NTP souverain France : pourquoi ça compte

La synchronisation horaire est devenue une dépendance critique invisible : DNSSEC, certificats TLS, authentification 2FA, traçabilité légale des journaux, conformité MiFID II et NIS2 reposent toutes sur une horloge fiable. Lorsque cette source de temps est opérée hors d'Europe ou hors de tout cadre contractuel maîtrisé, l'ensemble de la chaîne de confiance devient implicitement extra-territoriale.

Cette page décrit l'infrastructure de temps souveraine opérée par RDEM Systems — serveurs hébergés dans des datacenters parisiens, annoncés sur notre propre AS BGP, accessibles en NTS authentifié et dual-stack IPv4/IPv6 — et son intérêt concret pour les administrations, OIV, OSE et fintechs soumises à un cadre réglementaire exigeant.

Pourquoi la souveraineté du temps est un enjeu d'État

Le temps réseau est l'une des dépendances les plus profondes — et les moins discutées — d'un système d'information. Une horloge décalée n'arrête pas un service : elle invalide silencieusement les garanties de sécurité que l'on croyait acquises.

• DNSSEC — les signatures de zone et les enregistrements RRSIG ont une période de validité (inception, expiration). Un client dont l'horloge est manipulée peut accepter des signatures rejouées ou rejeter des signatures valides.
• Certificats TLS — un décalage horaire suffisant fait accepter des certificats expirés ou pas encore valides, ouvrant la porte à des attaques MITM sur des sessions chiffrées.
• Traçabilité légale des journaux — les obligations de conservation et la valeur probante des logs (RGPD, NIS2, code de procédure pénale) supposent un horodatage fiable et non altérable. Sans cela, la chaîne de preuve s'effondre.
• MiFID II / RTS 25 — les opérateurs de marché doivent prouver une synchronisation UTC, à un seuil qui dépend de leur activité : 100 µs pour le trading algorithmique à haute fréquence, 1 ms pour les autres formes de trading algorithmique, 1 s pour la saisie manuelle. Traçabilité documentée dans tous les cas. C'est un objet d'audit régulier de l'AMF / ESMA.
• Authentification TOTP (2FA) — les codes à usage unique reposent sur la synchronisation des horloges des deux côtés. Une dérive accidentelle — ou induite — peut désactiver l'accès à des systèmes critiques.

La question de la localisation et de la juridiction de la source de temps émerge dans ce contexte. Lorsque l'ensemble de la pile applicative est conçue pour résister à un attaquant réseau, il est cohérent que la source de temps réponde aux mêmes exigences : opérée par une entité connue, soumise au droit applicable au commanditaire, et techniquement vérifiable.

Architecture RDEM — AS206014 français en propre

L'infrastructure NTP/NTS de RDEM Systems repose sur une architecture maîtrisée de bout en bout : un système autonome BGP français exploité directement, des serveurs Stratum 2 répartis dans plusieurs datacenters Equinix parisiens, et un site de résilience à Frankfurt. Tous les éléments sont vérifiables publiquement.

Présence physique des serveurs

Souveraineté : les quatre plans à ne pas confondre

La souveraineté commence par savoir qui tient quoi. La carte du NTP et du NTS mesure, pays par pays, le nombre d'opérateurs distincts et le poids du plus gros : la France y apparaît en jaune, avec près d'un tiers de son parc NTS tenu par un seul acteur — nous.

Souveraineté européenne : complète. Souveraineté française : partielle, mais solide — et nous la documentons plutôt que de la surjouer.

La souveraineté d'une source de temps n'est pas binaire. Elle se lit sur quatre plans distincts, qu'il faut cesser de confondre : l'opérateur (qui répond du service), la localisation physique (où se trouve la machine), le contrat d'hébergement (avec quelle entité juridique, donc sous quel droit), et l'AS (sous quel numéro de système autonome le trafic est annoncé). Les trois premiers portent la juridiction. Le quatrième est technique.

Souveraineté européenne : entière, sans exception. Les 12 serveurs sont hébergés dans l'Union, annoncés par des AS européens, et contractualisés avec des entités européennes. Pour un cadre qui raisonne en périmètre UE — NIS 2, DORA, RGPD — la chaîne est intégralement souveraine.

