Applications conformes à la HIPAA 2026 : Next.js, WordPress, ou JotForm 99 $

Un client m'a appelé un jeudi après-midi fin 2023, fintech devenue healthtech, ils venaient d'embaucher un consultant en conformité qui avait examiné leur codebase Next.js et remis une liste de problèmes de trois pages. « Nous pensions que mettre ça sur AWS suffisait », a dit le fondateur. Il y croyait vraiment. Et honnêtement? J'avais entendu exactement cette même phrase de probablement six équipes différentes avant lui.

La conformité HIPAA est un de ces domaines où tout le monde croit comprendre la surface : signer un BAA, choisir un fournisseur cloud conforme, c'est fait. Mais la Règle de sécurité HIPAA ne se soucie pas de la page marketing de votre fournisseur d'hébergement. Elle se soucie de la manière dont votre application traite, stocke, transmet et audite les Informations de santé protégées (PHI). Next.js, en tant que framework, n'est ni conforme ni non-conforme d'office. Ce que vous construisez dessus, c'est tout.

Alors laissez-moi vous parcourir ce qui compte vraiment en 2026, basé sur les architectures réelles que j'ai construites et les véritables erreurs que j'ai vues des équipes faire.

---

Les trois vrais chemins HIPAA en 2026, choisissez le vôtre avant de choisir une stack

Si vous construisez quelque chose de forme santé cette année, vous avez trois chemins qui débouchent réellement sur un accord d'associé commercial signé et une piste d'audit défendable. La plupart des blogs d'ingénierie ne couvrent que le premier. Les deux autres sont moins chers, plus rapides, et plus souvent la bonne réponse que ne l'admet la communauté Next.js.

Chemin 1, Next.js + Vercel BAA : le bon choix quand votre produit a des tableaux de bord authentifiés, des workflows personnalisés, des données en temps réel, des fonctionnalités IA, ou n'importe quoi au-delà du contenu statique. Vercel a enfin ouvert les BAA HIPAA aux équipes Pro en 2025 avec un surcoût de 350 $/mois, vous n'avez plus besoin d'un contrat Enterprise pour déployer.
Chemin 2, WordPress sur un hébergement éligible HIPAA : le bon choix quand votre site healthcare est un site marketing plus des formulaires d'admission plus une équipe éditoriale qui connaît déjà wp-admin. Atlantic.Net signe un BAA à partir de 350 $/mois, Liquid Web à partir de 600 $/mois, HIPAA Vault pour du fully managed. Le chemin que la plupart des sites de cliniques healthcare devraient emprunter.
Chemin 3, JotForm Gold à 99 $/mois : le bon choix quand la seule PHI que vous traitez concerne les formulaires, l'admission des patients, l'auto-évaluation des symptômes, les retours. JotForm inclut HIPAA sur le plan Gold sans surcoût. La PHI ne touche jamais votre infrastructure. Intégrez le formulaire, signez le BAA, déployez en un après-midi.

Le reste de l'article couvre les décisions architecturales du chemin 1 en détail, mais la section sur le BAA de Vercel, la section WordPress, et la section JotForm expliquent quand chaque chemin est le bon. Si vous êtes sur le point de lire 2 000 mots sur la journalisation d'audit Next.js quand JotForm aurait résolu votre brief réel en une heure, les trois prochaines minutes sont les plus précieuses de cette page.

Ce que « Next.js conforme à la HIPAA » signifie vraiment

Les gens confondent la conformité de l'infrastructure avec la conformité de l'application. Ce ne sont pas la même chose.

Votre fournisseur cloud (AWS, GCP, Azure, choisissez un) peut signer un Business Associate Agreement avec vous. C'est un document légal établissant qu'il protégera la PHI sur son infrastructure selon les règles HIPAA. AWS a une liste de services éligibles HIPAA qui mérite d'être mise en signet. Mais un BAA d'AWS ne signifie pas que votre app Next.js est conforme. Loin de là.

La couche application est votre responsabilité. Toujours. Le framework n'est qu'un véhicule.

Voici le truc : Next.js 14+ (et en 2026, l'App Router est complètement mature) vous donne les composants serveur, les actions serveur, les middlewares et les fonctions edge. Chacun d'entre eux a des implications différentes en matière de traitement PHI. Un composant serveur qui interroge une base de données patients et transmet les données à un composant client, où ces données vivent-elles? Pendant combien de temps? Atterrissent-elles dans un cache navigateur? Ce ne sont pas des préoccupations hypothétiques.

