Quel VPS choisir pour des utilisateurs en France ?

Ce qu’est un VPS et ce que vous choisissez réellement

L’hébergement VPS pour les utilisateurs en France repose sur deux décisions : la localisation de la machine que vous louez et la quantité d’administration système que vous êtes prêt à assurer vous-même. Tout le reste d’une page tarifaire découle de ces deux choix. Cette page couvre ces deux aspects, ainsi que les points propres à ce marché : les prix en euros avec la TVA ajoutée ou déjà incluse, ce que le RGPD exige ou non concernant la localisation, et le fait qu’aucun serveur non administré n’est corrigé par quelqu’un d’autre que vous.

Un VPS (serveur privé virtuel) est une seule machine. Un serveur physique situé dans un data centre exécute un hyperviseur. Celui-ci divise le matériel en tranches. Chaque tranche démarre avec son propre kernel et sa propre copie de Linux. Votre tranche dispose d’une quantité fixe de RAM, d’un nombre défini de cœurs de CPU virtuels, d’un disque et d’au moins une adresse IP publique. Vous y avez les droits root. Vous choisissez donc la distribution, installez ce que vous voulez, ouvrez les ports nécessaires et assumez chaque erreur. Les autres clients présents sur cet hôte ne peuvent pas lire votre disque.

L’accès root est le produit, mais aussi une responsabilité. Aucun panneau de contrôle ne décide de ce que vous pouvez exécuter, et aucun opérateur ne lit vos journaux pendant la nuit. La définition complète d’un VPS et ses différences avec l’hébergement mutualisé explique plus en détail cette limite. Si vous n’avez jamais eu les droits root sur une machine exposée à Internet, lisez ce que vous assumez en en louant une avant de payer quoi que ce soit.

Où héberger un VPS pour des utilisateurs en France

Paris est le choix évident et c’est souvent le bon. France-IX, le plus grand point d’échange Internet français, s’y trouve. Les grands réseaux français destinés aux particuliers y échangent leur trafic. Les paquets entre une machine située à Paris et une ligne d’abonné en France restent donc généralement dans le pays.

Viennent ensuite les pays voisins. Francfort, Amsterdam, Londres et Zurich se trouvent tous à quelques centaines de kilomètres de la frontière française. Les liaisons fibre entre ces villes comptent parmi les plus utilisées au monde. Un VPS à Francfort est situé à proximité de DE-CIX et un VPS à Amsterdam à proximité d’AMS-IX, deux des plus grands points d’échange d’Europe. C’est pourquoi autant de réseaux européens se rencontrent dans ces deux villes. Pour un public français, ces emplacements ne sont pas exotiques. Ils sont généralement à quelques millisecondes de plus de Paris. Selon les accords de peering de l’ISP (fournisseur d’accès à Internet) de vos visiteurs, une machine à Francfort peut même être plus proche du point de vue du réseau qu’une machine à Paris sur un réseau mal interconnecté.

C’est le point à retenir. La distance réseau n’est pas la distance géographique. Un paquet provenant d’une connexion résidentielle à Marseille peut rejoindre un serveur à Paris en passant par Francfort, car c’est là que les deux réseaux échangent leur trafic. Deux machines annoncées comme étant à « Paris » peuvent être séparées par six sauts ou par seize. Personne ne peut vous indiquer à l’avance votre latence, pas même le fournisseur. Vous devez la mesurer.

Les lecteurs situés ailleurs en Europe prennent la même décision avec un ensemble différent de pays voisins. Le choix effectué pour la Pologne mérite d’être lu si vous desservez plusieurs marchés.

Comment mesurer la latence depuis votre propre connexion

Demandez au fournisseur une adresse IP de test, un looking glass ou l’URL d’un fichier de test dans chaque emplacement envisagé. La plupart en publient. Lancez ensuite les tests depuis le réseau utilisé par vos utilisateurs, et pas uniquement depuis votre connexion de bureau.

# set this to the looking glass or test host for the location you are considering
TESTHOST=lg-paris.example.net
ping -c 20 "$TESTHOST"

La dernière ligne indique rtt min/avg/max/mdev. La valeur avg correspond à votre temps aller-retour. La valeur mdev correspond au jitter, c’est-à-dire la variation entre les paquets. Une valeur élevée pénalise davantage le trafic interactif qu’une moyenne légèrement supérieure.

mtr -rwzc 50 "$TESTHOST"

mtr envoie 50 sondes et affiche une ligne par hop, avec la perte et la latence de chacun. Un hop intermédiaire affichant une perte de 100 % est normal et ne constitue pas un problème, car de nombreux routeurs dépriorisent ou limitent les réponses ICMP (internet control message protocol) dont dépend mtr. Seule une perte qui se poursuit jusqu’au hop final est une perte réelle.

