Kinsta pour WordPress : avis sur l’hébergement infogéré, prix et sécurité

Kinsta : hébergeur WordPress infogéré sur Google Cloud, derrière Cloudflare

Kinsta ne vend qu’une chose pour WordPress : de l’hébergement infogéré haut de gamme, sur Google Cloud et derrière Cloudflare. Cet article détaille ses offres et ses prix, sa pile technique, ce que Kinsta prend en charge en sécurité, ses contraintes (extensions interdites, pas de .htaccess, pas d’e-mail) et la façon d’y installer et d’y sécuriser un site.

Pour situer Kinsta face aux autres, consultez notre comparatif des hébergeurs WordPress. Transparence : nous n’avons pas de compte chez Kinsta et n’avons rien mesuré nous-mêmes ; tout vient de la documentation et des pages officielles de Kinsta. Aucun lien n’est affilié.

Kinsta en bref

• Société : Kinsta Inc., entreprise américaine (conditions d’utilisation soumises au droit du Delaware), fondée en 2013.
• Métier : l’hébergement WordPress infogéré. L’hébergement d’applications, de bases de données et de sites statiques est passé début 2026 sous une marque distincte, Sevalla.
• Centres de données : 30 emplacements au choix sur Google Cloud Platform, dont Paris depuis 2022, Londres, Francfort et Saint-Ghislain (Belgique) en Europe.
• Réseau : tout le trafic passe par l’intégration Cloudflare ; l’adresse IP du site est une adresse Cloudflare réservée aux clients Kinsta.
• Taille : Kinsta revendique plus de 230 000 entreprises clientes et des certifications SOC 2 Type II et ISO 27001.

Les offres WordPress de Kinsta et leurs prix

Pas de mutualisé d’entrée de gamme ni de VPS à administrer : tout est du WordPress infogéré, piloté depuis le tableau de bord MyKinsta. Depuis octobre 2025, chaque offre existe en deux variantes au même prix, facturée à la bande passante (Single 20GB) ou au nombre de visites (Single 35k), une visite étant une adresse IP unique sur 24 heures. Prix publics, hors promotions, hors taxes, en dollars américains ; la facturation annuelle offre deux mois, et le premier mois gratuit de certaines offres est une promotion.

Offre	Type	Prix de départ	Sites	Stockage	Limites clés
Single (Single 20GB à Single 750k)	WordPress infogéré, site unique	35 $ HT par mois (30 $ par mois en annuel, 350 $ par an)	1	10 à 15 Go	20 Go de bande passante ou 35 000 visites par mois, 125 Go de CDN, sauvegardes 14 jours, pas de multisite sur l’entrée de gamme
WP 2 à WP 40	WordPress infogéré, plusieurs sites	70 $ HT par mois (59 $ en annuel)	2 à 40	20 à 60 Go	40 à 500 Go de bande passante ou 70 000 à 750 000 visites, sauvegardes 14 à 20 jours
Agence	Infogéré, portefeuille de sites	À partir de 340 $ HT par mois	Selon contrat	Selon contrat	Gestionnaire de compte
Entreprise	Infogéré, sites critiques	À partir de 500 $ HT par mois	Selon contrat	Selon contrat	Sauvegardes 30 jours, gestionnaire de compte
Serveur virtuel dédié	Option des offres WordPress	À partir de 300 $ par mois	Vos sites	Selon configuration	Pour les sites gourmands et à fort trafic

Les options se paient à part : sauvegardes toutes les 6 heures (20 $ par site et par mois) ou toutes les heures (100 $), sauvegardes externes, cache Redis (100 $ par site et par mois), mémoire PHP supplémentaire (10 $ les 500 Mo), mises à jour automatiques des extensions (dès 3 $ par site et par mois). Au-delà des quotas, le site reste en ligne mais le dépassement est facturé. Kinsta n’héberge pas d’e-mail.

