En clair
Le cloud, c'est louer de l'informatique au lieu de l'acheter. Plutôt que d'avoir un serveur dans un placard, on utilise celui d'un fournisseur, dans son centre de données, à travers Internet. Comme pour un logement, il y a plusieurs formules : louer un terrain nu et tout construire (IaaS), louer un appartement meublé où l'on apporte seulement ses affaires (PaaS), ou aller à l'hôtel où tout est fourni (SaaS). Et comme pour un logement, il faut se demander dans quel pays il se trouve, et quelles lois s'y appliquent.
Aucun prix n'est donné ici : les grilles changent souvent et dépendent de l'usage. Informations vérifiées le 20 octobre 2026.
1. Les formes de cloud
| Modèle | Ce que vous louez | Ce que vous gérez | Exemples |
|---|---|---|---|
| IaaS (Infrastructure as a Service) | Des machines virtuelles, du stockage, du réseau | Le système, les mises à jour, les applications, la sécurité de la VM | Une VM chez OVHcloud, AWS EC2, Azure VM, Hetzner Cloud |
| PaaS (Platform as a Service) | Une plateforme prête : base de données gérée, hébergement d'applications, Kubernetes géré | Votre code et vos données | Base PostgreSQL gérée, Clever Cloud, Azure App Service, Google Cloud Run |
| SaaS (Software as a Service) | Un logiciel complet, utilisé dans le navigateur | Vos comptes et vos données | Microsoft 365, Google Workspace, kSuite d'Infomaniak, Proton |
| Stockage en ligne | De l'espace pour vos fichiers, synchronisé entre appareils | Le partage, les droits, le chiffrement éventuel | OneDrive, Google Drive, iCloud, Proton Drive, kDrive |
| Stockage objet (S3) | Un espace de stockage massif, accessible par API | Les compartiments (buckets), les droits, la durée de conservation | Amazon S3, OVHcloud Object Storage, Scaleway Object Storage |
Qui est responsable de quoi ?
C'est le modèle de responsabilité partagée : le fournisseur sécurise ce qu'il gère, vous sécurisez le reste.
| Élément | IaaS | PaaS | SaaS |
|---|---|---|---|
| Bâtiment, matériel, réseau physique | Fournisseur | Fournisseur | Fournisseur |
| Système d'exploitation, correctifs | Vous | Fournisseur | Fournisseur |
| Application | Vous | Vous | Fournisseur |
| Données, comptes, droits d'accès | Vous | Vous | Vous |
Dans tous les cas, vos données et vos comptes restent votre responsabilité : un mot de passe faible, une erreur de partage ou une suppression accidentelle ne sont pas couverts par le fournisseur.
2. Les grandes familles de fournisseurs
| Famille | Fournisseurs | Forces | Limites |
|---|---|---|---|
| Hyperscalers américains | AWS (Amazon), Microsoft Azure, Google Cloud | Catalogue immense (des centaines de services), présence mondiale, IA, outils avancés, écosystème et certifications | Complexité, facturation difficile à prévoir, soumis au droit américain, verrouillage fort |
| Fournisseurs européens généralistes | OVHcloud (France), Scaleway (France), Hetzner (Allemagne), Infomaniak (Suisse), IONOS (Allemagne) | Droit européen ou suisse, simplicité, facturation lisible, très bon rapport performances, support dans la langue | Catalogue plus réduit, moins de services managés avancés, présence mondiale limitée |
| Clouds qualifiés SecNumCloud | Outscale (Dassault Systèmes), offres qualifiées d'OVHcloud, Cloud Temple, S3NS (Thales et Google) | Niveau de sécurité et d'immunité juridique vérifié par l'ANSSI | Catalogue et souplesse plus limités, réservé en pratique aux données sensibles |
| Offres « souveraines » des hyperscalers | AWS European Sovereign Cloud, S3NS, Bleu (Orange, Capgemini et Microsoft) | Les services des hyperscalers, opérés en Europe avec des garanties supplémentaires | Le niveau réel de protection juridique varie d'une offre à l'autre : voir la partie 4 |
3. Le comparatif des principaux fournisseurs
| Fournisseur | Siège | Points forts | Points faibles | Pour qui |
