J’ai voulu bâtir une startup uniquement sur une infrastructure européenne, et cela s’est révélé plus difficile que prévu

• Afin de garantir la souveraineté des données et de simplifier la conformité au RGPD, une startup a été bâtie entièrement sur une infrastructure européenne, mais la réalité s’est accompagnée de bien plus de frictions et de contraintes que prévu
• L’infrastructure principale repose sur Hetzner, Scaleway, Bunny.net, Nebius et Hanko, chacun couvrant respectivement le calcul, le stockage, le CDN, l’IA et l’authentification
• Pour l’auto-hébergement, Gitea, Plausible, Twenty CRM, Infisical et Bugsink sont exploités avec Kubernetes et Rancher afin de conserver le contrôle sur les données
• Les points les plus difficiles ont été les services d’e-mails transactionnels, les alternatives à GitHub et le prix des TLD de domaines, avec un écosystème et un support plus limités que du côté des services américains
• Dans certains domaines, une dépendance aux États-Unis reste inévitable, notamment pour Google Ads, le programme développeur Apple, la connexion sociale et les modèles d’IA ; le « Made in EU » reste donc un choix volontaire qui demande un effort conscient

---

Contexte de la création d’une startup sur une infrastructure européenne

• L’objectif était de sortir de la dépendance aux hyperscalers américains comme AWS et de reprendre la maîtrise de la souveraineté des données
  • La simplification de la conformité au RGPD et la confiance dans l’écosystème technologique européen ont servi de motivation
  • Il y avait aussi la volonté de démontrer que « c’est tout à fait possible en Europe »
• Les entreprises européennes d’infrastructure proposent aujourd’hui de vrais produits et des services compétitifs

Stack technique utilisée

• Hetzner : infrastructure de calcul principale, avec load balancer, VM et stockage objet compatible S3
  • Des prix très compétitifs face à AWS et des performances stables
• Scaleway : complète les domaines non couverts par Hetzner
  • Fournit de façon intégrée les e-mails transactionnels, un container registry, des buckets S3 supplémentaires, la supervision et l’enregistrement de domaines
• Bunny.net : entreprise basée en Slovénie, fournissant CDN, DNS, optimisation d’images, WAF et protection DDoS
  • Une expérience d’usage proche de Cloudflare, avec un tableau de bord de grande qualité
• Nebius : fournit en Europe un service d’inférence IA basé sur GPU
• Hanko : service allemand d’authentification et de gestion d’identité, avec prise en charge des passkeys, de la connexion sociale et de la gestion des utilisateurs

Environnement d’auto-hébergement

• Exploitation d’un cluster Kubernetes centré sur Rancher
  • Gitea (gestion du code source), Plausible (analyse), Twenty CRM, Infisical (gestion des secrets) et Bugsink (suivi des erreurs) sont hébergés en direct
• La charge d’administration est plus lourde qu’avec du SaaS, mais cela permet de contrôler l’emplacement des données et d’éviter les risques liés aux prix et aux acquisitions
• Pour l’e-mail, usage de Tutanota ; pour la supervision, UptimeRobot

Ce qui s’est révélé plus difficile que prévu

• Services d’e-mails transactionnels : face à Sendgrid, Postmark ou Mailgun, les alternatives européennes sont en retrait sur le prix, la délivrabilité et l’expérience développeur
  • Scaleway TEM est utilisable, mais les modèles, les intégrations et le support communautaire restent limités
• Sortir de GitHub : les fonctions Git de Gitea sont excellentes, mais l’absence d’écosystème autour des Actions, des Issues et de l’intégration CI/CD impose de tout reconfigurer
  • Avec en plus la perte du workflow et du réseau social de GitHub
• Prix des TLD de domaines : certains TLD sont facturés 2 à 3 fois plus cher chez des registrars européens, sans raison claire

Les dépendances américaines impossibles à éviter

• Google Ads, Apple Developer Program : indispensables pour l’acquisition d’utilisateurs et la distribution d’applications
  • Il n’existe pas d’App Store alternatif européen ni de réseau publicitaire équivalent en Europe
• Connexion sociale : « Sign in with Google/Apple » correspond aux attentes des utilisateurs, et sa suppression fait baisser le taux de conversion
  • Hanko permet de garder la couche d’authentification en Europe, mais les flux OAuth transitent tout de même par des serveurs américains
• Modèles d’IA : les modèles les plus récents, comme Claude, appartiennent à des entreprises américaines (Anthropic)
  • Il est possible d’exécuter en Europe des modèles open weight, mais les modèles frontier dépendent encore des API américaines

Conclusion : un choix utile, mais difficile

• Des économies de coûts par rapport à AWS et une meilleure clarté sur la résidence des données
• Mais la mise en place et la maintenance demandent davantage de temps et d’efforts
  • La documentation, la communauté et l’écosystème de support restent relativement modestes
• L’écosystème européen de l’infrastructure progresse rapidement, mais exige encore un choix conscient et des efforts supplémentaires
• Le « Made in EU » n’est pas un simple slogan, mais une réalité qui demande une décision technique et opérationnelle

