Hébergement de site web d’entreprise : ce qu’il faut vérifier

Quatre éléments sont souvent confondus. Le nom de domaine est votre adresse, enregistrée auprès d’un registraire pour une période renouvelable. La zone DNS indique où envoyer les visiteurs du site et les messages destinés à vos adresses. L’hébergement est le serveur qui conserve et diffuse vos pages. Le courriel peut se trouver chez un tout autre fournisseur. Un même prestataire peut gérer plusieurs de ces éléments, mais il s’agit de comptes et d’accès distincts.

Commencez par le titulaire du domaine : il devrait s’agir de votre entreprise, et non d’un ancien employé, d’un pigiste ou d’une agence. L’ICANN (nouvel onglet) précise qu’un transfert vers un autre registraire ne peut être lancé que par le titulaire du nom de domaine, son contact administratif ou une personne explicitement autorisée à agir en leur nom. Elle ajoute qu’un code d’autorisation unique aide à empêcher les transferts non autorisés et que les coordonnées doivent rester à jour.

Dans un exemple fictif, une entreprise de rénovation de Sherbrooke découvre, au moment de changer d’hébergeur, que son domaine est au nom personnel du pigiste qui avait conçu son premier site. Le projet attend désormais sa collaboration.

Notez le registraire, le compte utilisé, la personne qui reçoit les avis de renouvellement et la date d’échéance. Activez le renouvellement automatique avec un moyen de paiement à jour, et rangez les identifiants dans un gestionnaire de mots de passe plutôt que dans un vieux courriel. Si un fournisseur gère votre zone DNS, demandez-lui une exportation complète de ses enregistrements.

Le courriel mérite une attention particulière. Les enregistrements MX dirigent le courrier entrant; SPF, DKIM et DMARC, recommandés par le Centre canadien pour la cybersécurité (nouvel onglet), aident les serveurs destinataires à reconnaître les messages légitimes de votre domaine. Un changement de DNS qui les oublie peut interrompre la réception ou nuire à la livraison de vos envois.

Chez Serafex, l’hébergement porte sur le site. Le nom de domaine n’est pas proposé dans l’offre retenue; les responsabilités et accès qui s’y rattachent se précisent pour chaque projet. La carte d’hébergement mentionne le HTTPS et le transfert du site, pas le courriel. Si vos boîtes sont chez votre hébergeur actuel, décidez de leur sort avant tout déménagement.

Le certificat HTTPS chiffre les échanges entre le navigateur et votre site, et le Centre canadien pour la cybersécurité (nouvel onglet) recommande d’en obliger l’usage. Vérifiez trois choses : toutes les variantes de votre adresse (avec ou sans « www », en http ou en https) mènent à une seule adresse sécurisée; le certificat se renouvelle avant son expiration; aucune image ni aucun script n’est encore appelé en http.

Pour la performance, Google décrit trois métriques Core Web Vitals (nouvel onglet). Le LCP mesure le chargement : le plus grand élément visible devrait s’afficher dans les 2,5 premières secondes. L’INP mesure la réactivité et devrait rester inférieur à 200 millisecondes. Le CLS mesure la stabilité visuelle et devrait rester inférieur à 0,1. Google indique que ces métriques sont utilisées par ses systèmes de classement, mais qu’un bon résultat ne garantit pas une place en tête et que le contenu le plus pertinent reste prioritaire.

L’hébergeur influence surtout le temps de réponse du serveur; des images trop lourdes, des scripts tiers ou des extensions superflues pèsent souvent autant. Avant d’accuser votre fournisseur, consultez le rapport Core Web Vitals de la Search Console pour repérer les pages en cause. Le guide pour préparer un diagnostic SEO aide à rassembler ces observations.

La sécurité dépend ensuite des mises à jour du serveur, du système de gestion de contenu, du thème et de chaque extension. Le Centre canadien pour la cybersécurité recommande une stratégie d’application des correctifs et l’authentification multifacteur pour tous les comptes, administrateurs compris. Il rappelle que chaque module d’extension agrandit la surface d’attaque et que votre organisation reste légalement responsable des données de clients traitées sur son site, même si elle ne l’héberge pas.

Demandez donc qui applique chaque mise à jour, qui vérifie le site ensuite et qui possède un accès administrateur. Chez Serafex, les interventions de maintenance comprises, comme les mises à jour ou d’éventuelles sauvegardes, se définissent dans le périmètre vendu.

