Héberger et sécuriser sa marketplace : le vrai coût d'un niveau professionnel
Une semaine de nos journaux de production, la liste de ce qu'exige une sécurité professionnelle (sauvegardes, PRA, supervision, tests) et ce qu'elle coûte chaque mois quand on la fait soi-même.
Kreezalid9 min de lecture
En bref : une marketplace développée sur mesure ne coûte pas seulement son développement. La faire tourner à un niveau professionnel (serveurs redondants, sauvegardes chiffrées hors site, plan de reprise testé, supervision, mises à jour de sécurité, tests automatisés, quelqu’un qui répond la nuit) coûte de l’ordre de 3 100 à 5 700 € HT par mois d’après les prix publics des fournisseurs, et rarement moins de 1 500 € même en renonçant à l’audit de sécurité et à l’astreinte. Un abonnement Kreezalid, qui inclut tout cela, coûte de 129 à 599 € HT par mois.
Vous avez peut-être une très bonne équipe de développement, ou l’envie de construire votre plateforme vous-même. C’est souvent un bon choix pour le produit. Mais le jour de la mise en ligne, un autre métier commence : celui d’exploiter une application exposée à internet, qui détient les données de vos vendeurs, de vos acheteurs et de leurs paiements. Ce métier a un coût, et c’est celui que les budgets de marketplace oublient le plus souvent.
Cet article part de faits, pas d’un discours commercial : ce que nos propres serveurs reçoivent en une semaine, la liste de ce qu’il faut mettre en place pour y faire face, et ce que chaque ligne coûte quand on la paie soi-même.
Ce que reçoit une marketplace en ligne, en une semaine
Nous avons compté, sur les journaux de notre serveur de production, la semaine du 2 au 9 novembre 2026 :
| Sur 7 jours | Volume |
|---|---|
| Requêtes reçues | 3 062 818 |
| Tentatives de recherche de failles | 19 877 |
| Adresses IP différentes à l’origine de ces tentatives | 3 852 |
| Tentatives de connexion au serveur (SSH) refusées | 2 817 |
Une « tentative de recherche de faille », ce sont des robots qui demandent des fichiers qu’aucun visiteur ne demande : un fichier .env oublié (il contient souvent les mots de passe de la base de données), un dossier .git (tout le code source, avec son historique), une page de connexion WordPress, phpMyAdmin, une archive de sauvegarde laissée dans un dossier public. Cela fait une tentative toutes les 30 secondes, jour et nuit.
Ces robots ne visent personne en particulier. Ils balaient tout internet, en continu, et votre marketplace sera dans leur liste dès que son nom de domaine existera, bien avant votre premier client. Il suffit d’un seul fichier oublié, une seule fois, pour qu’ils le trouvent.
Et il ne s’agit pas seulement de discrétion. Le 28 septembre 2026, une vague de scanners a atteint 829 requêtes par minute sur notre plateforme : la charge du serveur s’est envolée, et la base de données a saturé pendant une vingtaine de minutes pour une application voisine hébergée sur la même machine. Nous avons mis en place le jour même un blocage automatique des adresses qui se comportent ainsi. C’est ce genre de journée que l’exploitation d’une plateforme réserve, et il faut quelqu’un pour la vivre.
Ce qu’exige un niveau professionnel
« Professionnel » ne veut pas dire « paranoïaque ». C’est le niveau qu’attendent un client B2B qui vous envoie un questionnaire de sécurité, un assureur cyber, ou simplement vos vendeurs le jour où quelque chose tombe en panne. Concrètement :
- Des serveurs maintenus à jour. Le système, le serveur web, le langage, la base de données et chaque bibliothèque reçoivent des correctifs de sécurité plusieurs fois par mois. Il faut les appliquer, vite, sans casser l’application.
- Un blocage automatique des attaques. Pare-feu, bannissement des adresses qui sondent ou inondent le site, protection des accès d’administration, certificats TLS renouvelés.
- Des sauvegardes fréquentes, chiffrées et hors site. Chez un autre hébergeur, dans un autre centre de données. Une sauvegarde sur le même serveur disparaît avec lui.
- Des sauvegardes qu’un attaquant ne peut pas effacer. C’est le premier geste d’un rançongiciel : supprimer les sauvegardes avant de chiffrer le reste. Le serveur de sauvegarde ne doit accepter que des ajouts.
- Des restaurations testées. Une sauvegarde jamais restaurée est une hypothèse. Il faut la restaurer régulièrement, automatiquement, et vérifier que les données reviennent.
- Un plan de reprise d’activité (PRA) : écrit, chiffré en temps (combien de temps pour repartir sur une machine neuve ?) et répété, car le jour où le serveur brûle, personne n’a le temps de découvrir la procédure.
- Une supervision de l’extérieur. Des sondes qui vérifient que le site répond, depuis d’autres réseaux, et qui alertent une personne, pas une boîte mail que personne ne lit.
- Le suivi des erreurs. Savoir qu’un paiement a échoué pour un acheteur avant que le vendeur ne vous appelle.
