Mais que signifie réellement cette sécurité ? On vous explique tout.

C’est quoi un certificat SSL ?

Un certificat SSL (Secure Sockets Layer) permet de chiffrer les données échangées entre un site web et ses visiteurs. Cela signifie que vos informations personnelles (comme vos mots de passe, coordonnées ou informations de paiement) sont converties en un code illisible pour quiconque essaierait de les lire ou de les modifier.

Un site sécurisé s’affiche avec « https » au début de l’adresse, accompagné du fameux cadenas. Sans certificat SSL, les données qui transitent sont à découvert, comme si vous envoyiez une carte postale au lieu d’une lettre dans une enveloppe scellée.

Tous les hébergements web OVHcloud intègrent automatiquement un nombre illimité de certificats SSL, via notre partenaire Let’s Encrypt, sans coût supplémentaire. Aucun paramétrage complexe n’est requis : la sécurité est activée par défaut pour l’ensemble de nos clients.

Et aujourd’hui, nous allons encore plus loin pour renforcer cette protection.

Une nouvelle couche de sécurité : la QRNG

Nous faisons évoluer la génération des clés publiques de nos certificats SSL pour les rendre encore plus résistants aux menaces. Pour cela, nous y intégrons une technologie de chiffrement plus avancée : la QRNG (Quantum Random Number Generator, ou Générateur quantique de nombres aléatoires).

Pourquoi c’est important ?

La fiabilité d’un certificat SSL dépend en grande partie des clés de chiffrement qu’il utilise, générées à partir de nombres aléatoires. Plus ces valeurs sont imprévisibles, plus il est difficile pour une personne malveillante de les deviner.

Or, les ordinateurs classiques génèrent ces nombres à l’aide de générateurs de nombres pseudo-aléatoires cryptographiquement sécurisés (CSPRNG). Cela signifie que, bien qu’ils soient statistiquement indiscernables de nombres réellement aléatoires, ils ne sont pas entièrement aléatoires. Il est donc théoriquement possible que leur nature partiellement prévisible puisse affaiblir le niveau de sécurité.

C’est là qu’intervient la QRNG. Cette technologie repose sur les lois de la physique quantique pour produire de vrais nombres aléatoires, totalement imprévisibles. En langage scientifique, on parle d’« entropie ». Cela ajoute un niveau de complexité supplémentaire pour quiconque tenterait de décrypter les données. Résultat : un chiffrement renforcé, fondé sur une source de hasard imprévisible, même pour les machines les plus puissantes.

Cette avancée, inédite à l’échelle mondiale, est rendue possible grâce à notre travail de recherche et développement, ainsi qu’à notre collaboration avec la startup française Quandela, spécialisée dans l’informatique quantique. Nous utilisons l’ordinateur quantique que nous avons acquis auprès de Quandela, afin d’assurer une génération de nombres aléatoires certifiée. Par ailleurs, le processus complet de génération des certificats SSL a fait l’objet d’un dépôt de brevet, assurant la traçabilité et la fiabilité de notre approche.

« Notre partenariat avec OVHcloud représente une percée en matière de cybersécurité. En se positionnant en pionnier et en acquérant notre ordinateur quantique « full-stack » pour le déployer dans leur centre de données, OVHcloud peut désormais émettre, pour l’ensemble de ses clients, des certificats SSL avec génération de nombres aléatoires certifiée par la mécanique quantique. Cette sécurité repose sur les lois de la physique, et non sur la seule complexité mathématique. C’est l’informatique quantique qui offre des solutions de sécurité concrètes dès aujourd’hui. »
Shane Mansfield, directeur de la recherche chez Quandela

Quels bénéfices pour vos sites web ?

• Un chiffrement encore plus robuste : vos sites sont mieux protégés contre les menaces actuelles et à venir, grâce à des clés de sécurité renforcées et véritablement aléatoires.
• Une innovation accessible à tous : cette technologie de pointe, jusqu’ici réservée à la recherche ou à des environnements ultrasécurisés, est désormais incluse dans toutes nos offres d’hébergement web, sans aucun surcoût.

Le déploiement est d’ores et déjà en cours. D’ici fin Novembre 2025, 100 % de nos certificats SSL Let’s Encrypt intégreront des clés publiques générées grâce à cette nouvelle technologie. Plus de 5 millions de sites web profiteront ainsi d’une sécurité renforcée.

« Après une année de R&D, nous franchissons un cap important pour le Web avec la génération de millions de certificats SSL intégrant la technologie quantique. Cette avancée nous ouvre la voie vers les prochaines innovations en matière de cybersécurité quantique. »
Guillaume Marchand – IT Team Leader chez OVHcloud

En résumé

La sécurité en ligne repose aujourd’hui sur des fondations technologiques qui doivent non seulement suivre, mais anticiper l’évolution des menaces. En intégrant, pour la première fois au monde, une source de hasard quantique certifiée (QRNG) dans le processus de génération de nos certificats SSL, OVHcloud franchit une nouvelle étape dans la protection des données sur le Web.

Cette innovation renforce la fiabilité du chiffrement appliqué pour sécuriser les échanges entre les sites et leurs visiteurs. Grâce à la physique quantique, les clés de sécurité deviennent véritablement imprévisibles même pour les attaques les plus sophistiquées. Innover pour mieux protéger, anticiper pour mieux servir : c’est aussi ça, notre engagement pour un cloud de confiance.

Do you see the small padlock next to the address of the website you are looking at? This symbol indicates that the connection between your device (such as your computer or smartphone) and the site you are visiting is secure. And at OVHcloud, we have just reinforced this security by integrating an innovative technology – a Quantum Random Number Generator – for the first time in the world.

But what does this security really mean? Let’s talk it through.

What is an SSL certificate?

An SSL (Secure Sockets Layer) certificate enables the encryption of the data exchanged between a website and its visitors. This means that your personal information (such as your passwords, contact details, or payment details) is converted into a code that cannot be read or modified by anyone trying to intercept it.

A secure website will display “https” at the beginning of the address, along with the famous padlock icon. Without an SSL certificate, the data that passes through is exposed, as if you were sending a postcard instead of a letter in a sealed envelope.

All OVHcloud Web Hosting plans automatically include an unlimited number of SSL certificates, via our partner Let’s Encrypt, at no additional cost. No complex configurations are required – this security is enabled by default for all of our customers.

And now, we are going even further to strengthen that protection.

A new security layer: QRNG

We are changing the public keys used in our SSL certificates to make them even more resistant to threats. To do this, we are integrating a more advanced encryption technology into the solution: a Quantum Random Number Generator (QRNG).

Why is this important?

The reliability of an SSL certificate depends largely on the encryption keys it uses, which are generated from random numbers. The more unpredictable these values are, the more difficult it becomes for a malicious person to guess them.

Conventional computers generate these numbers using Cryptographically-Secure Pseudorandom Number Generators (CSPRNG), meaning that although they are statistically indistinguishable from random numbers, they are not entirely random. It is theoretically possible that their partially predictable nature could weaken the level of security.

That’s where the QRNG comes in. This technology relies on the laws of quantum physics to produce real, random numbers that are completely unpredictable. In scientific terms, this is referred to as “entropy”. This adds an extra level of complexity for anyone trying to decrypt the data. The result is stronger encryption, based on a source of randomness that cannot be predicted, even by the most powerful machines.

This breakthrough, the first of its kind in the world, was made possible by our research and development work, as well as our collaboration with the French quantum computing startup Quandela. We use the quantum computer we acquired from Quandela to ensure a certified random number generation. What’s more, the entire SSL certificate generation process has been patented, ensuring that our approach is traceable and reliable.

“Our partnership with OVHcloud represents a breakthrough in cybersecurity. By positioning itself as a pioneer and acquiring our full-stack quantum computer to deploy in its datacentre, OVHcloud can now issue certified quantum random number generation SSL certificates for all customers. This security is based on the laws of physics, not on mathematical complexity alone. It’s quantum computing that now offers real-world security solutions.”
Shane Mansfield, Research Director at Quandela

What does this mean for your websites?

