La première question sur un service hébergé est physique : où vont nos données? La porte de la salle interne donne un sentiment de contrôle, mais elle ne prouve ni la restauration, ni la séparation des accès. Chez un fournisseur, le contrôle doit être exprimé par une architecture, des journaux et des tests.

Je suivrais une donnée depuis le navigateur. La connexion devrait chiffrer le transport. L’application authentifie l’utilisateur, détermine son organisation et autorise l’opération. La couche de stockage écrit ensuite la donnée dans une base ou un volume, puis un processus de sauvegarde en crée des copies selon une rétention connue.

client -> TLS -> application -> contexte du client -> stockage primaire
                            |                      `-> sauvegarde -> autre emplacement
                            `-> journal d'accès

Le chiffrement du lien protège contre l’écoute en transit. Une fois arrivée, l’application doit lire la donnée pour la traiter. Il faut donc savoir qui peut accéder aux serveurs, comment les comptes administrateurs sont accordés, si les disques ou backups sont chiffrés et où vivent les clés. « Tout est chiffré » ne répond pas à la gestion des clés.

Tester la frontière entre deux clients

Dans une application partagée, l’identité doit produire un contexte de client côté serveur. Chaque requête de données applique ce contexte. Je demanderais un test négatif explicite :

1. créer un document sous le client A;
2. tenter d’utiliser son identifiant avec un compte du client B;
3. vérifier le refus dans l’interface, l’API et les exports;
4. confirmer qu’un administrateur du fournisseur laisse une trace lorsqu’il accède;
5. vérifier qu’une restauration ne mélange pas les permissions.

Une base par client offre une frontière plus forte, mais augmente les opérations et les migrations. Une base partagée utilise mieux la capacité, mais une requête oubliant tenant_id peut traverser la séparation. Le choix doit correspondre à la sensibilité et être testé, pas seulement dessiné.

La sauvegarde pose une autre frontière. Où se trouve la copie? Est-elle dans le même bâtiment, le même réseau ou le même compte d’administration? Une erreur ou un sinistre commun peut atteindre le primaire et la sauvegarde. Le fournisseur devrait pouvoir restaurer un échantillon, mesurer le temps et expliquer la perte maximale acceptée.

La disponibilité annoncée mérite un calcul. 99,9 % sur un mois permet environ 43 minutes d’arrêt. Le contrat doit préciser ce qui compte comme indisponible, comment la mesure est prise et quel avis arrive après un incident. Un crédit financier ne remet pas le service en marche; notre processus a encore besoin d’un mode dégradé.

Enfin, je demanderais un export complet avant de signer longtemps : données, pièces jointes, identifiants et documentation du format. On importe une copie dans un outil neutre et on vérifie un échantillon. Sans cet exercice, le « droit de partir » reste une phrase contractuelle.

Je ne refuserais pas l’hébergement parce que je ne vois pas la machine, ni ne l’accepterais à cause d’un gros centre de données. Je comparerais les frontières, les preuves de restauration, les accès administratifs et la sortie avec notre propre salle. Le matériel peut changer de propriétaire; la responsabilité de comprendre la protection des données reste chez nous.