- Des tests automatisés et une intégration continue. Chaque modification du code passe des tests et une analyse avant d’atteindre la production, et un déploiement raté se défait en une commande.
- Des revues de sécurité du code : un audit, puis des correctifs, puis un nouvel audit à chaque évolution importante.
- La gestion des secrets : mots de passe et clés d’API hors du code, chiffrés, renouvelés quand une personne quitte l’équipe.
- Quelqu’un d’astreinte. Les incidents n’arrivent pas aux heures de bureau : un robot ne connaît ni les week-ends ni la nuit.
Aucune de ces lignes n’est optionnelle pour une plateforme qui encaisse de l’argent pour le compte de tiers. Chacune a un coût, en abonnements et surtout en temps.
Combien cela coûte, ligne par ligne
Voici le budget mensuel d’une petite marketplace développée sur mesure, hébergée en France, à un niveau que l’on peut défendre devant un client B2B. Les prix sont ceux que les fournisseurs publient (hors taxes, relevés le 9 novembre 2026). Les prix en dollars sont comptés à parité avec l’euro, une approximation.
| Poste | Fourchette basse | Fourchette haute | Ce que nous avons retenu |
|---|---|---|---|
| Deux serveurs d’application (redondance) | 75 € | 149 € | OVHcloud Public Cloud, 2 × b3-8 ou 2 × b3-16 |
| Répartiteur de charge | 6 € | 15 € | OVHcloud Load Balancer S ou M |
| Base de données gérée, deux nœuds | 139 € | 326 € | OVHcloud MySQL gérée, offre Business ou Production |
| Stockage objet et archive des sauvegardes | 5 € | 10 € | 500 Go à 1 To chez OVHcloud |
| CDN pour les images | 5 € | 10 € | Bunny, 0,01 $ par Go en Europe |
| Pare-feu applicatif et protection DDoS | 20 € | 200 € | Cloudflare Pro ou Business |
| Suivi des erreurs | 26 € | 80 € | Sentry Team ou Business |
| Supervision et alertes d’astreinte | 29 € | 29 € | Better Stack, un intervenant |
| E-mails transactionnels | 15 € | 15 € | Postmark, 10 000 e-mails |
| Certificats TLS | 0 € | 0 € | Let’s Encrypt |
| Infrastructure et outils | ≈ 320 € | ≈ 834 € | |
| Test d’intrusion annuel, lissé sur 12 mois | 1 000 € | 1 833 € | 12 000 à 22 000 € pour une application SaaS, en boîte grise |
| Exploitation : 2 à 4 jours d’un ingénieur DevOps | 1 240 € | 2 480 € | 620 € par jour, le tarif médian d’un freelance DevOps en France |
| Astreinte (hors interventions) | 555 € | 555 € | 128 € par semaine, exemple d’une convention collective |
| Total par mois | ≈ 3 115 € | ≈ 5 702 € |
Ce tableau ne compte pas le développement de la plateforme elle-même, ni le temps passé à rédiger et répéter le PRA, ni les heures d’intervention de nuit, payées en plus de l’astreinte. Il suppose aussi une petite marketplace : la facture d’infrastructure grandit avec le trafic.
Le poste que personne ne chiffre : le temps
Les outils ne font rien seuls. Appliquer les mises à jour sans casser l’application, lire les alertes, ajuster le pare-feu, vérifier les restaurations, répéter le PRA, mettre à jour la documentation, répondre à un questionnaire de sécurité client : c’est du travail d’administrateur système ou d’ingénieur DevOps, chaque mois, pour toujours.
Pour une seule personne, les ordres de grandeur sont connus. Un ingénieur DevOps freelance facture en France 620 € par jour en médiane (500 à 750 € selon l’expérience, d’après le baromètre TJMètre 2026 sur 9 212 indépendants). Deux jours par mois, c’est 1 240 € HT. Un salarié coûte plus encore : environ 45 800 € brut par an en médiane, soit autour de 65 000 € chargés selon notre estimation (cotisations patronales d’environ 42 %), près de 5 400 € par mois, pour une personne qui ne peut pas être d’astreinte toute l’année seule.
L’astreinte elle-même se paie : une convention collective d’ingénieurs et cadres la fixe par exemple à 127,92 € par semaine, soit environ 555 € par mois, sans compter les interventions.
C’est souvent ce poste qui transforme une plateforme maison en dette : le développeur qui l’a construite part, et plus personne ne sait comment la restaurer.
Comment nous le faisons chez Kreezalid
Nous ne demandons pas de nous croire sur parole. Voici ce qui tourne aujourd’hui sous chaque marketplace Kreezalid, quelle que soit l’offre :
- Hébergement en France. Les serveurs et la base de données sont chez OVHcloud, à Gravelines. Nous les maintenons à jour : correctifs de sécurité, certificats, versions du langage et de la base.
