VPS ou serveur dédié : ce que la vie privée change dans l'arbitrage

La bonne question : qui peut lire par-dessus l'épaule de votre machine ?

La confidentialité d'un serveur se lit verticalement. Plus il y a de couches au-dessus de votre système, plus la chaîne de confiance est longue. Sur un serveur dédié, vous êtes seul sur la machine : les seuls logiciels qui vous précèdent sont le firmware de la carte mère et le contrôleur de gestion à distance (BMC/IPMI). Sur un VPS, il y a tout un hyperviseur entre vous et le silicium — et, avec lui, d'autres clients sur le même châssis.

Cela ne rend pas le VPS moins légitime : cela déplace la confiance. Quand vous louez un VPS KVM en Roumanie ou en Islande, vous choisissez précisément à qui vous confiez cette couche — une juridiction et un opérateur en qui vous avez davantage confiance que ceux de votre pays de résidence. La confiance n'est pas supprimée, elle est relocalisée. Toute la question devient : combien de couches acceptez-vous, et chez qui ?

Hyperviseur : pourquoi la technologie de virtualisation est le premier filtre

Tous les VPS ne se valent pas. Deux familles dominent le marché : les conteneurs (OpenVZ, LXC, Virtuozzo) et la virtualisation complète (KVM, Xen HVM, Hyper-V). Le fossé de confidentialité entre les deux est considérable.

Avec un conteneur, vous partagez le noyau Linux de l'hôte avec tous les voisins. Une faille dans ce noyau — ou simplement un module mal configuré — expose la mémoire et les processus des clients. L'isolation y est une promesse, pas une frontière. On reconnaît ces offres à leurs tarifs agressifs et à leur absence totale d'ISO custom.

KVM est différent : chaque VPS démarre son propre noyau, sur du matériel virtualisé entièrement dédié. L'isolation repose sur le support de virtualisation du processeur (AMD-V sur nos EPYC) et sur l'hyperviseur Linux, audité en continu depuis 2007 et maintenu en amont par la communauté du noyau. La surface d'attaque résiduelle se résume à QEMU et au plan de gestion de l'hôte.

Reste un fait honnête : l'opérateur de l'hyperviseur peut, s'il le décide, lire la mémoire vive de vos machines à chaud et leurs disques à froid. C'est vrai chez tout hébergeur VPS du monde, et nous préférons le dire noir sur blanc plutôt que de vendre de la « confidentialité absolue ». Les contremesures existent : chiffrez vos volumes avec LUKS pour les données au repos, n'installez aucun agent invité (nous n'en injectons aucun), et surveillez depuis votre machine le trafic sortant — nos hyperviseurs n'émettent aucune télémétrie vers vos VPS.

Le voisinage : bruit, réputation d'IP et saisies en lot

Le second sujet est horizontal : qui est assis à côté de vous. Trois risques concrets, par ordre de probabilité décroissante.

• La réputation d'adresse. Chez un hébergeur qui sur-vend ses IP, un voisin spammeur suffit à faire lister un /24 entier : votre site parfaitement licite se retrouve filtré chez Gmail ou Cloudflare. C'est le risque le plus fréquent — et le plus bête. Chez VPSPLEX, chaque plage est surveillée contre les blocklists publiques et toute IP listée est remplacée gratuitement (délai médian : 2 h 10).
• Les canaux auxiliaires. Les micro-architectures partagent caches et tables de translation : des travaux universitaires démontrent depuis 2015 (Prime+Probe, puis des variantes sur AMD) qu'un processus malveillant sur le même CPU peut parfois deviner des informations sur ses voisins. Le risque est réel mais borné : il exige un voisin déjà compromis, ciblant précisément votre machine, et les contremesures matérielles récentes (isolation des caches depuis Zen 2, page-table isolation) le réduisent fortement.
• Le rayon de saisie. Quand une enquête pénale vise un client d'un serveur partagé, les enquêteurs saisissent parfois la machine entière — voire le voisinage. Les saisies massives de 2019 dans plusieurs datacenters d'Amsterdam ont immobilisé des milliers de serveurs parfaitement licites pendant des semaines. Sur un dédié, le rayon est d'une machine ; sur un VPS, il dépend de la précision de la requête judiciaire et de la coopération — ou de la résistance — de l'hébergeur.

