L’Europe évoque de plus en plus la souveraineté numérique, mais une part significative de son infrastructure publique reste dépendante de fournisseurs américains. Il ne s’agit pas seulement de l’emplacement physique des serveurs, mais aussi de l’identité du fournisseur qui apparaît en première ligne lorsqu’on consulte le site principal d’une entreprise, une dimension cruciale pour la sécurité, les achats et la résilience.

Une analyse de CipherCue portant sur 19 450 entités commerciales réparties dans sept marchés européens montre que les fournisseurs basés aux États-Unis délivrent une part importante des sites web principaux. Au Royaume-Uni et aux Pays-Bas, ils sont majoritaires ; en Italie, en Espagne et en France, ils constituent le groupe le plus nombreux ; seule l’Allemagne et la Pologne présentent une présence domestique plus marquée. Cloudflare apparaît comme le principal fournisseur visible dans tous ces pays, devançant les acteurs locaux, régionaux ou américains alternatifs.

Ce résultat ne doit pas être interprété comme une indication que ces sites sont hébergés physiquement aux États-Unis. CipherCue insiste sur le fait qu’il ne s’agit pas d’un état des lieux basé sur la géolocalisation IP, mais d’une attribution de fournisseur. Pour chaque domaine principal et son sous-domaine www, ils résolvent les enregistrements DNS A/AAAA, puis croisent les adresses IP avec leurs systèmes autonomes. Un CDN ou un proxy comme Cloudflare identifie la couche visible d’Internet en montrant qui délivre cette couche, sans nécessairement révéler l’emplacement physique du serveur d’origine.

Cloudflare domine la couche visible

L’un des chiffres les plus frappants de ce rapport concerne la présence de Cloudflare. Dans les sept pays analysés, cette société détient la plus grande part de marché parmi les fournisseurs d’infrastructure orientée vers Internet. Au Royaume-Uni, elle couvre 31,6 % des sites ; aux Pays-Bas, 36,8 % ; en Italie et en France, 28,2 % ; en Espagne, 23,1 % ; en Allemagne, 17,9 % ; et en Pologne, 15,2 %.

Ce phénomène s’explique par des raisons techniques. Cloudflare offre des services de mitigation DDoS, de CDN, de proxy inverses, de sécurité périmétrique, de DNS et possède une présence edge mondiale, des prestations difficilement égalables par nombre de fournisseurs européens. L’analyse de CipherCue invite à nuancer : il ne s’agit pas de conseiller aux entreprises européennes d’abandonner immédiatement leurs fournisseurs américains ni de nier les justifications techniques de leur recours. Le vrai enjeu, c’est que de nombreuses discussions sur la souveraineté digitale débutent tard ou trop tard, lorsque la dépendance à ces couches publiques est déjà profondément ancrée.

L’Espagne occupe une position intermédiaire supérieure. Sur les 1.427 entités étudiées, 637 utilisent des fournisseurs américains dans la couche observée, soit 44,6 %. Cloudflare représente 329 cas, Amazon 128 et d’autres fournisseurs américains 180. Bien qu’il ne s’agisse pas d’une majorité absolue, cette dépendance est suffisamment étendue pour constituer un enjeu sérieux en termes de risques technologiques.

Souveraineté ne se limite pas à l’environnement cloud

Pendant longtemps, de nombreuses entreprises ont réduit la souveraineté numérique à une question géographique : « Dans quelle région cloud sont hébergés mes données ? ». Si cette question est importante, elle est incomplète. La couche accessible au public joue aussi un rôle essentiel. DNS, CDN, WAF, reverse proxy, équilibrage, protection DDoS, certificats, logs, interfaces d’administration et plans de contrôle peuvent créer des dépendances spécifiques aux fournisseurs, aux juridictions et aux modèles opérationnels, qui ne figurent pas toujours dans les cartographies internes de l’infrastructure.

CipherCue le formule clairement : la géographie du matériel physique n’est qu’un aspect du problème. Pour l’achat, la régulation ou la continuité des activités, il est également crucial de savoir quel fournisseur se trouve en face de la plateforme publique, ainsi que la nature de la relation contractuelle, technique et opérationnelle que l’organisation a avec lui.

La Commission européenne a placé la souveraineté technologique au cœur de ses priorités politiques. En juin 2026, elle a présenté un paquet dédié à la souveraineté technologique axé notamment sur les semi-conducteurs, l’intelligence artificielle, le cloud et l’open source, comprenant des mesures pour renforcer l’autonomie numérique et la résilience. Parmi celles-ci, la future Cloud and AI Development Act vise à soutenir les technologies cloud et IA, à faciliter le déploiement de centres de données et à créer un cadre européen pour évaluer la souveraineté dans ces domaines.