---

Le problème de la surface des PHI

Avant d'écrire une seule ligne de code, je fais faire à chaque client en santé numérique un exercice : cartographier chaque endroit où les PHI pourraient toucher l'application. Pas où elles devraient la toucher. Où elles pourraient.

Cela comprend :

Paramètres d'URL (j'ai vu des IDs patients dans les chaînes de requête, ne faites pas ça)
localStorage et sessionStorage du navigateur
Gestion d'état côté client (stores Zustand, Redux, même React context)
Cache de fetch Next.js et la couche Data Cache
Sortie de log depuis console.log pendant le développement qui s'introduit en production
Outils de suivi d'erreurs comme Sentry (plus de détails dans un instant)
Pipelines d'analytics, GA4, Segment, Amplitude

Les deux derniers posent plus de problèmes que presque n'importe quoi d'autre. Au début 2024, Seahawk avait un client de télémédecine qui avait configuré Sentry pour la surveillance des erreurs. Un mouvement standard. Sauf que leurs limites d'erreur capturaient l'objet props complet lors du crash, qui incluait les détails des rendez-vous et les signaux de santé de l'utilisateur. Sentry n'était pas couvert par leur BAA. C'est une violation qui attendait de se produire.

Assainir votre suivi d'erreurs

Si vous utilisez Sentry avec du code adjacent à PHI, utilisez le hook beforeSend pour nettoyer les champs sensibles avant qu'ils ne quittent le navigateur. Point barre. Quelque chose comme ceci est non-négociable :

``beforeSend(event) { if (event.user) { delete event.user.email; delete event.user.ip_address; } return event; }``

Sentry dispose d'une voie de conformité HIPAA, ils signeront un BAA, mais vous devez toujours configurer les données que vous leur envoyez. Le BAA ne nettoie pas vos payloads automatiquement.

---

Authentification et gestion des sessions

C'est là où je vois le plus de raccourcis. Les équipes se tournent vers NextAuth.js (maintenant Auth.js), configurent un provider, et considèrent que c'est fait. Auth.js est une bonne bibliothèque. Mais les valeurs par défaut ne sont pas des valeurs par défaut HIPAA.

Quelques détails spécifiques :

Stockage du jeton de session, Auth.js utilise par défaut une session basée sur les cookies, ce qui est correct, mais vous devez définir explicitement httpOnly, secure, et sameSite: 'strict'. Ne supposez pas.
Expiration de la session, la norme Automatic Logoff de HIPAA (§164.312(a)(2)(iii)) exige que les sessions se terminent après une période d'inactivité définie. Le nombre n'est pas prescrit, mais 15 minutes est la norme de l'industrie pour les applications cliniques. Configurez un minuteur d'inactivité dans votre layout. Je construis généralement cela comme un hook personnalisé qui déclenche une action serveur pour invalider la session.
MFA, non explicitement obligatoire selon le texte de HIPAA, mais essayez d'expliquer à un auditeur OCR pourquoi vous ne l'aviez pas implémenté après une violation. Utilisez TOTP via quelque chose comme otplib ou appuyez-vous sur un fournisseur d'identité comme Auth0 ou Clerk qui a MFA intégré et signera un BAA.
Journalisation d'audit des événements d'authentification, Chaque connexion, échec de connexion et déconnexion doit être enregistré avec un horodatage et un identifiant utilisateur. Chacun.

Je ne vais pas vous dire qu'Auth.js est mauvais pour ce cas d'usage, je l'ai déployé en production sur des projets HIPAA. Mais vous devez superposer les exigences de conformité délibérément.

---

Données en transit et au repos

Le transit est la partie facile. TLS 1.2 minimum, TLS 1.3 préféré, partout. Pas seulement votre domaine principal, vos routes API, vos fonctions edge, vos webhooks. Si vous êtes sur Vercel, c'est géré. Si vous auto-hébergez sur EC2 ou exécutez Next.js dans un conteneur Docker derrière un reverse proxy NGINX, vous devez le configurer vous-même. J'ai examiné des bases de code où les appels service-à-service internes étaient toujours en HTTP parce que « c'est à l'intérieur du VPC ». Ce n'est pas une position acceptable.