Pile technique, outils et support

Chaque site tourne dans son propre conteneur Linux (Nginx, PHP, MariaDB) sur une machine virtuelle Google Cloud, avec par défaut 12 processeurs et 8 Go de mémoire pour un site en ligne. La base de données est dans le même conteneur : Kinsta précise ne pas proposer de haute disponibilité répartie sur plusieurs instances.

Élément	Chez Kinsta
Serveur web	Nginx (pas de fichier .htaccess)
PHP	7.4 à 8.5 (8.5 depuis mars 2026 ; 7.4 et 8.0 maintenues par Kinsta après leur fin de vie)
Base de données	MariaDB 11.4 ou supérieur
Protocoles	HTTP/2, TLS 1.3, CDN en HTTP/3
Cache	Cache de pages serveur, cache en périphérie (Edge Caching) chez Cloudflare, CDN, Redis en option
Concurrence PHP	« Threads » PHP (ex-PHP workers) et mémoire réglables dans MyKinsta
Accès	SFTP, SSH sur toutes les offres, WP-CLI, client Git, Composer ; pas d’accès root
Préproduction	Une gratuite par site, jusqu’à 5 « Premium » en option
Support	Chat 24 h/24, 7 j/7, en 8 langues ; site, documentation et MyKinsta en français

Le cache est géré par Kinsta au niveau du serveur (expiration de 24 heures par défaut), recopié dans les centres de Cloudflare par l’Edge Caching, et complété par le CDN pour les fichiers statiques. On le purge dans MyKinsta (onglet Caching), depuis la barre d’administration grâce à l’extension « Kinsta MU » installée d’office, ou avec wp kinsta cache purge. Les pages de panier et de commande de WooCommerce sont exclues par défaut ; pour d’autres pages dynamiques, comme une page de connexion, le support ajoute la règle de contournement.

Sécurité chez Kinsta

• Pare-feu et DDoS : un pare-feu applicatif (WAF) infogéré, aux règles mises à jour par Kinsta, et la protection DDoS de Cloudflare sur les couches 3, 4 et 7. Seuls les ports 80 et 443 sont ouverts au trafic web.
• Force brute et XML-RPC : Kinsta détecte les attaques par force brute sur /wp-login.php et bloque leurs auteurs sur toute son infrastructure ; des limites de débit protègent les adresses WordPress les plus visées. L’accès à xmlrpc.php est désactivé par défaut, le support le rouvre si un service comme Zapier en a besoin.
• Adresses et robots : l’outil IP Deny bloque des adresses ou des plages chez Cloudflare, avant le serveur. Depuis mai 2026, une protection contre les robots (en bêta) propose quatre niveaux, une gestion des robots d’IA et des exceptions.
• Isolation : un conteneur par site, non partagé même entre vos propres sites.
• Logiciels malveillants : nettoyage gratuit en cas de piratage (« hack-fix guarantee »), sauf si vous utilisez une extension piratée (« nulled ») ; nettoyage gratuit aussi d’un site infecté lors de sa migration.
• Sauvegardes : quotidiennes, conservées 14 jours sur les petites offres (30 jours sur Entreprise), plus 5 manuelles et des sauvegardes système avant chaque restauration ou mise en ligne de la préproduction. Elles sont stockées sur la même machine que le site.
• HTTPS : certificats Cloudflare gratuits, y compris génériques, renouvelés automatiquement.
• Compte MyKinsta : double authentification obligatoire (code par e-mail ou application), verrouillage temporaire après des échecs répétés depuis juillet 2025, authentification unique SAML.
• Mises à jour : celles des extensions et des thèmes peuvent être automatisées avec comparaison visuelle et retour en arrière, en option payante. Le reste est à votre charge.

Incidents : nous n’avons trouvé aucune fuite de données de clients documentée publiquement à notre connaissance. La page d’état officielle publie des interruptions localisées, par exemple au centre d’Amsterdam en juin 2026 et à celui de Londres en janvier et juin 2026.

