Bluehost : hébergeur américain de Newfold Digital, recommandé par WordPress.org
Bluehost est l’hébergeur que WordPress.org recommande depuis le plus longtemps, et son nom revient dans presque tous les comparatifs anglophones. Pour un site français, les questions sont plus précises : où sont les serveurs, combien coûte le renouvellement, que valent les sauvegardes et le support. Cet article répond à partir des pages officielles de Bluehost, sans test de notre part, et termine par une méthode de démarrage sûre.
Il complète notre classement des hébergeurs WordPress. Transparence : nous n’avons pas de compte chez Bluehost, aucun lien d’affiliation, et Bluehost ne nous rémunère pas.
Bluehost en bref
Bluehost est une entreprise américaine fondée en 2003. Endurance International Group l’a rachetée en 2010, d’après le document d’introduction en bourse déposé par Endurance auprès de la SEC en 2013. En février 2021, le fonds Clearlake Capital a finalisé le rachat d’Endurance et réuni ses marques d’hébergement avec Web.com au sein de Newfold Digital, qui possède aussi HostGator, Domain.com et Network Solutions. Les données de l’entreprise sur son site indiquent une adresse à Jacksonville, en Floride.
- Reconnaissance : WordPress.org présente Bluehost comme son plus ancien hébergeur recommandé ; Bluehost dit l’être depuis 2005.
- Centres de données de l’hébergement mutualisé : Paris, Francfort, Madrid, Londres, Toronto, São Paulo, Mumbai, Sydney, Arizona et Virginie, à choisir lors de la commande.
- Cloud : Los Angeles, Dallas, Ashburn (Virginie) et Amsterdam, avec une copie du site dans plusieurs centres et une bascule automatique en cas de panne.
- VPS et serveurs dédiés : États-Unis, Toronto, Londres et Amsterdam selon les pages d’offres.
Pour le RGPD, le point est concret : un site mutualisé peut être placé à Paris ou à Francfort, mais l’entreprise reste américaine, filiale d’un groupe américain. Ce choix se fait au moment de la commande : vérifiez-le avant de payer, comme le recommande Bluehost.
Les offres WordPress de Bluehost et leurs prix en euros
Bluehost dispose d’un site en français, bluehost.com/fr, avec des prix en euros et la mention « VAT not included » : ce sont des prix hors taxes. Les offres mutualisées s’appellent Débutant, Entreprise et Essentiels eCommerce (Starter, Business et eCommerce Essentials en anglais). L’hébergement « WordPress cloud », infogéré, se décline en Cloud 10, 25 et 50 ; viennent ensuite les VPS non gérés et les serveurs dédiés.
Débutant coûte 9,99 € HT par mois au renouvellement (3,99 € HT en prix mis en avant, valable pour un engagement de 36 mois). Les conditions précisent que tous les packs se renouvellent automatiquement au tarif normal en vigueur. Le tableau donne donc le prix de renouvellement affiché, hors promotions.
| Offre | Type | Prix de départ | Sites | Stockage | Limites clés |
|---|---|---|---|---|---|
| Débutant | Mutualisé | 9,99 € HT/mois (renouvellement, 36 mois) | 10 | 10 Go NVMe | Environ 40 000 visites par mois, chat 24 h/24, pas de téléphone |
| Entreprise | Mutualisé | 13,99 € HT/mois (renouvellement, 36 mois) | 50 | 50 Go NVMe | Environ 200 000 visites par mois, téléphone inclus |
| Essentiels eCommerce | Mutualisé | 21,99 € HT/mois (renouvellement, 36 mois) | 100 | 100 Go NVMe | WooCommerce installé, environ 400 000 visites par mois |
| Cloud 10, 25, 50 | WordPress cloud infogéré | 56,34 € HT/mois (36 mois, renouvellement non affiché) | 10 à 50 | 125 à 225 Go NVMe | 20 à 150 workers PHP, CDN Cloudflare Enterprise |
| NVMe 2 à NVMe 16 | VPS non géré | 5,69 € HT/mois (renouvellement, 24 mois) | Selon ressources | 50 à 450 Go NVMe | 1 à 8 vCPU, 2 à 16 Go de RAM, cPanel en option |
| NVMe 32, 64, 128 | Serveur dédié | 191,79 € HT/mois (renouvellement, 36 mois) | Selon ressources | 1 à 3 To NVMe | 8 à 32 cœurs, WHM et cPanel |
Une bizarrerie à connaître : le même jour, la page française « Hébergement web » affichait les mêmes packs à d’autres prix, par exemple Débutant à 5,99 € HT au renouvellement (2,49 € HT la première période), Entreprise à 10,99 € (4,99 € la première période). Comparez les deux pages et lisez le récapitulatif de commande avant de payer. Notez aussi que les montants en euros reprennent les mêmes chiffres que les prix en dollars du site américain.
