Serveurs dédiés Windows Server

Un serveur dédié Windows Server est une machine physique mono-locataire qui exécute Windows Server directement sur le matériel : aucun hyperviseur, aucune colocation. Vous disposez d’un accès administrateur complet via RDP, de chaque cœur physique et de performances prévisibles pour les charges de travail sensibles à la licence comme SQL Server, Active Directory et IIS.

Comme la machine vous est entièrement dédiée, la licence est flexible : apportez votre propre image et licence Windows (BYOL), ou ajoutez une licence Windows Server via notre SPLA et payez-la mensuellement, chiffrée lors du processus de commande. Nous proposons Windows Server 2022 et Windows Server 2025.

Vous ne savez pas quelle version de Windows Server faire tourner ? Consultez notre guide des versions de Windows Server.

Licence Windows Server : BYOL et SPLA

Windows Server se licencie par cœur physique, et non par machine virtuelle, avec un minimum de 8 licences de cœur par processeur et 16 par serveur. Sur un serveur dédié Serverside, vous avez deux voies, et vous choisissez à la commande.

Apportez votre propre licence (BYOL) : comme le matériel est entièrement dédié et mono-locataire, vous pouvez généralement y déployer vos propres licences Windows Server au titre des Outsourcing Software Management Rights et du Flexible Virtualization Benefit de Microsoft. C’est la distinction clé par rapport à l’hébergement partagé ou multi-locataire, où ces droits ne s’appliquent pas. Notez que Windows Server lui-même n’est pas couvert par la License Mobility classique via Software Assurance, si bien que l’éligibilité dépend de votre licence précise et de son statut d’abonnement ou de Software Assurance, à confirmer avec votre revendeur.

SPLA (Services Provider License Agreement) : autrement, nous pouvons licencier Windows Server pour vous via notre SPLA. C’est le modèle mensuel, par cœur physique, de Microsoft pour les hébergeurs : vous louez la licence aussi longtemps que vous faites tourner le serveur, sans achat initial et sans CAL Windows Server à gérer. Nous chiffrons le montant SPLA lors du processus de commande ; il s’échelonne avec le nombre de cœurs de la machine que vous choisissez, ce qui est l’une des raisons pour lesquelles des CPU à haute fréquence et faible nombre de cœurs peuvent être le choix économique pour de nombreuses charges de travail Windows.

• Licence par cœur : la facture suit les cœurs physiques (min 8/processeur, 16/serveur), pas le nombre de VM
• Le BYOL est disponible sur notre matériel dédié mono-locataire : vérifiez votre licence + statut SA/abonnement
• Le SPLA est mensuel, sans CAL, chiffré à la commande et échelonné avec le nombre de cœurs
• Vous conservez un accès administrateur complet quelle que soit la voie

Édition Standard vs Datacenter

L’édition que vous licenciez modifie vos droits de virtualisation, et cela compte si vous comptez faire tourner Hyper-V sur la machine. Les deux éditions sont par ailleurs comparables en fonctionnalités pour la plupart des rôles.

Standard accorde deux environnements de système d’exploitation par serveur pleinement licencié : en pratique, l’hôte plus deux VM Windows Server (ou deux VM si l’hôte n’exécute que le rôle Hyper-V). Empiler un second jeu de licences de cœur sur les mêmes cœurs achète deux VM supplémentaires. Datacenter accorde un nombre illimité de VM Windows Server sur les cœurs licenciés, ce qui en fait le choix économique dès que vous faites tourner environ huit à dix VM sur un hôte. Si vous ne virtualisez pas Windows et voulez simplement une seule charge de travail Windows sur la machine, Standard est généralement le bon choix.

• Standard : 2 VM Windows (OSE) par serveur pleinement licencié ; re-licenciez les cœurs pour +2
• Datacenter : nombre illimité de VM Windows sur les cœurs licenciés
• Le point de bascule vers Datacenter se situe autour de 8 à 10 VM par hôte
• Les deux sont couvertes en BYOL comme en SPLA ; l’édition se choisit à la commande

Durcissement du RDP : la principale exposition Windows

Le Bureau à distance est la façon dont vous administrez un serveur Windows, et un endpoint RDP laissé ouvert sur le port TCP 3389 vers tout Internet est la surface la plus attaquée sous Windows. Le password-spraying et le brute-force automatisés contre un 3389 exposé sont constants. Ne le laissez jamais ouvert au monde entier ; mettez-le derrière un filtre et verrouillez qui peut l’atteindre.

Vous gérez vos propres règles de pare-feu au niveau réseau depuis votre tableau de bord, si bien que le filtrage a lieu devant la machine plutôt que seulement dans le Pare-feu Windows sur la machine : mitigation DDoS et gestion des règles en self-service en amont, le Pare-feu Windows derrière, une défense en profondeur où aucune des deux couches n’est votre point de défaillance unique. Si vous vous verrouillez malgré tout (une mauvaise règle, un changement de pare-feu, un mauvais réglage RDP), la console KVM vous donne un accès hors bande quand le RDP est injoignable : regardez la machine démarrer, corrigez le pilote de NIC, le pare-feu ou le réglage qui l’a cassé, et revenez sans ouvrir de ticket de support.