Une sauvegarde qui n’a jamais été restaurée reste une hypothèse. Dans son guide pour sauvegarder et récupérer vos données (nouvel onglet), le Centre canadien pour la cybersécurité recommande une sauvegarde complète régulière, chaque semaine ou chaque mois, et avant toute mise à niveau majeure. Il conseille de conserver une copie hors ligne, d’appliquer la règle 3-2-1 (trois copies, sur deux types de supports, dont une hors site) et de tester régulièrement la reprise. Posez ces questions à tout hébergeur :

• Que contient la sauvegarde : fichiers, base de données, réglages?
• À quelle fréquence est-elle faite et combien de temps est-elle conservée?
• Où est-elle stockée, et est-elle séparée du serveur principal?
• Qui peut lancer une restauration, et à quelles conditions?
• Pouvez-vous obtenir vous-même une copie complète de votre site?

Pour l’offre Serafex, l’hébergement offert comme service distinct ne permet pas de déduire à lui seul une fréquence de sauvegarde ni un engagement chiffré de disponibilité : ces points se confirment dans le périmètre convenu, comme chez tout fournisseur.

Vos formulaires soulèvent une autre question : où vont les renseignements personnels recueillis par une demande de soumission, une candidature ou une inscription à une infolettre? Selon la Commission d’accès à l’information (nouvel onglet), une entreprise qui recueille des renseignements par un moyen technologique doit publier sur son site une politique de confidentialité en termes simples et clairs. Le titre et les coordonnées de la personne responsable de la protection des renseignements personnels doivent aussi être publiés sur le site.

Si les messages ou les sauvegardes sont conservés à l’extérieur du Québec, la Commission précise qu’une évaluation des facteurs relatifs à la vie privée doit précéder cette communication (nouvel onglet) : celle-ci ne peut avoir lieu que si l’évaluation démontre que les renseignements bénéficieront d’une protection adéquate, et elle doit faire l’objet d’une entente écrite. Au moment de la collecte, informez aussi les personnes de la possibilité que leurs renseignements soient communiqués à l’extérieur du Québec. Un fournisseur qui traite ces renseignements pour vous doit être encadré par un contrat écrit : mesures de confidentialité, usage limité au mandat, aucune conservation après sa fin. Votre entreprise demeure responsable des renseignements confiés. Elle doit aussi tenir un registre des incidents de confidentialité et déclarer à la Commission et aux personnes concernées ceux qui présentent un risque de préjudice sérieux. Le guide Loi 25 et votre site web détaille ce que vos formulaires et votre politique de confidentialité doivent afficher.

Faites l’inventaire de chaque formulaire : champs demandés, destination des envois (boîte de courriel, base de données du site, service externe), personnes qui les lisent, durée de conservation et lieu des serveurs. Retirez les champs inutiles. Pour une situation particulière, appuyez-vous sur les ressources de la Commission ou sur un professionnel.

Google décrit comment changer d’hébergement sans modifier les adresses des pages (nouvel onglet). Importez une copie complète du site et testez-la sur un nom d’hôte temporaire protégé par une règle noindex. Au moins une semaine avant la bascule, réduisez la durée de vie (TTL) des enregistrements DNS à quelques heures. Conservez les éléments qui valident votre propriété dans la Search Console. Après le changement, surveillez la propagation et les journaux, puis désactivez l’ancienne infrastructure quand son trafic est tombé à zéro.

Ajoutez-y vos propres vérifications : certificat HTTPS actif sur le nouveau serveur, formulaires testés jusqu’à la réception du message, zone DNS recopiée en entier, enregistrements de courriel compris. Ne résiliez ni l’ancien hébergement ni d’anciennes boîtes de courriel avant d’avoir confirmé que tout fonctionne. Si les adresses de vos pages changent, la migration est différente : le guide pour préparer une refonte de site web explique comment planifier la correspondance des anciennes adresses.

Dans un second exemple fictif, une boulangerie de Trois-Rivières change d’hébergeur un vendredi. Le lundi, le site s’affiche, mais les demandes de commandes spéciales n’arrivent plus : les enregistrements de courriel n’ont pas été recopiés dans la nouvelle zone DNS. Une liste de vérification aurait révélé l’oubli.

Avant de changer d’hébergeur, obtenez une réponse écrite à ces questions :

Comparez des montants sur une même durée, taxes comprises : hébergement, renouvellement du domaine, courriel par utilisateur et maintenance si elle est facturée à part. Méfiez-vous d’un prix d’appel valable la première année seulement. Lisez aussi la durée d’engagement, le préavis de résiliation et ce qui arrive à vos fichiers à la fin du contrat.

Chez Serafex, l’hébergement est offert comme service distinct, pour chaque site, avec le HTTPS et le transfert du site. Faites préciser ce que ce transfert couvre pour votre site existant. La création d’un site est une offre distincte, chiffrée selon votre projet. Les forfaits et leurs conditions montrent ces postes séparément, et la page création, refonte et hébergement de site web décrit le parcours du projet. L’hébergement n’inclut ni domaine, ni modifications de contenu permanentes, ni maintenance illimitée.

Faites le point sur l’hébergement de votre site.