GitHub Pages, la simplicité qui cache un problème de souveraineté

Avouons-le : GitHub Pages, c'est diablement pratique. Tu pousses du code, et hop, ton site existe sur le web. Pas de serveurs à configurer, pas de pipelines CI/CD à débogage à 3h du mat', pas de scripts de déploiement qui plantent mystérieusement le vendredi. Cette simplicité te fait oublier qu'il y a quelque chose en dessous.

Mais voilà le problème : chaque fois que tu utilises GitHub Pages, tu places ton code, ton infrastructure et tes données sous juridiction américaine. Et en 2024, ça compte plus que ce que la plupart des développeurs imaginent.

Le Cloud Act, ce sujet que personne n'aborde

La loi américaine Cloud Act, votée en 2018, donne aux autorités fédérales américaines le pouvoir d'exiger l'accès à des données — même quand ces données sont stockées sur des serveurs physiquement situés à Francfort, Amsterdam ou Dublin. GitHub (appartenant à Microsoft) et GitLab Inc. sont des entreprises américaines. Elles sont soumises à cette loi, un point c'est tout.

Avant de crier à la paranoïa, regarde ce qui se trouve réellement dans ton dépôt :

• Articles de blog non publiés avec des annonces produit
• Documentation interne d'équipe
• Détails de projets clients dans les issues et wikis
• Identifiants de déploiement et jetons d'accès
• Logs d'accès montrant qui a fouiné dans tes projets

Rien de tout ça n'est public. Tout est techniquement accessible sous certaines circonstances. Pour un blog corporate, le compromis peut être acceptable. Pour une startup avec des fonctionnalités non lancées, une agence avec des projets clients, ou quiconque manipulant du code sensible — ça devrait au minimum retenir l'attention.

Le manque de transparence

Ce qui m'énerve le plus avec les grandes plateformes : leur opacité concernant la collecte de données.

GitHub, GitLab et Cloudflare proposent tous la conformité RGPD et des accords de traitement de données à signer. Ça rassure... jusqu'à ce que tu réalises que tu ne sais pas ce qu'ils enregistrent vraiment. Des adresses IP ? Des user agents ? Des horodatages avec géolocalisation ? Les conditions par défaut sont vagues, et les vrais logs serveur ne sont jamais montrés.

Compare ça avec des fournisseurs plus modestes comme statichost.eu, qui dokumentieren ouvertement exactement ce qui passe dans leurs logs : pas d'adresses IP, pas de user agents, juste des tailles de réponses agrégées pour la facturation. Ils incluent même un exemple de log dans leur documentation. C'est ce genre de transparence qui construit la confiance.

Et il y a le bazar juridique du EU-US Data Privacy Framework. C'est le successeur du Privacy Shield, le mécanisme utilisé par les entreprises américaines pour légitimer les transferts de données depuis l'Europe. Le problème : ce framework repose en grande partie sur l'indépendance de la FTC — et la Cour Suprême américaine a récemment remis en question cette indépendance. Le sol juridique sous les transferts transatlantiques bouge. Une infrastructure européenne sur des serveurs européens n'est plus un luxe ; c'est de plus en plus la seule base stable.

Le piège de la无缝 intégration

GitHub Pages est tellement bien intégré que tu arrêtes de penser à « l'hébergement de code » et « le déploiement de site web » comme des concepts séparés. C'est juste... GitHub. Cette expérience sans friction, c'est de l'excellent UX. Mais ça crée une dépendance cachée.

Tu n'es pas bloqué au sens dur du terme — migrer est techniquement simple. Mais si tu n'as jamais mentalement séparé ces deux notions, tu ne les optimises jamais indépendamment. Tu acceptes ce que GitHub propose pour le déploiement parce que c'est « comme ça que ça marche ».

C'est l'argument de l'architecture en seams appliqué à l'infrastructure : le couplage crée des coûts cachés, même quand ça semble pratique.

La stack européenne qui existe

La bonne nouvelle : les sites statiques sont naturellement portables. Tout l'intérêt d'un générateur de site statique, c'est que ton contenu devient de simples fichiers. Déplacer l'hébergement est rarement aussi douloureux que migrer une application avec base de données.

La stack alternative européenne ressemble à ça :

Pour l'hébergement Git :

Codeberg fonctionne avec Forgejo (un fork communautaire de Gitea) et est opéré par une association à but non lucratif à Berlin. C'est gratuit, open source, et l'infrastructure est en Allemagne. Pour les dépôts publics et les projets open source, c'est un choix évident. Leurs conditions accueillent explicitement le travail open source.

Codefloe, c'est la version commerciale — aussi basée sur Forgejo, mais sans restrictions d'usage. Dépôts privés ? Projets commerciaux ? Équipes enterprise ? Bienvenue. Si ton code source ne doit pas être public, c'est l'option européenne.

Les deux plateformes parlent le Git standard. Passer de GitHub, c'est changer une URL remote. Les outils d'importation transfèrent tout ton historique.

Pour le déploiement :

statichost.eu construit et héberge des sites statiques dans des data centers européens. Connecte ton dépôt via webhook, spécifie ton processus de build (ils supportent les images Docker, donc virtually n'importe quel générateur de site statique fonctionne), et pousse pour déployer. Domaines personnalisés, certificats SSL, tout le tralala.

Cette séparation n'est pas que philosophique — c'est pratique. Tu peux changer d'hébergeur Git sans toucher au déploiement, ou migrer ton hébergement sans bouger ton code. Deux composants indépendants, deux décisions indépendantes.

Faire le switch

Si tu es convaincu mais que tu t'inquiètes de la complexité, voici une rassurance : cette stack est vraiment aussi pratique que GitHub Pages. Zola build des sites en millisecondes. Codeberg ou Codefloe gère ton dépôt. statichost.eu déclenche les builds. L'expérience développeur est quasi identique.

La différence, c'est que quand tu dors, tes données sont en Europe, gouvernées par le droit européen, loggées avec transparence européenne, et contrôlées par des organisations européennes.

Pour certains projets, GitHub Pages, c'est très bien. Pour des projets où la souveraineté des données, la vie privée ou le secret professionnel comptent, la stack européenne mérite une vraie consideration.

Les sites statiques sont portables par nature. Peut-être que ton infrastructure devrait-refléter ça.