Souveraineté numérique : le plan B testé qui sauve ton business

La souveraineté n'est pas une posture idéologique. C'est la capacité à relancer en moins de 48 heures, peu importe ce qui vient de brûler.

Le 10 mars 2021 à 00h47, un incendie se déclenche dans le datacenter OVH de Strasbourg. En quelques heures, deux bâtiments sont détruits, deux autres partiellement endommagés. Des milliers de serveurs partent en fumée — au sens propre. Des sites e-commerce, des applications SaaS, des portfolios d'agences : hors ligne du jour au lendemain. Certains clients avaient des sauvegardes dans le même datacenter. Ils ont tout perdu.

Ce n'est pas un scénario de thriller. C'est un post-mortem public, documenté, qui a eu lieu dans un pays de l'Union Européenne, chez l'un des plus gros hébergeurs européens.

Alors voilà la question qui structure cet article : si ton hébergeur principal disparaît demain, en combien de jours tu peux relancer ton business ?

Si tu n'as pas de réponse précise, continue à lire.

Ce que la souveraineté veut vraiment dire

Le mot "souveraineté numérique" a été récupéré par beaucoup de discours politiques. Chez Cyberviseur, il a une définition strictement opérationnelle, sans idéologie :

Tu es souverain quand tu peux partir.

Pas quand tu es autarque. Pas quand tu héberges tout chez toi dans un serveur qui ronfle sous ton bureau. Mais quand tu as, pour chaque service critique, un chemin de migration testé — et une copie de tes données qui ne dépend pas du bon vouloir d'un seul fournisseur.

La distinction est importante. L'autarcie technique a un coût opérationnel énorme : gérer ta propre infrastructure email, ton propre CDN, ton propre système de paiement, c'est un temps plein. Ce n'est pas ce que Cyberviseur te propose. Ce que Cyberviseur te propose, c'est la confiance graduée avec plan de sortie.

Concrètement : tu utilises Hostinger pour ton VPS, Cloudflare pour ton DNS et ton WAF, GitHub pour ton code, Stripe pour tes paiements — et tu as, pour chacun, une réponse documentée à la question "que se passe-t-il si ce service ferme ou me bloque demain ?"

Tes fournisseurs sont des solutions, pas des risques

C'est peut-être le cadrage le plus important de cet article, et il va à l'encontre d'une intuition courante.

Cloudflare n'est pas un risque. Hostinger n'est pas un risque. GitHub n'est pas un risque. Ces services sont des solutions que tu as choisies pour faire tourner ton business. Ils ont des équipes de sécurité, des SLA, des datacenters redondants. Ils font mieux que ce que tu ferais seul.

Le vrai risque, c'est l'absence de plan B.

Un service externe devient un risque le jour où tu ne peux plus en partir. Pas parce qu'il est malveillant — mais parce que tu n'as pas prévu l'alternative. C'est cette dépendance sans issue qui crée la vulnérabilité, pas le service lui-même.

La question n'est donc pas "est-ce que je fais confiance à Cloudflare ?" — la question est "est-ce que je peux fonctionner sans Cloudflare pendant 48 heures si nécessaire ?"

Si tu peux répondre oui à cette question pour chacun de tes fournisseurs critiques, tu as atteint un niveau de souveraineté opérationnelle suffisant pour la phase 01.

Cartographier ta confiance : les trois niveaux

Tous tes fournisseurs ne méritent pas le même niveau de dépendance. Une façon simple de raisonner : classe chaque service selon ce qu'il détient de tes données.

La règle CNIL est cohérente avec ce découpage : plus les données sont sensibles et personnelles, plus le contrôle doit être direct. Pour le Tier 0, "faire confiance au cloud" n'est pas suffisant — il faut une copie que tu contrôles.

Pour un vibe-coder ou un infopreneur en phase 01, les données Tier 0 se résument souvent à : ta base de données Postgres (avec les emails et infos clients) et tes clés API. Tout le reste est généralement Tier 1 ou Tier 2.

La règle 3-2-1 : ta dernière ligne de défense

La règle 3-2-1 est une convention de backup issue du monde professionnel de la sauvegarde de données. Elle est simple, mémorisable, et elle a prouvé son efficacité.

3 copies de tes données critiques. 2 supports différents (deux technologies ou deux fournisseurs distincts). 1 copie hors site, physiquement séparée des deux autres.

Pour un setup Cyberviseur typique en phase 01, ça ressemble à :

Copie 1 — Production : ta base de données et tes fichiers sur ton VPS Hostinger. C'est la copie que tu utilises au quotidien.

Copie 2 — Backup cloud automatisé : Coolify génère des snapshots quotidiens de ta base Postgres, stockés chez un second fournisseur cloud (Scaleway Object Storage, Backblaze B2, ou un bucket R2 Cloudflare). Ce ne doit pas être le même datacenter que ton VPS.

Copie 3 — Backup maison chiffré : une copie hebdomadaire sur un disque externe chez toi, chiffrée avant transfert. Si OVH brûle et que Scaleway est aussi inaccessible (scénario improbable mais possible), cette copie te sauve.

Le chiffrement de la copie maison est non-négociable : un disque dur perdu ou volé chez toi ne doit pas exposer les données de tes clients. L'outil age (une alternative moderne à GPG, recommandé par ANSSI) permet de chiffrer un archive en quelques secondes avec une clé asymétrique. Le toolkit T-09-06 — Backup chiffré, prévu en phase 09, détaille cette implémentation complète.

Ce que le post-mortem OVH 2021 a révélé, c'est que beaucoup de clients avaient une "sauvegarde" — chez OVH. Dans le même datacenter. Quand le datacenter a brûlé, la sauvegarde a brûlé avec. La règle 3-2-1 existe précisément pour ce scénario.