|---|---|---|---|---|
| AWS | États-Unis | Le plus vaste catalogue, maturité, documentation, très nombreuses régions | Complexité de la console et des droits (IAM), facturation à surveiller de près | Entreprises, applications à grande échelle, équipes DevOps |
| Microsoft Azure | États-Unis | Intégration avec Microsoft 365, Entra ID (ex-Azure AD) et Windows Server ; licences Windows et SQL Server | Interface et nommage changeants, complexité | Entreprises déjà sous Microsoft, environnements hybrides |
| Google Cloud | États-Unis | Données, analyse (BigQuery), Kubernetes (GKE), IA | Moins présent chez les PME françaises | Projets data et IA, applications conteneurisées |
| OVHcloud | France | Large gamme (VPS, serveurs dédiés, cloud public OpenStack, cloud privé VMware), offres qualifiées SecNumCloud, trafic sortant souvent inclus | Interface et support parfois inégaux | PME, hébergeurs, administrations, homelab à distance |
| Scaleway | France (groupe Iliad) | Cloud moderne et simple, stockage objet, serveurs pour l'IA (GPU), centres de données en France, aux Pays-Bas et en Pologne | Catalogue plus restreint que les hyperscalers | Startups, développeurs, projets IA en Europe |
| Hetzner | Allemagne | Rapport performances très favorable, serveurs dédiés et cloud simples, Storage Box pour les sauvegardes | Peu de services managés, pas de qualification SecNumCloud | Particuliers, développeurs, PME techniques, sauvegardes externalisées |
| Infomaniak | Suisse | Hébergement en Suisse, engagement écologique, suite collaborative kSuite (messagerie, kDrive, visio), cloud public OpenStack | Moins de services d'infrastructure avancés | Particuliers et PME qui veulent une alternative européenne complète à Google ou Microsoft |
| Outscale | France (Dassault Systèmes) | Cloud IaaS qualifié SecNumCloud, compatible avec une partie des API d'AWS | Offre orientée entreprises | Données sensibles, secteur public, industrie |
| IONOS | Allemagne | Large gamme, de l'hébergement web au cloud, présence en Europe | Image plutôt grand public | TPE, sites web, VPS |
Le trafic sortant
Chez les hyperscalers, les données qui sortent du cloud vers Internet (téléchargements, sauvegardes rapatriées, visiteurs d'un site) sont généralement facturées au volume, ce qui peut surprendre. Beaucoup de fournisseurs européens incluent ce trafic ou l'en facturent beaucoup moins. Vérifiez ce point avant de stocker de gros volumes que vous devrez récupérer.
4. La souveraineté des données
Le problème
Le CLOUD Act américain (2018) permet aux autorités des États-Unis d'exiger d'une entreprise américaine les données qu'elle contrôle, même si elles sont stockées en Europe. Héberger ses données dans une région « Paris » ou « Francfort » d'un fournisseur américain ne suffit donc pas, à lui seul, à les soustraire au droit américain. Le RGPD, lui, encadre les transferts de données personnelles hors de l'Union européenne (voir la CNIL en bas de page).
SecNumCloud
SecNumCloud est le référentiel de l'ANSSI pour les fournisseurs de cloud. Depuis sa version 3.2 (2022), il impose, en plus d'exigences de sécurité élevées, une immunité aux lois extra-européennes : le fournisseur qualifié ne doit pas pouvoir être contraint, par son siège ou ses actionnaires, de transmettre des données à une autorité étrangère.
| Offre | État au 20 octobre 2026 |
|---|---|
| Outscale (IaaS) | Qualifiée |
| OVHcloud | Plusieurs offres qualifiées (vérifier le périmètre exact) |
| Cloud Temple | Qualifiée |
| S3NS (Thales et Google), offre PREMI3NS | Qualifiée depuis décembre 2025 |
| Bleu (Orange, Capgemini et Microsoft) | En cours ; qualification visée pour fin 2026 |
| Scaleway | Démarche engagée |
La qualification porte sur une offre précise, dans une région précise : la liste officielle de l'ANSSI fait foi.
