Article mis à jour le 01/11/2026
Avant de confier des serveurs ou des sauvegardes à un hébergeur, la question n’est pas « le datacenter est-il sécurisé ? », car tous répondent oui. La bonne question est : quelles protections précises, prouvées par qui, et jusqu’où va la responsabilité de l’hébergeur ? Cet article donne une méthode d’évaluation, puis détaille chaque couche de protection, de la plus souvent défaillante à la plus rare.
La méthode : poser les bonnes questions dans le bon ordre
Un centre de données est un bâtiment conçu pour héberger des serveurs et des équipements de stockage. Sa sécurité se juge sur cinq couches indépendantes, car une faille dans l’une annule les efforts faits sur les autres :
- le périmètre et les accès physiques : qui peut entrer, jusqu’où, avec quelle traçabilité ;
- l’énergie et le refroidissement : que se passe-t-il quand le réseau électrique ou une climatisation tombe ;
- la protection contre l’incendie et l’eau ;
- la sécurité logique : réseau, administration, chiffrement, journaux ;
- le cadre de preuve : certifications, audits, contrat.
Pour chaque couche, demandez un document, pas une assurance orale : plan des zones, rapport d’audit, attestation de certification, résultat du dernier test de bascule électrique.
1. Les accès physiques : le contrôle le plus souvent insuffisant
L’accès à un datacenter est en principe restreint, et la protection se construit en couches : clôtures, bornes anti-véhicule et sas à un seul passage (« mantraps ») sont courants, et la vidéosurveillance comme les agents de sécurité sont presque toujours présents sur les grands sites ou ceux qui abritent des données sensibles (Wikipédia, Data center).
La CNIL, dans sa fiche sur la protection des locaux, recommande des mesures qui valent pour tout hébergeur ou salle informatique (CNIL, Protéger les locaux) :
- restreindre l’accès par des portes verrouillées et distinguer les zones selon les risques, avec un contrôle dédié pour la salle informatique ;
- tenir à jour la liste des personnes autorisées par zone et la revoir périodiquement ;
- accompagner les visiteurs, leur faire porter un badge visible et consigner leurs heures d’arrivée et de départ ;
- installer des alarmes anti-intrusion et les vérifier périodiquement.
À demander : la liste des zones (périmètre, bâtiment, salle, baie), la durée de conservation des enregistrements vidéo et des journaux d’accès, et la procédure appliquée à un intervenant extérieur. Le prestataire de maintenance est un point d’entrée classique : il doit être traité comme un visiteur.
2. L’énergie et le refroidissement : la cause d’interruption la plus classique
Un serveur ne tombe pas parce qu’on l’attaque, mais d’abord parce qu’il n’est plus alimenté ou refroidi. L’alimentation d’un datacenter repose sur un ou plusieurs onduleurs, des batteries et des groupes électrogènes (diesel ou turbine à gaz) : les batteries assurent la continuité le temps que les groupes démarrent, et des commutateurs statiques assurent le passage entre deux alimentations (Wikipédia, Data center). Côté climatisation, le confinement des allées chaudes et froides et les unités de refroidissement en rangée sont des techniques courantes.
Pour comparer deux sites, la référence du marché est la classification en quatre niveaux de l’Uptime Institute (Uptime Institute, Tier Classification System) :
- Tier I : capacité de base (onduleur, zone dédiée, refroidissement, groupe électrogène) ; protège des erreurs humaines mais pas d’une panne inattendue, et la maintenance préventive impose un arrêt complet ;
- Tier II : composants de puissance et de refroidissement redondants, mais un arrêt imprévu affecte encore le système ;
- Tier III : maintenable sans interruption, chaque élément peut être arrêté sans impact sur l’informatique ;
- Tier IV : plusieurs systèmes indépendants et isolés physiquement, une panne d’équipement n’affecte pas l’exploitation.
Deux précautions. D’abord, les niveaux sont progressifs, mais l’Uptime Institute précise qu’un Tier IV n’est pas « meilleur » qu’un Tier II pour tous les besoins : il faut choisir selon la criticité de vos applications. Ensuite, distinguez un site certifié d’un site « conçu selon » un niveau : l’institut annonce plus de 4 300 certifications délivrées dans plus de 120 pays, et seul le certificat fait foi.
