Souveraineté des données : l’engagement RunPress (et pourquoi Cloudflare n’est pas neutre)

La souveraineté des données : un enjeu clé pour les entreprises françaises

À l’heure où la protection des données et la maîtrise de la chaîne technique deviennent des critères majeurs dans le choix d’un hébergeur, la souveraineté n’est plus un simple argument marketing. Pour de nombreuses entreprises, collectivités, professions de santé ou secteurs sensibles, héberger son site web et ses données en France, chez des prestataires locaux, est devenu une nécessité.

RunPress a été conçu dès le départ autour de cette exigence de souveraineté :

• Nos serveurs sont installés exclusivement en France.
• Toute l’infrastructure (serveur, stockage, sauvegardes) repose sur des acteurs 100 % français : OVHcloud et Scaleway.
• Aucun composant critique n’est externalisé à des sociétés non-européennes.
• Les données ne quittent jamais le territoire français, sauf choix explicite du client (ex : activation d’un CDN tiers).

Cloud Act, extraterritorialité : où vont vraiment vos données ?

Le saviez-vous ?
De nombreux hébergeurs se présentent comme “européens”, mais utilisent en réalité des prestataires ou des solutions américaines pour tout ou partie de leur chaîne technique (CDN, DNS, sauvegardes, cloud public…). Cela expose vos données au Cloud Act : une loi américaine qui permet aux autorités des USA de réclamer l’accès aux données, même si elles sont physiquement hébergées en Europe, du moment qu’elles transitent ou sont stockées par une société relevant du droit américain.

Avec RunPress, vos données ne sont jamais soumises au Cloud Act :

• Aucun recours à AWS, Azure, Google Cloud ou Cloudflare pour l’infrastructure principale.
• OVHcloud et Scaleway sont juridiquement domiciliés en France, avec un contrôle total sur la localisation physique et la protection légale de vos données.

Cloudflare et le proxy CDN : un cas à part à bien comprendre

Cloudflare est un leader mondial du CDN (Content Delivery Network), utilisé pour accélérer les sites web et filtrer le trafic malveillant. Mais Cloudflare est une société américaine, et son fonctionnement n’est pas neutre du point de vue de la souveraineté :

• Quand le proxy Cloudflare est activé (“orange cloud”) Toutes les requêtes des visiteurs transitent par l’infrastructure mondiale de Cloudflare :
  – Les données (IP visiteurs, URL, cookies…) passent par des serveurs hors UE.
  – Cloudflare enregistre et conserve des journaux de logs pouvant être transmis aux autorités américaines (Cloud Act).
  – Le contenu de votre site et les données d’accès transitent par une société non européenne.
• En mode “DNS only” (“nuage gris”) Cloudflare ne fait que gérer votre DNS, sans proxy ni collecte de trafic, ce qui préserve la localisation des données en France.

En résumé :

L’activation du proxy CDN de Cloudflare remet en cause la stricte souveraineté juridique de votre site. Cela peut suffire à exclure Cloudflare pour les sites de santé, les collectivités, ou tout organisme soumis à des obligations légales de confidentialité et de localisation des données.

Quelle est la politique RunPress ?

• Par défaut, aucune donnée ne quitte la France
  L’hébergement, le stockage, les sauvegardes et les outils de gestion sont opérés uniquement par des sociétés françaises : OVHcloud et Scaleway.
• Cloudflare est optionnel, jamais imposé
  L’utilisation de Cloudflare (CDN ou proxy) est un choix laissé au client, mais nous informons systématiquement des risques et implications.
• Un accompagnement RGPD & souveraineté
  Nous conseillons et accompagnons nos clients pour garantir la conformité RGPD et le respect des exigences sectorielles.

FAQ : Souveraineté, Cloudflare et vos données

Où sont physiquement hébergées mes données ?
Vos sites, emails, bases de données et sauvegardes sont stockés exclusivement en France, sur des serveurs OVHcloud ou Scaleway.

RunPress utilise-t-il des prestataires américains ?
Non, à l’exception d’un choix explicite de votre part pour certains services optionnels (CDN Cloudflare, par exemple).

Cloudflare est-il compatible avec la souveraineté ?

• En mode “DNS only” (nuage gris)
  Cloudflare agit comme simple gestionnaire DNS : le contenu de votre site et vos données restent hébergés en France, sans transit du trafic web par l’infrastructure Cloudflare. Cependant, il est important de noter que les requêtes DNS transitent bien par les serveurs de Cloudflare, qui est une société américaine. Cela peut représenter un risque résiduel pour des exigences de conformité très strictes (secteur santé, organismes publics, projets sensibles).
• En mode proxy (orange cloud)
  Le trafic web (visiteurs, logs, contenus, IP, cookies…) transite par l’infrastructure Cloudflare et est journalisé par un acteur soumis au Cloud Act. Cette configuration n’est donc pas conforme à une approche souveraine stricte.

Besoin d’une conformité maximale ?
RunPress peut héberger votre DNS exclusivement en France, sur des serveurs indépendants de tout prestataire non-européen (OVHcloud ou Scaleway), garantissant ainsi que même les requêtes DNS ne quittent jamais le territoire français.

Résumé à placer dans l’article :

Même en mode DNS only, Cloudflare implique que les requêtes DNS transitent par des serveurs américains. Pour un projet devant respecter la souveraineté stricte, nous proposons l’hébergement DNS 100 % en France.

Que faire si j’ai une exigence réglementaire forte (santé, secteur public…) ?
Nous recommandons de ne pas utiliser Cloudflare en mode proxy, ou de privilégier un CDN européen pour garantir la pleine maîtrise des données.

Pour aller plus loin : un hébergeur engagé, une transparence totale

La souveraineté n’est pas qu’un slogan chez RunPress :

• Nous garantissons la traçabilité, la localisation et la sécurité de vos données.
• Nous n’externalisons aucun service critique à des sociétés non françaises.
• Nous privilégions la transparence : si un service externe est activé (Cloudflare, Sendinblue…), vous êtes informé de la nature et du périmètre du transfert de données.

Vous souhaitez en savoir plus ou auditer la localisation de vos données ?
Contactez notre équipe : nous vous accompagnons dans la mise en conformité et la sécurisation de votre présence web en France.