Au repos, c'est plus difficile. Quelques points spécifiques qui importent :

Chiffrement de base de données, AWS RDS avec chiffrement activé (utilise AES-256 via AWS KMS). C'est une case à cocher, mais vous devez réellement la cocher et le documenter.
Chiffrement au niveau des champs pour les données hautement sensibles, Pour des choses comme les numéros de sécurité sociale, les diagnostics ou les listes de médicaments, j'ajoute souvent une deuxième couche de chiffrement au niveau de l'application en utilisant une bibliothèque comme @aws-sdk/client-kms pour envelopper/dérouler les clés. Le surcoût est réel, mais le risque aussi.
Next.js Data Cache, celui-ci en trompe beaucoup. L'App Router met en cache les réponses fetch par défaut. Si vous récupérez des données de patient dans un server component avec fetch(), vous avez besoin de { cache: 'no-store' } sauf si vous gérez très consciemment la revalidation. Une réponse en cache contenant des PHI qui se trouve en mémoire serveur ou sur le filesystem, c'est un problème.
Sauvegardes. Chiffrées. Testées. Documentées. C'est évident, mais j'ai audité des systèmes où les sauvegardes existaient mais n'avaient jamais été restaurées une seule fois.

---

Audit Logging : La partie que personne ne veut construire

Je vais dire ça clairement, le logging d'audit est la chose la plus ennuyeuse et la plus importante que vous construirez dans une app health-tech. Chaque accès aux PHI doit être enregistré. Pas seulement les écritures. Les lectures aussi.

La norme HIPAA Audit Controls (§164.312(b)) exige des « mécanismes matériels, logiciels et/ou procéduraux qui enregistrent et examinent l'activité dans les systèmes d'information qui contiennent ou utilisent ePHI ». Concrètement, cela signifie : vous avez besoin d'un journal d'ajout uniquement qui enregistre qui a accédé à quelles données de patient, quand, et d'où.

Je le construis comme une couche middleware dans Next.js. Pour les projets App Router, j'intercepte dans middleware.ts pour le logging au niveau des routes et j'ajoute un thin service wrapper autour de toute fonction de requête de base de données qui touche aux tables PHI. Les enregistrements de log sont écrits dans une table de base de données séparée (ou un service comme AWS CloudTrail si vous voulez des garanties d'immuabilité), jamais la même table que les PHI.

Un enregistrement d'audit minimal ressemble à ceci :

user_id, who
resource_type+resource_id, what
action, read / write / delete
ip_address, where (anonymisée au niveau du réseau c'est bon)
timestamp(UTC, toujours UTC)
request_id, pour corréler avec vos logs d'application

Ne laissez pas les développeurs ajouter console.log(patientRecord) et appeler ça une piste d'audit. J'ai vu ça. Ce n'en est pas une.

---

Choisir votre stack d'infrastructure

La réponse honnête est qu'en 2026 il y a une poignée de stacks que je recommanderais vraiment pour une application Next.js HIPAA en production.

Vercel + PlanetScale/Neon + Clerk c'est la stack developer-experience. Vercel signera un BAA (plan enterprise, oui, ça coûte de l'argent). PlanetScale et Neon ont tous les deux des tiers HIPAA-eligible. Clerk gère l'auth et signera un BAA. C'est rapide à déployer et raisonnable à opérer. Le compromis c'est le coût à l'échelle et une certaine perte de contrôle infrastructure.

AWS (ECS/EKS pour l'app Next.js) + RDS Aurora + Cognito est le stack enterprise. Plus de charge opérationnelle. Beaucoup plus de contrôle. Le modèle de responsabilité partagée d'AWS est bien documenté et la couverture BAA est large. Si votre client est un système hospitalier ou un assureur, il va probablement vous poser des questions détaillées sur votre architecture AWS.

Render ou Railway, je les éviterais pour tout ce qui est strictement réglementé. Ce sont d'excellents outils, mais leur conformité HIPAA est très mince.

Une chose que je veux signaler : le Edge Network et les Edge Functions de Vercel ne sont pas couverts par HIPAA en vertu de leur BAA en début 2026. Si vous exécutez une logique qui touche à des PHI dans un middleware edge, c'est une lacune. Exécutez cette logique dans des fonctions serverless (runtime Node.js) à la place.

