Choisir l’hébergement d’un site d’assurance en 2026 : le comparatif DORA-compatible sur 5 options
04 / 02 / 2025
Comparatif des 5 options d’hébergement sur 8 critères assurance
| Critère | Mutualisé | VPS (OVH, Scaleway) | WP géré (Kinsta, WP Engine) | Dédié | Cloud (AWS, Azure) |
|---|---|---|---|---|---|
| Budget annuel | 60 — 200 € | 600 — 2 400 € | 1 200 — 3 600 € | 2 400 — 6 000 € | 3 000 — 15 000+ € |
| TTFB (temps réponse) | 800 — 2 000 ms | 200 — 500 ms | 150 — 400 ms | 100 — 300 ms | 100 — 300 ms |
| SLA disponibilité | Aucun garanti | 99,9 % (contractuel) | 99,9 % (contractuel) | 99,95 % (contractuel) | 99,99 % (SLA cloud) |
| Isolation des données | Partagée (risque) | Dédiée (VM isolée) | Semi-dédiée | Totale | Totale (VPC) |
| PRA/PCA | Inexistant | Faisable (backups distants) | Inclus (backups auto) | Sur mesure | Natif (multi-AZ) |
| Conformité DORA | Non documentable | Documentable (OVH/Scaleway = UE) | Variable (vérifier localisation) | Documentable | Documentable (attention régions) |
| HDS (mutuelles santé) | Non | Possible (OVH HDS) | Non (sauf config spécifique) | Possible | Possible (Azure, AWS certains) |
| Complexité admin | Nulle | Moyenne (sysadmin nécessaire) | Faible (managé) | Élevée | Élevée (DevOps nécessaire) |
La lecture de ce tableau pour un responsable digital d’assurance : l’hébergement mutualisé est à proscrire (aucun SLA, aucun PRA, données partagées, non documentable DORA). Le VPS chez un hébergeur français (OVH, Scaleway) est le sweet spot pour 80 % des sites assurance : isolation dédiée, TTFB sous 500 ms, conformité DORA documentable, HDS possible, et budget maîtrisé (600-2 400 €/an + infogérance). Le WordPress géré (Kinsta, WP Engine) est une alternative sans sysadmin mais attention à la localisation des données (vérifier que les serveurs sont en UE). Le cloud (AWS, Azure) se justifie uniquement pour les espaces clients à forte volumétrie ou les architectures multi-services.
DORA et HDS : les deux contraintes réglementaires qui structurent le choix
DORA (applicable depuis janvier 2025) impose 4 exigences sur l’hébergement. L’hébergeur doit être inscrit au registre des prestataires TIC de l’assureur, avec une classification critique/non critique. Le PRA/PCA (Plan de Reprise et de Continuité d’Activité) doit être documenté, testé annuellement et couvrir le scénario de perte de l’hébergeur. Les SLA doivent être contractuels avec des pénalités en cas de non-respect (pas des « engagements de moyens »). Et la clause de réversibilité doit garantir que l’assureur peut récupérer ses données et migrer vers un autre hébergeur dans un délai défini. Notre article sur le contrat infogérance assurance détaille les 8 clauses DORA à intégrer.
HDS (Hébergement de Données de Santé) concerne spécifiquement les mutuelles qui hébergent des données de santé sur leur site (espace adhérent avec historique de remboursements, télétransmission). L’hébergeur doit être certifié HDS (norme ISO 27001 + extensions santé). OVH propose une offre HDS dédiée. Les hébergeurs WordPress gérés (Kinsta, WP Engine) ne sont généralement pas certifiés HDS — c’est un critère éliminatoire pour une mutuelle qui héberge des données de santé sur son espace adhérent. Pour la sécurité du site elle-même (WAF, scan, MFA), l’hébergement fournit la couche infrastructure ; les plugins WordPress fournissent la couche applicative.
La configuration VPS recommandée par Eficiens pour un site d’assurance
La configuration standard que nous déployons chez Eficiens pour les sites de mutuelles et d’assureurs repose sur un VPS OVH ou Scaleway avec les caractéristiques suivantes : 4 vCores, 8 Go de RAM, 160 Go SSD NVMe, sous Debian 12 avec Apache ou Nginx, PHP 8.x et MySQL 8. Cette configuration supporte confortablement un site WordPress de 50 à 80 pages avec un trafic de 30 000 à 80 000 visites mensuelles et un LCP mobile sous 2 secondes. L’environnement est structuré en 3 espaces (développement, pré-production, production) répartis sur 2 serveurs distincts pour isoler les données de production.
La couche d’infogérance comprend les backups journaliers automatisés sur un serveur distant géographiquement séparé, le versioning via GitLab auto-hébergé pour les déploiements CI/CD, la surveillance 24/7 via Pingdom, les mises à jour sécurité régulières et l’administration système bas niveau. Le monitoring des Core Web Vitals est intégré à la TMA. Le budget total (hébergement + infogérance) est détaillé dans notre grille tarifaire 2026.
