L’hébergement jouant un rôle essentiel dans la sécurité, les performances et la fiabilité de votre site web, le choix d’un fournisseur d’hébergement ne doit pas être laissé au hasard
En outre, l’hébergement peut également jouer un rôle dans la conformité réglementaire, notamment en vous aidant à vous conformer aux exigences et directives réglementaires telles que RGPD, CCPA, SOC 2, HIPAA, PCI-DSS, ainsi qu’à de nombreuses considérations spécifiques au secteur.
Parce qu’il y a tellement d’aspects différents qui entrent dans l’évaluation d’un fournisseur d’hébergement, la réalisation d’un audit plus systématisé des fournisseurs d’hébergement peut vous aider à être sûr que vous faites le bon choix pour votre organisation.
Dans cet article, nous vous expliquons comment réaliser un audit de fournisseur d’hébergement pour garantir la sécurité et la conformité, tout en couvrant d’autres domaines importants, tels que le support, la disponibilité et les performances, ainsi que les pièges courants et les signaux d’alerte à surveiller.
Domaines clés à évaluer lors d’un audit d’un fournisseur d’hébergement
Pour débuter, commençons par un aperçu de haut niveau de certains des domaines importants que vous voudrez évaluer lors d’un audit d’un fournisseur d’hébergement.
Bien qu’il existe de nombreuses questions spécifiques à poser à un fournisseur lors d’un audit, vous voudrez généralement vous concentrer sur les cinq domaines suivants :
- Sécurité. Évaluez la sécurité générale de l’infrastructure du fournisseur d’hébergement, y compris les certifications, le cryptage, les pare-feu, la protection DDoS, les sauvegardes, etc. Vous devrez également examiner comment les fonctions de sécurité du fournisseur peuvent s’aligner sur les politiques internes de votre organisation.
- Conformité. Vérifiez si le fournisseur peut vous aider à vous conformer aux réglementations et cadres importants, y compris RGPD, SOC 2, HIPAA et toute exigence de conformité spécifique au secteur.
- Performance et fiabilité. Examinez l’emplacement des centres de données, l’évolutivité, les garanties de disponibilité, les accords de niveau de service et d’autres détails concernant les performances et la fiabilité d’un fournisseur.
- Support et transparence. Examinez les canaux d’assistance mis à votre disposition, les horaires de support, les délais de réponse (délais de réponse moyens et délais de réponse minimaux garantis par l’accord de niveau de service), la clarté du contrat, etc.
- Coûts et contrats. Allez au-delà de la tarification de base et examinez d’autres détails tels que les frais cachés (frais de dépassement, suppléments, etc.), la flexibilité du contrat et les clauses de sortie.
Ci-dessous, nous verrons comment évaluer ces domaines clés en examinant les points suivants :
- Sécurité et conformité
- Accords de niveau de service pour la disponibilité, les performances et l’assistance
- Les politiques de votre organisation et la manière de les aligner sur celles d’un fournisseur
- Les signaux d’alerte et les pièges potentiels, y compris les coûts cachés
- Quelques conseils généraux sur la façon de rassembler tous les éléments pour auditer les fournisseurs d’hébergement
Pour chaque section, nous inclurons également une liste de contrôle des questions essentielles à poser à chaque fournisseur d’hébergement lors de votre audit.
Sécurité et conformité : Ce qu’il faut vérifier
La sécurité et la conformité doivent figurer parmi les domaines les plus importants d’un audit de fournisseur, car tout problème peut avoir de graves répercussions sur votre activité et vos relations avec les clients.
Lorsque vous évaluez la posture de sécurité d’un fournisseur d’hébergement, recherchez des certifications reconnues par le secteur, telles que SOC 2 et ISO 27001, des mesures proactives telles que des pare-feu, une protection DDoS au niveau de l’entreprise et des sauvegardes automatisées. Certains fournisseurs, comme Kinsta, proposent également une infrastructure isolée basée sur des conteneurs qui améliore la sécurité et les performances.