Souveraineté française : 10 serveurs sur 12 relèvent entièrement du droit français. Le cœur est constitué de 7 serveurs sur AS206014, notre propre numéro d'AS français (ntp-1 à ntp-6 et ntp-8, datacenters Equinix PA3/PA4/PA5). S'y ajoutent ntp-10 (IELO, AS29075), ntp-11 (IPSET, AS199275, à TH2) et ntp-9 (Equinix PA4) — ce dernier étant hébergé en France sous contrat de transit avec Arelion France SAS, entité française, même si le numéro d'AS 1299 est enregistré au nom de la maison mère suédoise. Un numéro d'AS n'est pas une nationalité juridique.

Deux serveurs seulement dérogent, et de manière exactement symétrique :

• ntp-12 : en France (Lauterbourg), mais sous contrat et AS allemands — Contabo GmbH, AS51167, préfixe enregistré DE au RIPE.
• ntp-7 : l'inverse exact — en Allemagne (Francfort), mais sous contrat et AS français — OVH SAS, AS16276.

Cette symétrie est instructive : un drapeau sur une carte ne dit rien de qui opère la machine, et un serveur hébergé à l'étranger reste sous droit français dès lors qu'il est exploité et contractualisé par une entité française. Le plan qui détermine la juridiction applicable — le seul que regardera un régulateur — est l'opérateur du service : RDEM Systems, société française établie à Pontoise (95). Sur ce plan-là, les 12 serveurs sont français sans réserve.

Nous préférons documenter ces exceptions plutôt que de laisser un auditeur les découvrir. Et si votre cadre exige un alignement strict sur la France, la réponse est simple : configurez les dix serveurs concernés, ou le seul cœur AS206014. Ils suffisent largement à une architecture redondante, et ne souffrent aucune réserve.

Poussons l'honnêteté jusqu'au bout : la chaîne ne se referme jamais

Un auditeur rigoureux ira plus loin que nous, et il aura raison. Les datacenters eux-mêmes ne sont pas européens : Equinix PA3, PA4 et PA5 sont exploités par Equinix Inc., société américaine, et TH2 par Telehouse, groupe KDDI, japonais. Le cœur AS206014 lui-même tourne donc dans des bâtiments opérés par des groupes soumis à des droits extra-européens — CLOUD Act côté américain.

Et l'objection tient même si le contractant est une filiale française — Equinix France SAS, Arelion France SAS. Contracter avec une filiale de droit français fixe le droit du contrat, mais n'immunise pas contre la portée extraterritoriale du droit de la maison mère. C'est vrai pour Equinix, et par honnêteté nous le disons aussi de l'argument que nous avons employé plus haut pour ntp-9 : le contrat français avec Arelion France SAS ne fait pas disparaître le groupe suédois derrière — il ne s'agit d'ailleurs, dans ce cas, que d'un pays de l'Union.

Aucun opérateur de temps en France ne peut prétendre le contraire, sauf à posséder ses propres murs. Prétendre à une souveraineté absolue serait malhonnête, et nous ne le ferons pas.

Mais l'objection, si elle est juste, ne dit pas ce qu'on lui fait dire — parce qu'elle confond colocation et cloud. Voici la répartition exacte des rôles :

Mais tous nos serveurs ne relèvent pas du même régime d'hébergement, et notre exposition n'est pas la même partout. Nous préférons l'écrire que le laisser découvrir :

• Colocation, notre matériel — 9 serveurs (Equinix PA3/PA4/PA5). Nos machines, nos systèmes, nos clés. Sept sont annoncés sur notre propre AS206014 ; deux autres tournent sur nos clusters mais avec l'adressage de nos transitaires (Arelion, IELO) — le matériel reste le nôtre, seule l'IP vient d'un tiers. Equinix et Telehouse vendent des murs, du courant et de la climatisation : ils ne touchent ni à l'OS, ni aux clés, ni aux données. Un bailleur de colocation n'a aucune garde sur la machine de son locataire — on ne peut pas le contraindre à produire ce qu'il ne détient pas.
• Machine physique louée — ntp-7 (OVH, Francfort). Le matériel appartient à OVH, mais il n'y a pas d'hyperviseur : le système, les clés et la mémoire vive ne sont accessibles qu'à nous. OVH peut saisir un disque physiquement ; il n'a pas d'accès logique à la machine en fonctionnement.
• Machines virtualisées chez un tiers — ntp-11, ntp-12. Elles tournent sur l'hyperviseur d'un hébergeur. Cet hébergeur a donc techniquement la garde de la machine : il peut en lire la mémoire. Sur ces nœuds-là, et sur eux seuls, l'argument « le bailleur n'a pas la garde » ne tient pas. Nous ne prétendrons pas le contraire.
• Transit — Arelion et IELO acheminent des paquets sans rien héberger. IPSET fait les deux : il achemine, et il héberge ntp-11 sur son hyperviseur — c'est à ce titre, et à ce titre seul, qu'il en a la garde technique.