Technique : Apache, cPanel et le portail Bluehost
| Élément | Ce que documente Bluehost |
|---|---|
| Serveur web (mutualisé) | Apache 2.4 sur AlmaLinux 9 (ou CentOS 7 sur d’anciens serveurs) |
| Serveur web (cloud) | « Pile LiteSpeed » annoncée |
| Panneau | Portail Bluehost, avec accès à cPanel pour le mutualisé |
| PHP | 8.1 minimum sur le mutualisé, 8.2 par défaut sur AlmaLinux 9 ; changement par domaine dans cPanel (MultiPHP Manager) |
| Cache | Trois niveaux de cache de pages dans l’onglet Performance, cache d’objets Redis automatique |
| CDN | Cloudflare, à activer dans l’onglet Performance |
| HTTP/3 | Non précisé |
| SSH et préproduction | SSH à activer dans le portail (vérification du compte requise) ; préproduction via l’extension Bluehost |
| Support | Chat 24 h/24 ; téléphone dès Entreprise, avec des experts basés aux États-Unis |
Des sauvegardes à ne pas surestimer
C’est le point faible le plus net. Les fiches d’offres annoncent des sauvegardes hebdomadaires, la FAQ parle de sauvegardes quotidiennes, et l’article d’aide de Bluehost est le plus précis : il présente ces sauvegardes comme un service « de courtoisie », qui tourne une fois par semaine, ne garde qu’une semaine, et ne concerne que les comptes de moins de 20 Go et 100 000 inodes. La restauration passe par le support, avec des frais ponctuels. Bluehost recommande ses solutions Jetpack ou CodeGuard ; sur VPS, il ne fait plus aucune sauvegarde. L’offre cloud, elle, inclut des sauvegardes Jetpack quotidiennes.
Un support en anglais
Le site existe en français, mais nous n’avons trouvé aucune mention d’un support en français. Le téléphone passe par des numéros américains, avec un avertissement sur les frais d’appel international, et il n’est pas inclus dans l’offre Débutant.
Sécurité chez Bluehost : inclus, payant et incidents
- Pare-feu et DDoS : les fiches annoncent un pare-feu applicatif et une protection DDoS sur tous les packs, sans préciser la technologie. Le CDN Cloudflare, à activer, ajoute sa propre protection.
- Logiciels malveillants : analyse gratuite et « détection et suppression » sur tous les packs, « alimentée par l’IA » dès Entreprise. Bluehost vend aussi des niveaux de sécurité supplémentaires (Essentials, Prevent, Prevent Plus) ; la suppression automatique et le pare-feu avancé y sont réservés aux niveaux Prevent.
- Isolation des comptes : l’hébergeur ne la décrit pas dans les pages consultées.
- Mises à jour et HTTPS : « mises à jour WordPress gérées » et certificat Let’s Encrypt gratuit sur tous les packs.
- Compte Bluehost : la vérification en deux étapes se fait par code envoyé par e-mail (Mon profil, Sécurité) ; l’article d’aide ne mentionne pas d’application d’authentification.