---

Le BAA HIPAA de Vercel, ce que vous achète vraiment 350 $/mois

Jusqu'en 2025, signer un BAA Vercel nécessitait un contrat Enterprise, généralement autour de 45 000 $ par an au dépense médiane. Cela excluait la plupart des équipes de santé-tech pré-Series-A et les poussait vers AWS ou Cloudflare. En 2025, Vercel a changé cela : les BAA HIPAA sont maintenant disponibles en tant que module complémentaire en libre-service à 350 $/mois sur le plan Pro.

Le BAA Pro est un accord par clic, signé via le tableau de bord Vercel. Il n'y a pas de négociation, pas de commitment minimum, pas d'appel commercial Enterprise. Si vous êtes sur Pro à 20 $/siège/mois et que vous ajoutez le module complémentaire HIPAA, votre application de santé composée de trois personnes coûte 410 $/mois tout compris pour la couche plateforme.

Ce que couvre le BAA Pro

Vercel agit comme votre partenaire commercial pour les besoins HIPAA ; il dispose des garanties techniques et organisationnelles dont une entité couverte a besoin chez un prestataire.
Audits tiers annuels, notification de violation dans les délais HIPAA, et la suite standard de garanties administratives.
Edge runtime, Functions, ISR, optimisation des images, et le reste de la plateforme Vercel sont couverts par le BAA.

Ce que le BAA Pro ne couvre PAS, lisez ceci avant de vous engager

La fonction de sécurité renforcée de Vercel, Secure Compute, est réservée à l'Enterprise. Secure Compute vous offre des réseaux cloud isolés, des adresses IP dédiées et l'appairage VPC. Si votre architecture de sécurité nécessite une isolation réseau entre votre application et l'infrastructure Vercel publique (une demande légitime si votre auditeur se soucie de la défense en profondeur), le BAA Pro ne suffit pas. Vous avez besoin d'Enterprise.

Traduction pratique : le BAA Pro à 350 $/mois fonctionne pour la plupart des applications de santé à un stade précoce où la posture d'audit est basée sur les contrôles appropriés. Si vous vendez aux systèmes hospitaliers ou si vous avez un responsable de la conformité qui a lu NIST SP 800-66 du début à la fin, vous serez de toute façon sur le plan Enterprise.

Si vous avez également besoin de SSO

Le SAML SSO sur Vercel Pro est un module complémentaire séparé de 300 $/mois. Combiné au BAA HIPAA, vous êtes à 650 $/mois en modules complémentaires de conformité. C'est à peu près le seuil où le devis Enterprise commence à être comparable en TCO, à 45 k$/an en dépense médiane, Enterprise ressort à environ 3 750 $/mois, mais cela inclut le BAA, SSO, Secure Compute, le support dédié et plusieurs autres fonctionnalités. Pour la plupart des équipes, le calcul s'établit à la deuxième année.

Le chemin WordPress que la plupart des ingénieurs ne considèrent jamais

Si vous avez passé les six dernières semaines à décider quelle bibliothèque d'authentification Next.js a la meilleure histoire HIPAA, voici une question pour interrompre ce fil : votre produit a-t-il vraiment besoin d'authentification ? Ou le brief est-il un site marketing, un blog éditorial et un formulaire d'admission conforme HIPAA ?

Si la réponse est la deuxième, et pour la plupart des cliniques de santé, cabinets dentaires, cabinets de santé mentale et cliniques de physiothérapie, la réponse est la deuxième, WordPress sur un hébergeur éligible HIPAA est la voie que vous devriez suivre. Le coût est inférieur, le flux éditorial est résolu, et le modèle de sécurité est véritablement plus simple. Les extensions restent la surface d'attaque qu'elles ont toujours été, mais vous pouvez publier avec un petit ensemble d'extensions et un hébergeur HIPAA géré qui audite le reste.