Vous pouvez utiliser cette liste de contrôle de la sécurité des sites web pour examiner plus en détail les fonctionnalités de sécurité essentielles.
Vous pouvez également vérifier si l’entreprise a déjà connu des problèmes de sécurité par le passé. Si c’est le cas, vous devez vous demander comment l’entreprise a réagi et quelles politiques elle a mises en place pour éviter que de tels problèmes ne se reproduisent.
Liste de contrôle des questions relatives à la sécurité et à la conformité
- Infrastructure de sécurité. L’hébergeur propose-t-il une infrastructure de sécurité essentielle telle que le cryptage, les pare-feu, la protection contre les attaques DDoS, les sauvegardes, etc ?
- Certifications générales de sécurité. Quelles sont les certifications de sécurité du fournisseur ? Se conforme-t-il aux certifications ou attestations standard du secteur, telles que SOC 2 et ISO 27001 ?
- Réglementation en matière de protection de la vie privée. L’hébergeur peut-il vous aider à vous conformer aux réglementations en matière de protection de la vie privée telles que le RGPD, le CCPA, etc
- Exigences de conformité spécifiques au secteur. Si votre secteur d’activité a ses propres exigences, le fournisseur peut-il y répondre ?
- Conformité permanente. Quelles sont les politiques mises en place par le fournisseur pour garantir une conformité permanente aux réglementations ?
- Protection proactive de la sécurité. Quelles sont les politiques et les pratiques du fournisseur pour lutter contre les exploits de type « Zero Day » et les autres menaces futures ?
- Politique en cas d’atteinte à la sécurité. Que se passe-t-il en cas d’incident de sécurité ? Quels sont les protocoles spécifiques mis en place par le fournisseur pour résoudre les problèmes et informer les clients ?
Comprendre les accords de niveau de service (SLA) et les garanties de performance
La plupart des fournisseurs d’hébergement web de qualité offrent au moins quelques garanties en matière de disponibilité, de performances et d’assistance. Toutefois, il peut y avoir de grandes différences dans la nature de ces garanties et dans la manière dont elles sont respectées.
Voici quelques points sur lesquels vous pouvez vous concentrer lorsque vous vérifiez les garanties d’un fournisseur :
- Accord de niveau de service (SLA). Une « garantie » ne signifie pas grand-chose s’il n’y a pas d’exigences spécifiques et de recours en place pour soutenir cette garantie. Dans le domaine de l’hébergement, un accord de niveau de service est un accord entre vous et le fournisseur qui définit les responsabilités, les mesures et les recours spécifiques. Si un fournisseur ne propose pas d’accords de niveau de service clairs et transparents, c’est un signal d’alarme.
- Garanties de disponibilité. Il ne suffit pas de chercher « 99,9 % de temps de disponibilité » dans le texte marketing pour obtenir des garanties de temps de disponibilité. Il est également important de comprendre à quoi s’applique la garantie de temps de fonctionnement, comment le « temps de fonctionnement » est calculé, quels sont les recours possibles si la garantie n’est pas respectée, etc.
- Performance à l’échelle. Il est important de comprendre comment les performances revendiquées par un hébergeur fonctionnent à l’échelle, et comment l’hébergeur réagit aux pics de trafic. L’hébergeur propose-t-il une certaine forme de mise à l’échelle automatique, ou votre site ralentira-t-il ou ne répondra-t-il plus en cas de forte augmentation du trafic ?
- Limitations cachées. Vous devez vérifier s’il existe des limitations notables qui ne sont pas immédiatement apparentes. Par exemple, une limitation des performances, des frais de dépassement importants, des temps d’arrêt inattendus (par exemple, si l’hébergeur ne se met pas à l’échelle), etc.