Autrement dit : si votre cadre réglementaire exige qu'aucun tiers ne puisse accéder à la machine, configurez uniquement les 9 serveurs en colocation. Ils suffisent largement à une architecture redondante, sur trois datacenters. C'est le genre de précision qu'on ne trouve nulle part ailleurs, parce qu'elle oblige à reconnaître son propre maillon faible.

Cette distinction est juridiquement décisive. Le CLOUD Act atteint un fournisseur qui a la possession, la garde ou le contrôle des données. Un bailleur n'a aucune garde sur la machine de son locataire : on ne peut pas le contraindre à produire ce qu'il ne détient pas, et il ne le détient pas. C'est ce qui sépare radicalement notre exposition de celle d'un client d'AWS ou d'Azure, où le fournisseur exploite la machine, détient l'hyperviseur et, souvent, les clés.

Et pour du NTP, la question est de toute façon largement théorique : un serveur de temps ne stocke aucune donnée client. Ni vos fichiers, ni vos identités, ni vos transactions. Il répond une heure. Il n'y a, littéralement, rien à saisir.

Le risque souverain réel du NTP est ailleurs : la disponibilité (peut-on vous couper l'heure ?) et l'intégrité (peut-on vous en fournir une fausse ?). Un bailleur peut, à la limite, vous fermer sa porte — c'est un risque de continuité, qui se traite par la redondance géographique, et c'est précisément pourquoi nos serveurs sont répartis sur six sites et deux pays. Mais il ne peut ni lire votre horloge, ni la falsifier.

Ce qui fonde notre souveraineté, ce ne sont donc pas les murs : c'est ce que nous possédons en propre. Nos serveurs, que nous exploitons seuls. Notre AS, qui nous rend indépendants d'un hébergeur pour annoncer nos préfixes. Et notre Stratum 1, disciplinée par GPS et PPS, qui nous rend indépendants de toute source de temps tierce. C'est là que se joue la souveraineté d'une chaîne de temps — pas dans le pays d'immatriculation du propriétaire du bâtiment.

Dual-stack IPv4 / IPv6

L'ensemble du pool est accessible nativement en IPv4 et IPv6. La pile IPv6 n'est pas un tunnel ni une passerelle : les préfixes IPv6 sont annoncés en BGP par AS206014, au même titre que les préfixes IPv4. Les administrations soumises à la circulaire IPv6 (DINUM/ARCEP) et les opérateurs visant la modernisation du référentiel général d'interopérabilité peuvent référencer cette source sans contournement technique.

NTS : sécurité cryptographique de la chaîne stratum

NTP classique est transmis en clair sur UDP, sans authentification. Un attaquant en position MITM peut usurper un serveur ou modifier les réponses, ce qui n'est pas acceptable pour les usages décrits plus haut. NTS (Network Time Security, RFC 8915) apporte la couche manquante : authentification cryptographique via TLS 1.3 sans chiffrement du payload temps lui-même, ce qui préserve la précision.

L'ensemble du pool RDEM est NTS-actif. Cela reste rare : sur les 4 586 machines de temps que notre registre a sondées depuis six réseaux au 7 août 2026, 265 servent une heure authentifiée — dont 29 en France. La page dédiée détaille la configuration Chrony et la vérification : Activer NTS sur Chrony en 5 minutes.

Cas d'usage secteur public et régulé

Le périmètre des organisations qui ont un intérêt direct à disposer d'une source de temps souveraine s'étend au-delà des seules administrations centrales.