ICMP ne correspond pas non plus à ce qu’envoient vos utilisateurs. Mesurez donc ce qu’effectue réellement un navigateur :

curl -o /dev/null -s \
  -w 'dns %{time_namelookup} connect %{time_connect} tls %{time_appconnect} ttfb %{time_starttransfer} total %{time_total}\n' \
  https://<test URL in that location>/

Chaque champ est exprimé en secondes écoulées depuis le début de la requête. Soustrayez donc les valeurs pour obtenir les différentes étapes. time_connect moins time_namelookup correspond à un aller-retour TCP. time_appconnect moins time_connect correspond à la négociation TLS (transport layer security), qui coûte un aller-retour supplémentaire avec TLS 1.3 et deux avec TLS 1.2. time_starttransfer moins time_appconnect correspond au temps de traitement du serveur. Aucun changement d’emplacement n’améliorera cette valeur.

Répétez chaque test plusieurs fois. Les réseaux grand public en France sont plus chargés le soir. Un test à 11:00 et un autre à 21:00 peuvent donc produire des résultats différents. Les réseaux mobiles ajoutent leur propre latence radio. Aucun choix de data center ne peut la supprimer.

Ce que coûtent des dizaines de millisecondes sur une page

Un aller-retour réseau est peu coûteux. Une page ne se limite pas à un aller-retour. Le navigateur résout un nom, ouvre une connexion TCP, négocie TLS, demande le HTML, puis demande chaque ressource référencée qui n’est pas déjà en cache. En arrière-plan, votre application peut aussi appeler une base de données ou une API de paiement située ailleurs. La latence est payée à chaque étape qui doit attendre la fin de l’étape précédente.

[
  {
    "label": "1 round trip",
    "ms_at_10ms_rtt": 10,
    "ms_at_40ms_rtt": 40,
    "ms_at_120ms_rtt": 120
  },
  {
    "label": "10 round trips",
    "ms_at_10ms_rtt": 100,
    "ms_at_40ms_rtt": 400,
    "ms_at_120ms_rtt": "1,200"
  },
  {
    "label": "30 round trips",
    "ms_at_10ms_rtt": 300,
    "ms_at_40ms_rtt": "1,200",
    "ms_at_120ms_rtt": "3,600"
  },
  {
    "label": "60 round trips",
    "ms_at_10ms_rtt": 600,
    "ms_at_40ms_rtt": "2,400",
    "ms_at_120ms_rtt": "7,200"
  }
]

Le bloc présente 4 types de pages avec trois temps d’aller-retour réseau. Chaque valeur est le résultat d’une multiplication, pas d’une mesure : rien n’a été mesuré sur un réseau réel, et les latences utilisées servent à montrer la forme du coût. Une page avec 60 allers-retours réseau séquentiels ajoute 600 ms d’attente pure à 10 ms par aller-retour, et 7,200 ms à 120 ms par aller-retour. Avec 30 allers-retours à 40 ms chacun, le total est de 1,200 ms.

Les pages réelles ne paient jamais la somme séquentielle complète, car les navigateurs ouvrent plusieurs connexions simultanément et HTTP/2 transporte de nombreuses requêtes sur une seule connexion. La logique reste valable : la latence se multiplie par le nombre d’étapes qui ne peuvent pas commencer avant la fin d’une étape précédente. C’est pourquoi déplacer une base de données du serveur web vers une autre ville pénalise davantage les performances que la distance ne le laisse penser. Dix requêtes par page, chacune traversant le même lien, et la machine n’est pas lente. C’est le lien qui l’est.

Cela indique aussi le correctif le moins coûteux. Supprimer des allers-retours est plus efficace que les raccourcir. Gardez l’application et sa base de données sur la même machine ou sur le même réseau local, puis configurez les en-têtes de cache afin que le navigateur cesse de demander les fichiers qui n’ont pas changé. Choisissez ensuite votre emplacement.