- Réactivité du support. Outre la disponibilité de l’assistance 24/7 (indispensable), vous devez également vous renseigner sur les délais moyens d’intervention de l’assistance et vérifier si ces délais sont garantis par un accord de niveau de service (SLA). S’il existe plusieurs niveaux d’assistance, vous voudrez également comprendre comment les temps de réponse réels varient d’un niveau à l’autre.
Dans l’ensemble, recherchez des fournisseurs qui proposent des accords de niveau de service transparents, avec des garanties claires sur le temps de fonctionnement et une réponse proactive aux incidents. Un bon fournisseur d’hébergement assurera également une surveillance en temps réel, une mise à l’échelle automatique et un réseau mondial pour réduire les temps de latence – des caractéristiques que des plateformes comme Kinsta privilégient.
Pour vous donner une idée de ce à quoi doit ressembler un SLA, voici un exemple des garanties SLA de Kinsta pour un temps de disponibilité de 99,9 % et de 99,99 %, qui comprennent toutes deux des remèdes spécifiques pour diverses situations.
Liste de contrôle des questions relatives aux accords de niveau de service et aux garanties de performance
- Garanties de disponibilité et de performance. Quelles sont les garanties spécifiques en matière de temps de disponibilité et de performance ?
- 99.9 % ou 99,99 %. Quel niveau de disponibilité l’hébergeur peut-il garantir ? S’agit-il uniquement de 99,9 % ou l’hébergeur offre-t-il également une garantie plus élevée (99,99 % par exemple) ?
- Pics de trafic. Comment le fournisseur gère-t-il les pics de trafic ? Quelles sont les garanties de performance mises en place pour les périodes de fort trafic ?
- Recours. Quels sont les recours possibles si les garanties ne sont pas respectées ? S’il s’agit d’un remboursement, quelle est la politique de remboursement et comment est-elle calculée ?
- Garanties de réponse du support. Quels sont les délais de réponse de l’assistance garantis par les accords de niveau de service (SLA) pour les différents niveaux d’assistance ?
- Clarté du contrat. Les accords de niveau de service et les autres obligations contractuelles sont-ils clairs et précis ? Ou comportent-ils des clauses de non-responsabilité générales et des formulations vagues ?
Aligner les capacités du fournisseur sur les politiques de votre organisation
Outre la vérification de la conformité de votre fournisseur d’hébergement avec les réglementations en vigueur, vous devez également vous assurer que le fournisseur que vous choisissez s’aligne sur les politiques et les normes internes de votre organisation.
Votre organisation peut avoir des exigences qui lui sont propres, mais voici quelques éléments à prendre en compte :
- Sécurité interne et politiques informatiques. Assurez-vous que le fournisseur est en mesure de respecter les politiques et les normes de votre organisation. Par exemple, vous pouvez exiger des restrictions d’accès basées sur les rôles, l’enregistrement des activités, etc.
- Exigences en matière de résidence des données. Il se peut que vous ayez besoin que les données soient stockées dans un certain lieu physique (par exemple, au sein de l’Union européenne pour simplifier la conformité au RGPD) et/ou d’une certaine manière. Il est important de vérifier si le fournisseur peut répondre à ces exigences. La plupart des fournisseurs d’hébergement de qualité proposent plusieurs emplacements de centres de données ; par exemple, Kinsta vous permet de choisir parmi 37 emplacements de centres de données différents.
- Gestion des risques liés aux tiers. La plupart des hébergeurs font appel à des prestataires de services tiers. Vous voudrez savoir comment le fournisseur gère ses propres fournisseurs et si ces relations sont conformes aux normes internes de votre organisation.
En cas de doute, posez vos questions au fournisseur d’hébergement afin d’obtenir des réponses spécifiques aux politiques organisationnelles importantes.
Liste de contrôle des questions pour l’alignement organisationnel
- Documentation sur la conformité. Le service d’hébergement peut-il fournir des documents prouvant sa conformité aux certifications et réglementations pertinentes exigées par votre organisation ?