- Sauvegardes toutes les 4 heures, chiffrées, envoyées dans un second centre de données à Paris, chez un second hébergeur. Le serveur de sauvegarde n’accepte que des ajouts : même un serveur de production compromis ne pourrait pas effacer les sauvegardes.
- Restauration testée chaque semaine, automatiquement, avec une alerte si une sauvegarde a plus de quelques heures ou si un test échoue.
- Blocage automatique des attaques, jour et nuit : les adresses qui cherchent des failles ou inondent le site sont bannies en quelques secondes.
- Supervision de l’extérieur, depuis deux continents, et suivi des erreurs de l’application, relié à notre outil d’incidents.
- Tests automatisés et analyse du code avant chaque mise en production, et des déploiements qui reviennent d’eux-mêmes à la version précédente si la nouvelle ne répond pas correctement.
- Un audit de sécurité du code en boîte blanche, mené en 2026, suivi des correctifs.
Rien de tout cela n’est facturé en plus. C’est le même socle pour une marketplace sur Launch à 129 € HT par mois et pour une marketplace sur Extend.
Faire soi-même ou s’abonner : le calcul
Sur deux ans, en reprenant le tableau ci-dessus :
| Sur 24 mois, hors développement | Faire soi-même | Kreezalid |
|---|---|---|
| Hébergement, sécurité et exploitation | 74 800 à 136 800 € | inclus |
| Abonnement | — | 3 006 € (Build, puis Launch) à 13 816 € (Build, puis Extend) |
| Commission sur vos ventes | 0 % | 0 % |
L’écart ne vient pas des serveurs, qui coûtent quelques centaines d’euros. Il vient de tout ce qui les entoure : l’audit, le temps d’exploitation, l’astreinte. Une plateforme mutualisée répartit ces coûts entre toutes les marketplaces qu’elle héberge ; une plateforme maison les porte seule.
Quand développer et héberger soi-même reste le bon choix
Il y a de bonnes raisons de le faire : un parcours vraiment unique que nulle plateforme ne couvre, une équipe technique déjà en place avec un vrai budget d’exploitation, ou une marketplace qui est elle-même votre produit technologique. Dans ces cas, prévoyez dès le départ les lignes ci-dessus dans le budget, et non après le premier incident.
Pour les autres, la question n’est pas « sait-on développer une marketplace ? », mais « veut-on exploiter une infrastructure exposée à internet pour toujours ? ». Avec Kreezalid, vous gardez le contrôle de votre marketplace (votre domaine, votre marque, vos données exportables, une API et un connecteur IA) sans porter ce second métier. Et vous gardez toute votre commission : nous n’en prenons aucune.
Pour comparer avec le reste du budget (design, paiements, marketing), voyez aussi notre guide du prix d’une marketplace.
Questions fréquentes
Combien coûte l’hébergement d’une marketplace ?
D’après les prix publics des fournisseurs, une petite marketplace développée sur mesure et hébergée à un niveau professionnel coûte de l’ordre de 3 100 à 5 700 € HT par mois : 320 à 830 € d’infrastructure et d’outils, le reste en audit de sécurité, en temps d’exploitation et en astreinte. Sur Kreezalid, l’hébergement, les sauvegardes et la sécurité sont compris dans l’abonnement, de 129 à 599 € HT par mois.
Une petite marketplace est-elle vraiment ciblée par les attaques ?
Oui, et dès le premier jour. Les robots qui cherchent des failles ne choisissent pas leurs cibles : ils testent toutes les adresses et tous les noms de domaine. Sur nos serveurs, cela représente près de 20 000 tentatives par semaine, venues de près de 4 000 adresses différentes.
Qu’est-ce qu’un PRA, et faut-il en avoir un ?
Un plan de reprise d’activité décrit comment remettre la plateforme en service après la perte d’un serveur ou d’un centre de données : où sont les sauvegardes, qui fait quoi, en combien de temps. Une marketplace qui encaisse pour le compte de vendeurs en a besoin, et il doit être répété : un PRA jamais testé échoue le jour où on l’ouvre.
Où sont hébergées les données d’une marketplace Kreezalid ?
En France : les serveurs et la base de données chez OVHcloud à Gravelines, les sauvegardes chiffrées chez un second hébergeur à Paris.
Sources
Prix et chiffres relevés le 9 novembre 2026, hors taxes :
- Serveurs, répartiteur de charge, base de données et stockage : OVHcloud, tarifs Public Cloud.
- CDN : Bunny, tarifs. Pare-feu applicatif : Cloudflare, offres.
- Suivi des erreurs : Sentry, tarifs. Supervision : Better Stack, tarifs. E-mails : Postmark, tarifs. Certificats : Let’s Encrypt.
- Test d’intrusion : Foxeet, « Qu’est-ce qu’un pentest ? », juillet 2026.
- Tarif journalier DevOps : TJMètre 2026. Salaire : Hellowork, salaire DevOps.
- Astreinte : avenant « Primes et astreintes » de la convention collective IDCC 3238, 2024.
- Nos propres chiffres : journaux de notre serveur de production, du 2 au 9 novembre 2026.