• Stronger encryption: with stronger, truly random security keys, your websites are better protected against current and future threats.
• Innovation for all: this cutting-edge technology, previously only reserved for research or highly secure environments, is now included in all our web hosting plans, at no extra cost.

Deployment is already in progress, and by the end of November 2025, 100% of our Let’s Encrypt SSL certificates will embed public keys generated using this new technology. More than 5 million websites will benefit from this enhanced security.

“After a year of R&D, we are taking an important step forward for the web with the generation of millions of SSL certificates that integrate quantum technology. This breakthrough paves the way for future innovations in quantum cybersecurity.”
Guillaume Marchand, IT Team Leader at OVHcloud

Summary

Online security has a technological foundation that must not only keep pace with evolving threats, but anticipate them. By including a certified quantum chance source called QRNG in the process of generating our SSL certificates – a world first – OVHcloud is taking a new step in data protection on the web.

This innovation strengthens the reliability of the encryption applied to secure exchanges between websites and their visitors. Thanks to quantum physics, the security keys become truly unpredictable, even against the most sophisticated attacks.

Innovating to better protect, anticipating to better serve: this is also part of our commitment to a trusted cloud.

A next-generation hosting platform

Find out how OVHcloud significantly improves your websites’ performance, while reducing their environmental footprint. This is all thanks to our new Scale-a5 Gen2 server-based infrastructure, which prioritises speed, reliability, resilience, and eco-responsibility.

We’ve upgraded our entire system, replacing all of our machines with a new generation of Scale-a5 Gen2 servers. This new shared platform is designed for performance and energy efficiency to (i) address the growing needs of today’s websites and, (ii) meet technological and environmental challenges.

These new servers can now improve website reliability, handle higher traffic, and lower the carbon footprint of your hosting plans. This way, we can help you integrate eco-design principles into your web projects and hit your environmental targets.

 Our goal is to provide you with fast, reliable, and eco-friendly—at no extra cost.

“The Scale-a5 Gen2 server ticks all the boxes in terms of speed, stability, and low power consumption, which is why we decided to make it the substructure of our new shared platform.”
Arnaud Jost, Product Unit Lead, OVHcloud

Up to 3x faster speeds during peak traffic

We’ve phased these new servers in across our shared web hosting plans, and can already measure the tangible improvements they bring to all our hosted websites. These are available now, and customers can benefit from them without needing to do anything.

Websites with high traffic and resource demands see particularly high performance improvements. We measured this by analysing how the 10 most resource-intensive websites on our infrastructure performed before and after deployment.

On average, these high-traffic sites sped up page processing by 1.93, with the most resource-intensive sites reaching a threefold increase. During periods of peak visits, the AMD EPYC-based Scale-a5 Gen2 servers show superior CPU parallel processing capabilities.

An average 30% performance gain and increased resilience for low-traffic sites

Low-traffic websites also see a performance boost, with 30% faster page load speed on average.

These results clearly correlate traffic volume with higher speeds. Compared to our last generation of servers, you could see an average performance boost of 30% (1.3x) to 200% (3x), depending on your website’s traffic and load.

In practical terms, this translates to:

• faster server response times, even during peak hours;
• noticeably higher capacity to absorb traffic spikes without impacting performance;
• and overall, a more responsive, stable, and positive user experience.

The tests also showed that Scale-a5 Gen2 servers were superior in several other areas. In addition to offering best-in-class loading times and processing capacity, the machines provide a maximum level of resilience and uptime (Tier 4). This helps us to optimally meet our quality-of-service requirements.

“These improvements underscore the advantages of our new platform, especially for customers managing high-volume traffic and peak resource demands.”
Bruno B., IT Team Leader Infrastructure, OVHcloud

Massive benefits for website KPIs

To fully assess the benefits of the new Scale-a5 Gen2 servers, we also looked at how they impacted KPIs related to user experience. We used the Core Web Vitals metrics, which serve as benchmarks for assessing a website’s loading speed and visual appeal. Google uses this data to rank websites, which is why it matters for both user experience and organic SEO.

The metrics we track:  

• Time to First Byte (TTFB): the time it takes for a website’s server to send the first byte of data after a user requests a webpage. This data mainly shows how well the web hosting plan performs, as it directly measures a server’s response. Fast server response times, reflected in low TTFB, are a key indicator of a hosting plan’s speed and reliability. While not a definitive sign of poor hosting, a high TTFB usually points to problems with website optimisation or network infrastructure. This metric should therefore be compared with additional metrics (below) to get a comprehensive performance overview.
• First Contentful Paint (FCP): the point in time when the first visual element (text, image, etc.) appears on the screen after a page loads. User experience improves with a shorter FCP.
• Largest Contentful Paint (LCP): the time it takes to load the largest visible element on a webpage. A website’s core content loads quickly and smoothly when its LCP is well designed.
• Full Loaded:the total time a webpage (images, text, scripts, etc.) takes to fully load. The shorter the loading time, the smoother the experience.

We measured performance metrics in a live production environment, using the GTmetrix tool. These are the common results for low-traffic websites:

Our new infrastructure has improved our average Time to First Byte by 36% (1.36x faster).

 The noticeable improvement in TTFB is proof of quicker server response, leading to:

• speedy websites;
• smoother navigation for users;
• higher search engine rankings.

Deploying the Scale-a5 Gen2 servers is a giant leap forward in web performance; the upgrade is now available to customers without any further steps needed.

“We’ve noticed a remarkable increase in website performance; our websites are now loading faster, a difference our customers are already seeing. This is a huge improvement that greatly enhances service quality, user experience, and search engine optimisation.”
Maxime Cavoizy, Associate Technical Director, Agence Rezo 21

A faster, greener platform

Our infrastructure upgrade isn’t just about speeding up the websites we host; it also marks a major step forward towards reducing our environmental footprint.

Scale-a5’s increased power and efficiency enable us to use fewer servers to host all our customers’ websites, which as a result, considerably reduces our power consumption.

Specifically, the upgrade cuts our energy use by up to 82%, without making your websites’ slower or less responsive. This approach is fully in line with our goal of providing more responsible, efficient, and sustainable hosting plans.

Our commitment to a sustainable cloud

OVHcloud’s commitment to eco-responsibility began with its founding, and continues through energy-efficient datacentres and innovative cooling systems. We strongly believe that performance and sustainability are two sides of the same coin.

This energy efficiency is also made possible by our water-cooling technology, which we’ve been perfecting in-house since 2003. It allows us to cool our servers with efficiency superior to conventional methods, significantly reducing our overall energy consumption.

Our one-of-a-kind approach to global cloud services includes manufacturing our own servers, and fully recycling them. We have complete oversight of our production chain, from design to disassembly. As a result, our machines are built to last for at least five years. In addition, we rigorously test all components for reuse whenever feasible. By choosing OVHcloud, you directly benefit from this circular and sustainable approach, and in doing so, optimise your carbon footprint.

These actions reflect our objective to offer high-performing and sustainable web hosting plans, and meet our customers’ expectations while minimising the environmental impact.

Your success at the heart of our technological innovation

“This major platform upgrade attests to our commitment to offering more efficient, reliable, and eco-friendly web hosting plans at the best price.”
Sébastien Cavaillé, Product Marketing Manager, OVHcloud

We’re honoured to help you succeed by providing you with innovative, eco-responsible, and high-performance services. This upgrade will provide lasting, quantifiable benefits—whether you’re a growing business, handling a high-traffic e-commerce site, or managing web projects focused on sustainability.

Not a customer yet? Our scalable, high-performance web hosting plans are built for all your projects. Check them out today!