Les hôtes qui signent un accord BAA pour WordPress

Atlantic.Net, hébergement WordPress HIPAA géré à partir de 350 $/mois avec un BAA signé, accès VPN chiffré, sauvegardes quotidiennes, MFA et garantie de disponibilité 100 %. Deux décennies en informatique de santé. Le choix par défaut pour les cliniques.
Liquid Web, serveur dédié entièrement géré, VPS ou cloud à partir de 600 $/mois avec des configurations conformes HIPAA et un BAA signé. Support solide, ops mature.
HIPAA Vault, conçu spécifiquement pour HIPAA dès le départ. Prix plus élevé, posture de conformité plus robuste, utilisé par les grandes organisations de santé.
ScalaHosting, VPS managé à partir de 29,95 $/mois avec un BAA signé, sauvegardes quotidiennes, transfert chiffré. Le moins cher de la gamme ; convient aux débuts, trafic réduit.
AWS / Azure / GCP avec WordPress managé en couche supérieure, tous les grands clouds signeront un BAA, mais vous êtes responsable de la configuration, du durcissement et de la posture continue. Bonne réponse si vous avez déjà une équipe cloud.

Là où le chemin WordPress cesse de fonctionner

Tableaux de bord patients authentifiés, possible dans WordPress, pénible, et le manque de plugins est réel. Migrer vers Next.js + Vercel BAA.
Données en temps réel, fonctionnalités IA, workflows personnalisés, WordPress vous résistera. Next.js + Supabase + Vercel BAA est le bon choix.
Au-delà de 100 plugins ou un système d'adhésion complexe, la surface d'attaque des plugins seule est un risque HIPAA qui mérite d'être éliminé par la conception.

Si votre cahier des charges se situe dans la sphère WordPress, le chemin pratique de migration est l'option WordPress headless, wp-admin pour les éditeurs, un front end Next.js ou Astro côté public, WPGraphQL reliant les deux. Vous conservez le workflow éditorial, le site public est rapide, et la surface publique bénéficie de l'infrastructure d'hébergement moderne. Avant de vous engager dans l'une ou l'autre direction, le WordPress Stack Advisor prend votre URL et vous dit quel chemin correspond vraiment.

JotForm Gold à 99 $/mois : quand le raccourci est la bonne décision

Si le seul PHI que votre produit traite est celui qui provient d'un formulaire, admission de patient, vérification des symptômes, retour post-visite, demandes de rendez-vous, vous n'avez pas besoin de construire des formulaires conformes à HIPAA dans votre application. JotForm Gold à 99 $/mois par utilisateur inclut HIPAA sans coût supplémentaire. Le PHI est collecté sur l'infrastructure auditée HIPAA de JotForm et ne touche jamais vos serveurs.

Ce que JotForm Gold inclut réellement

Conformité HIPAA intégrée, BAA signé via le tableau de bord JotForm, sans surcoût.
100 formulaires, 10 000 soumissions mensuelles, 100 Go de stockage. Plus que suffisant pour une clinique multi-sites.
Types de champs éligibles HIPAA : capture de signature, envoi de fichiers (chiffré), logique conditionnelle, préremplissage, intégrations de paiement avec processeurs conformes HIPAA.
Intégrez via iframe sur votre site WordPress, votre application Next.js, votre page Webflow, n'importe où. Le formulaire s'exécute sur l'infrastructure de JotForm ; votre site ne voit jamais les PHI.
Intégrations de flux de travail avec des CRM, EHR et plateformes de pharmacie éligibles HIPAA. La liste est plus courte qu'en mode non-HIPAA, mais couvre les éléments courants.

Quand JotForm gagne sur le TCO

Construire nativement un formulaire d'admission conforme HIPAA dans Next.js représente un engagement de 2 à 3 semaines : colonne de base de données chiffrée au repos, journalisation d'audit, BAA avec votre fournisseur de stockage, examen de sécurité, documentation de modèle de menace, et la maintenance continue qui accompagne un pipeline de formulaire personnalisé. JotForm à 99 $/mois le fait en une après-midi. Si votre formulaire est le seul point de contact PHI, les calculs favorisent toujours JotForm.

Où JotForm cesse d'être suffisant

Votre portail patient, tout ce qui doit relire les PHI des interactions antérieures, afficher une chronologie patient ou s'intégrer profondément avec vos données d'application. Construisez-le dans votre application.
Contraintes de marque qui exigent une UX de formulaire au pixel près. La personnalisation de JotForm est bonne, pas parfaite.
Flux de travail cliniques multi-étapes qui vont au-delà du remplissage de formulaires, logique de triage, chat clinicien en temps réel, arbres d'aide à la décision. Construction sur mesure.
Si votre auditeur souhaite que chaque octet de PHI réside à l'intérieur de votre VPC. JotForm est le bon choix pour déléguer à un fournisseur audité HIPAA ; c'est le mauvais choix quand votre modèle de sécurité exige une isolation.

