Résumé
- Rock-Hosting SASU est une société d'hébergement française active, fondée en 2014, et son identité juridique actuelle peut être rattachée proprement à AS207911 sans substituer un fournisseur d'accès, un opérateur de centre de données, un ancien titulaire d'ASN ou un réseau client.
- Son offre low-cost combine du matériel mature, des plans VPS basés sur OpenVZ, IP-KVM pour les serveurs dédiés, une surveillance côté fournisseur, des promesses de protection anti-DDoS automatique et une adresse de basculement à 2,49 € par mois qui peut se déplacer entre les machines Rock-Hosting.
- AS207911 émet visiblement deux
/24IPv4 et un/48IPv6, mais ces routes ont des histoires de contrôle et de propriété différentes: une plage IPv4 reste allouée à RapidSeedbox, l'origine de la route ne doit donc pas être confondue avec une propriété de Rock-Hosting. - Les plus grandes questions sans réponse concernent le centre de données exact, l'enveloppe de protection DDoS, la diversité des chemins, le domaine de défaillance du basculement, les niveaux de service, les preuves de sauvegarde et de restauration, les images de système d'exploitation actuelles, les contrôles de sécurité et les conditions de traitement des données.
La promesse commence par un curseur
Imaginez le moment où Rock-Hosting vend vraiment. Une petite entreprise française de logiciels a déplacé son site web d’un serveur virtuel vers une machine dédiée. Le nouveau serveur est prêt, mais l’adresse publique pointe toujours vers l’ancienne instance. Au lieu de réduire les valeurs du temps de vie DNS, d’attendre les caches et d’accepter une période durant laquelle les utilisateurs atteignent deux machines différentes, un administrateur ouvre la console de Rock-Hosting et clique.
Le fournisseur affirme que la même adresse de basculement peut être routée vers n’importe quel serveur VPS ou dédié du client « en quelques secondes », sans modifier le DNS.
C’est une promesse compacte et utile. Une adresse devient une poignée mobile au-dessus des machines. Le client peut remplacer un hôte, changer de classe de produit ou se remettre d’une panne de l’invité sans demander à chaque résolveur sur Internet d’oublier l’ancienne réponse. Lapage de basculementde Rock-Hosting rend cette mobilité suffisamment centrale pour être tarifée séparément à 2,49 € HT par mois par adresse. Sapage d’accueilajoute deux assurances adjacentes: l’infrastructure est protégée par défaut contre les attaques par déni de service distribué, et les serveurs sont situés en France sur ce qu’elle appelle un réseau Iliad centres de données.
Les trois affirmations — filtrer l’attaque, déplacer l’adresse, contrôler la route — s’emboîtent mieux qu’une liste de spécifications de serveur. Elles transforment un petit hébergeur en service de continuité. Un client ne loue pas simplement de vieux cycles CPU. Il demande à un seul opérateur de remarquer un problème de trafic, de maintenir une adresse utilisable, de changer où cette adresse atterrit et de répondre lorsque l’automatisation est insuffisante.
Mais le contrôle a des couches. Un clic de basculement peut modifier une route interne tout en laissant les deux machines dans le même rack, la même salle, le même domaine d’alimentation et le même chemin amont. Un système anti-DDoS peut nettoyer les inondations courantes, limiter le débit des utilisateurs légitimes, ou mettre en trou noir l’adresse attaquée pour sauver le reste.
Un numéro de système autonome permet à un fournisseur d’émettre des routes; il ne fait pas de chaque plage émise la propriété du fournisseur, ne crée pas un second opérateur, et ne prouve pas que le serveur physique se trouve là où un service de géolocalisation IP le dit. Même la console est une dépendance: un client ne peut pas cliquer pendant une panne si le plan de contrôle, le chemin d’authentification ou l’opérateur est indisponible.
Rock-Hosting est donc le plus révélateur lorsqu’il est lu comme une chaîne de transferts contrôlés. L’entreprise contrôle certaines parties directement, en délègue d’autres à des fournisseurs de transit, de centre de données, de logiciels et de paiement, et laisse le client responsable du système d’exploitation et de l’application. Ses documents publics sont suffisamment concrets pour cartographier une grande partie de cette chaîne. Ils ne sont pas assez complets pour permettre à un acheteur sérieux de supposer que « basculement », « anti-DDoS » ou « France » règle la question de la résilience.
La SASU derrière la promesse
Le pont d’identité est solide. Le résultat de recherche ouverte d’entreprises du gouvernement françaisindiqueROCK HOSTING sous le SIREN 800 111 957 comme administrativement active, avec son établissement principal au 58 rue de Monceau à Paris, SIRET 800 111 957 00034 et le code d’activité d’hébergement/traitement de données 63.11Z. Il nomme Yann François Jacques Guern comme président de la société par actions simplifiée. Lesmentions légalesdu fournisseur donnent le même nom légal, les mêmes identifiants, le même code d’activité, le numéro de TVA et l’adresse. Les enregistrements réseau du RIPE connecteront plus tard cette même entreprise parisienne à AS207911.
Pappers, s’appuyant sur les données du registre français, ajoute une chronologie utile. La société a été créée en 2014, a un capital de 1 000 €, a déplacé son siège social de Saint-Raphaël à Paris en novembre 2025 et reste active. Elle déclare un à deux employés pour 2023 et indique que les comptes sont confidentiels. Ces faits soutiennent la description de « petit hébergeur », mais seulement avec des limites. Une tranche d’employés datée n’est pas un tableau de service actuel, et un petit effectif légal peut utiliser des sous-traitants, de l’automatisation, des centres d’opérations en amont et des mains à distance du centre de données. Les preuves ne divulguent pas les revenus 2026, la trésorerie, la concentration de clients ou la couverture d’astreinte.
Rock-Hosting déclare être né en 2014 et servir aujourd’hui plus de 5 000 clients. La première partie correspond aux registres de l’entreprise. La seconde reste une affirmation de l’entreprise: aucune définition ne précise si « clients » signifie comptes actifs payants, toutes les inscriptions depuis le lancement, des personnes, des entreprises ou des services. Les estimations publiques du réseau et les comptes de domaines ne peuvent pas résoudre cette question de manière fiable. Un client peut exploiter des centaines de domaines; un autre peut faire fonctionner un serveur privé sans aucun.
Il existe néanmoins des preuves limitées de tiers d’une utilisation réelle d’hébergement. L’association française Qualisport nomme Rock-Hosting SASU comme hébergeur de son serveur dans sesmentions légales. La page porte encore l’ancienne adresse de Fréjus de Rock-Hosting, elle ne doit donc pas être lue comme la preuve d’un contrat nouvellement signé ou d’un placement actuel de serveur. Cela montre que le nom de l’entreprise n’est pas simplement une étiquette de registre attachée à un ASN vide. Il est apparu à l’extrémité client d’une véritable chaîne d’hébergement.