Les offres européennes des hyperscalers
| Offre | Principe | À savoir |
|---|---|---|
| AWS European Sovereign Cloud (lancé en janvier 2026, en Allemagne) | Infrastructure AWS séparée, exploitée par du personnel résident dans l'UE | Reste une offre d'une entreprise américaine ; pas de qualification SecNumCloud |
| Microsoft EU Data Boundary | Stockage et traitement des données des clients européens dans l'UE | Garantie de localisation, pas d'immunité juridique |
| S3NS et Bleu | Coentreprises françaises qui opèrent la technologie de Google ou de Microsoft | Visent ou détiennent SecNumCloud grâce à leur capital et leur exploitation français |
Localisation n'est pas souveraineté
« Données hébergées en France » signifie que les serveurs sont en France. Cela ne dit rien de qui peut être contraint d'y donner accès. Pour des données sensibles (santé, défense, données stratégiques d'une entreprise, secteur public), demandez la qualification SecNumCloud ou, au minimum, un fournisseur de droit européen.
Les autres repères réglementaires
| Repère | Pour qui |
|---|---|
| HDS (hébergeur de données de santé) | Obligatoire en France pour héberger des données de santé pour le compte d'un tiers |
| ISO 27001 | Système de management de la sécurité : un minimum à demander à tout fournisseur |
| Data Act européen (applicable depuis septembre 2025) | Facilite le changement de fournisseur cloud et encadre les frais de sortie |
| NIS 2 | Obligations de cybersécurité pour de nombreuses entreprises et collectivités, y compris dans le choix de leurs prestataires |
5. Pour un usage personnel
Le stockage en ligne
| Service | Siège | Chiffrement de bout en bout | Points forts |
|---|---|---|---|
| Google Drive | États-Unis | Non | Intégré à Android et à Google Docs |
| OneDrive | États-Unis | Non | Intégré à Windows et à Microsoft 365 ; restauration de fichiers après un rançongiciel |
| iCloud Drive | États-Unis | En option (Protection avancée des données) | Intégré aux appareils Apple |
| Dropbox | États-Unis | Non pour les comptes personnels | Synchronisation rapide et fiable, multiplateforme |
| Proton Drive | Suisse | Oui | Confidentialité, même éditeur que Proton Mail |
| kDrive (Infomaniak) | Suisse | Non (chiffrement côté serveur) | Hébergé en Suisse, suite kSuite complète |
| pCloud | Suisse | En option (pCloud Encryption) | Multiplateforme, lecteur réseau virtuel |
| Tresorit | Suisse | Oui | Orienté professionnels et partage sécurisé |
| Nextcloud auto-hébergé | Chez vous ou chez un hébergeur | Module optionnel | Vous gardez la maîtrise totale (voir les NAS du commerce) |
Le chiffrement de bout en bout, concrètement
Avec le chiffrement de bout en bout, les fichiers sont chiffrés sur votre appareil avant l'envoi : le fournisseur ne peut pas les lire, même sur demande d'une autorité. Contrepartie : si vous perdez votre mot de passe et votre clé de récupération, personne ne peut récupérer vos fichiers. Pour ajouter ce chiffrement à n'importe quel service, l'outil libre Cryptomator chiffre un dossier avant sa synchronisation (voir le catalogue des logiciels libres).
Les autres usages personnels
| Besoin | Solution type |
|---|---|
| Sauvegarder ses photos et documents hors de la maison | Stockage en ligne, ou stockage objet (S3) européen avec un logiciel de sauvegarde (restic, Kopia, Duplicati) |
| Sauvegarde externalisée de son NAS ou de son homelab | Hetzner Storage Box, stockage objet OVHcloud ou Scaleway, ou un second NAS chez un proche (voir la règle 3-2-1) |
| Héberger un site, un VPN, un petit service accessible partout | Un VPS chez OVHcloud, Hetzner, Scaleway, IONOS ou Infomaniak |
| Messagerie privée | Proton Mail, Infomaniak Mail, Mailo, ou la messagerie de votre fournisseur de domaine |
| Apprendre le cloud | Les offres d'essai des hyperscalers, en paramétrant immédiatement une alerte de budget |
6. Pour un usage professionnel
| Besoin | Approche conseillée |
|---|---|
| Bureautique et messagerie d'une TPE ou PME | Microsoft 365 si l'écosystème Windows est déjà en place ; Google Workspace ; ou une alternative européenne : kSuite (Infomaniak), Proton for Business, ou une suite libre hébergée (Nextcloud, Collabora ou OnlyOffice) |
| Site web, petite application | Hébergement mutualisé ou VPS européen ; PaaS (Clever Cloud, Scaleway) pour éviter la gestion du système |
| Sauvegarde externalisée | Stockage objet S3 européen avec verrouillage d'objets (immuabilité) contre les rançongiciels ; région différente de la production |
| Plan de reprise d'activité | Réplication de VM vers un cloud ou un second site, testée régulièrement |
| Données de santé | Hébergeur certifié HDS, obligatoire |
| Données sensibles, secteur public | Offre qualifiée SecNumCloud |
| Applications à forte croissance, IA, services mondiaux | Hyperscaler, en maîtrisant la facturation et la dépendance |
| Environnement Microsoft hybride (Active Directory, Windows Server) | Azure et Entra ID, ou Bleu pour les organisations qui ont besoin de SecNumCloud |
| Ne dépendre d'aucun fournisseur | Outils standards (Kubernetes, Terraform ou OpenTofu, stockage compatible S3) qui permettent de déménager |
Le cloud n'est pas une sauvegarde
Une VM ou un fichier dans le cloud peut disparaître : erreur de manipulation, compte piraté, rançongiciel qui chiffre aussi la copie synchronisée, faillite ou sinistre chez le fournisseur. En mars 2021, l'incendie d'un centre de données d'OVHcloud à Strasbourg a détruit les serveurs et les données de clients qui n'avaient pas de sauvegarde ailleurs. Gardez toujours une copie chez un autre fournisseur ou chez vous.