[GN⁺]

Avis sur Hacker News

• J’ai fait une transition similaire vers le milieu de l’année dernière. J’utilisais déjà Hetzner, donc j’ai simplement continué à monter en charge dessus. Il y a eu un souci pendant environ une journée sur la page des instances Hetzner, donc j’ai brièvement testé Openclaw chez OVH, mais ça a été résolu immédiatement
  Pour le CDN, j’utilise Bunny, mais c’est dommage qu’il ne puisse pas router le trafic IPv4 vers une origin IPv6-only. Cloudflare le prend en charge
  Pour les domaines, j’utilise toujours Porkbun. J’en ai une vingtaine, donc les déplacer vers un registraire de l’UE coûterait assez cher. Mais je compte quand même le faire un jour. J’optimise la gestion des domaines avec dot.bs
  Je fais tourner la CI/CD sur une instance Forgejo, mais c’est pénible de mirrorer des centaines de dépôts et de renouveler les PAT. Comme je gère déjà beaucoup d’infra dans mon travail, j’essaie de limiter au strict minimum le self-hosting à la maison. À la place, je compte bientôt tester aussi Hanko, Nebius et Scaleway

  • J’ai essayé Bunny, et leur support répondait vraiment vite. Mais dans un secteur très concurrentiel, il y a tellement de fausses demandes DMCA que mon compte a fini par être suspendu. C’est correct pour des projets perso, mais difficile à recommander pour un service critique pour le business
  • Notre entreprise self-host aussi ses dépôts git avec Gitea. C’est presque compatible avec GitHub Actions, donc la migration de la CI/CD est facile. Il faut juste gérer les mises à jour. Au passage, je recommande vivement de lire la documentation de comparaison Gitea Actions
  • Côté CDN, CDN77 est aussi une bonne option. Ils ont des serveurs partout dans le monde et sont basés en Europe, à Prague, donc ça peut valoir le coup d’y jeter un œil
  • Si la raison de déplacer les domaines dans l’UE est la souveraineté des données ou une simplification du RGPD, alors je pense qu’un .com reste de toute façon sous contrôle américain, donc l’avantage réel est limité. En revanche, si c’est une question de « principe », c’est autre chose
  • Openprovider.eu est peu cher, presque au prix coûtant pour des achats en volume. En revanche, la qualité du DNS est assez moyenne, donc je ne le recommanderais que pour un usage personnel

• J’exploite un SaaS en Europe et j’ai abouti à une stack assez similaire. J’utilise OVHCloud, et si on achète quelques Mac Studio pour les faire tourner soi-même, on peut conserver une souveraineté des données totale
  En simplifiant avec du bare metal, c’est bien moins cher et plus rapide qu’AWS. On peut utiliser gratuitement un stockage compatible S3 avec MinIO, et Postgres tourne en local sans latence. Je pense que les Managed DB sont une arnaque. Apple Silicon est silencieux et efficace, donc la CI/CD et les tests navigateur vont aussi beaucoup plus vite
  Avec cette configuration, on peut obtenir l’équivalent de performances à 25 000 euros par mois sur AWS pour le prix de l’électricité

  • Je suis curieux de savoir si ça tourne directement sur macOS
  • Je voudrais savoir comment vous gérez les pannes de disque et la redondance
  • Avant, moi aussi je pensais que les Managed DB étaient une arnaque, mais après avoir subi en vrai une panne de contrôleur RAID et un échec de sauvegarde, j’ai changé d’avis. Comme on teste rarement la reprise après sinistre, je pense qu’un service de base de données managé fiable protège au final mieux les données clients
  • Je me demande si Exo.Labs permet l’inférence distribuée, et quel niveau de vitesse en tokens on peut obtenir
  • Je pense qu’il faut une présence physique et du personnel dans chaque juridiction pour maintenir une vraie indépendance

• Je sais que supprimer « Sign in with Google/Apple » fait baisser le taux de conversion, mais je ne comprends pas pourquoi c’est aussi populaire. Je préfère toujours la connexion par e-mail/passkey

  • La plupart des utilisateurs préfèrent une connexion à faible friction qui se résume à quelques clics. Les préoccupations autour des gestionnaires de mots de passe ou du verrouillage de compte, ce sont surtout des problèmes que se posent les techniciens
  • En dehors du secteur tech, la simplicité prime. Quand un simple bouton « Sign up with Google » suffit, il n’y a aucune raison de saisir les informations à la main
  • Quand on achète un smartphone, on a déjà un compte Google ou Apple, donc du point de vue de l’utilisateur il n’y a presque aucune friction
  • Les utilisateurs de HN s’inquiètent de la sécurité ou du verrouillage propriétaire, mais pour le grand public, c’est la commodité qui passe en premier. Les approches passwordless comme la connexion par code e-mail sont populaires pour la même raison
  • Si l’e-mail d’entreprise est sur Google Workspace ou Microsoft 365, alors de toute façon tout le travail se fait déjà dans cet écosystème, donc le social login est bien plus logique