Une plateforme d’hébergement nouvelle génération

Découvrez comment OVHcloud améliore significativement les performances de vos sites web tout en réduisant leur empreinte environnementale. Ceci, grâce à une nouvelle infrastructure s’appuyant sur les serveurs Scale-a5 Gen2. Au programme : vitesse, fiabilité, résilience et écoresponsabilité.

Notre équipe a opéré une transformation majeure en remplaçant l’ensemble de nos machines par une nouvelle génération de serveurs : les Scale-a5 Gen2. Pensée pour répondre aux besoins croissants des sites web modernes et aux défis technologiques comme environnementaux, cette nouvelle plateforme mutualisée combine performance et efficacité énergétique.

Grâce à ces nouveaux serveurs, vos sites web sont désormais en mesure d’absorber plus de trafic et bénéficient d’une fiabilité renforcée. En parallèle, cette évolution permet de réduire l’empreinte carbone de vos hébergements web. Elle contribue ainsi à l’écoconception de vos projets web et à respecter vos engagements environnementaux.

 Vous profitez ainsi d’un hébergement web alliant rapidité, stabilité et écoresponsabilité. Ceci, sans rien changer à votre facture.

« Les Scale-a5 Gen2 cochaient toutes les cases : vitesse, stabilité et consommation électrique réduite. C’est pourquoi nous avons décidé d’en faire le socle de notre nouvelle plateforme mutualisée. »
Arnaud Jost, Product Unit Lead chez OVHcloud

Jusqu’à 3 fois plus de vitesse en cas de trafic important

Nous avons procédé au déploiement progressif de ces nouveaux serveurs sur l’ensemble de nos hébergements web mutualisés. Cette phase nous a permis de mesurer les bénéfices apportés à l’ensemble des sites que nous hébergeons en conditions réelles. L’ensemble de notre clientèle en bénéficie dès à présent, automatiquement et sans aucune action requise.

Les gains de performance sont particulièrement élevés pour les sites web à fort trafic, très exigeants en ressources serveur. Pour évaluer concrètement cet impact, nous avons analysé les performances, avant et après le déploiement, des dix sites web les plus consommateurs de ressources hébergés sur notre infrastructure.

Ces derniers, bénéficiant d’une forte fréquentation, ont enregistré un gain de vitesse de traitement des pages de x1,93 en moyenne, et jusqu’à x3 pour les plus exigeants en ressources. Ces résultats illustrent l’excellente capacité de parallélisation du CPU des serveurs Scale-a5 Gen2, reposant sur l’architecture AMD EPYC, en situation de fort pic de visites.

Un gain moyen de 30 % pour les sites à faible trafic et une résilience accrue

Le gain de performance se ressent également pour les sites à plus faible trafic, pour lesquels nous constatons un gain moyen de 30 % dans la vitesse de traitement des pages.

Les résultats montrent ainsi une corrélation nette entre le volume de trafic et le gain de vitesse obtenu. En fonction du trafic et de la charge de votre site web, vous pouvez donc bénéficier d’une amélioration moyenne des performances allant de x 1,3 (+30 %) à x3 par rapport à notre précédente génération de serveurs.

Concrètement, cela se traduit par :

• des temps de réponse serveur plus courts, même aux heures de pointe ;
• une capacité nettement améliorée à absorber des pics de trafic sans dégradation des performances ;
• une expérience utilisateur globalement plus réactive, stable et agréable.

Par ailleurs, ces tests ont mis en évidence la supériorité des serveurs Scale-a5 Gen2 sur plusieurs autres points. Au-delà d’offrir les meilleurs temps de chargement et une capacité de traitement optimale, ces machines assurent un niveau de résilience et de disponibilité maximal (Tier 4). Elles permettent ainsi de répondre efficacement à nos exigences en matière de qualité de service.

« Ces améliorations soulignent le gain offert par notre nouvelle plateforme, qui profite directement à toute notre clientèle, en particulier les personnes confrontées à des volumes de trafic importants ou à des pics de consommation de ressources. »
Bruno B., IT Team Leader Infrastructure chez OVHcloud

Des gains significatifs sur les indicateurs clés de performance web

Afin de compléter notre évaluation des gains apportés par les nouveaux serveurs Scale-a5 Gen2, nous avons également analysé leur impact sur les indicateurs de performance web essentiels à l’expérience utilisateur. Les métriques sélectionnées appartiennent aux Core Web Vitals, références incontournables pour mesurer la vitesse de chargement et la qualité d’affichage d’un site web. Ces données influencent à la fois l’expérience utilisateur, mais aussi le référencement naturel (SEO), puisque Google les intègre à ses critères de classement.

Nous avons réalisé ces mesures à l’aide de l’outil GTmetrix, en environnement de production, c’est-à-dire dans des conditions réelles d’utilisation. Voici les résultats moyens constatés pour un site web à faible trafic.

Grâce à notre nouvelle infrastructure, nous enregistrons un gain de vitesse moyen de x1,36 (+36 %) du Time To First Byte.

 Ces améliorations significatives sur le TTFB indiquent clairement une meilleure réactivité du serveur, se traduisant par :

• Des sites web plus rapides.
• Une navigation plus fluide pour les utilisateurs.
• Un meilleur positionnement potentiel dans les résultats de recherche.

Le déploiement des serveurs Scale-a5 Gen2 marque ainsi une avancée majeure en matière de performance web, accessible dès aujourd’hui, sans aucune action requise de la part de nos clients.

« Nous avons constaté une nette augmentation des performances de nos hébergements. Nos sites se chargent désormais plus rapidement et nos clients ont immédiatement remarqué la différence. C’est un vrai gain pour notre qualité de service et une amélioration considérable de l’expérience utilisateur et des performances SEO. »
Maxime Cavoizy, directeur technique associé à l’Agence Rezo 21

Une plateforme plus rapide et un impact environnemental réduit

Cette transformation de notre infrastructure ne se contente pas d’améliorer la vitesse des sites web que nous hébergeons. Elle marque également une avancée majeure en matière de réduction de notre empreinte environnementale.

Grâce à la puissance et à l’efficacité accrues des Scale-a5, nous avons pu réduire le nombre de serveurs nécessaires pour accueillir l’ensemble des sites de notre clientèle. Nous avons ainsi diminué sensiblement notre consommation électrique.

Concrètement, cette transformation représente une réduction maximale de 82 % de notre consommation électrique, tout en offrant davantage de puissance et une meilleure réactivité pour vos sites. Cette démarche s’inscrit pleinement dans notre volonté de proposer un hébergement web toujours plus responsable, performant et durable.

Nos engagements pour un cloud durable

Depuis sa création, OVHcloud s’engage à minimiser son impact environnemental en optimisant la consommation énergétique de ses datacenters et en innovant pour des systèmes de refroidissement plus efficaces. Nous croyons fermement que performance et durabilité vont de pair.

Cette efficacité énergétique est aussi rendue possible par notre technologie de refroidissement liquide, le watercooling. Développée et affinée en interne depuis 2003, cette innovation nous permet de refroidir nos serveurs avec une efficacité supérieure aux méthodes classiques, réduisant ainsi considérablement notre consommation énergétique globale.

Nous sommes également le seul fournisseur mondial de cloud à fabriquer et recycler intégralement ses propres serveurs. Nos usines nous assurent un contrôle total des processus de conception, de production et de démontage. Chaque machine est ainsi conçue pour une durée de vie d’au moins cinq ans. De plus, 100 % des composants sont testés et réutilisés autant que possible. En choisissant OVHcloud, vous bénéficiez directement de cette démarche circulaire et durable, optimisant ainsi votre propre empreinte carbone.

Ces initiatives reflètent notre volonté de proposer des hébergements web à la fois performants et durables, répondant aux attentes de nos clientes et clients tout en minimisant l’impact sur notre planète.