Intégrations tierces : où la conformité s'effondre

Chaque tiers que vous intégrez et qui accède aux informations de santé protégées doit avoir un BAA. Ça semble évident. Voici la liste qui pièce vraiment les équipes :

Outils d'assistance clientèle (Intercom, Zendesk), si un patient envoie un message sur sa santé, c'est des PHI dans votre plateforme d'assistance
Outils de formulaires (Typeform, Jotform), les formulaires d'admission des patients sont des PHI
Fournisseurs de messagerie (SendGrid, Postmark), si le corps de l'e-mail contient des informations de santé, BAA requis
Outils de feature flag (LaunchDarkly, Statsig), généralement correct, mais si vous transmettez des attributs utilisateur qui incluent l'état de santé pour évaluer les drapeaux, c'est des PHI
CRM (HubSpot, Salesforce), de nombreuses équipes healthtech synchronisent les données des patients dans ces outils sans y réfléchir

Postmark signera un BAA. SendGrid (via Twilio) aussi, sur les forfaits payants. Twilio pour les SMS également. LaunchDarkly a un chemin BAA. Ce ne sont pas des options obscures, le processus BAA est généralement une soumission de formulaire et quelques jours ouvrables.

Ceux qui ne signeront pas ou ne peuvent pas signer un BAA ? Ne les intégrez nulle part près des informations protégées. C'est aussi simple que ça.

---

FAQ

Quel est le coût réel de la HIPAA BAA de Vercel ?

L'accord d'associé commercial HIPAA de Vercel est disponible sur le plan Pro comme module complémentaire à 350 $/mois, signé via un clic d'acceptation en libre-service dans le tableau de bord. Le SSO SAML sur Pro est un module complémentaire distinct à 300 $/mois, ce qui porte une configuration de conformité typique à 650 $/mois combinés. Le plan Enterprise, qui se situe autour de 45 000 $/année à la médiane, inclut la BAA, le SSO et Secure Compute (réseaux isolés, adresses IP dédiées, peering VPC).

Puis-je exécuter un site WordPress conforme à la HIPAA ?

Oui, sur un hébergeur compatible HIPAA qui signe une BAA. Les quatre choix courants en 2026 sont Atlantic.Net (à partir de 350 $/mois), Liquid Web (à partir de 600 $/mois), HIPAA Vault (spécialisé dans la santé), et ScalaHosting VPS géré (à partir de 29,95 $/mois). La voie WordPress est la bonne pour les sites de marketing sanitaire, les sites de cliniques et le contenu riche en édition. Elle cesse de fonctionner si vous avez besoin de tableaux de bord patients authentifiés, de données en temps réel ou de plus de 100 plugins de surface d'attaque.

JotForm est-il suffisant pour les formulaires conformes à la HIPAA ?

Si les formulaires sont le seul point de contact PHI, oui. JotForm Gold à 99 $ par mois inclut HIPAA sans frais supplémentaires, BAA signé, 100 formulaires, 10 000 soumissions, 100 Go de stockage. Les PHI sont collectées sur l'infrastructure auditée HIPAA de JotForm, intégrées via iframe sur votre site. JotForm ne suffit plus quand votre produit doit relire les PHI entre les sessions, afficher les chronologies des patients ou exécuter des flux de travail cliniques multi-étapes.

Quand la voie WordPress surpasse-t-elle la voie Next.js pour la HIPAA ?

Quand votre produit de santé est un site de marketing plus un blog plus un formulaire d'admission. WordPress est plus rapide à mettre en place, moins cher à héberger, et le flux de travail éditorial est déjà résolu pour le personnel non technique. La voie Next.js gagne quand vous avez besoin d'authentification, de tableaux de bord personnalisés, de données en temps réel, de fonctionnalités d'IA, ou de tout ce qui bénéficie d'une architecture d'application moderne. Un hybride courant : WordPress sur un hébergeur géré compatible HIPAA pour le site public, Next.js sur Vercel BAA pour l'application authentifiée, JotForm pour le formulaire d'admission.

