Le débat VPS-vs-dédié est généralement présenté comme « performance contre prix ». Pour les charges de travail sensibles à la confidentialité, c'est le mauvais prisme. La vraie question est ce que vous êtes prêt à partager — et avec qui — au niveau du silicium. Un serveur virtualisé est par définition une machine multi-locataire : votre noyau tourne sur un hyperviseur qui fait simultanément tourner les noyaux d'inconnus. Pour la plupart des charges de travail en 2026, c'est une frontière correcte et bien défendue. Pour certaines, c'est une responsabilité structurelle qu'aucun durcissement système ne peut corriger.
Ce guide trace la ligne. Nous couvrirons le modèle de menace qui change réellement la réponse, l'historique des CVE d'évasion hyperviseur que vous devez connaître, l'économie pratique, et une matrice de décision pour savoir quelles charges de travail appartiennent où.
Le modèle de menace qui décide de la réponse
Avant de comparer les spécifications, rédigez votre modèle de menace en une phrase. Le type de serveur approprié en découle presque mécaniquement.
Monolocation : ce que cela vous apporte réellement
Sur un serveur dédié — une machine physique qui vous est exclusivement attribuée — vous contrôlez chaque couche sous le système d'exploitation que le contrat de l'hébergeur autorise : paramètres BIOS, configuration de démarrage sécurisé, chiffrement complet du disque avec une phrase secrète que l'hébergeur ne peut littéralement pas lire, exposition IPMI, et quels modules noyau se chargent. Il n'y a pas d'hyperviseur entre vous et le silicium. Il n'y a pas de voisins partageant le cache L1/L2. Il n'y a pas de bus mémoire partagé où une attaque par canal auxiliaire pourrait observer vos cycles AES.
Sur un VPS — une tranche virtualisée d'une machine physique — vous contrôlez le système d'exploitation invité, et c'est tout. L'hébergeur contrôle l'hyperviseur, les clés de chiffrement du disque (dans la plupart des configurations réalistes) et la machine physique.
Trois catégories de menaces
Pour la confidentialité, les menaces se répartissent en trois catégories :
- Adversaire réseau. Quelqu'un qui intercepte ou assigne à comparaître le câble. Défendu par le chiffrement de transport (TLS, WireGuard, SSH) et la juridiction. Le type de serveur est sans importance.
- Adversaire hébergeur. Le fournisseur d'hébergement lui-même, ou quiconque peut les contraindre. Défendu principalement par la juridiction (couverte dans notre guide des juridictions) et accessoirement par le chiffrement complet du disque avec une phrase secrète que l'hébergeur ne possède pas. Le dédié gagne modestement ici.
- Adversaire co-locataire. Quelqu'un qui a loué un VPS différent sur la même machine physique, ou qui en a compromis un via un autre vecteur, et tente de s'échapper de sa tranche. Le dédié élimine entièrement cette catégorie ; le VPS ne le fait pas.
Si la catégorie 3 figure dans votre modèle de menace, la conversation est close — vous avez besoin d'un serveur dédié. Dans le cas contraire, un VPS bien configuré dans la bonne juridiction est adapté à l'écrasante majorité des charges de travail sensibles à la confidentialité.
Évasion hyperviseur : à quelle fréquence cela se produit-il ?
La réponse honnête la plus courte : rarement, et avec des correctifs généralement disponibles dans les jours suivants. Mais « rarement » n'est pas « jamais », et l'historique vaut la peine d'être connu.
Les grandes évasions publiques
- Xen XSA-226 (2017) — un bug de corruption mémoire dans la gestion des tables de pages qui permettait à un invité d'escalader vers l'hôte. Corrigé en moins d'un mois ; les grands fournisseurs cloud ont procédé à des redémarrages d'urgence.
- VENOM (CVE-2015-3456) — un débordement de tampon dans le contrôleur de disquette virtuel QEMU, affectant KVM et Xen. Ancien mais instructif : la surface d'attaque était une fonctionnalité que personne n'utilisait activement.
- L1TF / Foreshadow (2018) — canal auxiliaire par exécution spéculative Intel pouvant faire fuir de la mémoire à travers les frontières de l'hyperviseur. Atténué par des mises à jour de microcode et des changements d'ordonnancement ; la pénalité de performance liée à la désactivation de l'hyperthreading était significative.
- Variants KVM MDS (en cours, dernier en 2024) — attaques d'échantillonnage de données microarchitecturales. Chaque nouvelle génération de puces produit une nouvelle variante ; les atténuations ont un coût de performance mesurable.
Les évasions publiques qui atteignent un CVE sont la partie visible de l'iceberg. Des exploits privés existent ; des évasions de niveau étatique ont été démontrées au Pwn2Own la plupart des années. Pour une charge de travail où l'évasion hyperviseur figure même dans la liste des menaces plausibles, vous ne voulez pas être sur un hyperviseur.
Le canal IPMI / hors-bande
Les VPS et les serveurs dédiés exposent généralement un IPMI (Interface de gestion de plateforme intelligente) pour l'équipe opérationnelle de l'hébergeur. Sur un VPS, l'exposition IPMI est le problème de l'hébergeur et ne vous concerne pas. Sur un serveur dédié, vous pouvez généralement demander que l'IPMI soit sur un VLAN privé, derrière un VPN, ou désactivé entre les fenêtres de maintenance. Nous proposons par défaut « IPMI désactivé, sur demande » sur les serveurs dédiés — consultez la page des serveurs dédiés pour les détails opérationnels.
Chiffrement complet du disque : réalités pratiques
Les deux types de serveurs supportent le chiffrement au repos, mais le modèle de confiance est différent.