Cette exactitude compte car plusieurs noms plus célèbres entreront dans l’histoire: Iliad centres de données, Opcore, OVH, Eurofiber et RapidSeedbox. Aucun n’est l’entreprise désignée. Rock-Hosting SASU est le sujet contractuel et analytique. La capacité d’un amont n’est pas la capacité de Rock-Hosting sauf si la commande le dit; la certification d’un opérateur de centre de données n’est pas une certification de Rock-Hosting; le bloc d’adresses d’un client n’est pas un actif de Rock-Hosting. Préserver ces limites est la différence entre évaluer un petit hébergeur et le remplacer silencieusement par ses fournisseurs.
Huit offres, des pièces matures et deux chiffres contradictoires
Le catalogue public est exceptionnellement facile à comprendre. Rock-Hosting affiche quatre plans VPS et quatre plans serveur dédié, tous tarifés mensuellement hors taxes. La gamme VPS commence à 3,99 € pour un vCore, 2 Go de RAM et 20 Go de stockage et atteint 12,99 € pour cinq vCores, 16 Go et 200 Go. Lecatalogue VPSdécrit un stockage SAS sous RAID 5, une connexion gigabit avec une bande passante inférieure selon le plan, un trafic illimité, une adresse IPv4 et des adresses de basculement optionnelles. L’anti-DDoS, la réinstallation, le reverse DNS et la surveillance sont autour du serveur plutôt que d’apparaître comme des modules d’entreprise premium.
Lapage de détail VPS Largefournit le fait architectural que la grille de comparaison ne souligne pas: le service utilise OpenVZ sur du matériel Dell avec des processeurs Xeon E5-2670. OpenVZ est une virtualisation au niveau du système d’exploitation. Les clients reçoivent des environnements isolés qui partagent un noyau hôte plutôt que des noyaux matériellement virtualisés indépendants. Cela peut être efficace et économique, surtout pour des charges de travail Linux ordinaires, mais cela change les questions de diligence. Les fonctionnalités du noyau, le patch du système hôte et certains contrôles des ressources restent des décisions du fournisseur; un client ne peut pas installer un noyau arbitraire ni supposer la frontière d’isolation d’une machine virtuelle KVM.
Le matériel explique aussi une partie du prix. Intel identifie leXeon E5-2670comme un processeur Sandy Bridge EP lancé au premier trimestre 2012, ensuite abandonné, avec des mises à jour de maintenance se terminant en 2020. Un équipement mature n’est pas automatiquement peu fiable. Un opérateur bien géré peut remplacer les disques, tester la mémoire, stocker des pièces de rechange et extraire un travail utile de serveurs amortis. L’avantage économique est que la plupart des coûts d’acquisition ont déjà été consommés. Le coût opérationnel est que la performance par watt, la disponibilité des pièces de rechange, l’historique du firmware et les taux de défaillance des composants méritent des preuves plutôt que des suppositions.
La gamme dédiée rend ce compromis plus visible. Lecatalogue dédiécommence à 14,99 € pour un Atom C2750 avec 8 Go de DDR3 et un disque SATA de 1 To. Il monte via des systèmes plus anciens Xeon L3426 et E5620 jusqu’à un Xeon E3-1230 v3 à 45,99 € avec 32 Go et deux disques de 2 To. Lapage de détail Dedicated Smallpromet une allocation de 200 Mbit/s sur une connexion 1 Gbit/s, une adresse IPv4, jusqu’à deux adresses de basculement, une réinstallation à distance, un environnement de secours et IP-KVM. Cette console hors bande est précieuse: un client peut accéder à l’écran et au clavier après qu’une erreur de configuration du pare-feu ou du réseau a coupé SSH.
Le plan dédié le plus petit n’indique qu’un seul disque, donc la mention générique RAID ailleurs sur le site ne doit pas lui être appliquée. Les offres moyennes et supérieures listent deux disques et un RAID matériel 0 ou 1. Le RAID 1 peut préserver le service après une panne de disque; le RAID 0 augmente le risque; aucun n’est une sauvegarde. Les pages ne divulguent pas l’âge du disque, les heures de fonctionnement, la politique d’erreur média, l’inventaire des pièces de rechange, la surveillance de la reconstruction, le temps de remplacement ou si le client peut inspecter les données SMART.
Deux contradictions sont plus immédiatement testables. La page de comparaison VPS annonce 200 Mbit/s pour Large et 250 Mbit/s pour XL. Les pages individuelles affichaient respectivement 100 et 200 Mbit/s le 17 juillet 2026. Un acheteur devrait indiquer le débit garanti, le plafond de burst, la politique de trafic et le traitement des paquets par seconde dans la commande plutôt que de sélectionner la page la plus attrayante. « Bande passante garantie » et « burst jusqu’à 1 Gbit/s » nécessitent également un point d’observation: au port du serveur, à la périphérie du fournisseur, ou vers un réseau de test externe nommé.
Le catalogue d’images soulève une autre question de fraîcheur. Laliste de distributions VPSpublique de Rock-Hosting annonce encore Debian 8 à 10, Ubuntu 16.04 à 19.10 et CentOS 6 à 8. Latableau des versionsde Debian identifie Debian 13 comme la version stable actuelle en 2026 et montre les versions plus anciennes au-delà du support ordinaire du projet. La bonne conclusion n’est pas que Rock-Hosting déploie nécessairement une image non patchée aujourd’hui; la page peut être obsolète. Le bon test est de demander le catalogue de modèles réel, les dates de construction, les sommes de contrôle, le processus de mise à jour et le chemin de migration supporté avant le provisionnement.
Le tarif mensuel achète une frontière, pas une administration
Lesconditions généralesde Rock-Hosting expliquent où s’arrête le prix bas affiché. Les services sont prépayés en euros, normalement par carte via Stripe ou par PayPal. La durée minimale d’abonnement est d’un mois, et l’annulation prend effet à la fin de la période déjà payée. Cela rend l’engagement commercial court. Les mêmes conditions indiquent que l’offre est ouverte à une personne ou une entité légale avec une adresse fiscale française, réduisant le marché apparent même si le profil réseau public décrit une portée européenne.
Le client reçoit une infrastructure et des fonctions de contrôle, pas une application entièrement gérée. Rock-Hosting indique que l’assistance technique fournit une aide ponctuelle et gère les pannes matérielles. Sauf indication contraire d’un niveau de service optionnel spécifique, elle n’administre pas les logiciels, sites web ou services après la livraison. Le client doit fournir des informations d’identité exactes, protéger les identifiants, installer les mises à jour de sécurité, respecter les règles d’utilisation acceptable et surveiller les messages dans la console du compte.