Votre succès au cœur de notre innovation technologique

« Cette évolution majeure de notre plateforme témoigne de notre engagement à vous offrir des hébergements web toujours plus performants, fiables et plus respectueux de l’environnement, au meilleur prix. »
Sébastien Cavaillé, Product Marketing Manager chez OVHcloud

Nous sommes fiers d’accompagner votre réussite avec des services qui allient innovation, responsabilité et performance. Que vous représentiez une entreprise en pleine croissance, un site e-commerce confronté à d’importants pics de trafic ou un projet web sensible à l’empreinte écologique, cette transformation vous apporte des bénéfices concrets et durables.
Vous n’êtes pas encore client ? Explorez dès aujourd’hui nos offres d’hébergement web : évolutives, performantes et taillées pour tous vos projets.

Comprendre l’utilité passée et les risques actuels du fichier xmlrpc.php, ainsi que les bonnes pratiques pour sécuriser votre site.

Le fichier xmlrpc.php est un composant historique de WordPress. Bien qu’il ait été essentiel il y a quelques années, son utilité a largement diminué avec l’évolution de la plateforme. Ce fichier est aujourd’hui souvent perçu comme une porte dérobée pour les attaques informatiques, rendant sa gestion cruciale pour la sécurité de votre site.

Cependant, ce cas n’est pas isolé. De nombreux outils ou fonctionnalités peuvent devenir obsolètes ou présenter des risques avec le temps. Il est donc indispensable de maintenir une vigilance constante pour identifier et traiter ces failles potentielles.

Dans cet article, nous allons décrire brièvement le rôle historique de xmlrpc.php, examiner les risques qu’il représente et mettre en lumière des solutions pour le désactiver ou le sécuriser. Ceci, tout en soulignant l’importance de l’adoption d’alternatives modernes.

Qu’est-ce que xmlrpc.php ?

Le fichier xmlrpc.php est une interface permettant à WordPress de communiquer avec d’autres services ou applications via le protocole XML-RPC. À l’origine, il facilitait des fonctionnalités comme :

• la publication de contenu via des outils tiers (logiciels de bureautique, scripts automatiques, etc.) ;
• la gestion mobile des sites, à l’image de l’ancienne application WordPress pour smartphones.

Depuis la création de l’API REST de WordPress, plus moderne et sécurisée, le fichier xmlrpc.php a perdu son utilité. Pour la majorité des personnes administrant un site WordPress, il est même désormais considéré comme obsolète.

Pourquoi xmlrpc.php est-il problématique ?

Ce fichier présente aujourd’hui des failles qui en font une cible privilégiée pour les cyberattaques.

• Attaques par force brute : des individus malintentionnés peuvent exploiter le fichier pour tenter un nombre illimité de connexions, en combinant des noms d’utilisateur et mots de passe.
• Amplification des attaques DDoS : certaines fonctionnalités de xmlrpc.php permettent d’envoyer de nombreuses requêtes en un seul appel, multipliant ainsi la charge sur le serveur.
• Exploitation des failles logicielles : si votre WordPress ou vos extensions ne sont pas à jour, ce fichier peut être utilisé pour exécuter des commandes malveillantes.

Comment désactiver xmlrpc.php ?

Heureusement, désactiver ce fichier est à la fois simple et sans impact pour la majorité des sites WordPress. Voici différentes méthodes adaptées à vos besoins.

1. En modifiant le fichier .htaccess (solution préférée)

Si vous avez accès aux fichiers de votre site, vous pouvez empêcher les requêtes vers xmlrpc.php en ajoutant les lignes suivantes dans le fichier .htaccess (situé à la racine de votre site) :

Avantage : méthode directe et légère.

Inconvénient : nécessite une certaine prudence, car une erreur dans le fichier .htaccess peut affecter l’ensemble du site.

• Via un plugin

Vous recherchez une solution clés en main ? Des extensions comme Disable XML-RPC-API permettent de désactiver rapidement xmlrpc.php sans toucher au code.

Avantage : facilité et gain de temps.

Inconvénient : dépendance à un plugin supplémentaire.

• En configurant votre serveur

Pour les personnes administratrices disposant d’un hébergement dédié ou d’un VPS, il est possible de bloquer l’accès à xmlrpc.php au niveau du serveur. Par exemple, sur Apache :

Ou sur Nginx :

Avantage : solution idéale pour les environnements à forte charge.

Inconvénient : requiert des connaissances techniques.

Quelles sont les alternatives à xmlrpc.php ?

Plusieurs solutions simples peuvent être envisagées si vous avez besoin des fonctionnalités offertes par xmlrpc.php.

1. Utiliser l’application mobile WordPress moderne

L’application officielle WordPress pour iOS et Android utilise désormais l’API REST au lieu de xmlrpc.php. Assurez-vous que votre site est configuré correctement pour permettre cette transition. La plupart des hébergements récents, comme ceux proposés par OVHcloud, supportent cette fonctionnalité par défaut.

• Adopter des outils compatibles avec l’API REST

De nombreuses solutions de publication à distance ont été mises à jour pour utiliser l’API REST, qui est plus sécurisée et mieux adaptée aux besoins actuels. Vérifiez si vos outils favoris offrent cette compatibilité et, le cas échéant, mettez-les à jour.

• Sécuriser xmlrpc.php en cas de besoin spécifique (en dernier recours)

Si vous ne pouvez vraiment pas vous passer de xmlrpc.php, il est crucial de limiter son exposition aux menaces. Voici quelques bonnes pratiques :

• restreindre l’accès à certaines adresses IP via .htaccess ou la configuration serveur ;
• utiliser un plugin de sécurité pour limiter les requêtes XML-RPC (ex. le nombre de connexions en un temps donné) ;
• mettre en place une authentification forte, comme l’authentification à deux facteurs, pour renforcer la sécurité des connexions.

Cette solution est considérée comme non recommandée, car elle laisse tout de même une surface d’attaque accessible. Elle doit être réservée aux cas où l’utilisation de xmlrpc.php est indispensable. Gardez aussi à l’esprit que ces ajustements ne remplacent pas une migration vers des outils modernes comme l’API REST.

Protégez votre site WordPress tout en restant à jour

Vous connaissez désormais mieux le rôle historique et les enjeux de sécurité liés au fichier xmlrpc.php. N’oubliez pas que la sûreté de votre site repose sur une vigilance constante : surveillez les mises à jour de WordPress et de ses extensions, lisez attentivement leurs notes de version pour repérer tout changement susceptible d’affecter la sécurité de votre environnement.

Besoin d’un coup de main supplémentaire ? Rejoignez notre communauté sur Discord ou consultez notre documentation WordPress pour aller plus loin dans la sécurisation et l’optimisation de votre site.

Understanding the past usefulness and current risks of the xmlrpc.php file, as well as best practices for securing your website.

The xmlrpc.php file is a historical component of WordPress. Although it was essential a few years ago, its usefulness has greatly diminished as the platform has evolved. This file is now often perceived as a back door for cyberattacks, meaning that it is crucial to manage it to ensure that your website stays secure.

However, this is not an isolated case – many other tools or features can become obsolete or risky over time, so it is important to stay alert to identify and address any potential vulnerabilities.

In this article, we will briefly describe the historical role of xmlrpc.php, examine the risks it poses, and highlight solutions for disabling or securing it. We’ll also emphasise the importance of embracing modern alternatives.

What is xmlrpc.php?

The xmlrpc.php file is an interface for WordPress to communicate with other services or applications via the  XML-RPC protocol. Initially, it facilitated features such as:

• Publishing content via third-party tools (e.g. desktop software, automated scripts)
• Mobile website management, such as the old WordPress app for smartphones

Since the creation of the more modern and secure WordPress REST API, the xmlrpc.php file has lost its usefulness. For most people who manage a WordPress website, it is now even considered obsolete.

Why is xmlrpc.php problematic?

This file now has vulnerabilities that make it a prime target for cyberattacks.