Chiffrement VPS
Vous pouvez exécuter LUKS à l'intérieur de votre VPS, ce qui chiffre au niveau du système de fichiers invité. Cela protège contre un voleur qui dérobe le disque sous-jacent après l'arrêt de votre VPS. Cela ne protège pas contre un snapshot mémoire en direct effectué par l'hyperviseur — vos clés de chiffrement sont dans la RAM que l'hyperviseur peut lire. Pour la plupart des menaces réalistes, c'est acceptable ; face à un adversaire hébergeur crédible, c'est du théâtre.
Chiffrement dédié
Sur un serveur dédié, le chiffrement complet du disque avec une phrase secrète saisie à distance (via dropbear-in-initramfs ou similaire) vous donne une clé que l'hébergeur ne peut littéralement pas récupérer sans votre coopération. L'inconvénient : un redémarrage nécessite que vous saisissiez la phrase secrète, ce qui convient aux infrastructures personnelles mais est peu pratique pour l'autoscaling. L'avantage : un hébergeur contraint qui saisit le serveur obtient du texte chiffré.
VPS vs dédié, face à face
| Dimension | VPS | Dédié |
|---|---|---|
| Monolocation | Non (partage CPU, RAM, hyperviseur) | Oui (isolation physique complète) |
| Surface d'attaque co-locataire | Hyperviseur + cache partagé | Aucune |
| FDE vs adversaire hébergeur | Théâtre (clé dans RAM lisible par l'hyperviseur) | Réel (l'hébergeur obtient du texte chiffré) |
| Délai de mise en service | Minutes | Heures à quelques jours |
| Mise à niveau matérielle | Changer de forfait | Migrer vers une nouvelle machine |
| Prix d'entrée 2026 (offshore) | 5–15 $/mois | 60–200 $/mois |
| Exposition IPMI | Cachée (problème de l'hébergeur) | Configurable (votre problème) |
| Idéal pour | Points de sortie VPN, serveurs de build, messagerie personnelle, relais Tor, dev | Serveurs mail à grande échelle, garde des clés, tout avec une menace de catégorie 3 |
Matrice de décision par charge de travail
VPN personnel, serveur de build, box de dev, relais Tor
VPS. La menace est l'adversaire réseau plus la juridiction ; l'évasion co-locataire n'est pas une préoccupation réaliste par rapport au coût opérationnel. Parcourez les forfaits VPS et choisissez le pays correspondant au résultat de votre guide de juridiction.
Serveur mail personnel, petit serveur XMPP, homeserver Matrix
Le VPS convient jusqu'à environ 50 utilisateurs. Au-delà, les performances commencent à poser problème et vous voudrez un dédié pour le débit des files d'attente IMAP/SMTP, indépendamment de l'axe confidentialité.
Plateforme publique avec données utilisateurs (forum, imageboard, chat)
VPS pour la croissance initiale, migrez vers un dédié quand le nombre d'utilisateurs ou le contenu commence à attirer l'attention. La monolocation devient précieuse une fois que vous êtes une cible plutôt qu'une cible accessoire.
Nœud crypto détenant des fonds significatifs
Dédié. La menace de catégorie 3 est réelle — un compromis co-locataire qui lit votre seed via un canal auxiliaire n'est pas de la science-fiction à cette taille d'actifs. Les forfaits de serveurs dédiés avec chiffrement complet du disque et IPMI désactivé sont le plancher.
Plateforme pour lanceurs d'alerte / hébergement de fuites
Dédié, en Islande ou en Suisse, avec chiffrement complet du disque et dropbear-initramfs. C'est la charge de travail où chaque couche compte. Associez au guide des juridictions pour la couche juridique.
Distribution de contenu en masse (vidéo, hébergement de gros fichiers)
Dédié, mais pour des raisons de performance plus que de confidentialité. Un dédié 1 Gbps illimité est moins cher qu'un VPS qui éclate au même débit.
L'économie, honnêtement
Les prix des VPS en 2026 se sont compressés : 4 Go / 2 vCPU / 80 Go NVMe dans une juridiction offshore revient à environ 9 à 15 $ par mois selon le pays. Le matériel dédié dans les mêmes localisations commence à 60 $ (Atom bas de gamme ou ancien Xeon) et monte à plus de 200 $ pour les EPYC ou Xeon Scalable de dernière génération. Le multiplicateur de 4 à 10 fois est réel, et pour la plupart des charges de travail, il n'est pas justifié par la confidentialité seule — il l'est par les performances.
La répartition honnête : environ 80 % des charges de travail « j'ai besoin d'un hébergement privé » sont mieux servies par un VPS à 10 $ dans le bon pays. Les 20 % restants — garde de crypto à haute valeur, plateformes journalistiques, contenu à grande échelle attirant des adversaires — nécessitent un dédié. Ne sur-dépensez pas, et ne sous-dépensez pas.
Liste de contrôle opérationnelle, quel que soit votre choix
- Confirmez la politique IPMI de l'hébergeur par écrit avant de commander.
- Vérifiez le support du chiffrement complet du disque — pour un VPS, que LUKS est autorisé ; pour un dédié, que dropbear-initramfs est permis dès la première installation.
- Vérifiez les clauses de divulgation d'évasion hyperviseur dans les CGU pour les VPS — un hébergeur sérieux s'engage à notifier les clients dans les 24 heures suivant la confirmation d'une évasion.
- Pour un dédié, demandez si la machine est neuve, légèrement usagée ou reconditionnée — et si vous pouvez demander un effacement avant livraison.
- Lisez le reste de la pile de confidentialité : choix du protocole VPN, confidentialité des paiements, et le cas d'usage hébergement anonyme.