Budget total : hébergement + infogérance par taille de site
| Taille du site | Hébergement VPS/an | Infogérance/an | Total annuel |
|---|---|---|---|
| Site vitrine 20-40 pages (courtier, IP) | 600 — 1 200 € | 2 400 — 4 800 € | 3 000 — 6 000 € |
| Site de marque 40-80 pages (mutuelle, assureur) | 1 200 — 2 400 € | 4 800 — 8 400 € | 6 000 — 10 800 € |
| Site + espace adhérent | 2 400 — 4 800 € | 6 000 — 12 000 € | 8 400 — 16 800 € |
Le poste le plus significatif n’est pas l’hébergement (le VPS lui-même est peu cher) — c’est l’infogérance (monitoring, sécurité, backups, mises à jour, interventions). Un VPS sans infogérance est un serveur sans surveillant : le premier incident de sécurité non détecté peut coûter beaucoup plus cher que plusieurs années d’infogérance. Contactez notre équipe pour un devis d’hébergement infogéré.
En conclusion : le VPS infogéré est le choix rationnel pour 80 % des sites assurance
Le choix d’hébergement d’un site d’assurance en 2026 est structuré par deux contraintes : DORA (registre TIC, PRA/PCA, SLA, réversibilité) et le budget (le coût total incluant l’infogérance, pas seulement le prix du serveur). Le VPS chez un hébergeur français (OVH, Scaleway) coche toutes les cases : isolation dédiée, performance sous les seuils CWV, conformité DORA documentable, option HDS pour les mutuelles, et budget maîtrisé. L’hébergement mutualisé est à proscrire pour un site d’assurance — pas pour des raisons techniques mais pour des raisons réglementaires : il est impossible de documenter un PRA/PCA ni de garantir un SLA sur un mutualisé. Le cloud se justifie pour les architectures complexes (espace client à forte volumétrie, multi-services) mais son coût et sa complexité d’exploitation sont disproportionnés pour un site de marque.
Questions fréquentes sur l’hébergement d’un site d’assurance
Pourquoi l'hébergement mutualisé est-il à proscrire pour un site d'assurance ?
Pour trois raisons réglementaires, pas techniques. Le mutualisé ne fournit aucun SLA garanti (pas de pénalités si le site est indisponible pendant 24h). Il ne permet pas de documenter un PRA/PCA conforme DORA (pas de backups distants garantis, pas de procédure de restauration testable). Et les données sont partagées avec d’autres sites sur le même serveur — impossible de garantir l’isolation que DORA et la CNIL exigent. Le différentiel de coût (60 €/an vs 600 €/an pour un VPS) est dérisoire au regard des risques.
L'hébergeur doit-il être certifié HDS pour un site de mutuelle ?
Uniquement si le site héberge des données de santé — c’est-à-dire des données qui révèlent l’état de santé d’une personne (historique de remboursements, actes médicaux, pathologies). Un site vitrine de mutuelle qui ne contient que des pages produits et un formulaire de devis n’héberge pas de données de santé. Un espace adhérent qui affiche l’historique de remboursements en héberge. La certification HDS concerne l’hébergeur, pas le site lui-même. OVH propose une offre VPS HDS dédiée.
Qu'est-ce que l'infogérance et est-elle nécessaire ?
L’infogérance couvre la surveillance du serveur (monitoring 24/7, alertes), la sécurité (mises à jour OS et PHP, scan de vulnérabilités, firewall), les sauvegardes (backups journaliers automatisés sur un serveur distant), les déploiements (Git, CI/CD) et les interventions en cas d’incident. Un VPS sans infogérance est un serveur sans surveillant. En cas d’incident de sécurité non détecté (injection SQL, ransomware), les conséquences peuvent dépasser largement le coût de plusieurs années d’infogérance. L’infogérance est indispensable pour tout site d’assurance, quelle que soit sa taille.
Peut-on utiliser Kinsta ou WP Engine pour un site d'assurance ?
Oui, pour un site de marque sans données de santé. Ces hébergeurs WordPress gérés offrent d’excellentes performances (TTFB sous 400 ms), des backups automatisés et un support technique réactif. Deux points de vigilance : vérifier la localisation des serveurs (les données doivent rester en UE pour DORA et RGPD — Kinsta et WP Engine proposent des régions UE) et vérifier que le SLA est contractuel avec pénalités (pas un simple engagement de moyens). Ces hébergeurs ne sont pas certifiés HDS — ils ne conviennent pas pour un espace adhérent hébergeant des données de santé.
DORA impose-t-il de changer d'hébergeur ?
Pas nécessairement. DORA impose de documenter et de superviser la relation avec l’hébergeur, pas de le changer. Si votre hébergeur actuel fournit un SLA contractuel, un PRA/PCA testable et une clause de réversibilité, il suffit de l’inscrire au registre des prestataires TIC et de documenter la supervision. Si votre hébergeur ne peut pas fournir ces éléments (cas typique des mutualisés et de certains petits hébergeurs), alors oui, il faut migrer vers un hébergeur conforme — et c’est l’occasion de moderniser l’infrastructure.
IP, si vous nous contactiez pour échanger sur vos projets digitaux ?
Tous les détails sur notre page contact ou en visio ci-dessous
Échangeons sur vos enjeux
Ils nous font confiance