Le fournisseur se réserve le droit d’interrompre un service immédiatement pour protéger ses systèmes lorsqu’une machine est compromise, utilisée pour du phishing, laissée vulnérable ou impliquée dans du relais interdit et des abus.
La sauvegarde est le transfert économique le plus clair. Les conditions disent que Rock-Hosting n’effectue aucune sauvegarde des données client sauf si une option indique le contraire; des services de sauvegarde optionnels peuvent être commandés via la console. Un VPS à 3,99 € n’est donc pas un plan de continuité à 3,99 €. Le client doit ajouter une capacité de sauvegarde, un autre emplacement, la rétention, le chiffrement, la surveillance et le travail de restauration — ou accepter la possibilité qu’une panne de stockage ou humaine détruise le service.
Le contrat place spécifiquement les mesures de sauvegarde élémentaires sur le client, même en cas de perte, dommage ou erreur humaine.
La même frontière s’applique à la disponibilité. Rock-Hosting déclare qu’elle s’efforcera de fournir un accès 24 heures sur 24, sous réserve de maintenance planifiée et de difficultés hors de sa responsabilité. Les conditions publiques définissent l’indisponibilité totale d’Internet autour d’éléments réseau indispensables mais ne publient pas de pourcentage, de période de mesure, de sonde, de tableau de crédit de service ou d’engagement de rétablissement. « 24/7 » dans ce document est un effort et un objectif d’accès, pas un niveau de service numérique.
Les outils opérationnels inclus restent significatifs. Le redémarrage, la réinstallation et le sauvetage à distance peuvent raccourcir le rétablissement. L’IP-KVM peut récupérer un serveur dédié dont le système d’exploitation est vivant mais injoignable. Lapage de surveillancedu fournisseur indique que les clients peuvent sélectionner ping, HTTP et d’autres vérifications et configurer des destinataires d’emails. Pourtant, elle ne donne pas d’emplacements de sonde, fréquence, délai d’attente, rétention ou chemin d’escalade. La surveillance côté fournisseur est utile pour les alertes; ce n’est pas un registre de disponibilité indépendant et ne peut pas dire si les utilisateurs réels peuvent effectuer une transaction.
Cette division du travail est cohérente pour un hébergeur économique. L’automatisation maintient le travail hors du provisionnement ordinaire, et le client fournit les compétences d’administration système. L’erreur d’achat serait d’acheter le mot amical « support » tout en budgétisant comme s’il incluait le patching des invités, la récupération de base de données, le diagnostic d’application et le commandement d’incident. Le test utile est d’écrire dix pannes probables et d’attribuer chacune à Rock-Hosting, au centre de données, à l’amont ou au client avant de payer.
Le basculement déplace une adresse, pas une entreprise
L’adresse de basculement de Rock-Hosting résout élégamment un problème restreint: conserver une adresse IPv4 publique tout en changeant la machine derrière elle. Un client passant d’une instance OpenVZ à un serveur dédié peut copier les données, préparer la destination, arrêter les écritures, effectuer une synchronisation finale et rediriger l’adresse. Aucun changement DNS public n’est requis. Le client peut également conserver le contrôle du reverse DNS via la console.
Pour un serveur de messagerie, un service autorisé ou une application ancienne dont l’adresse est intégrée dans les systèmes partenaires, éviter un changement d’adresse peut être bien plus précieux que les 2,49 € mensuels.
Mais la page décrit une action déclenchée par l’utilisateur, pas une haute disponibilité automatique. Elle ne dit pas qu’un vérificateur de santé décide quand bouger, que la cible a déjà l’état actuel de l’application, ou que les sessions survivent. « Quelques secondes » semble décrire le routage du fournisseur, pas le temps pour les caches voisins, les pare-feux, les applications avec état et les clients de converger. Une base de données qui n’a pas été répliquée est encore obsolète après un déplacement d’adresse parfait. Un service web dont la clé privée TLS est absente de la cible échoue toujours.
L’adresse est un pointeur, pas un plan de reprise.
Le domaine de défaillance est tout aussi important. Rock-Hosting dit qu’une adresse peut être envoyée à n’importe quel serveur VPS ou dédié du client, mais elle ne dit pas que ces serveurs peuvent occuper différents centres de données, alimentations électriques, routeurs ou zones métropolitaines. Si les deux machines partagent une même salle de données et que la salle perd de l’alimentation, le clic n’a nulle part où aller. Si elles partagent le même circuit d’accès et qu’il tombe en panne, déplacer la destination derrière ce circuit ne change rien.
Si la console client dépend du réseau affecté, un basculement manuel peut ne pas être disponible au moment où il est nécessaire.
Le basculement crée également une commodité spécifique au fournisseur. L’adresse reste utile tant que la destination reste chez Rock-Hosting. La page publique ne promet pas qu’un client puisse emporter l’adresse chez un autre hébergeur, l’annoncer depuis son propre ASN, utiliser une API pour automatiser les changements ou exporter la configuration. C’est un véritable coût de changement même lorsque la charge de travail de calcul est portable. Un contrat mensuel réduit le verrouillage juridique, tandis qu’une adresse et une console familières augmentent le verrouillage opérationnel.
Le bon pilote est donc délibérément banal. Mettez un service non critique sur un VPS et une seconde copie sur un serveur dédié. Générez des écritures, déplacez l’adresse pendant une fenêtre contrôlée, mesurez la perte de paquets et la reprise de l’application depuis plusieurs réseaux externes, puis déplacez-la à nouveau. Répétez l’opération tandis que l’invité principal est injoignable plutôt que proprement arrêté. Enregistrez qui clique, quelle preuve autorise l’action, si la cible peut être préconfigurée, comment le reverse DNS se comporte et ce qui arrive au trafic déjà en vol.
Une démonstration réussie sur brochure a moins de valeur qu’un exercice raté qui révèle le runbook manquant.
AS207911 a trois histoires de propriété
Le système autonome de Rock-Hosting est réel, actuel et légalement lié à l’entreprise désignée. L’objet aut-num de RIPEnommeAS207911commeROCK-HOSTING, le relie àORG-RA1229-RIPEet au mainteneur de Rock-Hosting, et enregistre sa création le 30 juillet 2025. L’objet organisation correspondantnommeRock-Hosting SASU et donne la même adresse parisienne que les registres français. C’est le pont d’identité décisif.
Cela évite également une erreur historique tentante. L’entreprise Rock-Hosting date de 2014, mais cet objet aut-num RIPE actuel date de 2025. L’historique de routage long de RIPEstatcontientdes routes sous le même numéro des années plus tôt, et une récupération directe de lapage AS207911 d’IPinforenvoyait encore l’ancienne identitéLINKTEL-NWdans un instantané même si un index frais décrivait Rock-Hosting. Les numéros de système autonome peuvent être rendus et réassignés. Les anciennes routes attachées au numéro ne sont pas une preuve que Rock-Hosting les a exploitées, avait un ASN en 2019 ou a hérité du réseau de l’ancien titulaire.