Conformité — RGS, ANSSI, NIS2, RGPD logs

Le tableau suivant synthétise les principaux référentiels qui imposent, directement ou indirectement, une source de temps maîtrisée. Aucun ne désigne nominativement un fournisseur ; tous laissent au responsable de traitement la charge de démontrer la fiabilité et la traçabilité de l'horodatage.

Vérifiabilité par des tiers

Une infrastructure souveraine se mesure à ce qu'un tiers peut vérifier sans coopération de l'opérateur. Pour AS206014, l'ensemble des éléments est public :

• Annonce BGP visible sur tous les looking-glass publics (RIPE, Hurricane Electric)
• Fiche PeeringDB — politique de peering, datacenters de présence
• Looking-glass BGP public opéré par RDEM — consultation directe de la table de routage
• Score NTP Pool sur ntppool.org/a/rdem-systems — mesure indépendante de précision
• Inscription dans le dépôt communautaire NTS jauderho/nts-servers

FAQ secteur public

Qu'est-ce qu'un serveur NTP souverain ?

La souveraineté se lit sur quatre plans : l'opérateur du service, la localisation physique, le contrat d'hébergement et l'AS qui annonce les préfixes. RDEM Systems opère NTP et NTS sur son propre AS206014 (entité française) depuis des datacenters parisiens, Lauterbourg et un site secondaire à Frankfurt. Aucun opérateur ne peut prétendre à une souveraineté absolue : les datacenters eux-mêmes appartiennent à des groupes non européens. Ce qui compte est la nature du lien — il s'agit de colocation, pas de cloud : les serveurs nous appartiennent, le bailleur n'a aucune garde sur la machine, et un serveur NTP ne stocke de toute façon aucune donnée client. Le détail des quatre plans →

Le RGS impose-t-il un serveur NTP souverain ?

Le Référentiel Général de Sécurité ne désigne pas explicitement de service NTP, mais il impose des exigences de traçabilité et d'horodatage fiable des journaux d'audit (RGS B.2 et A.5). En pratique, une source de temps maîtrisée et juridiquement localisée en France facilite la démonstration de conformité, notamment pour les téléservices publics et les administrations soumises à la PSSI-E.

Pourquoi NIS2 rend-elle la souveraineté NTP plus importante ?

NIS2 (transposée en France à partir de 2024-2025) étend les obligations de cybersécurité à des milliers d'entités essentielles et importantes. Parmi les exigences : la traçabilité des incidents, l'horodatage fiable des logs et la maîtrise de la chaîne d'approvisionnement. Une infrastructure de temps opérée par un acteur soumis au droit européen, sur un AS et des datacenters identifiés, simplifie la justification de cette maîtrise.

MiFID II impose-t-il une synchronisation NTP particulière ?

Oui. MiFID II / RTS 25 impose une synchronisation des horloges des systèmes de trading à UTC ≤ 100 µs pour les opérateurs à haute fréquence, avec une traçabilité documentée. NTS (RFC 8915) apporte la garantie cryptographique que la source utilisée est authentique, ce qui limite le risque d'usurpation et facilite l'audit.

Qu'est-ce que l'AS206014 et pourquoi est-ce important ?

AS206014 est le système autonome BGP exploité en propre par RDEM Systems. Il est référencé sur PeeringDB, bgp.tools et bgp.he.net. Opérer son propre AS signifie ne pas dépendre du routage d'un fournisseur tiers : le préfixe IP est annoncé directement par RDEM, ce qui permet une traçabilité réseau complète et une résilience face aux décisions d'un opérateur de transit.

Les serveurs RDEM sont-ils accessibles en IPv6 ?

Oui. L'ensemble du pool NTP/NTS est dual-stack IPv4 + IPv6 natif. C'est un prérequis pour les administrations soumises à la circulaire IPv6 (référentiel ARCEP/DINUM) et pour les opérateurs soumis aux exigences de modernisation du référentiel général d'interopérabilité.

Peut-on externaliser la gestion d'une infrastructure NTP/NTS souveraine ?

Oui. RDEM Systems propose une infogérance NTP/NTS sous astreinte 24/7 — incluant supervision de dérive temporelle, maintien en condition de sécurité (MCS), gestion des certificats TLS/NTS et reporting de conformité. Pertinent pour les DSI publiques ou les fintechs sous MiFID II qui veulent industrialiser la fiabilité du temps sans embaucher une équipe spécialisée.

