L’Europe évoque de plus en plus la souveraineté numérique, mais une part significative de son infrastructure publique reste dépendante de fournisseurs américains. Il ne s’agit pas seulement de l’emplacement physique des serveurs, mais de l’identité du fournisseur qui apparaît en première ligne quand on consulte le site principal d’une entreprise, une dimension cruciale pour la sécurité, les achats et la résilience.

Une analyse de CipherCue portant sur 19 450 entités commerciales réparties dans sept marchés européens montre que les fournisseurs basés aux États-Unis délivrent une part importante des sites web principaux. Au Royaume-Uni et aux Pays-Bas, ils sont majoritaires ; en Italie, en Espagne et en France, ils forment le groupe le plus nombreux ; seules l’Allemagne et la Pologne affichent une présence domestique plus marquée. Cloudflare ressort comme le principal fournisseur visible dans tous ces pays, devant les acteurs locaux, régionaux ou américains alternatifs.

Ce résultat ne veut pas dire que ces sites sont hébergés physiquement aux États-Unis. CipherCue insiste : ce n’est pas un état des lieux basé sur la géolocalisation IP, mais une attribution de fournisseur. Pour chaque domaine principal et son sous-domaine www, l’étude résout les enregistrements DNS A/AAAA, puis croise les adresses IP avec les systèmes autonomes correspondants. Un CDN ou un proxy comme Cloudflare identifie la couche visible d’Internet, celle qui montre qui délivre le trafic, sans forcément révéler l’emplacement physique du serveur d’origine.

Cloudflare domine la couche visible

L’un des chiffres les plus frappants du rapport concerne la présence de Cloudflare : dans les sept pays analysés, la société détient la plus grande part de marché parmi les fournisseurs d’infrastructure orientée Internet. Au Royaume-Uni, elle couvre 31,6 % des sites ; aux Pays-Bas, 36,8 % ; en Italie et en France, 28,2 % ; en Espagne, 23,1 % ; en Allemagne, 17,9 % ; en Pologne, 15,2 %.

Ce phénomène s’explique techniquement : Cloudflare propose mitigation DDoS, CDN, proxy inverse, sécurité périmétrique, DNS et une présence edge mondiale, des prestations difficiles à égaler pour la plupart des fournisseurs européens. CipherCue nuance volontairement son propos : il ne s’agit pas de conseiller aux entreprises européennes d’abandonner d’un coup leurs fournisseurs américains, ni de nier les justifications techniques de ce choix. Le vrai problème, c’est que la discussion sur la souveraineté numérique commence souvent trop tard, quand la dépendance à ces couches publiques est déjà profondément ancrée.

L’Espagne occupe une position intermédiaire haute. Sur les 1 427 entités étudiées, 637 utilisent des fournisseurs américains dans la couche observée, soit 44,6 %. Cloudflare représente 329 cas, Amazon 128, d’autres fournisseurs américains 180. Ce n’est pas une majorité absolue, mais la dépendance reste assez étendue pour constituer un enjeu sérieux de risque technologique.

La souveraineté ne se limite pas à l’environnement cloud

Pendant longtemps, beaucoup d’entreprises ont réduit la souveraineté numérique à une question géographique : dans quelle région cloud sont hébergées mes données ? La question compte, mais elle reste incomplète. La couche accessible au public joue aussi un rôle essentiel : DNS, CDN, WAF, reverse proxy, équilibrage, protection DDoS, certificats, logs, interfaces d’administration et plans de contrôle créent des dépendances propres aux fournisseurs, aux juridictions et aux modèles opérationnels, qui n’apparaissent pas toujours dans les cartographies internes de l’infrastructure.

CipherCue le formule clairement : la géographie du matériel physique n’est qu’un aspect du problème. Pour l’achat, la régulation ou la continuité des activités, il est tout aussi crucial de savoir quel fournisseur se trouve en face de la plateforme publique, et quelle est la nature de la relation contractuelle, technique et opérationnelle que l’organisation entretient avec lui. La Commission européenne a placé la souveraineté technologique au cœur de ses priorités : en juin 2026, elle a présenté un paquet dédié aux semi-conducteurs, à l’IA, au cloud et à l’open source, avec des mesures pour renforcer l’autonomie numérique et la résilience. La future Cloud and AI Development Act vise à soutenir les technologies cloud et IA, faciliter le déploiement de centres de données et créer un cadre européen pour évaluer la souveraineté dans ces domaines.