L’observation actuelle est beaucoup plus propre. La vue des préfixes annoncés de RIPEstatmontraittrois routes le 17 juillet 2026:82.25.135.0/24,193.27.21.0/24et2001:678:10d8::/48.bgp.toolsetIP2Locationaffichaient indépendamment les deux mêmes/24IPv4 et un/48IPv6. Les chiffres plus grands de PeeringDB — dix préfixes IPv4 et cinq préfixes IPv6 — sont des champs de politique ou de limite de préfixes, pas une preuve que quinze préfixes sont émis.
Les trois routes actuelles ne signifient pas la même chose.
L’enregistrement RIPE pour82.25.135.0/24décritun espaceASSIGNED PAassocié à un objet organisation Rock-Hosting et une route émise par AS207911. L’espace agrégable par le fournisseur est normalement lié à une chaîne d’allocation; l’enregistrement soutient une assignation associée à Rock et une utilisation actuelle, pas une affirmation sans réserve que la SASU possède un/24librement portable.
Les trois routes étaient indiquées comme RPKI valides par les sources BGP actuelles. Cela signifie que l’origine observée était autorisée selon les autorisations d’origine de route correspondantes. Cela n’authentifie pas le chemin entier, n’arrête pas une fuite par une origine autorisée, ne chiffre pas le trafic, ne prouve pas le titre de l’adresse ni ne localise un serveur. RPKI est un contrôle précieux de la sécurité du routage, mais un seul contrôle.
Ce petit ensemble révèle pourquoi le contrôle d’ASN peut être commercialement utile. Rock-Hosting peut émettre son propre espace IPv6 PI, exploiter une plage IPv4 assignée et porter la plage d’un tiers derrière une politique de routage. Cela peut soutenir le basculement, l’adressage client et la négociation en amont. La même preuve fixe également une limite stricte: l’autorité d’origine est un fait de routage, pas un titre pour chaque adresse dans l’annonce.
Un amont visible définit l’enveloppe anti-DDoS
À l’instantané de recherche, l’observation de voisin de RIPEstatmontraitun réseau adjacent: AS35625, Eurofiber France. bgp.tools montrait le même amont. Ce n’est pas une preuve absolue de single-homing. Une sauvegarde privée, un chemin à faible visibilité, un circuit temporairement inactif ou un trou de collecteur peuvent être invisibles. Cela suffit à faire de la concentration une question d’achat: si chaque chemin visible publiquement passe par Eurofiber, que se passe-t-il lorsque cette remise, ce cross-connect de centre de données ou ce compte commercial tombe en panne?
Les enregistrements administratifs ne remplacent pas une réponse en direct. Le texte aut-num RIPE de Rock-Hosting liste une politique d’import et d’export avec AS2027 et AS57199, alors que les collecteurs actuels voient AS35625. Les entrées peuvent être obsolètes, prospectives ou incomplètes. bgp.tools détecte également une session de 10 Gbit/s à GNM-IX, tandis que lapage PeeringDBde Rock-Hosting ne liste aucune session d’échange public ni de centre de données. Un port d’échange distant, un arrangement de revendeur ou un artefact de détection est possible. Aucun ne doit être transformé en second chemin physique sans un schéma de circuit.
Le matériel technique public d’Eurofiber aide à délimiter ce qui peut se trouver sous la promesse anti-DDoS de Rock-Hosting. Sapolitique AS35625expose des communautés de contrôle de route pour le transit, les échanges et les interconnexions privées. Elle documente également une communauté de blackhole client,35625:0, qui permet d’écarter le trafic vers une destination plus spécifique et propage un signal de rejet correspondant vers les amonts de support. Le blackholing est précieux lors d’une attaque sévère car sacrifier une destination peut protéger les liens et les voisins. Cela ne maintient pas le service attaqué en ligne; cela rend délibérément cette destination injoignable.
Eurofiber commercialise séparément unservice Internet Dédiéavec anti-DDoS standard, accès symétrique jusqu’à 10 Gbit/s, options d’adresses détenues par le client, choix de redondance et un centre d’opérations réseau 24/7. Cela rend plausible la revendication de protection automatique de Rock-Hosting comme une dépendance produit. Cela ne révèle pas quel produit Eurofiber Rock achète, son débit de circuit, son seuil de détection, la capacité de nettoyage incluse, l’emplacement de débourbage, les classes d’attaque, le traitement du dépassement ou si le blackholing est un dernier recours.
Ces dimensions manquantes déterminent le résultat pour le client. Une inondation volumétrique de 100 Gbit/s et une attaque applicative à faible débit sont des problèmes différents. Une réflexion UDP peut être reconnue à la périphérie du réseau; une requête HTTP qui semble valide peut nécessiter un contexte applicatif. Le débourbage peut préserver le bon trafic mais ajouter de la latence ou des faux positifs. Les limites de débit peuvent maintenir un hôte en vie tout en excluant les bursts légitimes. La protection IPv4 peut ne pas impliquer une protection IPv6 identique.
« Automatique » peut signifier un filtrage toujours actif, une diversion déclenchée par télémétrie, une alarme de seuil suivie par un opérateur, ou une action du fournisseur après le début de la congestion.
Un acheteur devrait demander l’enveloppe de protection sous forme d’un calendrier technique: protocoles et adresses couverts, conception toujours active ou à la demande, intervalle de détection, mécanisme de diversion, capacité de nettoyage, durée maximale d’attaque, limite de débit de paquets, parité IPv6, contrôles client, escalade de faux positifs, politique de blackhole d’urgence, rapports et recours de service. Il devrait ensuite mener un exercice sur table avec Rock-Hosting et obtenir une méthode de test autorisée.
Lancer une inondation non sollicitée serait imprudent et probablement interdit; demander au fournisseur de démontrer un test autorisé ou de fournir un rapport récent anonymisé est une diligence ordinaire.
Le contrôle de l’ASN renforce la position de Rock-Hosting car l’entreprise peut façonner les annonces et travailler directement avec un amont. Cela ne fait pas disparaître l’amont. Le produit anti-DDoS n’est aussi utile que le chemin propre de retour au rack, et l’adresse de basculement n’est aussi utile que le chemin survivant vers sa nouvelle destination.
Le centre de données est encore un nom sans réponse
La déclaration publique de Rock-Hosting est précise au niveau du pays et vague en dessous: les serveurs sont en France et utilisent un réseau « proposé par Iliad centres de données ». C’est une preuve de ce que l’entreprise affirme, pas suffisante pour identifier un site. Aucune adresse, code de centre, salle, conception électrique, arrangement de mains à distance, numéro de certification ou contrat de centre de données côté client n’apparaît sur les pages examinées.