• Brute-force attacks: individuals can exploit the file to attempt an unlimited number of connections, using a combination of usernames and passwords.
• Amplification of DDoS attacks: certain features of xmlrpc.php allow multiple requests to be sent in one go, thus increasing the load on the server.
• Exploitation of software vulnerabilities: if your WordPress or plugins are not up to date, this file can be used to run malicious commands.

How do I disable xmlrpc.php?

Fortunately, disabling this file is simple and does not affect most WordPress websites. Here are some different methods, depending on your needs.

1. Modify the .htaccess file (preferred solution)

If you have access to files on your site, you can prevent queries to xmlrpc.php by adding the following lines to the .htaccess file (located at the root of your site):

Advantage: direct and light-handed method.

Disadvantage: requires some care, as an error in the .htaccess file can affect the entire website.

• Via a plugin

Looking for a turnkey solution? Extensions like Disable XML-RPC-API allow you to quickly disable xmlrpc.php without touching the code.

Advantage: easy and time-saving.

Disadvantage: reliance on an additional plugin.

• Configure your server

For administrators with a dedicated hosting plan or a VPS, it is possible to block access to xmlrpc.php at the server level. For example, on Apache:

Or on Nginx:

Advantage: ideal solution for high-load environments.

Disadvantage: requires technical knowledge.

What are the alternatives to xmlrpc.php?

There are several simple solutions you can consider if you need the functionality offered by xmlrpc.php.

1. Use the modern WordPress mobile app

The official WordPress application for iOS and Android now uses the REST API instead of xmlrpc.php. Make sure your site is configured correctly to allow this transition. Most recent web hosting plans, such as those offered by OVHcloud, support this feature by default.

• Adopt tools compatible with the REST API

Many remote publishing solutions have been updated to use the REST API, which is more secure and better suited to current needs. Check if your favourite tools offer this compatibility, and update them if necessary.

• Secure xmlrpc.php in case you specifically need it (as a last resort)

If you really can’t do without xmlrpc.php, it’s crucial to limit its exposure to threats. Here are some best practices:

• restrict access to certain IP addresses via .htaccess or server configuration
• use a security plugin to limit XML-RPC requests (e.g. the number of connections in a given time)
• implement strong authentication, such as two-factor authentication, to enhance connection security

This solution is not recommended, as it still leaves an accessible attack surface. It should be reserved for cases where the use of xmlrpc.php is still essential. Also keep in mind that these adjustments are not a substitute for migrating to modern tools like the REST API.

Protect your WordPress website while staying up to date

Hopefully, you are now more familiar with the historical role of xmlrpc.php and its associated security issues. Keep in mind that keeping your website safe requires constant vigilance – so check for updates to WordPress and its plugins, and read their release notes carefully for any changes that could affect the security of your environment.

Need some extra help? Join our community on Discord, or check out our WordPress documentation to go even further in securing and optimising your site.

A scalable and accessible roadmap

Our published roadmap provides an overview of current development priorities, and an extensive breakdown of ongoing and future changes. It’s a dedicated space where various services are discussed for planning features, improvements, and product scalability.

• Web Hosting: Hosting solutions for websites and applications.
• Telecommunications Services (Telecom): IP telephony services and connectivity.
• Collaboration (Collab): Tools like Microsoft Exchange, Zimbra, professional/business emails, and Microsoft 365.
• VPS/Bare Metal Eco: Affordable hosting solutions for virtual private servers (VPS) and dedicated servers.

We’ve published this roadmap to help you stay up to date on product development, especially the ones you use, and actively contribute to improving them. Thanks to this roadmap, you can share your ideas, voice your concerns, as well as suggest essential functional changes and how they can make our products even better.

A communication tool

This space is primarily designed to encourage the sharing of ideas and opportunities for improvement. Our goal is to give our users a space where they can freely share their thoughts and suggestions, and be actively involved in improving our products and fulfilling our roadmap. Your suggestions help us understand what our users want, so we can tailor our solutions to match your needs.

Please keep in mind that this roadmap is not a support channel; it’s not meant for ticket or technical support requests. If you have any issues or need customer support, please reach out through the usual channels — the OVHcloud Control Panel, official documentation, or the OVHcloud community.

How do I take part?

Want to help us enhance our services? It’s quite straightforward! Check out our GitHub roadmap to see the exciting features we have in the works, including planned improvements, or even ideas from other community members. You can:

• Share your thoughts: we welcome any suggestions you may have for new features, or improvements that could elevate our collaborative and telecom solutions, and hosting and domain name solutions. Also, VPS and Bare Metal Eco (BM Eco) services are featured on both the current roadmap as well as the dedicated Public Cloud roadmap.
• Voting and leaving comments: get in on discussions, share your thoughts, and support ideas that matter to you.
• Track updates: stay in the loop with our live progress, ongoing deployments, and upcoming projects.

A constantly evolving approach

At OVHcloud, we believe working together is key to building products that truly serve our customers. This published roadmap gives you the peace of mind and foresight to effectively plan your projects. We’re always looking to extend the reach of our services, and we can’t do that without you.

In conclusion

Publishing our Hosting, Telecom and Collaboration roadmap shows how committed we are to making transparency and collaboration central to our approach. We’ve made this GitHub space available, so you can keep up with how we tailor and scale our services, and play an active role in enhancing them. Your input, ideas, and feedback are building blocks that help us develop products that are specially built for you. We’re shaping the future of our services with your input — your experience and expectations matter!

Join us now and make a difference in improving OVHcloud solutions! Check out our changelog and roadmap for our Cloud solutions, also on GitHub.

Pourquoi optimiser un site internet : un gain écologique, mais aussi économique

S’il n’a jamais été aussi facile de créer des sites web, il n’y a jamais eu autant de sites lourds à charger. Ces sites web demandent davantage de ressources serveur ainsi que des téléphones, tablettes et ordinateurs plus rapides. L’optimisation de ces sites web permettrait à de gros fournisseurs comme OVHcloud d’en héberger davantage dans un même datacenter. Cela permettrait au nouveau site web de fonctionner de manière optimale sur les téléphones d’il y a 5 ans, y compris lorsque le réseau n’est pas bon.

Pour rappel, l’impact environnemental du numérique se compose de 30 à 40 % de consommation électrique et de 60 à 70 % de la fabrication de matériel (côté datacenters ou consommateurs).

Améliorer la performance d’un site internet a donc une vertu écologique, mais aussi économique.

Améliorer un site internet a donc une vertu écologique, mais aussi économique. Cela permet de booster la visibilité et la performance du site web :

• optimiser le référencement en travaillant son pilier technique ;
• réduire le taux de rebond ;
• optimiser le taux de conversion d’un site web;
• optimiser l’affichage d’un site internet, et globalement proposer une meilleure expérience utilisateur pour vos usagers.

Quels sont les conseils d’hébergement d’un site web écoconçu ?

Le premier conseil pour votre solution d’hébergement de sites n’est pas forcément d’avoir de l’énergie renouvelable ou l’efficacité énergétique (PUE) du datacenter. Cela peut commencer par vous héberger dans un pays avec un mix énergétique bas comme la France, la Suisse ou la Suède. Vous aurez déjà fait 90 % du travail.

Si vous voulez aller plus loin, vous pourrez ensuite affiner votre choix en regardant l’efficacité énergétique (PUE) du datacenter, s’il est relié directement à des réseaux de récupération de chaleur ou alimenté par des énergies renouvelables.

Attention à la communication de grands acteurs américains : leurs annonces concernent le plus souvent de l’énergie compensée. Cela signifie que le datacenter est alimenté par des centrales au charbon, mais que le fournisseur investit dans une ferme de panneaux solaires de l’autre côté du continent.

L’autre point consiste à utiliser au maximum des solutions mutualisées. Chez OVHcloud par exemple, pour un site web, privilégiez les solutions mutualisées de type Web Cloud aux services dédiés (VPS ou serveurs dédiés Bare Metal). Cela permet à OVHcloud de fabriquer moins de matériel pour autant de sites internet. En bonus : cela réduit aussi les risques de piratage de votre site web.