- Localisation des données. Quels outils et options le fournisseur d’hébergement propose-t-il pour vous aider à respecter les exigences de votre organisation en matière de localisation des données ?
- Intégrations tierces. Avec quels services tiers le fournisseur d’hébergement s’intègre-t-il ? Comment ces relations sont-elles gérées et quelles sont les mesures de sécurité en place pour les intégrations tierces ?
- Accès au compte d’hébergement. De quels outils disposez-vous pour contrôler l’accès à votre compte d’hébergement et mettre en œuvre les restrictions basées sur les rôles de votre organisation ?
- Fonctionnalité d’enregistrement. Pouvez-vous enregistrer les actions des utilisateurs dans votre compte d’hébergement ? De quels autres outils disposez-vous pour contrôler l’accès au compte d’hébergement de votre organisation ?
Pièges courants et signaux d’alerte à surveiller
Bien que nous nous soyons concentrés sur les signaux d’alarme (red flag) d’un fournisseur, il existe également des signaux d’alarme et des problèmes courants auxquels vous devrez prêter attention lors de l’audit d’un fournisseur.
Voici quelques-uns des problèmes les plus courants auxquels vous devrez prêter attention :
- Des accords de niveau de service vagues ou faibles. Nous avons abordé l’importance des accords de niveau de service dans une section précédente. Toutefois, méfiez-vous des fournisseurs dont les accords de niveau de service sont faibles ou vagues et qui n’offrent pas de garanties et/ou de recours significatifs.
- Frais de dépassement punitifs ou autres coûts supplémentaires. Bien que les frais de dépassement ne constituent pas un problème en soi, ils peuvent être problématiques s’ils sont structurés de manière trop punitive pour des situations dans lesquelles votre organisation pourrait se trouver. En outre, analysez les autres coûts potentiels, tels que les frais supplémentaires, les frais de sortie et tous les autres frais que vous pourriez avoir à payer.
- Problèmes d’évolutivité. Si un hébergeur ne peut pas faire évoluer ses ressources pendant les périodes de forte utilisation, vous risquez de rencontrer des problèmes de temps d’arrêt ou de ralentissement pendant les pics de trafic ou d’autres périodes de forte utilisation des ressources.
- Manque de transparence. Un fournisseur de qualité doit être transparent sur son infrastructure et sa documentation de sécurité. Par exemple, Kinsta dispose d’une page de transparence dédiée qui donne des détails sur sa conformité, son infrastructure, sa sécurité, etc.
Liste de contrôle des questions pour les pièges et les signaux d’alerte
- Des accords de niveau de service peu clairs. L’accord de niveau de service contient-il de vagues garanties de temps de fonctionnement et toutes sortes d’exclusions de responsabilité ?
- Coûts cachés punitifs. Quels sont les coûts des dépassements, des suppléments et des frais de sortie ? Sont-ils équitables ou trop punitifs ?
- Contrats rigides. Le fournisseur a-t-il prévu des clauses ou des frais de sortie punitifs qui rendent le départ difficile ?
- Extensibilité limitée. Existe-t-il des contraintes en matière d’extensibilité des ressources ? Dans l’affirmative, comment ces contraintes pourraient-elles affecter votre organisation dans les scénarios réels que vous rencontrerez probablement ?
- Manque de transparence. Le fournisseur n’est-il pas disposé à partager des détails spécifiques sur son infrastructure ou sa documentation de sécurité ?
Comparer les fournisseurs et prendre une décision
Si vous envisagez de faire appel à plusieurs fournisseurs, il peut être utile de disposer d’un moyen objectif de les comparer. Toutefois, cela peut parfois s’avérer délicat, car les différents fournisseurs peuvent être particulièrement forts ou faibles dans certains domaines.
Voici quelques suggestions pour réduire le champ d’investigation et choisir le bon fournisseur pour votre organisation..