Le nom lui-même a une histoire. La chronologie de l’opérateur d’Opcoreindiquequ’Iliad centres de données a été créé comme une activité de colocation en 2009, combiné dans la marque Scaleway en 2020 et séparé sous le nom d’Opcore en 2023. La formulation de Rock-Hosting est donc compréhensible comme une étiquette de centre de données héritée ou familière. Cela ne dit toujours pas à un acheteur de 2026 si les machines occupent un site Opcore, quel site, sous quelle contrepartie ou sous quel périmètre d’assurance actuel.
Le routage actuel ne comble pas le fossé. Eurofiber peut fournir du transit dans de nombreux centres de données français. La liste vide de centres de données de Rock-Hosting sur PeeringDB prouve seulement qu’aucun centre de données n’y est divulgué. Un résultat de géolocalisation IP peut identifier un pays ou un métro probable et être toujours erroné au niveau du bâtiment. Un traceroute peut révéler une interface amont tout en cachant le cross-connect, le circuit de transport et le rack.
La plage tierce RapidSeedbox porte une étiquette de pays allemand dans son enregistrement de registre, mais ce champ n’est pas une preuve que le service derrière chaque adresse est physiquement en Allemagne.
Même la présence web de Rock-Hosting illustre le danger de fusionner les couches. Lors de l’observation du 17 juillet, le site web public et le domaine de la console résolvaient une adresse émise par OVH, tandis que les trois routes du réseau de service étaient émises par AS207911. Il n’y a rien d’intrinsèquement mauvais à placer la vitrine loin du réseau client-serveur; la séparation peut améliorer la capacité de survie. Cela signifie que « le site web est en ligne », « la console est en ligne », « l’ASN Rock est joignable » et « le serveur client est en ligne » sont quatre mesures différentes.
La demande concernant le centre de données doit être concrète. Nommez le bâtiment et l’opérateur contractant. Identifiez quels plans y sont situés. Fournissez les conceptions pertinentes d’alimentation, de refroidissement, d’incendie, d’accès physique et de réseau; le titulaire du certificat, sa portée et sa validité; les heures de main à distance et l’autorisation; les processus de pièces de rechange et de destruction de disques; et les frontières entre Rock-Hosting et le centre de données. Plus important encore, dites si deux serveurs utilisés pour le basculement peuvent occuper des domaines de défaillance électrique et réseau indépendants.
Sans cette dernière réponse, la fonction de mobilité est un outil de migration d’hôte, pas une résilience de site.
La localisation française peut encore compter. Elle donne au client français une juridiction contractuelle familière, des questions prévisibles sur les données physiques et une latence potentiellement faible. Mais une adresse de siège social à Paris ne localise pas les données client, et le site français d’un opérateur de centre de données ne prouve pas en soi que les sauvegardes, les données de surveillance, l’accès au support ou les données de paiement restent dans le même pays. La localité est une chaîne, pas un drapeau.
Le prix bas est une répartition du travail
Les prix d’entrée de Rock-Hosting sont de véritables offres publiques, mais leur signification économique vient du travail laissé en dehors. Un VPS à 3,99 € inclut un petit environnement OpenVZ, une adresse, des contrôles de console de base et une revendication anti-DDoS. Il n’inclut pas par défaut la sauvegarde des données client, l’administration des invités, un recours de disponibilité publié, un noyau dédié, une garantie d’image moderne ou une reprise multi-site divulguée.
Une adresse de basculement supplémentaire augmente le prix mensuel de ce plus petit VPS à 6,48 € hors taxes — environ 62 % d’augmentation — avant la sauvegarde ou l’administration.
L’économie des dédiés suit le même schéma. La machine d’entrée à 14,99 € utilise un processeur mature basse consommation, de la DDR3 et un disque SATA. Rock-Hosting peut le tarifer bas parce que le coût d’acquisition est ancien et que l’automatisation réduit la manipulation. Le client accepte des performances absolues inférieures et possède davantage du processus de reprise. IP-KVM, le sauvetage et la réinstallation sont les outils qui rendent ce marché acceptable pour un acheteur techniquement compétent.
Le plan peut être rationnel pour un service de loisir, un environnement de test, un site web peu utilisé, une petite communauté ou un nœud secondaire dont le propriétaire valorise plus l’accès root qu’un niveau de service formel. Il devient dangereux lorsqu’une équipe d’achat voit « dédié », « RAID », « anti-DDoS » et « surveillance » et suppose un service de continuité d’activité géré. Un seul disque est dédié mais pas redondant. Le RAID peut survivre à certaines pannes de disque mais pas à une suppression. L’anti-DDoS peut protéger la joignabilité mais pas une application vulnérable.
La surveillance peut envoyer un email mais ne peut pas restaurer la base de données.
Les concurrents à grande échelle serrent l’argument des spécifications brutes. Le 17 juillet, lapage VPS Franced’OVHcloud annonçait un plan d’entrée à 3,81 € HT avec 2 vCores, 4 Go, 40 Go NVMe, sauvegarde automatisée d’un jour et 500 Mbit/s. Lecatalogue dédié Francede Kimsufi plaçait du bare metal économique près de la gamme d’entrée de Rock-Hosting tout en nommant des centres de données français et incluant anti-DDoS. Ce sont des instantanés volatils, pas des recommandations, et le support, le stock, la virtualisation et les conditions diffèrent. Ils montrent que Rock-Hosting ne peut pas compter sur « serveur le moins cher » comme un fossé durable.
Sa différenciation plausible est plutôt la coordination. Un petit fournisseur peut connaître la topologie d’un client, permettre une plage routée inhabituelle, déplacer une adresse entre classes de produits et fournir une continuité de contexte humain. L’ASN actuel lui donne un contrôle réseau plus direct qu’un simple revendeur. Cette valeur est difficile à capturer dans un tableau de CPU, et le langage de support public ne le prouve pas encore avec des distributions de réponse, des escalades nommées ou des preuves de cas.
Le coût total doit donc être calculé à partir de la charge de travail en arrière. Ajoutez le stockage de sauvegarde en dehors du domaine de défaillance, les tests de restauration, les adresses de basculement, les licences, la surveillance depuis des emplacements indépendants, le temps d’administration système, la réponse après les heures, le travail de migration et le coût attendu d’un matériel plus lent. Ensuite, tarifez la même conception ailleurs. Rock-Hosting peut rester attractif. Si c’est le cas, la raison sera que ses contrôles étroits correspondent au runbook du client — pas que 3,99 € est la facture totale.