Le prix réel : au-delà du tarif affiché

Au tarif affiché, l'écart paraît écrasant : un VPS-3 Horizon (4 vCPU, 8 Go, 120 Go NVMe, 1 Gbps illimitée) coûte 19,99 $/mois et se déploie en moins de 60 secondes. Un serveur dédié EPYC comparable (8 cœurs, 64 Go, 2 × 1 To NVMe) se négocie entre 90 et 140 $/mois — plus les frais d'installation, un accès IPMI parfois facturé, et un délai de mise en route allant de quelques heures à quelques jours.

Mais le calcul complet s'inverse vite si votre charge est soutenue. Si vous consommez huit cœurs physiques à 100 %, 24 h/24, un dédié devient moins cher par cycle que deux ou trois VPS surdimensionnés. Ajoutez ce dont on ne parle jamais : remplacement de disque en panne inclus, aucun hyperviseur à provisionner, la totalité de la RAM et du port réellement à vous.

Et le calcul inverse encore si votre besoin fluctue : le VPS se clone, se snapshotte (1 $/mois chez nous), se réinstalle en une minute et change de juridiction sans réinstaller quoi que ce soit. La souplesse a un prix ; elle en fait aussi économiser.

Quand le dédié s'impose encore — honnêtement

Il existe de vrais cas de figure où le serveur dédié reste la bonne réponse, et un hébergeur qui vous dit le contraire vous vend quelque chose :

• Charge CPU/RAM continue et mesurable : rendu 3D, compilation massive, jeux, bases analytiques. Dès que vous saturez quatre vCPU en permanence, le dédié gagne.
• Exigence de seul locataire : certains montages juridiques ou contractuels imposent qu'aucun autre client ne partage le support physique.
• Doctrine de minimisation des tiers : vous voulez éliminer l'hyperviseur de votre modèle de menace — non parce qu'il est malveillant, mais parce que votre doctrine impose de supprimer chaque tiers possible.
• Besoins matériels spécifiques : plus de 128 Go de RAM, RAID matériel, GPU en accès direct, chiffrement au niveau du contrôleur de disques.

Pour tout le reste — hébergement web, VPN, relayeurs, stockage chiffré, environnements de travail — un VPS KVM correctement durci dans la bonne juridiction couvre 90 % des modèles de menace individuels. C'est un constat, pas une concession.

La position VPSPLEX : du KVM, rien que du KVM

Depuis 2021, nous ne vendons que de la virtualisation KVM complète sur AMD EPYC, avec NVMe Gen4 en RAID logiciel. Pas d'OpenVZ, pas de LXC, pas de conteneur rebaptisé VPS : quand vous payez pour un noyau, vous avez un noyau. La mémoire allouée ne fait l'objet d'aucune sur-vente : 8 Go signifient 8 Go physiquement présents dans la machine, point.

Ce que nous ne pouvons pas vous cacher : nous opérons l'hyperviseur. Plutôt que de faire semblant, nous avons construit des garde-fous vérifiables — aucun agent invité installé par défaut, aucune télémétrie émise vers vos instances, réinstallation illimitée depuis des ISO officielles ou une image custom, warrant canary trimestriel publié depuis 2021, et compte client sans identité : si nous ne savons pas qui vous êtes, personne ne peut nous le demander.

Et comme nous ne vendons pas de serveur dédié, nous n'avons aucun intérêt à vous en dissuader ni à vous en refourguer un : quand un client a réellement besoin de bare metal, nous le lui disons et nous l'orientons. La plupart du temps, après avoir chiffré ses disques et vérifié notre canary, il revient déployer un Horizon.

Tableau de décision

Une synthèse à garder sous la main quand le débat refait surface en réunion :