Ce débat s’inscrit dans un contexte normatif déjà en mouvement. DORA, dans le secteur financier, se concentre sur la résilience opérationnelle digitale, la gestion des risques TIC et la concentration liée à la dépendance envers un nombre limité de prestataires. ENISA rappelle de son côté que NIS2 étend ses exigences aux secteurs essentiels et stratégiques, dont l’infrastructure numérique, les services cloud, les centres de données, les points d’échange Internet et les réseaux de distribution de contenus — un enjeu que Kyndryl et Microsoft ont déjà commencé à traiter comme un sujet d’exploitation réelle, pas seulement de conformité.

L’Allemagne et la Pologne proposent une autre voie

Le rapport met en lumière deux exceptions : l’Allemagne et la Pologne. Ces marchés disposent d’une industrie locale d’hébergement et d’infrastructure plus visible dans les données. En Allemagne, des noms comme Hetzner, IONOS, STRATO ou Mittwald apparaissent ; en Pologne, Home.pl, NetArt, ATMAN ou Beyond. Cette présence locale forte fait baisser la part des fournisseurs américains, à 31,0 % en Allemagne et 18,8 % en Pologne.

Cela ne signifie pas que ces pays n’utilisent pas de technologie américaine dans d’autres couches : l’étude ne couvre pas la messagerie, l’identité, l’EDR, le SIEM, le SaaS ni les endpoints. Elle suggère néanmoins qu’une base locale solide change la répartition dans la couche web publique. Pour l’Europe, cette différence est stratégique : la souveraineté numérique ne se résume pas à la réglementation, elle exige aussi une offre compétitive, une échelle suffisante, un support fiable, des prix raisonnables et la confiance des utilisateurs. Le classement récent qui place OVHcloud en tête de la souveraineté cloud européenne montre qu’une alternative crédible existe, mais elle reste encore minoritaire face aux grands acteurs américains.

L’inventaire, étape essentielle

Le message de CipherCue ne doit pas pousser à une réaction défensive du type « il faut tout abandonner d’origine américaine ». Ce serait irréaliste et souvent contre-productif d’un point de vue technique. La stratégie pratique consiste à connaître précisément son environnement numérique : qui sert le site, quel DNS est utilisé, quel CDN accompagne le trafic, qui gère les certificats, quels WAF filtrent les requêtes, où sont stockés les logs, quelles dépendances existent en cas d’incident ou de conflit contractuel.

Ce dernier point est souvent le plus délicat. La dépendance ne se limite pas à la présence d’un fournisseur dominant. Elle apparaît aussi quand il n’existe pas d’alternative prête, que changer demande des semaines en urgence, que le contrat se renouvelle sans marge de négociation, ou que l’équipe technique n’a jamais testé une architecture de sortie.

L’Europe ne retrouvera pas sa souveraineté numérique en déplaçant simplement des serveurs. Elle doit bâtir des fournisseurs robustes, faire des achats plus stratégiques, exiger la portabilité, renforcer ses capacités internes et mesurer ses dépendances depuis la couche la plus visible jusqu’aux niveaux plus profonds. Le rapport de CipherCue ramène le débat à quelque chose de vérifiable : qui apparaît aujourd’hui en face du site principal de milliers d’entreprises européennes. Dans la plupart des cas, la réponse reste fortement centrée sur les États-Unis.

Questions fréquemment posées

Le rapport indique-t-il que les sites européens sont hébergés physiquement aux États-Unis ?
Non. CipherCue mesure l’attribution des fournisseurs à partir des DNS et des systèmes autonomes, sans faire appel à la géolocalisation physique du serveur d’origine.

Pourquoi Cloudflare apparaît-il aussi souvent ?
Parce que de nombreuses entreprises l’utilisent comme CDN, proxy, DNS, WAF ou couche de protection DDoS, ce qui le positionne devant le site même si le serveur d’origine est hébergé ailleurs.

Quel est le chiffre marquant pour l’Espagne ?
Sur les 1 427 entités espagnoles analysées, 637 utilisent des fournisseurs américains dans la couche observée, soit 44,6 %. Cloudflare apparaît dans 329 cas.

Faut-il cesser d’utiliser des fournisseurs américains ?
Pas nécessairement. L’essentiel est de connaître la dépendance, d’évaluer les risques et de disposer d’alternatives ou de plans de sortie, surtout si cette couche est stratégique.

Pourquoi cette question compte-t-elle pour la souveraineté numérique européenne ?
Parce que la souveraineté ne se limite pas à la région cloud. Elle englobe aussi DNS, CDN, WAF, plan de contrôle, support, juridiction, concentration et capacité réelle de migration.