La sécurité commence là où le bouclier s’arrête
Le filtrage réseau protège la disponibilité; il ne patch pas un invité, ne sécurise pas un mot de passe, ne sépare pas les rôles administrateur ou ne détecte pas le vol de données. Le contrat de Rock-Hosting rend la frontière de l’invité explicite. Le client est responsable des mises à jour de sécurité, des logiciels et du contenu. Le fournisseur peut suspendre un service compromis, vulnérable, de phishing ou abusif pour protéger le système plus large.
C’est un pouvoir d’hébergement partagé sensé, mais cela crée un autre mécanisme de continuité: un client mal entretenu peut être mis hors ligne par politique même si le rack, la route et la plateforme DDoS fonctionnent parfaitement.
La liste d’images publiques obsolète fait du provisionnement le premier test de sécurité. Demandez quelles images sont actuellement proposées, quand chacune a été construite, si l’installation tire les paquets actuels, comment les signatures sont vérifiées et quand un modèle est retiré. Sur OpenVZ, demandez la famille du noyau hôte, la politique de mise à jour, les contrôles d’isolation des conteneurs et les plafonds de ressources. Sur les serveurs dédiés, demandez l’historique du firmware, le nettoyage des disques, l’isolation de la gestion de la carte mère et comment les identifiants IP-KVM sont émis, rotés et journalisés.
La console mérite la même attention que le serveur. Elle peut redémarrer, réinstaller, modifier le reverse DNS et rediriger les adresses. Ce sont des privilèges à fort impact. La page de connexion publique établit qu’une console existe, mais le matériel examiné ne documente pas l’authentification multifacteur imposée, le contrôle d’accès basé sur les rôles, des rôles séparés de facturation et techniques, l’authentification unique, une API, l’export d’audit immuable, les contrôles de session ou l’approbation d’accès privilégié du personnel. L’absence sur les pages publiques n’est pas une preuve qu’une fonctionnalité est absente.
C’est une raison de demander une démonstration.
Les documents de confidentialité et de conformité ajoutent un problème de cohérence visible. La page légale principale montre maintenant le siège parisien de 2025, tandis que lacharte de confidentialitédirige encore les demandes postales de confidentialité vers une adresse d’avant 2019 à Juan-les-Pins. Le texte de confidentialité dit que Rock-Hosting utilise Google Analytics et des cookies de compte, tandis que la bannière du site dit qu’il n’utilise aucun cookie. La charte décrit les données de compte, d’identité, de connexion, de navigation et d’achat collectées et dit que certaines peuvent aller à des sous-traitants et partenaires, mais elle ne publie pas de liste actuelle de sous-traitants, de calendrier de conservation ou de carte complète de localisation des données.
Ces divergences ne prouvent pas une pratique illicite. Les pages peuvent être en retard sur les systèmes, et une configuration d’analyse particulière peut avoir changé. Elles montrent qu’un acheteur ne peut pas utiliser la page de confidentialité publique comme un document de contrôle actuel. L’autorité de protection des données française dit dans songuide de sécurité des sous-traitantsqu’un responsable de traitement doit avoir un contrat Article 28, comprendre les mesures techniques et organisationnelles, considérer la chaîne complète de sous-traitants, vérifier la localisation géographique et conserver des moyens d’audit sur l’accès, la journalisation, l’authentification et la sécurité.
Un client traitant des données personnelles devrait donc obtenir un contrat de traitement des données actuel, un inventaire des sous-traitants, les emplacements d’accès au support, les délais de notification de violation, les conditions de suppression/retour, les limites de chiffrement, les journaux d’accès et les droits d’audit. Un acheteur de données de santé devrait demander la certification exacte requise pour son utilisation plutôt que de supposer que « hébergé en France » suffit. Un certificat appartenant à un centre de données ou à un amont devrait être cartographié sur le périmètre de service avant d’être cité.
Il n’y a pas de contradiction dans le fait qu’un hébergeur économique refuse de publier une bibliothèque d’assurance entreprise. Il y a un décalage d’achat si un client réglementé traite le silence comme une assurance. La bonne affirmation est modeste: Rock-Hosting propose une infrastructure française sous une entreprise française et expose certains contrôles techniques utiles. La conformité dépend de la commande, des données, de la configuration client et des preuves échangées en dehors de la vitrine.
Incidents, support et le coût du silence
Aucune fuite publique crédible de Rock-Hosting ou incident majeur de service n’est apparu dans l’ensemble de preuves figé. Ce n’est pas une preuve d’un historique sans incident. La page d’accueil renvoie à des noms d’hôte de documentation et de statut séparés, mais les deux ont échoué à la résolution DNS lors de l’observation du 17 juillet. Le site web lui-même est resté joignable. La conclusion est étroite: un client potentiel ne pouvait pas inspecter un historique de statut public via le lien annoncé à ce moment-là.
Cet historique manquant compte car un pourcentage de disponibilité est moins utile qu’un récit d’un opérateur sur une panne réelle. Une bonne archive montre les heures de début et de détection, les produits affectés, les symptômes client, l’atténuation, la restauration, la cause racine et les travaux préventifs. Elle révèle également si les avis de maintenance et les incidents de service partagent la même horloge. Rock-Hosting ne publie rien de cela dans les pages accessibles examinées, et ses conditions ne fournissent aucune formule publique de crédit de service.
L’amont visible offre un exemple de la raison pour laquelle les incidents de dépendance nécessitent une attribution attentive. Eurofiber a divulgué un compromis en novembre 2025 de son environnement de ticketing et de portail cloud, publiant plus tard deslegons et actions correctives. Il a indiqué qu’une injection SQL aveugle a conduit à une exfiltration de données tandis que les services télécoms et cloud restaient opérationnels. Rien dans les preuves ne montre que les données ou le service de Rock-Hosting ont été affectés. Ce n’est pas un incident Rock-Hosting. C’est un scénario de diligence utile: si un système de contrôle amont ou une plateforme de support est compromis, quelles informations client sont partagées, qui notifie qui, et les changements de routage peuvent-ils continuer via un canal séparé?
Le support est là où un petit hébergeur pourrait répondre à ce scénario mieux qu’un géant. Rock-Hosting promet un service amical et réactif sept jours sur sept, et ses conditions confinent l’aide ordinaire principalement à une assistance ponctuelle et aux problèmes matériels. Les pages publiques ne précisent pas les heures par canal, la couverture en personnel vs d’astreinte, les niveaux de gravité, les objectifs de réponse, les objectifs de restauration ou l’autorité d’escalade. « 7/7 » n’est pas la même chose qu’un ingénieur garanti à 03h00.
L’achat devrait tester le support avant la production. Ouvrez un ticket technique normal, puis menez un exercice convenu en dehors des heures. Posez une question qui traverse les frontières de l’invité, de l’hôte et du réseau et observez si la propriété est claire. Vérifiez le contrôle d’identité d’urgence pour une demande de basculement, car un changement rapide de route non authentifié est une faille de sécurité. Demandez qui peut coordonner Eurofiber et les mains à distance du centre de données, et si le client peut joindre cette personne lorsque la console est indisponible.
