Où héberger une API : Projects ou VPS selon votre backend

Si votre application doit enregistrer des données, gérer des sessions ou exécuter votre logique métier, elle a probablement besoin d’une API accessible depuis Internet. Le choix de l’hébergement ne dépend pas du frontend — Flutter, React Native, React ou un outil d’IA — mais du processus exécuté par le backend et de la personne qui l’exploitera.

Chez Hostbrid, deux solutions sont courantes : Projects, qui construit depuis un dépôt et exécute un service compatible, et un VPS, sur lequel vous administrez le système et les logiciels. Ce guide vous aide à écarter une solution inadaptée avant de commander. Pour une application mobile, consultez aussi l’hébergement d’API pour iOS et Android.

Choisir Projects si votre API est compatible

Projects peut être la voie la plus directe si vous avez un dépôt Git, si le backend démarre comme service Node.js ou conteneur compatible et si vous préférez confier la construction et le déploiement. Connectez GitHub, GitLab ou Bitbucket, puis vérifiez l’état et les journaux du déploiement. Un service qui doit rester actif exige le forfait payant et les ressources correspondants ; consultez les conditions actuelles sur la page Projects.

Avant de choisir cette solution, identifiez la commande de démarrage, le port d’écoute, les variables d’environnement et les services externes utilisés. Vérifiez où sont conservées les données et si le processus a besoin de tâches planifiées, d’un accès système ou de volumes non inclus dans le forfait. Ne placez pas de secrets dans le dépôt.

Choisir un VPS si vous devez administrer le système

Un VPS vous donne l’accès root pour installer des runtimes, Docker Compose, un proxy, des workers ou des outils système. Il convient si le déploiement dépend d’une configuration que vous devez contrôler ou de plusieurs processus que vous souhaitez relier vous-même.

Cette liberté implique du travail : mises à jour, pare-feu, comptes et permissions, certificats, supervision, sauvegardes hors serveur et tests de restauration. Un VPS n’exploite pas automatiquement l’API et ne sécurise pas une configuration par défaut. Si vous ne souhaitez pas assurer cette maintenance, examinez Projects pour un backend compatible ou demandez conseil avant la commande.

Comparer les besoins de l’application

Besoin à exécuter	Première option à examiner	À vérifier avant de payer
Frontend statique sans processus serveur	Projects	Commande de build, dossier de sortie, routes et services externes
API Node reliée à Git	Projects	Runtime, démarrage, port, variables, persistance et ressources du forfait
Backend avec Dockerfile	Projects ou VPS	Compatibilité du conteneur et stockage ; VPS si vous devez contrôler l’hôte
Docker Compose avec plusieurs services	VPS ou Projects selon la prise en charge	Réseau, données persistantes, ressources, sauvegardes et limites du forfait
Python, PHP ou autre runtime avec dépendances système	VPS, sauf si l’offre Projects confirme le runtime	Version, bibliothèques système, démarrage et maintenance
Base de données de production	Service géré compatible ou installation que vous administrez	Sauvegardes, restauration, accès privé, stockage et mises à jour

Ce tableau oriente le choix, mais ne garantit pas une compatibilité universelle. Vérifiez la documentation et les conditions du produit pour votre runtime et votre forfait. Si l’application utilise une base de données, ne supposez pas que le déploiement de l’API crée, migre ou sauvegarde aussi les données.

Faire l’inventaire du dépôt avant de choisir

Ouvrez le dépôt et notez :

Le démarrage : consultez package.json, Dockerfile, compose.yaml, pyproject.toml ou les fichiers du runtime. Relevez la commande de production, pas seulement celle du serveur de développement.
Le port : l’API doit écouter le port attribué par son environnement et répondre sur une URL HTTPS publique. Sur un téléphone, localhost désigne le téléphone, pas le serveur.
Les données persistantes : séparez base de données, fichiers, cache, files de tâches et journaux. Décidez qui effectue les sauvegardes et comment tester une restauration.
Les identifiants : gardez les clés privées dans des variables côté serveur. Une valeur intégrée au bundle iOS ou Android peut être extraite ; ce n’est pas un secret.
Les autorisations : chaque endpoint doit vérifier identité, droits et données reçues sur le serveur. Masquer un bouton dans l’application ne protège pas l’action.
La capacité : mesurez mémoire, CPU, disque et requêtes simultanées avec un test représentatif avant de choisir les ressources.

Tester l’API avant de connecter l’application

Une page d’état en 200 ne prouve pas que le parcours utilisateur fonctionne. Depuis un réseau externe, testez une route publique, une route authentifiée ainsi que les réponses attendues pour une session expirée, des données invalides et une limite de requêtes. Vérifiez HTTPS, DNS, journaux et absence de fuite d’informations sensibles en cas de panne de base de données.

Dans l’application mobile, remplacez l’adresse de développement par le domaine de production et testez une version de release sur iOS et Android. N’intégrez pas de clé privée ; gardez les identifiants de base de données, paiement et services externes sur le serveur. Si un frontend web appelle aussi l’API, configurez CORS pour les origines nécessaires : CORS n’authentifie pas l’API et ne protège pas les appels natifs.

Pour un backend FastAPI administré par vos soins, suivez Uvicorn et Nginx sur VPS. Pour Node.js, consultez l’hébergement d’une application Node.js. Si vous ne savez pas si votre code est statique ou nécessite un serveur, commencez par diagnostiquer une API qui fonctionne en local mais échoue en production.

Étape suivante

Si le backend est compatible et que vous souhaitez déployer depuis Git, consultez Projects. Si vous avez besoin de l’accès root ou de contrôler Docker et le système, comparez les VPS et gérez vos mises à jour et sauvegardes. Si vous ne connaissez pas encore le runtime de votre projet, transmettez sa commande de démarrage et ses services à l’assistance avant de commander. N’envoyez pas de jetons, mots de passe ou données client.