Quand héberger près de vos utilisateurs est préférable à un hébergement près de chez vous

Vous êtes une personne. Vos visiteurs sont nombreux. Une connexion SSH à 120 ms manque de réactivité, et cette latence vous coûte, à vous seul, quelques secondes par jour. Les mêmes 120 ms à chaque chargement de page coûtent du temps à chaque visiteur, à chaque requête, en permanence. Choisissez l’emplacement en fonction de vos visiteurs.

L’exception est le cas où vous êtes la charge de travail. Une machine de build ou un environnement de développement que vous utilisez de manière interactive toute la journée doit être proche de vous, car vous êtes le trafic. C’est l’argument en faveur de l’exécution d’une session de développement longue durée sur un VPS dans l’emplacement le plus proche de votre bureau plutôt que de vos clients.

Si votre audience se trouve en France et dans les pays voisins, un emplacement bien connecté en Europe de l’Ouest suffit à tous les desservir. Répartir les services sur deux emplacements double les opérations de mise à jour, la supervision, les sauvegardes et le nombre d’endroits où un certificat peut expirer. Cela ajoute aussi le problème le plus difficile sur le terrain : maintenir deux copies d’une base de données synchronisées. Faites-le lorsque vos mesures le justifient, pas avant.

Prix en euros, TVA et référence de comparaison

Les prix sont indiqués en euros. Une même machine peut apparaître avec deux montants différents à cause de la TVA (taxe sur la valeur ajoutée, French value added tax). En septembre 2026, le taux normal en France métropolitaine est de 20 pour cent. Les pages destinées aux particuliers affichent généralement le prix TTC (toutes taxes comprises, tax included). Les pages destinées aux entreprises l’affichent généralement HT (hors taxes, before tax). Une offre qui semble 20 pour cent moins chère qu’une autre correspond souvent à la même offre présentée avec l’autre mode d’affichage. Vérifiez donc la mention avant toute comparaison.

Si vous êtes une entreprise française disposant d’un numéro de TVA intracommunautaire valide et que vous achetez auprès d’un fournisseur établi dans un autre pays de l’UE, la facture est normalement émise sans TVA et vous la déclarez vous-même selon le mécanisme d’autoliquidation (reverse charge). Un fournisseur situé hors de l’UE qui vend à un particulier français doit tout de même appliquer la TVA française à cette vente. Les taux appliqués en Corse et dans les départements d’outre-mer diffèrent du taux métropolitain. Confirmez ces règles avec votre comptable plutôt qu’avec un guide d’hébergement.

La fiscalité est le point le plus simple. Voici ce qui fait réellement varier le coût sur une année :

• le prix du renouvellement, souvent bien supérieur au prix de la première période dans le cadre d’une offre promotionnelle
• la durée d’engagement, car un tarif mensuel attractif suppose souvent un paiement anticipé sur douze ou vingt-quatre mois
• le volume de bande passante inclus et le traitement du dépassement : débit limité sur le port ou facturation au téraoctet
• les sauvegardes et les snapshots, presque toujours facturés séparément
• les adresses IPv4 supplémentaires, qui sont rares et donc tarifées en conséquence
• la capacité dont vous aurez besoin la deuxième année, plutôt que celle que vous testez aujourd’hui

Une analyse plus détaillée du coût d’un VPS avec les options incluses examine ces éléments. Si l’écart entre deux offres semble important, vérifiez si l’une d’elles est managed, car la différence entre les offres managed et unmanaged correspond principalement au coût d’une intervention humaine. Et si vous évaluez une machine de grande capacité, comparez-la à un serveur dédié avant de considérer que le serveur virtuel restera moins cher à ce niveau.

Ce que le RGPD exige ou n’exige pas

RGPD (règlement général sur la protection des données) est le nom français du GDPR. Il ne vous oblige pas à héberger vos données en France. Il ne vous oblige pas non plus à les héberger dans l’Union européenne. Les données à caractère personnel peuvent quitter l’EEE (Espace économique européen) dans le cadre du chapitre V du règlement, au moyen d’une décision d’adéquation concernant le pays de destination ou de clauses contractuelles types fondées sur une évaluation du droit de ce pays.

Les obligations du règlement s’appliquent quel que soit l’emplacement de la machine : une base légale pour le traitement, un contrat écrit avec votre hébergeur agissant comme sous-traitant au titre de l’article 28, un registre des activités de traitement au titre de l’article 30, des mesures de sécurité adaptées au risque au titre de l’article 32, ainsi qu’une notification à la CNIL (Commission nationale de l’informatique et des libertés) dans les 72 heures suivant la prise de connaissance d’une violation de données à caractère personnel au titre de l’article 33. L’article 32 est celui qui demande le plus d’efforts à l’utilisateur d’un VPS, car sur un serveur non managé, chacune de ces mesures dépend de ce que vous avez configuré ou non.