Ce débat s’insère dans un contexte normatif déjà en mouvement. DORA, dans le secteur financier, se concentre sur la résilience opérationnelle digitale, la gestion des risques TIC, les fournisseurs externes critiques et la concentration résultant de la dépendance à un nombre limité de prestataires. ENISA rappelle également que NIS2 étend ses exigences aux secteurs essentiels et stratégiques, couvrant notamment l’infrastructure numérique, les services cloud, les centres de données, les points d’échange internet et les réseaux de distribution de contenus.

L’Allemagne et la Pologne proposent une autre voie

Le rapport met en lumière deux exceptions : l’Allemagne et la Pologne. Ces marchés disposent d’une industrie locale d’hébergement et d’infrastructure plus visible dans les données. En Allemagne, des noms comme Hetzner, IONOS, STRATO ou Mittwald apparaissent ; en Pologne, Home.pl, NetArt, ATMAN ou Beyond. Cette présence locale forte conduit à une baisse de la part des fournisseurs américains, qui s’établit à 31,0 % en Allemagne et à 18,8 % en Pologne.

Cela ne signifie pas que ces pays n’utilisent pas de technologie américaine dans d’autres couches. Le présent étude ne couvre pas les services de messagerie, d’identité, EDR, SIEM, SaaS, endpoints ou outils internes. Cependant, elle suggère qu’une base locale solide modifie la répartition dans la couche web publique.

Pour l’Europe, cette différence est stratégique. La souveraineté numérique ne se résume pas à la réglementation : elle nécessite aussi une offre compétitive, une échelle suffisante, un support fiable, des prix raisonnables, une présence géographique forte, une bonne expérience technique et la confiance des utilisateurs. Si les fournisseurs locaux ne peuvent pas proposer certains services de sécurité ou de performance, une majorité d’entreprises continueront à privilégier les grands acteurs américains, même si leur orientation politique tend ailleurs.

L’inventaire, étape essentielle

Le message de CipherCue ne doit pas conduire à une réaction défensive du type « il faut tout abandonner d’origine américaine ». Ce serait irréaliste et, dans de nombreux cas, contre-productif d’un point de vue technique. La stratégie pratique consiste simplement à commencer par connaître précisément votre environnement numérique : qui sert votre web, quels DNS vous utilisez, quel CDN vous accompagne, qui gère vos certificats, quels WAF filtrent votre trafic, où sont stockés vos logs, quelles dépendances existent en cas d’incident ou de conflit contractuel.

Ce recensement doit répondre à des questions concrètes comme :

Ce dernier point est souvent le plus délicat. La dépendance ne se limite pas à la présence d’un fournisseur dominant. Elle apparaît aussi quand il n’existe pas d’alternative prête, que changer nécessite des semaines d’urgences, que le contrat se renouvelle sans marges ou que l’équipe technique n’a pas testé une architecture de sortie.

L’Europe ne pourra pas retrouver sa souveraineté numérique uniquement en déplaçant les serveurs. Elle doit bâtir des fournisseurs robustes, faire des achats plus stratégiques, exiger la portabilité, renforcer ses capacités internes et mesurer ses dépendances depuis la couche la plus visible jusqu’aux niveaux plus profonds. Le rapport de CipherCue facilite cela en ramenant le débat à quelque chose de vérifiable : qui apparaît aujourd’hui en face de la web principale de milliers d’entreprises européennes.

Dans de nombreux cas, la réponse demeure fortement centrée sur les États-Unis.

Questions fréquemment posées

Le rapport indique-t-il que les sites européens sont hébergés physiquement aux États-Unis ?
Non. CipherCue mesure l’attribution des fournisseurs à partir des DNS et des systèmes autonomes, sans faire appel à la géolocalisation physique ou à l’emplacement du serveur d’origine.

Pourquoi Cloudflare apparaît-il aussi souvent ?
Parce que de nombreuses entreprises l’utilisent en tant que CDN, proxy, DNS, WAF ou couche de protection DDoS. Cela le positionne devant le site, même si le serveur originel est hébergé chez un autre fournisseur.

Quel est le chiffre marquant concernant l’Espagne ?
Sur les 1.427 entités espagnoles analysées, 637 utilisent des fournisseurs américains dans la couche observée, soit 44,6 %. Cloudflare est mentionné dans 329 cas.

Faut-il cesser d’utiliser des fournisseurs américains ?
Pas nécessairement. Le point central est de connaître la dépendance, d’évaluer les risques et de disposer d’alternatives ou de plans de sortie, notamment si cette couche est stratégique.

Pourquoi cette question est-elle cruciale pour la souveraineté numérique européenne ?
Parce que la souveraineté ne se limite pas à la région cloud. Elle englobe aussi DNS, CDN, WAF, plane de contrôle, support, juridiction, concentration et capacité effective de migration.