Le contexte humain n’a de valeur que lorsque l’escalade survit à la panne.
Le coût de changement réside dans les adresses et les connaissances
La courte période d’abonnement de Rock-Hosting rend l’annulation facile sur le papier. Une charge de travail Linux normale peut être copiée vers un autre VPS ou une machine bare-metal, surtout lorsqu’elle utilise des fichiers, bases de données et configurations standard. Le plus grand verrouillage n’est pas une API de base de données propriétaire. C’est la connaissance opérationnelle accumulée autour d’une console, d’une adresse, d’une route, d’une procédure de reprise et d’un contact de support particuliers.
L’adresse de basculement augmente la fiabilité au sein du fournisseur tout en augmentant la valeur de rester. Les partenaires peuvent l’inscrire sur une liste blanche; la réputation du courrier peut y être attachée; le reverse DNS peut devenir opérationnellement important. Le service public ne promet pas de portabilité externe. Un client utilisant l’espace PA de Rock-Hosting devrait supposer qu’il doit renuméroter à la sortie sauf si le contrat prouve le contraire. Le bloc IPv6 PI appartient au niveau du fournisseur, pas automatiquement à chaque locataire.
Un client apportant sa propre plage routée peut avoir un chemin de sortie différent, mais le préfixe RapidSeedbox montre seulement qu’AS207911 émet un espace détenu par un tiers, pas les conditions dans lesquelles un nouveau client peut le faire.
La sortie des données n’est pas non plus documentée. Les pages décrivent la réinstallation, pas une API d’export complète, un format d’image disque, un export d’instantané, une allocation de transfert pendant le départ ou un certificat de suppression sécurisée. Les conteneurs OpenVZ peuvent être portables au niveau de l’application et du système de fichiers, mais des hypothèses de noyau et d’hôte peuvent émerger pendant la migration. Les clients de serveurs dédiés contrôlent leurs fichiers mais ont toujours besoin d’une destination, d’assez de temps de sortie et d’un plan pour un disque source défaillant.
Le test de sortie le plus efficace se produit à l’entrée. Construisez le premier serveur à partir d’une automatisation ou d’un script documenté. Gardez les zones DNS, les secrets et la surveillance en dehors du fournisseur. Stockez les sauvegardes chiffrées dans un autre domaine de défaillance. Exportez une charge de travail et restaurez-la ailleurs avant qu’elle ne devienne importante. Enregistrez les étapes nécessaires pour remplacer l’adresse de basculement par une nouvelle adresse. Si le départ est testé, le contrat mensuel devient véritablement flexible; sinon, l’habitude opérationnelle peut survivre à tout engagement formel.
Achetez la promesse comme une séquence d’exercices
Rock-Hosting est trop petit et les preuves publiques trop incomplètes pour un achat par logo. C’est aussi assez concret pour un pilote discipliné. Les tests suivants transforment ses trois contrôles principaux — anti-DDoS, basculement et fonctionnement ASN — en résultats observables.
- Liez la contrepartie légale.Inscrivez Rock-Hosting SASU, SIREN 800 111 957 et l’adresse parisienne actuelle dans la commande. Conciliez la facture, le bénéficiaire du paiement, les conditions, le contact de confidentialité et le contact d’abus. Demandez pourquoi les conditions standard contiennent encore des formulations géographiques anciennes et demandez la version en vigueur qui régit la commande.
- Gelez le plan exact.Fixez les conditions de CPU, RAM, stockage, virtualisation, bande passante, trafic, nombre d’adresses, taxes, installation, livraison et renouvellement. Résolvez par écrit les conflits de bande passante des VPS Large et XL. Confirmez si le CPU est dédié, comment les ressources sont limitées et ce que « garanti » signifie.
- Inspectez une instance livrée.Sur VPS, enregistrez la visibilité du noyau, les indicateurs CPU, les indicateurs de vol ou de limitation, la latence du disque et le débit réseau soutenu à différents moments. Sur bare metal, inspectez la santé du disque, le firmware, la mémoire, l’isolation IP-KVM et le support de réinstallation. Les benchmarks doivent modéliser la charge de travail du client plutôt que de chercher un score de performance.
- Validez la chaîne d’images.Obtenez la liste des modèles supportés actuels et les dates de construction. Provisionnez un système d’exploitation actuel, mettez-le à jour complètement, redémarrez, scannez-le et confirmez qu’une réinstallation produit la même base documentée. Demandez comment un modèle vulnérable est retiré et si les clients reçoivent des avis de cycle de vie.
- Cartographiez chaque domaine de défaillance.Obtenez le nom du centre de données, la salle ou la frontière de service, le chemin d’alimentation, le circuit d’accès, la paire de routeurs, les amonts, le processus de mains à distance et le périmètre de certification. Placez la cible principale et de basculement dans des domaines démontrablement indépendants là où la charge de travail l’exige. « Deux serveurs » ne suffit pas.
- Exécutez le déplacement d’adresse.Répliquez un service non critique entre des cibles VPS et dédiées. Déplacez l’adresse de basculement dans les deux sens, mesurez la perte de paquets et la reprise complète de l’application depuis des sondes externes, et testez le retour. Répétez lorsque la source tombe en panne de manière non propre. Déterminez si une automatisation ou une API existe et si le plan de contrôle reste disponible pendant les problèmes réseau.
- Testez l’état, pas seulement la joignabilité.Soumettez des transactions avant et après le déplacement. Vérifiez la cohérence de la base de données, les files d’attente, les clés TLS, les sessions, les tâches cron et la surveillance. Un ping qui reprend en secondes peut cacher des minutes de reprise d’application ou des écritures perdues.
- Obtenez l’enveloppe DDoS.Enregistrez les préfixes protégés, les classes d’attaque, les délais de détection et de diversion, la capacité incluse, les plafonds de débit et de paquets, le traitement IPv6, la conception du chemin propre, la réponse aux faux positifs, les règles de blackhole, les rapports et les recours. Utilisez un test fournisseur autorisé ou un exercice sur table. N’improvisez jamais un test de trafic hostile.
- Conciliez les preuves BGP.Demandez pourquoi les collecteurs en direct voient AS35625 alors que la politique RIPE nomme AS2027 et AS57199, et ce que représente la session d’échange détectée. Demandez des schémas logiques et physiques actuels, les critères d’activation du chemin de secours, les filtres de route, la maintenance RPKI et IRR, les contrôles de préfixe maximum et les communautés d’urgence.