3. Le feu et l’eau
La CNIL demande des détecteurs de fumée et des moyens de lutte contre l’incendie inspectés chaque année, et recommande de protéger le matériel par un système anti-incendie dédié, une surélévation contre les inondations et une redondance d’alimentation et de climatisation. Dans les salles informatiques, l’extinction se fait en général par gaz, le halon, longtemps le plus répandu, ayant été abandonné après la découverte de ses effets néfastes (Wikipédia, Data center). Demandez le type d’agent d’extinction, la fréquence des contrôles et l’emplacement du site par rapport aux zones inondables.
4. La sécurité logique : ce que l’hébergeur fait, ce que vous faites
Selon le service acheté (colocation, serveur dédié, cloud), la frontière de responsabilité change. En colocation, l’hébergeur fournit le local, l’énergie et le réseau, et vous sécurisez vos serveurs. Les recommandations de la CNIL sur les serveurs servent de base (CNIL, Sécuriser les serveurs) :
- désinstaller ou désactiver les services et interfaces inutiles ;
- limiter l’accès aux outils d’administration aux seules personnes habilitées, par un réseau dédié et isolé pour les opérations d’administration ;
- installer les mises à jour critiques sans délai ;
- chiffrer les échanges (protocole TLS) et tenir un journal des événements ;
- sauvegarder et vérifier régulièrement l’intégrité des sauvegardes.
Pare-feu, détection d’intrusion, chiffrement et VPN restent les briques classiques. Le catalogue de contrôles de référence est le NIST SP 800-53 Rev. 5, qui range les mesures en familles, dont une consacrée à la protection physique et environnementale (NIST SP 800-53 Rev. 5). Les exigences logiques et physiques y sont donc traitées ensemble, ce qui rappelle qu’on ne peut pas évaluer l’une sans l’autre.
5. Les certifications : ce qu’elles prouvent, et ce qu’elles ne prouvent pas
La norme ISO/IEC 27001 spécifie les exigences d’un système de management de la sécurité de l’information. Sa version en vigueur date de 2022 (amendée en 2024) et son Annexe A compte 93 contrôles répartis en quatre thèmes : organisationnel, humain, physique et technologique. Le cycle de certification comprend un audit initial en deux étapes, un audit de surveillance dans les douze mois, puis au moins un par année civile, et une recertification en principe tous les trois ans (Wikipédia, ISO/IEC 27001).
Ce qu’il faut vérifier sur une attestation :
- le périmètre : le certificat couvre-t-il le site que vous utilisez, ou seulement le siège ?
- la date de validité et le nom de l’organisme certificateur ;
- la déclaration d’applicabilité, qui indique quels contrôles s’appliquent réellement.
Pour des données sensibles ou des exigences de souveraineté, le référentiel français SecNumCloud de l’ANSSI s’ajoute aux normes internationales. Il porte sur une offre de service donnée, pas sur l’entreprise entière : une localisation des données en France ne vaut pas qualification. Renseignez-vous directement sur le site de l’ANSSI pour la version en vigueur et la liste des offres qualifiées.
Et la reprise après sinistre ?
Même le meilleur site peut être indisponible. La résilience d’un hébergement se complète donc par un plan de reprise, avec des objectifs de temps et de perte de données mesurés et testés : notre article sur le plan de reprise d’activité informatique détaille la démarche. Si vos logiciels métiers restent sur site, la question de la qualité du réseau se pose aussi : voir ces logiciels métiers qui restent sur site.
Récapitulatif : la grille en huit points
- Identifier le modèle de service (colocation, dédié, cloud) et donc la frontière de responsabilité.
- Obtenir le plan des zones d’accès et la politique visiteurs et prestataires.
- Vérifier la durée de conservation des journaux d’accès et de la vidéo.
- Demander le niveau de redondance électrique et de refroidissement, avec certificat s’il se réclame d’un Tier.
- Connaître le type de protection incendie et le risque d’inondation du site.
- Appliquer vos propres mesures logiques : administration isolée, mises à jour, TLS, journaux, sauvegardes testées.
- Contrôler le périmètre, la validité et l’organisme de toute certification (ISO/IEC 27001, SecNumCloud si nécessaire).
- Prévoir un plan de reprise testé, indépendant d’un seul site.