Incidents documentés
- Août 2013 : le 2 août, la panne de deux commutateurs réseau dans un centre de données près de Provo (Utah) a coupé une grande partie des sites de Bluehost, HostGator, HostMonster et JustHost pendant la journée, selon Data Center Knowledge. Endurance l’a attribuée à une maintenance réseau de routine.
- Janvier 2019 : le chercheur Paulos Yibelo a révélé une faille de type CSRF qui permettait de prendre le contrôle d’un compte Bluehost si son propriétaire cliquait sur un lien piégé, rapporte TechCrunch. Endurance a confirmé la correction, sans dire si la faille avait été exploitée.
Nous n’avons pas trouvé de fuite de données documentée par une source fiable depuis.
Pour compléter : notre comparatif des pare-feu applicatifs pour WordPress et notre guide pour durcir PHP sur un hébergement.
Points forts et points faibles de Bluehost
| Points forts | Points faibles |
|---|---|
| Recommandé par WordPress.org depuis longtemps, extension Bluehost avec préproduction | Sauvegardes « de courtoisie » : une semaine conservée, restauration payante |
| Centres de données à Paris et Francfort pour le mutualisé | Support en anglais, téléphone américain et absent de l’offre Débutant |
| Plusieurs sites dès l’entrée de gamme (10 sites) | Prix promotionnels sur 36 mois, renouvellement jusqu’à 2,5 fois plus cher |
| cPanel, SSH, cache Redis et CDN Cloudflare | Prix différents selon la page consultée, pour les mêmes packs |
| Cloud infogéré avec réplication dans plusieurs centres de données | Double authentification du compte par e-mail seulement |
| Pare-feu et analyse de logiciels malveillants annoncés sur tous les packs | Sécurité avancée payante ; panne de 2013 et faille de compte de 2019 |
Bluehost se distingue par son ancienneté auprès de WordPress et par des centres de données européens ; il pèche par ses sauvegardes et par un support pensé pour le marché américain. L’hébergement WordPress chez HostGator, autre marque de Newfold Digital, partage une partie de cet héritage. Face à lui, l’hébergement WordPress chez Hostinger propose aussi un centre de données en France, avec des sauvegardes quotidiennes dès son deuxième pack.
Pour qui ?
- Blog ou petit site : Débutant convient, à condition de gérer vous-même des sauvegardes externes.
- Freelance avec plusieurs sites : Entreprise, pour les 50 sites et le téléphone.
- Boutique ou site à fort enjeu : le cloud, pour les sauvegardes quotidiennes, la réplication et la préproduction.
- Développeur : un VPS non géré, si vous administrez vous-même système, sécurité et sauvegardes.
- Moins adapté : à qui veut un support en français, un hébergeur européen, ou des sauvegardes garanties sans rien ajouter.
Prise en main : installer et sécuriser WordPress chez Bluehost
- À la commande, choisissez le centre de données (Paris ou Francfort pour un public européen) et vérifiez-le avant de payer.
- Activez la vérification en deux étapes du compte (Mon profil, Sécurité) et protégez la boîte e-mail qui reçoit les codes avec sa propre double authentification.
- Laissez le portail installer WordPress, puis choisissez un identifiant d’administrateur autre que « admin » et un mot de passe unique.
- Vérifiez la version de PHP dans cPanel, MultiPHP Manager : la plus récente compatible avec vos extensions.
- Contrôlez que le certificat Let’s Encrypt est actif et que le site redirige vers HTTPS.
- Mettez en place une sauvegarde externe automatique (extension de sauvegarde vers un stockage distant), selon la règle des sauvegardes 3-2-1 : c’est indispensable vu la politique de Bluehost.
- Testez les mises à jour importantes sur le site de préproduction de l’extension Bluehost (pourquoi une préproduction) et réglez les mises à jour automatiques des extensions.