Au-delà de la couche réseau, vous devez aussi durcir l’OS lui-même. Une base de départ raisonnable sur une machine Windows Serverside neuve :

• Restreignez le 3389 à une liste d’IP autorisées (votre bureau/sortie VPN), ou ne l’exposez pas du tout
• Atteignez le RDP via une RD Gateway ou un VPN plutôt que par le port brut
• Exigez l’authentification au niveau réseau (NLA) pour que les identifiants soient vérifiés avant qu’une session ne démarre
• Définissez des stratégies de verrouillage de compte pour émousser les tentatives de brute-force
• Renommez/désactivez le compte Administrateur par défaut et utilisez des identifiants forts et uniques
• Laissez notre filtrage inline se placer devant l’endpoint, mais traitez-le comme une défense en profondeur, pas un substitut à ce qui précède

Ce que les équipes font tourner sur des serveurs dédiés Windows

Le bare metal convient aux charges de travail Windows sensibles à la licence ou à la latence, car des cœurs physiques fixes et l’absence de taxe d’hyperviseur rendent à la fois la licence et les performances prévisibles.

• SQL Server : la licence par cœur récompense un nombre de cœurs physiques connu et fixe, et le NVMe local garde rapides les requêtes limitées par les I/O
• Active Directory et services d’annuaire, en contrôleur de domaine dédié ou couche d’identité
• IIS et hébergement d’applications ASP.NET / .NET avec l’uplink complet derrière
• Hôte de virtualisation Hyper-V : associez-le à l’édition Datacenter pour un nombre illimité d’invités Windows
• Serveurs de jeu Windows : nos profils DDoS sont réglés par titre pour les jeux hébergés sur notre réseau

Isolez les contrôleurs de domaine sur le réseau privé

Active Directory est le cas où la topologie réseau compte le plus : un contrôleur de domaine ne devrait presque jamais se trouver directement sur une adresse publique. Placez vos serveurs sur un réseau privé entre eux et gardez les DC de ce côté privé, en ne plaçant dans une DMZ définie par le client que les membres qui doivent réellement faire face à Internet : un front-end web public, un relais de bordure. La réplication de domaine, le LDAP et le trafic Kerberos restent alors entièrement à l’écart de l’interface publique.

C’est le schéma multi-tier classique : le membre exposé dans la DMZ, la couche d’identité isolée derrière, et le réseau privé qui porte tout ce qui ne doit jamais quitter votre propre périmètre. Vous définissez la segmentation, si bien que le DC n’a jamais à répondre à un paquet venu de l’Internet ouvert.

Windows Server 2022 ou 2025 ?

Windows Server 2025 est devenu généralement disponible le 1er novembre 2024 en tant que version Long-Term Servicing Channel actuelle, si bien que 2022 comme 2025 sont des choix supportés et actuels. La version 2025 apporte un noyau plus récent, un durcissement de sécurité (améliorations des identifiants et d’Active Directory, SMB over QUIC désormais disponible en Standard et Datacenter plutôt qu’en Azure Edition uniquement), des gains de performances et la prise en charge du hotpatching.

Le hotpatching vous permet d’appliquer de nombreuses mises à jour de sécurité à du code en cours d’exécution sans redémarrage, réduisant le nombre de mois nécessitant un redémarrage par an. Il est livré pour Windows Server 2025 via Azure Arc ; les conditions commerciales de Microsoft à son sujet ont évolué depuis le lancement, confirmez donc l’arrangement actuel plutôt que de supposer un tarif fixe. Si le patching sans redémarrage est une priorité, 2025 est la version à choisir.

Choisissez 2022 pour une compatibilité maximale avec les logiciels certifiés contre lui et un historique plus long ; choisissez 2025 pour le jeu de fonctionnalités plus récent, le hotpatching et la plus longue fenêtre de support. Nous installons l’une ou l’autre en moins d’une minute, si bien que le choix porte sur vos logiciels, pas sur notre provisioning.

Patching et posture de sécurité

Windows Server est livré avec Microsoft Defender Antivirus activé et reçoit des mises à jour de sécurité cumulatives sur la cadence mensuelle du « Patch Tuesday » (le deuxième mardi de chaque mois), avec des correctifs hors bande pour les CVE urgentes. Comme votre serveur Serverside est non infogéré par défaut, rester à jour est de votre responsabilité ; une machine Windows exposée à Internet qui manque un Patch Tuesday est une cible facile.

Mettez en place un plan de patching dès le premier jour : planifiez les mises à jour via Windows Update, WSUS ou votre outillage de gestion de configuration, gardez Defender (ou l’EDR de votre choix) actif et à jour, et prévoyez des fenêtres de redémarrage, ou faites tourner Windows Server 2025 avec le hotpatching pour réduire la fréquence à laquelle ces redémarrages interrompent le service. Un patching infogéré peut être mis en place si vous préférez que nous nous en chargions.