Où héberger n8n ? Auto-hébergement, données en Europe et RGPD

Dès qu'une automatisation touche à des contacts, des factures ou des échanges clients, une question arrive vite : où passent mes données ? Avec n8n, la réponse dépend d'un choix de départ, l'hébergement, et de plusieurs réglages qu'on oublie souvent.

Cet article présente les options, ce que chacune change concrètement, et les points à vérifier. Il s'agit d'informations techniques générales, pas d'un conseil juridique : pour un cas précis, votre délégué à la protection des données ou votre conseil reste la bonne personne à consulter.

Deux façons d'héberger n8n

n8n Cloud est la version hébergée par l'éditeur. Vous n'avez rien à installer ni à maintenir : l'éditeur gère le serveur, les mises à jour et la disponibilité.

L'auto-hébergement consiste à installer n8n sur votre propre serveur, par exemple un serveur dédié ou un VPS dans un datacenter situé en Europe. Vous choisissez le pays, vous contrôlez les accès, et c'est vous (ou votre prestataire) qui maintenez le serveur.

	n8n Cloud	Auto-hébergement
Maintenance et mises à jour	Gérées par l'éditeur	À votre charge ou celle de votre prestataire
Choix du lieu d'hébergement	Selon les options de l'éditeur	Libre : vous choisissez le pays et l'hébergeur
Contrôle des accès et du réseau	Limité à ce que propose le service	Total
Sauvegardes	Gérées par l'éditeur	À mettre en place vous-même
Effort de démarrage	Faible	Plus élevé

Aucune des deux options n'est « la bonne » dans l'absolu. Pour une petite équipe sans compétence serveur, le cloud peut suffire. Pour une entreprise qui veut maîtriser le lieu et les accès, ou qui manipule des données sensibles, l'auto-hébergement en Europe est souvent préféré.

Ce que n8n stocke réellement

Pour décider, il faut savoir ce qui est enregistré sur l'instance :

Les définitions de workflows : la logique de vos automatisations.
Les identifiants (clés d'API, mots de passe de connexion à vos outils), chiffrés avec une clé de chiffrement propre à l'instance.
L'historique des exécutions, qui peut contenir les données qui ont circulé : contenu d'un e-mail, fiche d'un contact, montant d'une facture.

Le troisième point est le plus important pour la protection des données : par défaut, les données traitées par un workflow peuvent se retrouver conservées dans l'historique.

Ce que l'hébergement ne règle pas à lui seul

Héberger n8n en Europe est une bonne base, mais ce n'est pas suffisant :

Chaque outil connecté a son propre hébergement. Si un workflow envoie un texte à un service d'IA ou à un outil américain, la donnée sort de votre serveur, même si n8n est chez vous. Il faut lister les services tiers appelés et vérifier leur localisation et leurs conditions.
Les accès comptent autant que le lieu. Un serveur en Europe mal protégé reste un risque : accès par mot de passe faible, interface exposée sans protection, mises à jour négligées.
La conservation des données se règle. Même sur un serveur maîtrisé, garder indéfiniment l'historique des exécutions n'est pas souhaitable.

Les réglages qui limitent l'exposition

Voici des leviers concrets, à vérifier sur toute instance :

Limiter l'historique des exécutions. n8n permet de choisir quelles exécutions sont enregistrées (par exemple, ne pas conserver celles qui réussissent) et de supprimer automatiquement les anciennes au bout d'une durée donnée.
Protéger l'accès à l'éditeur. Connexion par compte individuel, mot de passe robuste, accès chiffré en HTTPS derrière un reverse proxy.
Sauvegarder la base de données et la clé de chiffrement. Sans cette clé, les identifiants enregistrés ne sont plus lisibles après une restauration. C'est l'oubli le plus fréquent.
Mettre à jour régulièrement. Les correctifs de sécurité n'ont d'intérêt que s'ils sont appliqués.
Ne faire passer que les données nécessaires. Un workflow qui n'a besoin que d'un nom et d'une adresse e-mail n'a pas à transporter toute la fiche client.

Un mot sur la licence

n8n est distribué sous une licence dite « fair-code » (la Sustainable Use License), qui permet d'utiliser et d'auto-héberger le logiciel pour les besoins de votre entreprise, avec des limites sur la revente ou l'hébergement de n8n comme service à des tiers. Les conditions exactes sont publiées par l'éditeur : à relire avant un usage inhabituel.

Comment on procède chez Nodexus

Pour un projet, nous cadrons d'abord quelles données circulent et vers quels services, puis nous proposons l'hébergement adapté. Quand nous mettons en place une instance auto-hébergée, elle appartient au client : les workflows sont documentés et peuvent être repris à tout moment. Pour la suite, la supervision et les alertes sont décrites dans l'article sur les échecs de workflows.

À retenir

Le lieu d'hébergement compte, mais il ne suffit pas : listez aussi les services tiers appelés par vos workflows.
L'historique des exécutions peut contenir des données personnelles : limitez-le et purgez-le.
Sauvegardez la clé de chiffrement avec la base de données.
Faites relire les aspects juridiques à la personne compétente chez vous.