Pour compléter : notre comparatif des pare-feu applicatifs pour WordPress et notre guide pour durcir PHP sur un hébergement.

Points forts et points faibles de Kinsta

Points forts	Points faibles
Cloudflare intégré d’office : WAF, DDoS, cache en périphérie, certificats	Prix élevé : 35 $ HT par mois pour un seul site, sans e-mail
Un conteneur isolé par site, centre de données au choix (dont Paris)	Pas de .htaccess ni d’accès à la configuration Nginx : chaque règle passe par le support
Nettoyage gratuit en cas de piratage	Extensions de cache, de sauvegarde et certaines optimisations interdites
Double authentification obligatoire sur MyKinsta	Sauvegardes sur la même machine ; copie externe et fréquence accrue payantes
Support 24 h/24 en 8 langues, SSH, WP-CLI et préproduction inclus	Quotas de visites ou de bande passante, avec frais de dépassement
PHP de 7.4 à 8.5	Pas de haute disponibilité ; mises à jour automatiques des extensions payantes

Kinsta fait payer cher ce qu’il retire au propriétaire du site (réglage du cache, configuration du serveur), mais la couche réseau et l’infrastructure sont nettement plus soignées qu’un mutualisé classique. À budget égal, l’hébergement WordPress chez Hostinger offre beaucoup plus de sites et d’e-mail, sur une infrastructure partagée.

Pour qui ?

• Adapté : boutique WooCommerce ou site dont le chiffre d’affaires dépend de la disponibilité, agence qui gère des sites de clients avec préproductions et accès par rôle, entreprise qui confie volontiers cache et réseau à l’hébergeur.
• Peu adapté : blog personnel ou petite vitrine au budget serré, projet qui veut l’e-mail inclus, développeur qui veut un accès root ou des règles serveur en libre-service.

Pour un hébergement européen avec e-mail, comparez avec les offres WordPress d’Infomaniak ; pour un hébergeur américain plus classique, voyez l’hébergement WordPress chez DreamHost et son offre DreamPress.

Prise en main : installer et sécuriser WordPress chez Kinsta

1. Créer le site dans MyKinsta (« Ajouter un site ») : installation de WordPress, migration gratuite ou clonage. Choisissez le centre de données le plus proche de vos visiteurs (Paris pour un public français) ; un déplacement ultérieur passe par le support.
2. Passer la double authentification MyKinsta sur une application (Paramètres utilisateur) plutôt que l’e-mail, et donner à chaque collaborateur son propre accès.
3. Choisir la version de PHP : onglet Outils, « Réglages PHP ». Préférez une version maintenue par le projet PHP et testez d’abord en préproduction.
4. HTTPS : ajoutez et vérifiez votre domaine, le certificat est émis automatiquement ; vérifiez que l’adresse du site dans Réglages > ; Général commence par https.
5. Sauvegardes : les quotidiennes sont automatiques (onglet Sauvegardes, restauration en un clic). Ajoutez une copie hors de Kinsta (option externe ou extension incrémentale autorisée), selon la règle des sauvegardes 3-2-1.
6. Préproduction avant toute mise à jour importante : voir notre guide de la préproduction WordPress.
7. XML-RPC est déjà fermé : ne demandez sa réouverture que si un service l’exige (voir pourquoi désactiver XML-RPC).
8. Double authentification dans WordPress pour les administrateurs : notre guide de la double authentification WordPress compare les méthodes.
9. Mises à jour : activez celles de WordPress et, sans l’option de Kinsta, celles des extensions de confiance (voir les mises à jour automatiques). Avant d’installer une extension de cache ou de sauvegarde, consultez la liste des extensions interdites : leur installation est bloquée.