WordPress, Drupal, Webflow : puis-je encore utiliser un CMS ?

Le système de gestion de contenu (CMS) le plus connu est WordPress. Il s’agit du leader avec plus de 65 % des parts de marché, le second étant autour de 5 %. Pourtant, il a très mauvaise réputation. Les sites sont lourds pour les utilisatrices et utilisateurs, donc probablement impactants écologiquement.

Ce ne sont que des outils, il faut aussi de bons artisans. L’illustration suivante montre qu’au score Google Page Speed sur mobile, un site internet peut avoir une très mauvaise évaluation comme 9/100 et monter jusqu’à 98/100. Le point commun : le même CMS, WordPress.

Drupal et WordPress peuvent aussi permettre de créer des sites très écoperformants en remplissant tous les critères d’un site compétitif et écoresponsable.

Néanmoins, il y a des pièges à éviter. Sous WordPress, vous pouvez utiliser des builders pour faciliter la mise en page, le plus connu étant Elementor. Ces derniers ne sont pas tous égaux. Chez Webvert nous avons fait un comparatif des builders WordPress.

Chez Shopify, le moteur optimise les images des pages article automatiquement. Si toutefois vous utilisez les builders comme GemPages ou PageFly pour la partie blog et collection, c’est une catastrophe (nous n’avons pas d’autres mots).

De la même manière, les solutions no-code comme Webflow ou Squarespace sont aussi très permissives : on se retrouve avec des sites très lents à charger pour nos terminaux, ce qui pousse au renouvellement de ces derniers.

Quels outils pour mesurer la performance d’un site web ?

Actuellement, il existe différents types d’outils pour mesurer la performance d’un site web.

Pour choisir un thème, nous vous recommandons l’EcoIndex de GreenIT. Attention, il n’est pas forcément adapté pour analyser le contenu. De plus, ces indicateurs d’équivalent CO₂ et d’eau ont pour objectif de sensibiliser. Ils ne sont pas utilisables dans une étude.

Pour travailler sur le contenu, nous vous recommandons les outils suivants :

• Google Page Speed qui vous donne un score d’optimisation du contenu et du thème ;
• des sites comme Website Carbon Calculator, Ecograder et beaucoup d’autres qui reposent tous sur la même bibliothèque open source CO2.js.

La limite de ces outils est qu’ils ne mesurent qu’une seule page à la fois.

L’autre limite est qu’ils travaillent sur un total, que ce contenu soit utile et visible pour les utilisatrices et utilisateurs ou non. L’approche que nous avons chez Webvert est d’identifier le gaspillage numérique. Il s’agit de la partie de la bande passante qui part des serveurs. Celle qui arrive sur vos téléphones et qui ne sert à rien. Par exemple, une image qui fait 6 000 x 4 000 pixels et qui est affichée en 300×200 pixels. Cet exemple banal fait déjà une différence de plusieurs mégas alors qu’actuellement, on essaye d’approcher la taille d’une page web autour d’un 1 Mo.

Quelles sont les grandes actions à accomplir pour optimiser un site web ?

Pour éliminer ce gaspillage numérique et optimiser vos pages web à contenu égal et à CMS égal, nous avons identifié les grandes actions suivantes :

• optimiser la configuration serveur (la mise en cache et la compression texte) ;
• le choix du format des images ;
• le dimensionnement des images ;
• la compression des images.

1-Optimiser la configuration serveur

Chez Webvert, nous voyons beaucoup trop de sites web mal configurés.

Deux réglages sont importants sur votre site internet :

• la mise en cache. Le réglage conseillé par Google est d’un an, cela évite entre autres à vos visiteurs de charger toujours les mêmes images ;
• ne pas oublier la compression texte. Elle est normalement bien réglée sur les solutions Web Cloud d’OVHcloud, mais il arrive que de mauvais réglages viennent dégrader la situation.

2-Choisir le format des images

Vous êtes sur Figma ou Photoshop : cliquez sur « Exporter », le premier format proposé est le format PNG. Ne vous posez pas plus de question : il s’agit de l’une des actions principales pour construire votre site internet.

Avec cette action qui peut sembler anodine, vous vous retrouvez avec des images 4 à 10 fois plus grosses que si vous aviez sélectionné le bon format.

Nos conseils de choix du bon format :

• le logo : préférez le format SVG et dans certains cas le PNG ;
• les schémas, illustrations en aplats de couleurs : le PNG est le bon format, mais le SVG peut être le plus adapté ;
• les photos ou schémas contenant une photo : le format JPG.

Normalement votre site web contient en général 70 à 90 % d’images au format JPG.

Vous remarquerez qu’on n’évoque pas le format WebP pour les sites internet, on en reparle plus tard.

3-Dimensionnez vos images à la bonne taille

L’autre erreur classique est de publier directement vos images sur votre site internet sans vous poser de question. Comme quand vous allez chez l’imprimeur, il est nécessaire d’adapter le contenu pour un site web et de prendre le temps de regarder comment votre image est affichée. Il pourra s’avérer nécessaire de la redimensionner avec votre visualiseur d’images (ex. « Aperçu » sur iMac ou « Photos » sur Windows).

Un tutoriel complet pour redimensionner des images est disponible sur le blog de Webvert.

4-Optimiser les images

Pour l’optimisation d’un site, les deux actions précédentes permettent de diviser par 2, 3, 4 ou 10, la taille d’une image.

On peut encore optimiser 10 à 30 % sur la taille des images. Pour ce faire, il existe des outils.

Un tutoriel complet pour optimiser les images est disponible sur le blog de Webvert.

5-Et le code alors ?

Pour l’optimisation d’un site internet, nous n’aborderons pas les sujets du code, de JavaScript, ni du CSS. Nos données d’analyse montrent que le plus souvent, cette thématique représente moins de 4 % d’impact dans la réduction de la partie inutile d’un site web.

Les données montrent qu’il faut d’abord accomplir les actions sur le contenu d’un site web, pour ensuite s’attaquer à cette partie-là.

Chez Webvert, nous ne rencontrons un site ayant besoin d’une optimisation du CSS et de JavaScript qu’environ une fois sur cent.

Comment lancer ces actions en masse ?

Chez Webvert, nous avons développé un outillage interne pour processer des centaines, voire des milliers d’images par jour avec toutes les meilleures pratiques.

Retrouvez-nous sur OVHcloud Marketplace

Attention aux effets secondaires de la suroptimisation

Quand vous soumettez le contenu de votre site internet sur Google Page Speed, lors de l’analyse pour certaines images, nous vous recommandons d’utiliser le format WebP. Ce dernier a été conçu par Google pour avoir des images haute résolution en plus petite taille. Vous pouvez donc utiliser le format WebP et ne plus vous poser de question.

Veuillez toutefois noter qu’utiliser uniquement le format WebP augmente l’impact environnemental d’un site web.

En effet, une bonne partie des téléphones et tablettes datant jusqu’à 2016 ne pourront pas afficher ces images. Une grande part de votre contenu sera donc tronquée.

Cependant, en affichant uniquement du WebP sur votre site web, vous obtiendrez de très bons scores d’optimisation, quel que soit l’outil. Mais vous provoquez du renouvellement de matériel. Pour rappel, la fabrication, c’est 60 à 70 % de l’impact du numérique sur notre planète.

Chez Webvert, nous n’utiliserons le WebP qu’en 2026 (10 ans après). Nous avons analysé les données sur le terrain : un JPG optimisé et bien dimensionné donne un résultat très proche du WebP.

Allez plus loin que le site web, comment minimiser l’impact de votre produit ?

Vous avez maintenant une bonne vision sur la manière d’optimiser le contenu de votre site web. Si vous voulez aller encore plus loin, pensez aux produits numériques que votre équipe conçoit et promeut.

Souvent, les équipes de développement vont se focaliser sur l’optimisation de la consommation serveur.