- Séparez l’espace routé de l’espace fournisseur.Pour chaque adresse assignée, identifiez le détenteur de la ressource, le statut, le droit d’utilisation, l’origine RPKI et le traitement de sortie. Si un client apporte une plage, définissez qui maintient les objets route et ROA, la rapidité des changements d’annonce, ce qui se passe à la résiliation et comment les incidents de détournement ou de fuite sont gérés.
- Restaurez une sauvegarde.N’acceptez pas « sauvegarde disponible » comme test. Supprimez un service non critique, récupérez-le sur une autre machine, vérifiez l’intégrité et enregistrez le temps de récupération. Confirmez le chiffrement, la rétention, l’immuabilité, l’accès administrateur, la séparation géographique et le mode de défaillance lorsque le compte Rock-Hosting lui-même est indisponible.
- Exercice du support et de la suspension.Convenez des définitions de gravité, des contacts et des contrôles d’identité. Ouvrez un ticket chronométré pendant la fenêtre de service et un exercice convenu en dehors des heures. Parcourez les scénarios de compromission, de plainte pour abus, de faux positif et de suspension d’urgence. Déterminez si les données peuvent être récupérées après suspension et qui peut autoriser la réactivation.
- Sécurisez la console.Exigez une authentification multifacteur ou un contrôle fort équivalent, une séparation des rôles, des protections de session et de récupération, une journalisation des événements et une gouvernance de l’accès du personnel. Exportez les preuves d’un redémarrage, d’une réinstallation, d’un changement de reverse DNS et d’une action de basculement. Traitez IP-KVM et les chemins de réinitialisation de mot de passe comme une infrastructure privilégiée.
- Complétez le dossier de protection des données.Obtenez l’avis de confidentialité actuel, les conditions Article 28 le cas échéant, les sous-traitants, les emplacements, les mesures de sécurité, la notification de violation, les dispositions d’audit, le processus de retour/suppression et la géographie d’accès au support. Vérifiez que le contrat reflète la chaîne réelle de centre de données et d’amont plutôt qu’une déclaration générique d’hébergement en France.
- Effectuez la sortie avant la mise à l’échelle.Exportez la charge de travail, restaurez-la chez un autre fournisseur, renumérotez-la, mettez à jour le reverse DNS et mesurez le temps de transfert de données. Confirmez l’annulation, la facturation finale, la suppression et la libération de l’adresse. Gardez le runbook sous contrôle client.
Cette séquence est délibérément plus stricte que de cliquer sur « acheter », mais elle est proportionnée à la revendication. La valeur de Rock-Hosting est censée apparaître lorsque quelque chose change rapidement: une machine tombe en panne, une adresse se déplace, une attaque arrive ou le support doit agir. Un pilote qui ne crée jamais de changement contrôlé ne peut pas évaluer le produit.
Ce qui mérite d’être surveillé
Le premier point de surveillance est la maturité du réseau. AS207911 dans son incarnation Rock-Hosting est jeune. Un deuxième amont visible indépendamment, une politique RIPE réconciliée, un looking glass publié, une divulgation du centre de données et des entrées PeeringDB plus claires faciliteraient l’évaluation du contrôle de route. La croissance du nombre de préfixes compterait moins que la preuve que les filtres, RPKI, la réponse aux incidents et les procédures de routage client évoluent avec elle.
Le deuxième est le renouvellement de la documentation produit. Une bande passante VPS cohérente, des images de système d’exploitation actuelles, des versions de virtualisation nommées, une archive de statut fonctionnelle et un calendrier de service daté supprimeraient plusieurs questions d’achat évitables. Mettre à jour l’adresse de confidentialité, le langage d’analyse/cookies et la version du contrat améliorerait la confiance sans changer un seul serveur.
Le troisième est une preuve de continuité. Rock-Hosting pourrait publier des distributions anonymisées de basculement, des résumés d’incidents DDoS, des succès de test de restauration, des délais de remplacement matériel et des percentiles de réponse du support. Aucun n’a besoin d’exposer les clients ou les seuils défensifs. Un petit opérateur ne peut pas égaler le catalogue d’un hyperscaler, mais il peut parfois décrire son propre système plus honnêtement et répondre plus rapidement.
Le quatrième est la concentration du centre de données et des fournisseurs. La formulation historique Iliad centres de données devrait se résoudre en un site et une contrepartie actuels. Le rôle d’Eurofiber devrait se résoudre en diversité de chemin contractuelle et périmètre de protection. La vitrine séparée hébergée chez OVH devrait avoir un chemin de reprise explicite. Chaque dépendance peut être tout à fait sensée; le risque réside dans le traitement de la chaîne comme une seule boîte invisible « infrastructure française ».
Enfin, surveillez la frontière des adresses. La plage RapidSeedbox est une démonstration utile que Rock-Hosting peut émettre un espace détenu par un tiers, mais elle doit rester étiquetée comme telle. Les futurs clients routés, les locations d’adresses ou les services apportez-votre-propre-IP rendront la provenance, le traitement des abus, l’autorité RPKI et les droits de sortie plus importants, pas moins.
Le contrôle est le produit seulement quand il est visible
Rock-Hosting SASU est un sujet honnête pour un article sur une entreprise technologique. Il est actif, sa vitrine propose toujours de véritables plans de serveur low-cost, son identité d’entreprise est liée à un système autonome actuel, et les preuves de routage montrent plus qu’un ASN décoratif. Le fournisseur peut émettre de l’espace associé à Rock et une plage d’un tiers, tout en présentant le basculement et la protection DDoS comme des contrôles côté client.
Son idée la plus forte est aussi son plus grand fardeau de preuve. Un petit hébergeur peut concurrencer les fournisseurs à grande échelle en rendant l’infrastructure contrôlable: une console, un opérateur connu, une adresse qui bouge et un réseau qui réagit. Pourtant, chaque contrôle s’arrête quelque part. Le déplacement d’adresse ne réplique pas l’état. L’ASN ne possède pas chaque route. RPKI ne sécurise pas chaque chemin. L’anti-DDoS ne définit pas une capacité de nettoyage. Une entreprise française ne nomme pas le centre de données ni ne complète un contrat de traitement de données.
Cela ne rend pas la proposition vide. Cela la rend testable. Pour un client techniquement compétent avec des charges de travail modestes, des sauvegardes externes et un runbook discipliné, Rock-Hosting peut offrir une combinaison utile de faible coût mensuel et de levier opérationnel direct. Pour un client qui a besoin d’une continuité multi-site auditée, d’engagements de réponse formels ou d’une assurance réglementée, les preuves publiques ne sont que le début de l’achat.
La question décisive n’est pas de savoir si un serveur à 3,99 € est bon marché. C’est de savoir si Rock-Hosting peut montrer, sous défaillance contrôlée, que son bouton, sa route et ses gens déplacent le service du client — pas seulement son adresse IP.