WP Masquerade sur Kinsta

Masquerade Security et WP Masquerade Pro ne figurent pas dans la liste des extensions interdites de Kinsta. Côté sécurité, Kinsta n’interdit pas la catégorie mais prévient que son intégration Cloudflare peut perturber certaines fonctions, comme le blocage d’adresses IP. Voici les points propres à Kinsta, d’après le fonctionnement de WP Masquerade et selon la documentation de Kinsta.

• Nginx, donc pas de .htaccess : le fichier que l’extension dépose dans son dossier reste sans effet. Pour que ses dossiers répondent 404, demandez au support d’ajouter cette ligne à la configuration Nginx : location ~ ^/wp-content/plugins/cms-masquerade(-pro)?/(?!assets/) { return 404; }
• Alias d’adresses de Pro : choisissez le type de serveur Nginx, l’extension génère le bloc exact à transmettre au support. Kinsta ajoute les règles mais ne convertit pas du .htaccess : envoyez la version Nginx, puis cliquez sur « Vérifier et activer ». Tout le reste, dont toute la version gratuite, fonctionne sans règle serveur.
• Cache : WP Masquerade ne purge pas le cache de Kinsta. Après avoir activé le masquage, videz cache serveur, cache en périphérie et CDN (MyKinsta ou Kinsta MU), et demandez au support d’exclure votre nouvelle adresse de connexion du cache serveur et de l’Edge Caching avant de la tester.
• Vraie adresse des visiteurs : Cloudflare est toujours devant le site. Pro lit l’en-tête CF-Connecting-IP seulement si la connexion vient des plages officielles de Cloudflare. La documentation de Kinsta consultée ne dit pas sous quelle forme l’adresse du visiteur arrive à PHP : regardez le diagnostic de l’extension et interrogez le support ; si le serveur la restaure déjà, passez le réglage sur Désactivé. Notre article sur Cloudflare devant WordPress explique l’enjeu.
• Doublons : Kinsta ferme déjà XML-RPC (le blocage de l’extension est un doublon sans conflit) et protège wp-login.php. Une fois la connexion déplacée, wp-login.php répond 404 et la nouvelle adresse est couverte par la limitation des connexions et la double authentification de Pro. Gardez une seule double authentification dans WordPress.

La page compatibilité de WP Masquerade avec les hébergeurs et les caches détaille ces cas, et les pages page de connexion, adresses des fichiers et Cloudflare leurs réglages. Testez d’abord sur la préproduction.

Ce que l’extension apporte : une surface d’attaque visible plus petite (WordPress masqué, connexion déplacée, dossiers d’extensions fermés) et, avec Pro, double authentification, limitation des connexions, en-têtes de sécurité et alertes. Ce qu’elle ne fait pas : ni pare-feu, ni antivirus, ni sauvegarde, rôles tenus ici par Cloudflare et Kinsta.

Notre avis sur Kinsta

Kinsta est un hébergement WordPress de niveau professionnel : Cloudflare intégré, isolation par conteneur, nettoyage garanti, double authentification imposée et support permanent. Le prix, les quotas, l’absence d’e-mail et la dépendance au support pour toute règle serveur le réservent aux sites qui rapportent et aux agences ; pour un blog, un bon mutualisé suffit souvent. Retrouvez Kinsta face aux autres dans notre classement des hébergements web pour WordPress, et choisissez parmi les meilleurs plugins de sécurité WordPress ceux qui sont autorisés chez Kinsta.

Vous venez d’un autre hébergeur ? Notre guide pour migrer un site WordPress vers un nouvel hébergeur détaille la bascule sans coupure, du TTL au plan de retour arrière.

Sources

• Kinsta Docs : Infrastructure (13 janvier 2026) (lien externe, nouvel onglet)
• Kinsta Docs : WordPress Backups (21 janvier 2026) (lien externe, nouvel onglet)
• Kinsta Docs : SSH (lien externe, nouvel onglet)

Autres sources consultées : pages officielles de l’hébergeur.