Le conseil que l’on peut vous donner est aussi de considérer les externalités, le fameux scope 3. Qu’est-ce que votre produit provoque comme rachat de matériel pour votre clientèle ?

Le plus souvent, il s’agit d’une décision, celle de ne plus supporter les anciens terminaux utilisés par un faible pourcentage de personnes seulement. Ce faisant, vous contribuez à retirer des millions d’appareils électroniques du marché et à appauvrir l’offre de seconde main.

Nous en profitons pour partager avec vous un dernier conseil pour votre site internet : testez-le sur un vieux téléphone et dans une zone où le réseau est mauvais (en général c’est assez facile à trouver) et jugez de l’expérience utilisateur.

Retrouvez Webvert sur OVHcloud Marketplace pour décarboner votre site web

Subject expert Youen Chéné, co-founder of the Webvert website decarbonization solution and member of the OVHcloud technology ecosystem, tells us how.

Why optimise a website: the environmental and financial advantages

While building websites has never been so easy, so many websites are also “heavy” to load, requiring more server resources and faster phones, tablets and computers. There is evidence that optimising these websites would enable large providers like OVHcloud to host more of them within the same datacentre, and allow the new sites to work optimally on even 5-year-old phones – even when the network is not good.

The environmental impact of digital technology is caused by 30-40% electricity consumption and 60-70% hardware manufacturing (datacentres or on the consumer side).

Improving a website’s performance is not only environmentally friendly, but also cost-effective. It boosts the website’s visibility and performance:

• optimising SEO by working on its technical elements
• reducing the bounce rate
• optimising a website’s conversion rate
• optimising the display of a website, and offering a better user experience for your users overall.
  

Tips for hosting an eco-designed website

The first piece of advice for your website hosting solution is to host it in a country with a low energy mix, such as France, Switzerland or Sweden. This way, you’ll have done 90% of the work already.

If you want to go further, you can then refine your choice by looking at the datacentre’s energy efficiency (PUE), whether it is directly connected to heat recovery networks or powered by renewable energy.

Beware of the marketing from major US providers: their claims are mostly about compensated energy. This means the datacentre is powered by coal-fired power plants, but the provider invests in a solar farm on the other side of the continent.

Another idea is to make maximum use of shared solutions. At OVHcloud, for a lightweight website, we recommend shared solutions such as Web Cloud, rather than dedicated services. This means we can manufacture less hardware for as many websites as possible.

Can I still use a CMS such as WordPress, Drupal, or Webflow?

The most popular content management system (CMS) is WordPress. It is the leading tool with more than 65% of the market share (the second most popular has around 5%). However, it has a somewhat bad reputation. Its sites are heavy for users, and therefore more likely to have an environmental impact.

These are just tools; you need good creators, too. The following illustration shows that on Google Page Speed on mobile, a website can have a very poor score like 9/100 or go as high as 98/100. The common denominator: the same CMS, WordPress.

Drupal and WordPress can be used to create high-performance websites, while meeting all the criteria for a competitive, eco-friendly website.

Nevertheless, there are still pitfalls to avoid. With WordPress, you can use builders to help with your page layout, the most well-known being Elementor. But not all builders are equal: at Webvert we made a comparison of WordPress builders.

At Shopify, the engine automatically optimises images on article pages. However, if you use builders like GemPages or PageFly for a blog or collection, it’s a disaster (there are no other words to describe it!).

Similarly, no-code solutions such as Webflow or Squarespace are also very tolerant: we end up with sites that are very slow for our terminals to loads, which forces us to upgrade them.

Which tools can you use to measure a website’s performance?

Currently, there are different types of tools for measuring a website’s performance.

To measure a theme, we recommend the GreenIT EcoIndex. Please note that it is not necessarily suitable for analysing content. The CO₂ equivalent and water indicators are for raising awareness, and they cannot be used in a study.

To analyse content, we recommend the following tools:

• Google Page Speed, which gives you an optimisation score for content and theme
• sites like Website Carbon Calculator, Ecograder and many more that all rely on the same open-source CO2.js library.

The limitation of these tools is that they only measure one page at a time.

The other limitation is that they work on a total, whether that content is useful and visible to users or not. The approach we take at Webvert is to identify digital waste. This is the part of the bandwidth that leaves the servers and arrives on your phone, but is unusable – for example, an image that is 6000 x 4000 pixels but is displayed at 300 x 200 pixels. This mundane example already makes a difference of several megabytes, whereas currently, we are trying to bring the size of a webpage to around 1 MB.

What are the main actions you need to take to optimise a website?

To eliminate this digital waste and optimise your web pages with equal content and equal CMS, we have identified the following key actions:

• optimise server configuration (caching and text compression)
• choice of image formats
• image sizing
• image compression
• Optimising server configuration

At Webvert, we see far too many misconfigured websites.

There are two important settings for your website:

• Cache: the setting recommended by Google is one year, which prevents your visitors from having to reload the same images.
• Text compression: this setting is normally well-tuned on OVHcloud Web Cloud solutions, but occasionally, incorrect settings make the situation worse.
• Choosing an image format

If you are using Figma or Photoshop, click “Export ”, and the first format offered is PNG. Here is one of the main actions you can take when building your optimised website.
By always selection PNG, you end up with images 4 to 10 times bigger than if you had selected the right format.

Our advice on choosing the right format:

• logo : opt for SVG format, and in some cases PNG
• diagrams, illustrations in solid colours: PNG is the right format, but SVG may be more suitable
• photos or diagrams containing a photo: JPG format

Normally your website will contain 70-90% JPG images. You will notice that we didn’t mention the WebP format for websites – more on that later.

• Making your images the right size

The other classic mistake is to publish your images directly on your website without a second thought. Like going to a commercial printer, you need to adapt the content for a website and take the time to look at how your image is being displayed. You may need to resize it with your image viewer (e.g. Preview on iMac or Photos on Windows).

A comprehensive tutorial for resizing images is available on Webvert’s blog.

• Optimising images

For optimising a site, the two actions above allow the size of an image to be reduced by 2, 3, 4 or 10 times. It is also possible to optimise the size of the images by 10 to 30%. There are tools to help you do this.

A comprehensive tutorial on optimising images is available on Webvert’s blog.

• What about the code?

For website optimisation, we will not cover the topics of code, JavaScript, or CSS. Our analysis data shows that, more often than not, this factor makes up less than 4% of the impact in reducing the “useless” part of a website.
The data shows that you have to address the content of a website first, then tackle the code.
At Webvert, we only see a website that needs CSS and JavaScript optimisation in about one in a hundred cases.

How can I launch these actions all together?

At Webvert, we have developed an internal tool to process hundreds or even thousands of images per day using all the best practices. This is available on OVHcloud Marketplace.

Beware of the side effects of over-optimisation

When you submit your website content on Google Page Speed, when analysing certain images, we recommend using the WebP format. This was designed by Google to create high resolution images in smaller sizes, so you can use WebP format without second-guessing yourself.

Please note, however, that using only WebP format can also increase a website’s environmental impact. Many phones and tablets dating back to 2016 will not be able to display these images, and as a result, a lot of your content will be truncated.

However, by displaying only WebP images on your website, you will get very good optimisation scores, regardless of the tool. But you may force people to upgrade their devices – and as a reminder, manufacturing accounts for 60% to 70% of the impact of digital technology on our planet.

At Webvert, we won’t be using WebP until 2026: 10 years after this. We analysed the data in the field: an optimised and well-dimensioned JPG gives a very similar result to WebP.

Beyond websites, how can you minimise the impact of your product?

You now have a good idea of how to optimise your website’s content. If you want to go even further, think about the digital products your team designs and promotes. Often, development teams will focus on optimising server consumption.

The advice we can give you is to also consider external factors, known as Scope 3 emissions. Where does your product stand when it comes to your customers replacing their devices? In most cases, the decision is made to no longer support old devices used by only a small percentage of people. But by doing so, you are taking millions of electronic devices off the market and making the second-hand supply poorer.