Les règles sectorielles peuvent imposer un emplacement dans les cas où le règlement ne le fait pas. Les données de santé à caractère personnel recueillies dans le cadre d’activités de soins en France doivent être conservées par un hébergeur disposant de la certification HDS (hébergeur de données de santé). Les organismes publics qui traitent des données sensibles de l’État sont orientés vers des offres qualifiées SecNumCloud par la doctrine du « cloud au centre », qui relève de la politique du gouvernement français et non d’une règle du RGPD.

Deux notions distinctes sont souvent associées à tort au règlement. La première concerne la juridiction : un fournisseur soumis au droit des États-Unis peut recevoir une demande légale portant sur les données qu’il contrôle, quel que soit le pays où se trouve le disque. C’est pourquoi certains acheteurs se limitent à des fournisseurs détenus par des entreprises européennes. Il s’agit d’une décision de gestion des risques liée à votre propre modèle de menace, et non d’une exigence du RGPD. La seconde est l’idée qu’un emplacement en France suffit à garantir la conformité. C’est faux. Un serveur situé à Paris, avec un port de base de données exposé et sans contrat de sous-traitance, est moins conforme qu’un serveur correctement administré à Francfort.

Personne ne corrige les failles de ce serveur à part vous

Un serveur non géré est la configuration par défaut. Le fournisseur maintient l’hyperviseur, le réseau, l’alimentation et les disques. Tout ce qui se trouve au-dessus du matériel virtuel relève de votre responsabilité : le kernel, les paquets, le firewall, les certificats, les sauvegardes et le redémarrage en cas d’échec d’une mise à niveau.

Commencez par automatiser les mises à jour de sécurité.

sudo apt update && sudo apt full-upgrade -y
sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure --priority=low unattended-upgrades

Les mises à niveau sont déclenchées par un timer systemd, et non par un daemon. Vérifiez donc le timer, puis demandez à l’outil ce qu’il ferait :

systemctl list-timers apt-daily-upgrade.timer --no-pager
sudo unattended-upgrade --dry-run --debug

La simulation affiche les paquets qu’elle installerait et écrit les mêmes informations dans /var/log/unattended-upgrades/unattended-upgrades.log. Une liste vide juste après un full-upgrade manuel indique que tout fonctionne correctement.

Les mises à jour automatiques ne redémarrent pas la machine. Unattended-Upgrade::Automatic-Reboot "false"; est la valeur par défaut dans /etc/apt/apt.conf.d/50unattended-upgrades. Cela signifie qu’une mise à jour de sécurité du kernel est écrite sur le disque, tandis que le kernel vulnérable continue de fonctionner jusqu’à ce qu’un administrateur redémarre la machine. Le signal est un fichier :

[ -f /var/run/reboot-required ] && cat /var/run/reboot-required

Lorsqu’un paquet nécessitant un redémarrage a été installé, cette commande affiche *** System restart required ***. Surveillez ce fichier ou définissez Automatic-Reboot "true" avec Automatic-Reboot-Time à une heure pendant laquelle vous pouvez vous permettre une indisponibilité.

Les sauvegardes sont l’autre élément dont personne ne s’occupe à votre place. Un snapshot stocké dans le même compte fournisseur que le serveur n’est pas une sauvegarde : un seul compte compromis ou un problème de facturation peut supprimer les deux copies au même moment. Conservez une copie ailleurs et effectuez une restauration une fois pour vérifier qu’elle fonctionne.

Un mode de défaillance mérite d’être connu, car vous ne pouvez pas le corriger depuis la machine. Si le serveur semble lent alors que vos propres processus sont inactifs, consultez la colonne st dans top. Elle indique le temps pendant lequel l’hyperviseur a attribué du temps CPU à un autre tenant plutôt qu’à vous. Lire le steal time et gérer un voisin bruyant explique la signification de cette valeur et les informations à demander au fournisseur. Par ailleurs, les offres les moins chères par cœur utilisent de plus en plus souvent ARM. Vérifiez donc d’abord que vos logiciels disposent de builds ARM : les différences pratiques entre les instances ARM et x86 concernent surtout les binaires disponibles.