Créer un modèle de fiche d’audit
Pour comparer objectivement les fournisseurs tout en tenant compte de leurs forces et de leurs faiblesses, vous pouvez créer un modèle de fiche d’audit basé sur les critères les plus importants pour votre entreprise.
Un bon point de départ consiste à classer les fournisseurs en fonction des critères suivants :
- Sécurité
- Conformité
- Support
- Performance et évolutivité
- Coût
Si d’autres domaines sont essentiels pour votre entreprise, vous pouvez les inclure dans une autre catégorie de votre tableau de bord d’audit.
En fonction des besoins spécifiques de votre organisation, vous pouvez également accorder plus d’importance à certains domaines qu’à d’autres. Par exemple, si vous avez absolument besoin d’un certain type de conformité réglementaire spécifique à votre secteur, vous devriez mettre l’accent sur cette conformité dans votre tableau de bord d’audit.
Utiliser les périodes d’essai pour évaluer les performances réelles
Une fois que vous avez réduit votre liste à quelques candidats, vous pouvez utiliser des périodes d’essai pour tester les performances et l’assistance dans le monde réel avant de prendre une décision finale.
Si tous les fournisseurs n’offrent pas d’essais gratuits, la plupart d’entre eux proposent au moins une garantie de remboursement. Kinsta offre les deux, avec un mois d’essai gratuit pour les plans Single 35k et WP 2, ainsi qu’une garantie de remboursement de 30 jours qui s’applique à tous les plans.
Profitez de ces périodes d’essai pour effectuer vos propres tests de performance afin de vérifier si les performances réelles du fournisseur correspondent à ce qu’il annonce. Vous pouvez également interagir avec l’assistance pour vous faire une idée des délais de réponse et de la qualité.
Comment Kinsta répond aux normes de conformité et de sécurité
Kinsta propose un hébergement WordPress et d’applications web qui répond aux normes essentielles de sécurité et de conformité.
Les plans de Kinsta comprennent des fonctions de sécurité essentielles telles que des conteneurs isolés, le cryptage, les pare-feu, la protection DDoS, la protection contre les logiciels malveillants, les sauvegardes automatiques, etc. Kinsta se conforme également à des certifications essentielles telles que ISO 27001 et SOC 2.
Pour vous donner un aperçu de la sécurité, de la conformité et plus encore, Kinsta dispose d’un Trust Center détaillé qui offre des informations transparentes sur l’infrastructure et la conformité de Kinsta. Vous bénéficierez également d’un support à un seul niveau avec un temps de réponse initial moyen de moins de deux minutes, ainsi que des accords de niveau de service clairs et précis.
De nombreuses organisations ont fait confiance à Kinsta, y compris celles qui sont soumises à des exigences strictes en matière de conformité. Vous pouvez lire ces histoires dans les nombreuses études de cas de Kinsta, mais voici quelques expériences clients notables :
- Organic Media Group a amélioré ses relations avec ses clients grâce à la garantie de disponibilité de 99,99 % de Kinsta, tout en bénéficiant d’une sécurité et de performances accrues.
- Naplab a amélioré ses performances, sa sécurité et son support en passant à Kinsta.
- DARTdrones a survécu à son moment viral de Shark Tank grâce à l’évolutivité de Kinsta.
Résumé
Il est essentiel de procéder à un audit approfondi des fournisseurs d’hébergement pour garantir la sécurité, la conformité et les performances.
En évaluant les fournisseurs en fonction de ces critères clés, votre organisation peut minimiser les risques et optimiser sa stratégie d’hébergement. Vous pouvez également utiliser ce cadre pour effectuer des révisions régulières de votre fournisseur d’hébergement en fonction de l’évolution des nouvelles réglementations et menaces.
Si vous êtes à la recherche d’une solution d’hébergement infogéré qui donne la priorité à la sécurité, à la conformité et à une infrastructure de haute performance, Kinsta est un bon exemple d’un fournisseur qui répond à ces normes.