We would like to share one last piece of advice for your website: test it on an old phone and in an area where the network is bad (usually this shouldn’t be hard to find!) and judge the user experience.

Find Webvert on the OVHcloud Marketplace and start decarbonizing your website

These days, these attacks are common and more frequent. This threat is almost invisible, transforms constantly, and concerns us all — whether we’re individuals, small or large companies, or administrations. This is the case, regardless of the scale of the internet exposure. Of course, the main web players and the most strategic economic players are much more exposed to it than the owner of a small website. However, everyone must ensure they have the right measures in place to guarantee optimal protection for their business

Why secure your websites?

Although this phenomenon certainly isn’t new, the number of cyberattacks has increased significantly in recent years. This number has quadrupled in two years, according to a report by the French National Agency for the Security of Information Systems (ANSSI). The particular context of the past two years has, of course, exacerbated the prevalence of this trend — providing fertile ground for vulnerabilities that are more easily exploited by cybercriminals.

Since early 2020, the healthcare crisis has highlighted many vulnerabilities within organisations. This is particularly true with the accelerated implementation of wide-scale remote working, sometimes associated with breaches of certain basic IT security rules. However, all of this is part of a long-term trend, and recent events have been a catalyst. For example, the number of vulnerabilities identified in the Common Vulnerabilities and Exposures (CVE*) database over the past decade has increased significantly, with a notable acceleration since 2017.

*The CVE is a publicly accessible list of cybersecurity vulnerabilities. This database is free to use.

As a leading cloud and web services provider, we place great importance on both the security of our infrastructures and that of our service users. At OVHcloud, our philosophy has always been to include a wide range of solutions by default that will help protect you, no matter which service level you choose. Of course, it is still important to stay informed regarding the proper implementation of basic IT security rules (e.g. secure access, regularly updating applications, CMS tools and associated plugins as part of web hosting plans).

Your opinion is important to us. This is why we recently launched a survey to ask you what your main expectations are for our web services. The feedback we received has revealed that many of you are expecting more features to better secure these services. In order to meet these expectations, and deliver increasingly innovative services, we’re offering new security solutions as part of our CDN option for shared hosting.

How do I secure my website?

Your security is one of our top priorities, so all of our web hosting plans include the following essential protections by default:

• An SSL certificate to secure HTTPS connections to your website.
• Anti-DDoS protection to protect servers in the event of an attack.
• A new CDN Security option, compatible with all of our web hosting plans, so you can go even further in securing your websites.

Let’s Encrypt SSL certificate: HTTPS security for everyone

HTTPS protocol encrypts data between the visitor’s browser and your website. It also enables the browser to ensure that it is visiting the correct website. Today, it represents a standard for website security — and it is a guarantee of trust for your visitors. We offer this service free of charge and with no time limit, with all of our web hosting plans.

What is an SSL certificate?

If you would like to know more about these certificates, please read our page on the subject: your free SSL certificates via Let’s Encrypt.

For large or small projects, our anti-DDoS protection is free

Like any infrastructure hosted at OVHcloud, regardless of size, your website is protected by the most powerful anti-DDoS system on the market. It protects your website round-the-clock against distributed denial-of-service (DDoS) attacks, and we will alert you if any dangers occur.

Optimal protection with CDN Security

We want to support you as much as possible in ensuring that your websites are secure — whether they are personal or professional, small or large. This means you can stay as close as possible to market standards, and even exceed them.

The CDN Security pack is easy to use, complements the CDN Basic service (included for free with our Performance web hosting plans), and provides enhanced protection for your websites.

This all sounds great on paper, but what are the main additional features offered by this option?

Web Application firewall (WAF)

Let’s start by exploring one of the most advanced features of our CDN Security solution: WAF. The purpose of the Web Application Firewall is to detect and block attacks or data leaks from your website.

Built on ModSecurity (https://github.com/SpiderLabs/ModSecurity) and the OWASP CRS data set (https://coreruleset.org/), this option analyses requests for attack patterns, SQL injections, XSS vulnerabilities, and more.

For example: if an SQL injection attempt is made following a vulnerability in your content management system (CMS), the application firewall blocks the upstream request in order to protect your site. You can then wait for your CMS to be updated without it being affected. Please remember that security updates are essential for your website to work properly, and are part of our best practices.

The WAF can also analyse your website’s responses, and block a request that would return sensitive data. This is to protect against database leaks, source code leaks and technical information leaks on your infrastructure.

For optimal ease of use, the rules for this application firewall are managed by our team. There is currently a single profile that covers many types of attacks.

In the coming months, we plan to create a wider range of profiles designed to meet the specific aspects of certain content management systems. You can then select the profile you want for your project directly from the OVHcloud Control Panel.

HTTPS Redirect

Your SSL certificate cannot guarantee that 100% of the traffic to your website will be secure. Some requests may arrive unencrypted. This is where HTTPS Redirect comes in.

With this feature enabled, your Shared CDN will automatically redirect visitors using the non-secure version of your website to the HTTPS version, secured by your SSL certificate. As a result, the sensitive data exchanged between your visitors and the website will be encrypted, i.e. not freely accessible on the internet. This ensures maximum security.

How does HTTPS Redirect work?

HTTP Strict Transport Security (HSTS)

HSTS is an option to notify your visitor’s browser that your HTTPS site is only accessible securely, and for a given period of time. By enabling this option, you can ensure that a visitor always returns via the secure version of your website, even if they are using a simple HTTP link.

How does HSTS work?

When a browser requests access to a resource on your website using HTTPS protocol, the Shared CDN adds a “Strict-Transport-Security” header containing a “max-age” field. This field indicates a duration, in seconds, from which the browser will only use HTTPS. The visitor’s browser will then cache the information, indicating that your website must always be used in HTTPS during this period. The period is then extended automatically each time the web user visits the website.

What is HSTS?

In a man-in-the-middle attack, an attacker would claim to be your website and collect confidential customer information. This type of attack is rendered impossible with HTTPS, because the attacker cannot certify that they are the holder of your website. The customer’s browser will block the website from loading.

With the HSTS option, the browser knows that your website is only accessible in HTTPS. This way, the attack will be detected by the visitor’s browser, as the fraudulent website will not be able to prove its identity via the SSL certificate.

Mixed Content Management

When a visitor’s browser loads your website, if it is secured by HTTPS, it is essential to ensure that all your website’s resources are accessible in HTTPS.

To load properly, your website usually needs a lot of internal and external resources  (images, CSS, JavaScript, etc.). If your website gives the visitor’s browser HTTP addresses to load these resources, they will be blocked. A red padlock will then appear next to the address bar, indicating to the visitor that the site is not fully protected.

With the Mixed Content option, you can add a ‘Content-Security-Policy’ header to your HTTPS site, telling the customer’s browser to load all resources in HTTPS. This option is compatible with all modern browsers, and ensures that your website loads correctly.

This way, the valid lock indicating that your site is secure will always be available. All of your resources will also be delivered in HTTPS, even if they are defined in HTTP in your code.

However, if you are using resources that are external to your website, please ensure that the web server can communicate in HTTPS. Otherwise, the resource in question cannot be loaded.

Shared CDN comparison table

In this table, you will find all of the features included in each of our solutions. The CDN Basic is included free of charge with our Performance web hosting plans: simply enable it via the OVHcloud Control Panel.

In short, stay protected!

From unavailability and data leaks to hacking, an attack can have serious consequences. The inconvenience caused can often have a massive impact — your brand image may end up tarnished.

To avoid this, we wanted to make it as easy as possible to enable these protections. We also wanted to offer an easy-to-use interface with all the documentation you need to support you.

This way, you can get professional protection solutions managed by OVHcloud in just a few clicks, for the best price.

As the saying goes, prevention is better than cure. So make sure your websites are protected today.

Get the CDN Security now