Déployer sur Vercel rend-il mon application Next.js conforme à la HIPAA ?

Non. Vercel peut signer un Business Associate Agreement sur son forfait entreprise, ce qui signifie qu'il assume certaines obligations HIPAA pour l'infrastructure qu'il contrôle. Mais le code de votre application, la conception de votre base de données, votre journalisation, vos intégrations tierces, rien de cela n'est couvert par le BAA de Vercel. La conformité est partagée à tous les niveaux de la pile, et la couche application est votre responsabilité.

Dois-je chiffrer les données dans une route d'API Next.js avant de les envoyer au client ?

TLS gère le chiffrement en transit, vous n'avez donc pas besoin de chiffrer manuellement le corps de la réponse HTTP. Ce que vous devez faire, c'est vous assurer que vous retournez uniquement les PHI minimum nécessaires pour l'opération, pas les dossiers patients complets quand vous n'avez besoin que d'un nom, par exemple. Le principe du « minimum nécessaire » est intégré dans HIPAA et devrait façonner la conception de votre réponse API dès le départ.

La mise en cache intégrée du Next.js App Router est-elle sûre pour les PHI ?

Non, pas par défaut. La Data Cache et la Full Route Cache dans l'App Router peuvent cacher des réponses contenant des PHI, ce qui est problématique. Pour tout route ou appel fetch qui traite des données de patients, utilisez { cache: 'no-store' } sur les appels fetch et ajoutez export const dynamic = 'force-dynamic' aux segments de route. Lisez attentivement la documentation de caching de Vercel, elle est dense mais importante.

Quel est le logging minimum dont j'ai besoin pour une piste d'audit HIPAA ?

Au minimum : qui a accédé à quoi, quand et d'où. C'est l'ID utilisateur, l'identifiant de ressource, le type d'action, l'horodatage et l'adresse IP. Les logs doivent être inviolables (en ajout uniquement, non modifiables par le code de l'application) et conservés ; la plupart des cadres de conformité suggèrent six ans, ce qui correspond à l'exigence de rétention de documentation de la HIPAA.

Puis-je utiliser React Query ou SWR pour la récupération de données dans une application HIPAA ?

Oui, mais avec prudence. Les deux bibliothèques cachent les réponses côté client, ce qui signifie que les PHI peuvent rester en mémoire dans le navigateur. Définissez staleTime: 0 et cacheTime: 0 (React Query) ou dedupingInterval: 0 (SWR) pour les requêtes qui retournent des PHI. Effacez également explicitement le cache de requête à la déconnexion, ne vous fiez pas au démontage de composant pour gérer cela.

---

Je veux être honnête sur quelque chose : la conformité HIPAA est véritablement difficile à bien faire, et aucun framework, Next.js ou autre, ne la rend facile. Les équipes que j'ai vues bien le faire sont celles qui la traitent comme un problème architectural dès le départ, pas comme une checklist à cocher avant le lancement. Le framework va bien. Les lacunes sont presque toujours dans les décisions prises autour de celui-ci.

Commencez par la cartographie de la surface PHI. Tout le reste en découle.

Lectures connexes

Des stacks d'hébergement qui signent réellement une HIPAA BAA en 2026, le post de comparaison d'hébergement plus approfondi, avec des plages de coûts annuels et des notes de portée BAA pour chaque fournisseur.

WordPress vs Next.js : quand chacun est le bon choix, la décision de framework sans le cadrage HIPAA, utile comme préquel.

WordPress sans tête + Astro : une configuration qui fonctionne, si vous choisissez la voie WordPress mais voulez un front public moderne.

WordPress Stack Advisor, collez votre URL, obtenez une recommandation adaptée qui inclut le chemin HIPAA qui convient à votre contexte en 30 secondes.

Si vous êtes sur le point de lancer un produit de santé et que vous ne pouvez pas dire lequel des trois chemins ci-dessus est le bon pour votre cahier des charges, les trente prochaines minutes le résoudront.

Réservez un appel HIPAA stack de 30 minutes, vous décrivez le produit, je vous dis si la réponse est Next.js + Vercel BAA, WordPress sur un hôte géré HIPAA, JotForm, ou un hybride. À la fin de l'appel, vous avez un choix de stack, une plage de prix et un chemin de migration si vous êtes déjà sur la mauvaise stack.