est coupé

6. Une méthode de décision

Pour chaque service, attribuez une note de 1 à 5 à chaque critère pour les deux options, multipliez par le poids, et comparez les totaux. Ajustez les poids à votre contexte.

Critère	Poids	On-premise (note)	SaaS (note)
Sensibilité des données et contraintes réglementaires	3
Compétences et temps disponibles dans l'équipe	3
Besoin d'accès à distance et de mobilité	2
Disponibilité attendue et tolérance aux pannes	2
Intégration avec les autres systèmes	2
Personnalisation nécessaire	1
Réversibilité et risque de dépendance	2
Coût total sur 5 ans (matériel, licences, temps humain)	2
Total pondéré

Comptez le temps humain

Un serveur sur site n'est pas « gratuit » une fois acheté : correctifs mensuels, sauvegardes à vérifier, renouvellement du matériel tous les 5 à 7 ans, supervision, astreinte, documentation. Si personne n'a ce temps, le service sur site se dégrade sans bruit jusqu'au jour de l'incident.

7. Avant de signer un SaaS

Les questions à poser, et à retrouver dans le contrat :

Où sont les données, y compris les sauvegardes et le support ? Quels sous-traitants y ont accès ?
Quelle loi s'applique à l'éditeur ? Est-il soumis à une législation extra-européenne qui peut l'obliger à transmettre des données ?
Contrat de sous-traitance RGPD (article 28) : est-il fourni, et couvre-t-il la sécurité, la notification des violations et la suppression en fin de contrat ?
Réversibilité : quels exports, dans quels formats, sans frais ? Pendant combien de temps après la résiliation les données restent-elles récupérables ?
Engagement de service (SLA) : disponibilité garantie, délais d'intervention, pénalités, page d'état publique ?
Sécurité : authentification unique (SAML, OIDC), double authentification imposable, journaux d'activité exportables, certifications (ISO 27001, SecNumCloud, HDS selon le cas) ?
Sauvegarde : que sauvegarde l'éditeur, pendant combien de temps, et peut-on restaurer un seul élément ?
Évolution : comment sont annoncés les changements de fonctions, de conditions et de prix ?

8. Avant de garder ou d'installer un service sur site

Quelqu'un est-il responsable du service, avec un remplaçant ?
Les correctifs sont-ils appliqués chaque mois, et les mises à jour majeures planifiées ?
Les sauvegardes suivent-elles la règle 3-2-1, avec une copie hors ligne ou immuable et des tests de restauration ?
La supervision alerte-t-elle en cas de panne, de disque plein ou de certificat expiré ?
Le matériel est-il sous garantie, et son renouvellement prévu ?
L'électricité et le réseau sont-ils protégés (onduleur, redondance si nécessaire) ?
Le plan de reprise est-il écrit : que fait-on si la salle serveur est inutilisable ?
L'exposition sur Internet est-elle limitée au strict nécessaire, derrière un VPN ou un proxy inverse ?

9. Liste de contrôle

Point	Fait ?
Chaque service a un mode d'hébergement choisi et justifié	☐
Le tableau des responsabilités est connu de l'équipe pour chaque SaaS	☐
Les SaaS critiques ont une sauvegarde indépendante	☐
Les contrats SaaS contiennent un accord de sous-traitance RGPD et une clause de réversibilité	☐
Un export complet a été testé au moins une fois pour chaque SaaS critique	☐
Les services sur site ont un responsable, des correctifs, une supervision et des sauvegardes testées	☐
Les fins de support des logiciels sur site sont suivies (calendrier des éditeurs)	☐
La décision est revue chaque année ou à chaque fin de contrat	☐

Services IT / Fiche