Existe-t-il un serveur de temps souverain européen ?

Oui, et pas qu'un : au 7 août 2026, notre registre mesure 2598 machines de temps localisées en Europe, dont 192 servent du NTS (RFC 8915), opérées par 42 opérateurs européens distincts — instituts nationaux de métrologie (PTB en Allemagne, ROA en Espagne, BEV en Autriche, DFM au Danemark), réseaux académiques et opérateurs privés (Netnod en Suède, SIDN Labs aux Pays-Bas). La question n'est donc pas de savoir s'il en existe, mais si votre pays en a un : 21 pays européens servent du NTS, et dans les 17 autres nous n'avons trouvé aucune référence publique qui en serve. Registre complet et vérifiable : le registre européen mesuré

Mon serveur NTP est-il exposé au Cloud Act ?

Pas de la façon dont on l'imagine généralement, et la nuance compte. Le Cloud Act permet aux autorités américaines d'exiger d'un fournisseur soumis au droit des États-Unis la communication de données qu'il détient, où qu'elles soient hébergées. Or NTP ne transporte aucun contenu : il n'y a pas de donnée à saisir. L'exposition réelle est de deux ordres. D'abord une dépendance : si time.google.com ou time.windows.com cesse de vous répondre, ou change de politique de seconde intercalaire, vous subissez la décision d'un tiers non européen. Ensuite une fuite de métadonnées : interroger un serveur américain expose l'adresse IP de vos machines, leur volume de requêtes et leurs horaires d'activité — pas leur contenu, mais leur cartographie. C'est un risque de dépendance et d'observation, pas un risque de divulgation.

Peut-on se passer de Google et Cloudflare pour l'heure en Europe ?

Oui, techniquement sans compromis. Notre registre mesure 192 machines servant une heure authentifiée par NTS en Europe au 7 août 2026, tenues par 42 opérateurs distincts et réparties sur plusieurs pays. Il est donc possible de constituer une configuration chrony entièrement européenne, authentifiée par NTS, avec plusieurs opérateurs indépendants — ce qui est de toute façon la bonne pratique : on ne fonde jamais une horloge sur une source unique, souveraine ou non.

Quels serveurs NTP européens sont opérés par des acteurs européens ?

Notre registre les nomme un par un, avec leur stratum mesuré et leur statut NTS vérifié depuis six réseaux : 42 opérateurs européens servent du NTS, parmi lesquels les instituts nationaux de métrologie (PTB en Allemagne, ROA en Espagne, BEV en Autriche, DFM au Danemark), des réseaux académiques (SWITCH, Université de Strasbourg) et des opérateurs privés (Netnod, RDEM Systems, Hetzner, SIDN Labs, Nothing to hide). Deux absences sont volontaires, et elles disent ce qu'une liste déclarative ne voit pas. METAS, en Suisse, n'annonce et ne sert que du NTP : ses serveurs stratum 1 répondent depuis nos six points d'observation, le port 4460 y reste muet. L'Université de Zagreb (UNIZG FER REMLAB) annonce du NTS et l'a réellement déployé — son NTS-KE aboutit depuis nos 6 sondes —, mais seules 3 de nos sondes obtiennent l'heure authentifiée : les 3 autres n'obtiennent rien. Le NTS y marche ou non selon le réseau d'où l'on interroge, et c'est pour cela que nous ne le comptons pas. Leur journal opérationnel signale, le 18 mars 2026, une revalidation de la configuration NTS-KE « pour augmenter la disponibilité et la compatibilité » : le chantier est ouvert de leur côté, et au 7 août 2026 il n'est pas refermé depuis nos points d'observation. Le registre nomme aussi, pour les 17 pays où nous n'avons trouvé aucun NTS, l'institut ou le réseau qui y sert le stratum 1 sans authentification. La liste complète est publiée en CSV et JSON sous licence CC BY 4.0.

La souveraineté se mesure-t-elle au dernier maillon ?

Un serveur français authentifié dont la source est hors de vue pose une question que cette page ne tranche pas. Elle est reprise, chiffres à l'appui, dans le NTS doit-il se prouver de bout en bout ?