Du HTML statique, servi avec des en-têtes de niveau A
L'hébergement n'est pas une ligne de facture qu'on oublie. C'est lui qui décide du temps que met votre page à répondre, de ce que des outils de sécurité diront de votre domaine, et de ce que Google reçoit quand il passe. Nous hébergeons ce que nous construisons, et nous servons les sites d'une seule façon.
L’hébergement décide du temps de réponse et de la note de sécurité. Hébergement de sites statiques pré-rendus sur serveur mutualisé Apache : en-têtes de sécurité complets, TLS 1.3, deux régimes de cache, vrai 404, et aucune application serveur à maintenir.
Les sites que nous livrons sont pré-rendus : chaque adresse correspond à un fichier HTML complet, écrit au moment de la construction du site. Il n'y a donc pas d'application à exécuter à chaque visite, pas de base de données à interroger, pas d'extension à mettre à jour en urgence un vendredi soir. La surface d'attaque se réduit à ce qui est strictement nécessaire : quelques points d'entrée durcis pour le formulaire de contact et l'espace d'administration, et rien d'autre.
La plupart des sites que nous auditons n'en ont aucun, ou deux sur huit. Les nôtres sont posés à la livraison et vérifiés après chaque mise en ligne.
Les ressources — scripts, styles, images, polices — portent une empreinte dans leur nom : leur contenu ne change jamais sans que le nom change. Elles sont donc mises en cache pour un an et marquées immuables. Les pages HTML, elles, sont revalidées à chaque visite. Conséquence pratique : une mise en ligne est visible immédiatement par tout le monde, sans vider de cache, sans attendre, et sans que le navigateur retélécharge pour autant les fichiers qui n'ont pas bougé.
C'est une règle dure chez nous. Beaucoup de sites renvoient leur page d'accueil, avec un code de succès, pour toute adresse inconnue : Google indexe alors des pages fantômes, et vos vraies pages se retrouvent en concurrence avec des doublons. Nos configurations n'ont aucune règle de repli vers l'accueil. Une adresse inconnue renvoie un vrai code 404 et une page d'erreur dédiée — vérifié en ligne de commande après chaque déploiement.
Le trafic passe en TLS 1.3, avec un certificat renouvelé automatiquement sur un cycle court : il n'y a pas de date d'expiration à surveiller dans un agenda, et donc pas de site en alerte rouge un dimanche parce que personne n'y a pensé. Les accès en clair et les variantes avec www sont redirigés de façon permanente vers l'adresse canonique, dans le sens déduit du domaine réellement déclaré pour le site — et non dans un sens figé d'avance.
La configuration sensible — clés d'interface, identifiants — vit en dehors du dossier servi par le serveur web : elle n'est jamais accessible depuis une adresse, même en la devinant. Les fichiers envoyés par vos soins depuis l'administration et les sauvegardes sont séparés du site construit, pour qu'une remise en ligne ne les écrase jamais.
Oui, et c'est non négociable de notre côté : le domaine est déposé à votre nom. Vous pouvez partir chez un autre prestataire sans nous demander l'autorisation. Un domaine détenu par l'agence est le moyen le plus simple de retenir un client contre son gré, et nous ne le faisons pas.
Vous récupérez l'intégralité des fichiers du site et la main sur le domaine. Comme le site est constitué de pages HTML, il peut être remis en ligne chez n'importe quel hébergeur capable de servir des fichiers — il n'y a pas de dépendance à une technologie propriétaire de notre côté.
Pas en l'état : notre hébergement est conçu pour des sites statiques, et c'est précisément ce qui le rend sobre et sûr. Héberger un WordPress demande une maintenance applicative continue, qui est un autre métier. Nous pouvons en revanche auditer l'existant et chiffrer une refonte.
Le site lui-même se reconstruit à l'identique depuis ses sources, c'est la meilleure sauvegarde qui soit. Ce qui demande une attention particulière, ce sont les éléments qui n'en proviennent pas : les contenus modifiés depuis l'administration et les fichiers que vous avez envoyés. Ils sont conservés séparément et ne sont jamais écrasés par une mise en ligne.
C'est une ligne distincte, parce que c'est un service continu et non une prestation qui se termine. Le détail figure sur la page des tarifs ; nous ne communiquons pas de prix ici pour éviter deux chiffres qui finiraient par diverger.
Sur un hébergement mutualisé Apache situé dans l'Union européenne. Un site statique ne stocke par ailleurs aucune donnée personnelle de visiteur : il n'y a ni compte, ni panier, ni cookie de suivi posé par défaut.
Dites-nous ce que vous hébergez aujourd'hui et où. Nous vous disons si votre site peut être servi de cette façon, et ce que la bascule demande.
