Cloud public, privé ou hybride : quel modèle choisir pour une entreprise sécurisée et performante ?
Cloud public, privé ou hybride : derrière le vocabulaire commercial, une seule question tranche vraiment. Vos serveurs sont-ils partagés avec d’autres locataires, ou vous sont-ils réservés ? De cette réponse découlent votre facture réelle sur cinq ans, votre capacité à prouver votre conformité au RGPD et à NIS2, et votre liberté de partir un jour. Ce n’est pas un arbitrage technique réservé aux informaticiens : c’est une décision de direction.
Mutualisé ou dédié : la frontière qui change tout
Le mot « cloud » ne désigne aucune technologie précise. Il désigne un ordinateur installé chez quelqu’un d’autre, dans un bâtiment que vous n’avez jamais visité, sous une juridiction que vous n’avez pas choisie. Tant que ce quelqu’un tient ses engagements, la nuance paraît théorique. Elle cesse de l’être le jour où il faut répondre à trois questions précises : où sont physiquement mes données, qui peut légalement les consulter sans mon accord, et combien de temps me faudrait-il pour les récupérer intégralement ?
Ces trois questions n’ont pas la même réponse selon que vos ressources sont mutualisées ou dédiées. En environnement partagé, vous héritez des choix de votre fournisseur : sa localisation, ses conditions contractuelles, son calendrier de maintenance, son droit applicable. Sur des ressources dédiées, vous imposez les vôtres. Ce n’est pas d’abord une question de performance, c’est une question de levier : dans un cas vous subissez une politique, dans l’autre vous l’écrivez.
La conséquence est stratégique. Concentrer bureautique, applications métier et sauvegardes chez un seul hébergeur, c’est faire reposer toute l’activité sur un contrat unique — un scénario dont nous avons tiré les leçons lors de la panne AWS d’octobre 2025. Le sujet de cet article n’est pas l’incident, mais la décision qui le précède : ce que vous acceptez de mutualiser, ce que vous gardez dédié, et ce que vous exigez au contrat avant de signer.
La vraie question n’est donc pas de savoir si le cloud est fiable, mais de décider ce que vous acceptez de ne plus contrôler.
Cloud public, privé ou hybride : les vraies définitions
Derrière trois mots devenus des arguments commerciaux se cache une différence simple et structurante : partagez-vous vos ressources avec d’autres locataires, ou les gardez-vous pour vous seul ? Par conséquent, tout le reste en découle, de la sécurité à la facture.
Le cloud public : la souplesse, mais deux pièges
Sa force est réelle : mise en service immédiate, aucun investissement matériel, une dépense qui suit l’usage. Pour la bureautique collaborative, Microsoft 365 en est la meilleure illustration, et nous le déployons tous les jours. Deux pièges méritent cependant d’être posés sur la table avant de signer.
Le premier est financier. L’entrée des données est gratuite, leur sortie se facture au gigaoctet : ce sont les frais de sortie, les fameux egress fees. Le jour où vous souhaitez changer de fournisseur, l’extraction de vos volumes peut coûter davantage que l’hébergement lui-même, et la réversibilité devient purement théorique.
Le second est juridique. Le Cloud Act, adopté en 2018, oblige toute entreprise relevant du droit américain à communiquer aux autorités des États-Unis les données qu’elle héberge, sur mandat, même lorsque les serveurs se trouvent physiquement en France ou en Europe. La localisation du datacenter ne règle donc pas, à elle seule, la question de la souveraineté.
Le cloud privé : des ressources dédiées et une adresse connue
À l’inverse, vous ne partagez vos ressources avec personne. Ainsi, vous savez dans quel datacenter vos machines tournent, sous quel droit, et vous imposez vos propres règles de sécurité, de cloisonnement et de conservation. C’est ce qui rend l’exercice de conformité possible : on ne documente bien que ce que l’on maîtrise.
L’avantage est aussi budgétaire. En effet, le coût total de possession se calcule sur trois à cinq ans et ne dépend pas d’un pic de bande passante ou d’un volume de sauvegarde imprévu. C’est pourquoi nous réservons le cloud privé à ce qui ne doit jamais disparaître : l’ERP, la donnée client, la propriété intellectuelle et les bases de production.
Le cloud hybride : le pragmatisme, entre public et privé
Dans la pratique, presque aucune organisation ne tient entièrement dans un seul modèle. L’architecture que nous installons le plus souvent est une interconnexion raisonnée : la bureautique et la messagerie restent dans le cloud public, le cœur métier vit sur des ressources dédiées, et nous chiffrons puis contrôlons les échanges entre les deux. L’hybride n’est donc pas un compromis mou, c’est du pragmatisme.
💡 À retenir : le découpage se décide donnée par donnée, jamais fournisseur par fournisseur. La bureautique collaborative s’accommode très bien du mutualisé ; l’ERP, la donnée client et la propriété intellectuelle méritent du dédié.