• Je trouve que c’est un texte honnête et de qualité. Du point de vue des utilisateurs aussi, il faut faire l’effort de sortir de l’écosystème américain. En revanche, la traduction française de hank.parts semble un peu maladroite. Utiliser « vous » plutôt que « tu » serait plus naturel

  • La traduction française a été confiée à un traducteur belge. Merci pour le retour
  • Même si l’Europe remplace les SaaS américains, le problème de la dépendance énergétique et militaire restera entier. L’Europe importe plus de la moitié de son énergie, tandis que les États-Unis et la Russie sont exportateurs. Il existe aussi un article du WSJ qui explique qu’il faudrait 1 000 milliards de dollars pour renforcer la défense. Au final, l’indépendance SaaS seule ne suffit pas pour atteindre l’autonomie

• J’utilise Scaleway avec pas mal de satisfaction. Je l’ai choisi comme alternative après la transformation puis l’arrêt de Packet devenu Equinix Metal. Le rapport entre le coût et les specs matérielles est équilibré

  • Moi aussi, je suis fan de Scaleway. Après le rachat de Linode, je suis passé à un fournisseur français, et j’ai eu de mauvaises expériences avec OVH. En revanche, certains services sont un peu chers
  • J’ai migré certains clients vers Scaleway, et j’aime sa simplicité et sa stabilité. Les coûts sont aussi raisonnables

• Scaleway m’inspirait des inquiétudes sur le chiffrement et l’isolation des données, et OVHCloud n’est stable qu’en montant sur des offres haut de gamme ou en construisant du multi-région avec vRack. La plupart des clouds européens ont une qualité IAM faible, et la gestion des clés API est pénible. Il faudrait plus de retours techniques

  • Scaleway a un gros potentiel pour devenir un bon produit, mais il lui faut un responsable produit avec une vraie vision
  • Je trouve au contraire que le système IAM de Scaleway est assez bien équilibré. Ce n’est ni aussi complexe que GCP, ni aussi simpliste que Hetzner
  • J’aimerais en savoir plus précisément sur le problème de chiffrement des données chez Scaleway. Et je me demande aussi si les datacenters sont uniquement près de Paris ou s’il existe une redondance géographique

• Je pense que Codeberg est un meilleur choix comme forge de code source dans l’UE. Gitea fait face à des controverses en ce moment

  • Je ne vois pas bien pourquoi Gitea serait controversé
  • Moi aussi, je self-host Gitea après avoir découvert la compatibilité de Gitea Actions, mais Codeberg est intéressant
  • Codeberg est réservé à l’open source, donc inadapté aux projets commerciaux

• Je me demande comment les Américains perçoivent la tendance des Européens à quitter les plateformes américaines

  • Je pense que c’est un choix avisé. La politique américaine est instable, donc ce n’est pas étonnant
  • Au contraire, moi j’utilise activement des services américains. Plus il y a de concurrence, mieux c’est pour les consommateurs
  • En réalité, cette discussion ressemble beaucoup à l’idée de « gérons-nous nous-mêmes sur du bare metal ». On entend exactement les mêmes conseils aux États-Unis
  • La concurrence est une bonne chose
  • Les orientations du gouvernement Trump sont préoccupantes, mais c’est positif que l’Europe utilise ses propres technologies. Les lois sur la vie privée y sont aussi bien meilleures, et j’héberge moi-même certaines données en Europe

• Nous aussi, nous avons migré vers l’Europe : les coûts ont été divisés par 5 et les performances serveur multipliées par 4. En passant sur un cloud européen, on peut même se permettre une architecture de serveurs en triple redondance. Un niveau de rapport qualité-prix inimaginable sur AWS

• Moi aussi, je suis en train de migrer toute la stack SaaS vers l’UE. J’utilise Hetzner bare-metal, Talos k8s, OVH Object Storage et du GitOps basé sur FluxCD. J’envisage Bunny à la place de Cloudflare. Hetzner fournit 50 fois plus de ressources pour un tiers du coût par rapport à GCP.
  En revanche, la mise en place du chiffrement complet du disque (LUKS + TPM) reste un sujet à résoudre. Si quelqu’un a de l’expérience là-dessus, je suis preneur.

  • J’essaie d’installer un serveur chiffré avec LUKS chez Hetzner. Il y a ce guide, mais il est assez complexe. À la place, j’ai trouvé ce tutoriel plus simple. Et comme dans cet article, il est aussi possible de déverrouiller en SSH avec notification par e-mail
  • Lors d’une installation ISO chez Hetzner, on peut configurer LUKS directement. teng/clevis permet aussi un déverrouillage automatique conditionnel