- Fermez XML-RPC si vous n’utilisez ni Jetpack ni l’application mobile (les risques de XML-RPC), et activez la double authentification sur WordPress.
WP Masquerade sur Bluehost : compatibilité et réglages
Selon la documentation de Bluehost, l’hébergement mutualisé tourne sur Apache 2.4. D’après le fonctionnement de WP Masquerade, le dossier de l’extension y répond 404 aux robots sans réglage, grâce au .htaccess qu’elle écrit dans son dossier. Les alias d’adresses de fichiers de Pro demandent de coller le bloc généré en tête du .htaccess du site, avant « # BEGIN WordPress », puis de cliquer sur « Vérifier et activer ». Sur le cloud, annoncé en « pile LiteSpeed », le principe est le même si le .htaccess est lu : vérifiez-le auprès du support. Sur VPS et serveur dédié, vous ajoutez les règles à la configuration de votre serveur.
- Cache : le cache de pages de l’onglet Performance n’est pas purgé par WP Masquerade. Après avoir activé le masquage, videz-le depuis le portail, et excluez la nouvelle adresse de connexion de toute couche de cache ; si l’exclusion n’est pas réglable, demandez-la au support.
- Cloudflare : si vous activez le CDN Cloudflare, WP Masquerade Pro restaure l’adresse réelle des visiteurs en mode Automatique, en ne faisant confiance qu’aux plages officielles de Cloudflare (voir notre page WP Masquerade et Cloudflare et Cloudflare devant WordPress). Purgez aussi le cache Cloudflare.
- Doublons : la vérification en deux étapes de Bluehost protège le compte d’hébergement ; celle de WP Masquerade Pro protège la connexion à WordPress. Gardez les deux.
- Test : aucun hébergeur ne peut être certifié compatible avec toutes les configurations ; essayez d’abord sur le site de préproduction.
Ce que WP Masquerade ajoute : moins de traces de WordPress pour les robots, une adresse de connexion personnalisée avec wp-login.php en 404, XML-RPC fermé et, avec Pro, double authentification, limitation des connexions et alertes. Ce n’est ni un pare-feu, ni un scanner de logiciels malveillants, ni une sauvegarde. Le détail par serveur est sur notre page compatibilité de WP Masquerade avec les hébergeurs et les caches.
Notre avis sur Bluehost
Bluehost reste une option solide pour démarrer un ou plusieurs sites WordPress, avec un site en français, des prix en euros, des centres de données en Europe et des outils WordPress intégrés. Mais ses sauvegardes de courtoisie, son support en anglais et ses prix qui varient selon la page imposent de la vigilance : prévoyez dès le départ une sauvegarde externe, et comparez avec les offres WordPress de DreamHost, autre hébergeur américain bien implanté chez les utilisateurs de WordPress.
Retrouvez tous les hébergeurs dans notre comparatif des hébergements web pour WordPress, et la couche WordPress dans notre sélection des meilleurs plugins de sécurité WordPress.
À retenir
- Bluehost est américain, propriété de Newfold Digital, avec des centres de données mutualisés à Paris et Francfort.
- Prix d’appel sur 36 mois ; au renouvellement, Débutant coûte 9,99 € HT par mois sur la page WordPress, mais la page « Hébergement web » affiche d’autres prix.
- Les sauvegardes incluses sont un service de courtoisie : ajoutez une sauvegarde externe.
- Support en anglais, téléphone américain, double authentification du compte par e-mail.
- Sur Apache, le dossier de WP Masquerade est masqué sans réglage ; purgez vous-même le cache de Bluehost et celui de Cloudflare.
Sources
- Bluehost Help : PHP Module Compatibility (lien externe, nouvel onglet)
- Bluehost Help : SSH Access (lien externe, nouvel onglet)
- Bluehost Help : Two-Factor Authentication (lien externe, nouvel onglet)
Autres sources consultées : pages officielles de l’hébergeur et des éditeurs, documentation officielle, articles de la presse spécialisée.