Votre première heure sur un nouveau serveur

La configuration des comptes doit être effectuée avant que la machine ne contienne des données importantes. Remplacez le mot de passe reçu par e-mail, créez un utilisateur non privilégié avec des droits sudo, ajoutez votre clé SSH, puis désactivez l’authentification par mot de passe et rechargez le daemon SSH. Modifier le mot de passe root sur Ubuntu couvre la première étape. Mieux encore, effectuez toute la séquence au moment du déploiement : un fichier cloud-init qui crée l’utilisateur et installe votre clé permet de ne jamais mettre le serveur en ligne dans son état par défaut.

Ensuite, l’ordre est volontairement peu original. Pare-feu, mises à jour, sauvegardes, monitoring, puis application. Choisissez l’emplacement à partir de vos propres mesures, et choisissez l’offre en fonction du prix que vous paierez en deuxième année.

FAQ

Dois-je héberger mes services en France pour respecter le RGPD ?

Non. Le RGPD ne désigne aucun pays. Il impose des obligations qui suivent les données : une base légale, un contrat de sous-traitance conforme à l’article 28, un registre des activités de traitement conforme à l’article 30, des mesures de sécurité adaptées au risque conformément à l’article 32 et les règles du chapitre V pour le transfert de données à caractère personnel hors de l’EEE. Une machine située à Francfort ou à Amsterdam se trouve dans l’EEE et ne nécessite donc aucun mécanisme de transfert. Les règles sectorielles sont une autre question. Les données de santé à caractère personnel collectées dans le cadre d’activités de soins en France doivent être hébergées par un prestataire certifié HDS. Cette obligation vient du code de la santé publique, et non du RGPD.

Un VPS à Paris est-il toujours plus rapide pour les visiteurs en France ?

En général, mais pas toujours, car la latence dépend du chemin réseau et non de la carte. Si le FAI de vos visiteurs échange du trafic avec votre fournisseur à Francfort, les paquets destinés à un serveur parisien peuvent d’abord passer par l’Allemagne. La seule valeur fiable est celle que vous avez mesurée : ping -c 20 pour le temps aller-retour, mtr -rwzc 50 pour le chemin et l’emplacement des pertes, et un test curl vers une URL réelle dans cette région pour mesurer ce que ressentira un navigateur. Effectuez ces tests depuis le type de connexion utilisé par vos utilisateurs, le soir comme pendant la journée.

Pourquoi le même VPS est-il proposé à deux prix différents en euros ?

L’un des montants est HT (hors taxes) et l’autre TTC (toutes taxes comprises). En septembre 2026, le taux normal de TVA en France métropolitaine est de 20 pour cent. Le prix professionnel et le prix destiné aux particuliers pour la même machine diffèrent donc de ce montant avant toute autre comparaison. Une entreprise française disposant d’un numéro de TVA intracommunautaire et achetant auprès d’un fournisseur situé dans un autre pays de l’UE reçoit généralement une facture hors TVA et autoliquide la taxe.

Qui installe les mises à jour de sécurité sur un VPS non administré ?

C’est vous. La responsabilité du fournisseur s’arrête au matériel virtuel et au réseau. Installez unattended-upgrades pour que les paquets de sécurité soient installés automatiquement, puis gardez à l’esprit que cet outil ne redémarre pas la machine par défaut. Un nouveau kernel est écrit sur le disque tandis que l’ancien continue de fonctionner, et le fichier /var/run/reboot-required apparaît avec le texte *** System restart required ***. Tant que vous n’avez pas redémarré la machine ou défini Unattended-Upgrade::Automatic-Reboot "true"; dans /etc/apt/apt.conf.d/50unattended-upgrades, le kernel corrigé n’est pas celui qui s’exécute.

De combien de RAM et de CPU dois-je partir ?

Commencez avec peu de ressources et mesurez. Une augmentation de la taille nécessite généralement un redémarrage, tandis qu’une réduction n’est souvent pas proposée. Une petite erreur coûte donc moins cher. Une instance avec 1 ou 2 GB de RAM peut faire fonctionner un site statique ou un petit serveur d’applications avec une base de données en backend. Ajoutez un fichier swap pour qu’un pic de mémoire ponctuel ne se termine pas par l’arrêt de votre base de données par l’out of memory killer du kernel, puis surveillez free -h et la colonne st de top pendant une semaine avant de payer pour une instance plus grande.