L'exercice annuel que personne ne fait

Avoir un backup ne sert à rien si tu ne l'as jamais testé.

Les entreprises sérieuses font des "disaster recovery drills" — des exercices où elles simulent une panne majeure et mesurent le temps de rétablissement réel. Ce n'est pas du luxe. C'est la seule façon de savoir que ton plan B fonctionne avant d'en avoir besoin.

Pour toi, en phase 01, l'équivalent tient en une demi-journée par an :

L'exercice "et si je quitte Hostinger demain ?"

1. Prends ta dernière sauvegarde complète (base de données + fichiers).
2. Provisionne un nouveau VPS chez un fournisseur différent — OVH, Scaleway, ou tout hébergeur que tu n'as jamais utilisé.
3. Installe Coolify sur ce VPS (moins d'une heure avec le toolkit T-01-01).
4. Restaure ta base de données depuis le backup.
5. Redéploie ton application depuis ton repo GitHub.
6. Vérifie que tout fonctionne — formulaires, paiements, emails.
7. Note le temps total.

Si tu arrives à moins de 8 heures, tu es dans une situation opérationnellement saine. Si tu passes 3 jours à déboguer parce que la moitié de ta configuration n'était pas documentée, tu viens de découvrir un problème — dans un environnement où les enjeux sont nuls.

Cet exercice a un second bénéfice : il force à documenter ce qui ne l'est pas. Les variables d'environnement orphelines, les webhooks configurés à la main dans le panel, les DNS records créés il y a 18 mois et dont tu ne sais plus l'utilité — tout ça apparaît lors d'une migration de test.

Ce que la souveraineté ne t'oblige pas à faire

Pour éviter le malentendu inverse :

La souveraineté opérationnelle ne t'oblige pas à auto-héberger ton email (Proton Mail ou Fastmail avec export MBOX est suffisant). Elle ne t'oblige pas à quitter Cloudflare (Cloudflare est une excellente solution pour la protection DNS et WAF, et c'est exactement le rôle qu'il joue dans le bundle B01). Elle ne t'oblige pas à installer un NAS dans ton appartement (un disque USB externe avec chiffrement suffît pour la phase 01).

Ce qu'elle t'oblige à faire :

• Avoir un export de tes données dans un format ouvert et lisible.
• Ne jamais avoir une seule copie de quelque chose de critique.
• Documenter le chemin de migration pour chaque fournisseur essentiel.
• Tester ce chemin au moins une fois par an.

C'est tout. C'est opérationnel, mesurable, et ne nécessite pas de conviction idéologique particulière.

Le cas OVH 2021 : ce que les analyses post-mortem ont appris

L'incendie de Strasbourg est le cas réel le plus documenté de défaillance hébergeur en Europe. Il a détruit le SBG2 en totalité et endommagé SBG1. Les analyses publiées ensuite pointent plusieurs patterns chez les clients qui ont perdu des données sans possibilité de récupération :

• Backup activé chez OVH... dans le même datacenter que le serveur principal.
• Backup présumé activé dans le panel mais jamais testé en restore réel.
• Pas de backup hors site (ni cloud externe, ni disque physique).
• Documentation de déploiement inexistante — même avec les données, la reconstruction aurait pris des semaines.

À l'inverse, les clients qui ont redémarré en 24 à 48 heures avaient systématiquement une copie hors site (S3, Scaleway, ou physique) et une documentation de leur infrastructure.

Ce n'est pas de la malchance ou de la négligence volontaire. C'est l'absence d'une culture de résilience — qui s'installe très facilement quand tout "marche" depuis 18 mois et qu'on n'a jamais eu à tester le plan B.

En résumé

La souveraineté numérique, dans le contexte Cyberviseur, se résume à trois capacités concrètes :

Tu choisis tes fournisseurs. Tu comprends ce que chacun détient de tes données et tu l'as classé selon sa sensibilité (Tier 0 / 1 / 2).

Tu peux migrer en moins de 2 jours. Tu as un chemin documenté et testé pour chaque fournisseur critique. Si Hostinger ferme demain, tu sais exactement quoi faire et tu l'as déjà fait en conditions réelles.

Tu as une copie indépendante. Ta règle 3-2-1 est en place : copie prod, copie cloud secondaire, copie maison chiffrée. La copie maison survit à la disparition simultanée de tous tes fournisseurs cloud.

Aucune de ces trois capacités ne demande d'être un expert système. Elles demandent de la méthode, un peu de temps une fois par an, et d'avoir intégré le bon réflexe : un plan B non testé n'est pas un plan.

Suite logique : P-01-07 — Sécurité comme hygiène, pas comme dôme parfait →

Passer à l'action : Bundle B01 Foundation — 97 € — les 5 toolkits T-01-01 à T-01-05 pour poser la fondation infrastructure sécurisée, de ton VPS vide à ton repo auto-déployé. Le toolkit T-09-06 (backup chiffré avec age + stockage immutable) arrive en phase 09 pour compléter ta règle 3-2-1 côté automatisation.

Souveraineté côté outils business : une fois ta fondation posée, la souveraineté se prolonge en self-host raisonné des outils que tu utilises chaque jour (n8n vs Zapier, Cal.com vs Calendly, EspoCRM vs HubSpot). C'est le sujet de la phase 02 — Socle open-source →.

Cet article est gratuit et fait partie de la phase 01 du parcours Cyberviseur. Si tu veux être prévenu·e quand les autres modules sortent, inscris-toi à la newsletter — un email tous les 15 jours, jamais de spam, désinscription en un clic.