Comparatif cloud public, privé ou hybride : les critères qui décident
Entre cloud public, privé ou hybride, les arguments commerciaux se ressemblent tous ; les obligations, elles, ne se négocient pas. Le RGPD exige de savoir où vous stockez et traitez les données personnelles. De plus, la directive NIS2 impose une gestion documentée des risques liés aux prestataires, et vos clients concernés vous la répercuteront par contrat. Quant au référentiel SecNumCloud de l’ANSSI, il fixe le repère : un cloud de confiance échappe aux lois extraterritoriales. Voici, critère par critère, ce que cela change concrètement.
| Critère | Cloud public | Cloud privé |
|---|---|---|
| Localisation et droit applicable | Datacenter parfois en Europe, mais droit extraterritorial | Adresse physique connue, droit français et européen |
| Conformité RGPD et NIS2 | Chaîne de sous-traitance difficile à documenter | Cartographie complète, exigences imposées au contrat |
| Sauvegarde des données | À votre charge, jamais à celle de l’hébergeur | Intégrée à l’infrastructure et supervisée |
| Réversibilité | Frais de sortie facturés au volume extrait | Immédiate si les clauses sont claires |
| Coût dans le temps | Facture variable, qui suit l’usage et les volumes | Coût total prévisible sur trois à cinq ans |
Comment nous déployons un cloud privé, de l’audit à l’exploitation
Un projet cloud échoue rarement pour des raisons techniques : il déraille parce qu’on a migré avant d’avoir cartographié. Nous procédons donc toujours dans le même ordre.
1
Auditer
Où sont vos données aujourd’hui, chez quels prestataires et avec quelles clauses ? Rien ne bouge avant cette cartographie.
2
Architecturer
Le cœur métier passe sur des ressources dédiées, le public reste là où il est pertinent, et les échanges sont scellés.
3
Exploiter
Supervision proactive, gestion de la capacité, sauvegardes vérifiées. Le projet ne s’arrête pas le jour de la migration.
Le point aveugle : non, vous n’êtes pas sauvegardé
« Je suis chez Microsoft, donc je suis sauvegardé » : c’est la phrase que nous entendons le plus souvent, et elle est fausse. En réalité, les grands hébergeurs appliquent un modèle de responsabilité partagée. Ils garantissent que l’infrastructure tourne ; vous restez responsable de vos données. Si un collaborateur vide un dossier partagé, ou si un rançongiciel chiffre vos fichiers synchronisés, l’hébergeur n’a rien à restaurer pour vous. La sauvegarde figurait d’ailleurs déjà parmi les cinq risques à verrouiller en priorité.
La réponse tient en trois éléments. D’abord la règle du 3-2-1 : trois copies, deux supports, une copie externalisée. Ensuite une sauvegarde que Veeam pilote sur un stockage robuste, de type Synology. Enfin, et surtout, l’immuabilité : une sauvegarde en lecture seule qu’un attaquant, même devenu administrateur, ne peut ni chiffrer ni supprimer. C’est ce qui sépare l’incident de la catastrophe, comme nous le détaillons à propos du chantage au rançongiciel.
Un cloud privé ne s’expose jamais nu sur internet
Les échanges entre vos sites et le datacenter ne circulent jamais en clair sur internet : des pare-feux et des tunnels stricts les encadrent, et nous nous appuyons pour cela sur des équipements Clavister. En outre, l’authentification multifacteur verrouille l’accès aux consoles d’administration : c’est la porte la plus convoitée d’une infrastructure hébergée.
⚠️ Le piège à éviter : signer un contrat sans lire la clause de sortie. Le jour où vous voudrez récupérer vos données, le coût d’extraction et le format de restitution décideront à votre place. La réversibilité se négocie à l’entrée, jamais à la sortie.
En résumé : le public pour collaborer, le cloud privé ou hybride pour le cœur métier
Aucun modèle de cloud public, privé ou hybride ne convient à tout le monde : seul compte celui qui reste cohérent avec la sensibilité de vos données et vos obligations. Dans la pratique, l’architecture que nous recommandons le plus souvent est hybride, avec un cœur privé : la bureautique reste dans le public, tandis que l’ERP, la donnée client et la propriété intellectuelle vivent sur des ressources dédiées, localisées et sauvegardées de façon immuable. Et le jour où quelque chose se passe mal, vous n’ouvrez pas un ticket en anglais auprès d’un support délocalisé : vous appelez un ingénieur qui connaît votre infrastructure. Le même raisonnement s’applique à votre standard téléphonique, dont l’hébergement se décide exactement comme celui d’un serveur : voir téléphonie IP en entreprise, par où commencer.
Questions fréquentes
Besoin d’un accompagnement sur ce sujet ?
Nos experts vous accompagnent pas à pas. Basés à Poissy, nous accompagnons les PME d’Île-de-France depuis 1998.