7. Les bonnes pratiques, quel que soit le fournisseur
| Pratique | Pourquoi |
|---|---|
| Double authentification sur tous les comptes, clé de sécurité pour les administrateurs | Le compte cloud donne accès à tout |
| Comptes nominatifs et moindre privilège : jamais le compte principal au quotidien | Limiter les dégâts d'une erreur ou d'un vol d'identifiants |
| Alertes de budget dès la création du compte | Une ressource oubliée ou un compte piraté peut coûter très cher |
| Chiffrement des données sensibles, idéalement avec vos propres clés | Le fournisseur et les tiers ne lisent pas vos données |
| Sauvegarde hors du fournisseur | Un seul fournisseur est un point de défaillance unique |
| Inventaire et étiquettes des ressources | Savoir ce qui tourne, pour qui, et pourquoi |
| Outils standards et portables (S3, Kubernetes, Terraform ou OpenTofu, formats ouverts) | Garder la possibilité de partir |
| Lire les conditions : localisation, sous-traitants, réversibilité | Savoir où sont vos données et comment les récupérer |
8. Lequel choisir ?
| Votre situation | Le choix conseillé |
|---|---|
| Particulier, stockage simple, déjà équipé Apple, Google ou Microsoft | Le service de votre écosystème, avec double authentification et une sauvegarde ailleurs |
| Particulier soucieux de confidentialité | Proton Drive, ou kDrive et Cryptomator |
| Homelab : VPS, sauvegarde externalisée | Hetzner, OVHcloud ou Scaleway |
| TPE ou PME, bureautique | Microsoft 365 ou Google Workspace, ou kSuite pour une alternative européenne |
| PME, hébergement d'applications et sauvegardes | OVHcloud, Scaleway, Infomaniak ; un hyperscaler si vous avez besoin de ses services avancés |
| Données de santé | Hébergeur HDS |
| Secteur public, données sensibles | Offre SecNumCloud : Outscale, OVHcloud, Cloud Temple, S3NS |
| Entreprise internationale, IA, services avancés | AWS, Azure ou Google Cloud, avec une stratégie de sortie |
À retenir
- IaaS = vous gérez le système, PaaS = vous gérez l'application, SaaS = vous gérez vos comptes et vos données ; dans tous les cas, les données restent votre responsabilité.
- Hyperscalers : le plus complet, mais complexes et soumis au droit américain. Européens : plus simples, lisibles et sous droit européen.
- Localisation ≠ souveraineté : pour les données sensibles, exigez SecNumCloud (ou HDS pour la santé).
- Pour le personnel : double authentification, chiffrement de bout en bout si besoin (Proton Drive, Cryptomator), et une copie ailleurs.
- Le cloud n'est pas une sauvegarde : gardez une copie hors du fournisseur, et des alertes de budget dès le premier jour.
Sources
- ANSSI : le référentiel SecNumCloud
- Next : S3NS et Bleu, état des qualifications SecNumCloud (9 octobre 2026)
- Amazon : lancement de l'AWS European Sovereign Cloud (janvier 2026)
- CNIL : les transferts de données hors de l'Union européenne
- Agence du numérique en santé : certification HDS
- Commission européenne : le règlement sur les données (Data Act)