Schweizerform vs LimeSurvey

LimeSurvey est l’outil de sondage par défaut dans une large part des universités, hôpitaux et administrations cantonales suisses, et la raison est simple : c’est un logiciel libre doté d’une logique de questions que rien n’égale sur ce marché, sans coût par réponse, avec une installation que vous possédez de bout en bout. Si votre besoin est un instrument de 200 questions avec branchements, quotas, randomisation et versions multilingues, LimeSurvey le fait et nous non.

La comparaison utile n’est donc pas « lequel est meilleur » mais « qu’est-ce que chacun rend impossible ». LimeSurvey rend impossible qu’un fournisseur externe détienne vos données, puisqu’il n’y a pas de fournisseur externe. Schweizerform rend impossible que quiconque lise une réponse — nous compris, injonction adressée à nous comprise — parce que le déchiffrement a lieu dans votre navigateur avec une clé que nous ne recevons jamais. Ce sont des garanties différentes, et le choix honnête commence par la fonction de chiffrement de LimeSurvey elle-même, plus souvent supposée que lue.

Comment chaque produit se positionne

LimeSurvey — le moteur de sondage open source

LimeSurvey Community Edition est un logiciel sous GPL que vous installez sur votre serveur ; LimeSurvey Cloud est la version commerciale hébergée, exploitée par LimeSurvey GmbH à Hambourg. La richesse fonctionnelle est réelle : des dizaines de types de questions, une logique conditionnelle et des expressions complexes, des quotas, la randomisation, des jetons de participation et des invitations, l’intégration de panels, des sondages multilingues, des statistiques et des exports dans tous les formats qu’un statisticien réclame. Pour la recherche académique, c’est l’implémentation de référence d’un outil de sondage en ligne, et une page qui prétendrait le contraire ne vous servirait à rien.

Schweizerform — collecte chiffrée, connaissance nulle par défaut

Schweizerform est une couche de collecte chiffrée, pas une plateforme de recherche. Chaque envoi est chiffré dans le navigateur du répondant en AES-256-GCM, la clé d’envoi est encapsulée avec la clé publique du formulaire, et le serveur stocke un chiffré qu’il n’a aucun moyen d’ouvrir. Le déchiffrement a lieu dans votre navigateur avec la clé du coffre, dérivée côté client et jamais transmise. Les envois chiffrés sont stockés en Suisse chez Infomaniak, une définition de formulaire publie en FR, DE, IT et EN, et la page publique ne charge aucun traceur tiers. Nous voyons vos intitulés de questions — ils sont en clair sur le serveur pour que le formulaire s’affiche — et nous ne voyons aucune réponse.

L’option de chiffrement de LimeSurvey — ce qu’elle fait, et ce qu’elle ne fait pas

C’est la section qui tranche l’essentiel de ce comparatif, car « LimeSurvey prend en charge le chiffrement » est techniquement vrai et largement mal lu. La fonction chiffre les données personnelles de la base centrale de participants, les données des tables de participants du sondage, et les réponses individuelles là où l’attribut « chiffré » de la question est activé. Elle exige la bibliothèque PHP Sodium. C’est une vraie fonction utile, employée par des institutions sérieuses.

Ce qui change l’analyse, c’est l’endroit où vit la clé. Selon le manuel LimeSurvey, les clés publique et secrète se trouvent dans /application/config/security.php et sont générées automatiquement à la première utilisation de la fonction. Autrement dit, la clé est dans un fichier sur le même serveur que la base de données qu’elle protège — ce qui est la bonne conception pour l’objet de cette fonction, et ce qui signifie qu’elle protège contre un vidage de base volé, pas contre quiconque a accès au serveur. Le manuel est tout aussi net sur la conséquence d’une perte : sauvegardez les clés, car sans elles les données deviennent inutilisables et ne peuvent plus être récupérées. Et une fois créées, les clés ne doivent jamais être changées, sinon les données existantes deviennent illisibles.

• C’est un chiffrement au repos avec clé détenue par l’exploitant. Quiconque peut lire le système de fichiers du serveur lit la clé, donc les données. Cela inclut vos administrateurs, votre hébergeur en infogérance et un attaquant ayant obtenu un accès serveur et pas seulement un accès base.
• Cela vous coûte la recherche. Le manuel indique que la recherche sur sous-chaîne n’est pas possible dans les colonnes chiffrées — seulement la correspondance exacte. Chiffrez un champ de texte libre et vous ne pouvez plus y chercher.
• C’est par question et sur activation. Le chiffrement des réponses est un attribut de question que quelqu’un doit activer, sondage par sondage et question par question. Le défaut est « désactivé », comme pour l’anonymisation.
• La perte de clé est irrécupérable et la rotation de clé n’est pas prévue au sens habituel. C’est le même arbitrage qu’assume une plateforme à connaissance nulle — mieux vaut le connaître avant de le découvrir pendant un incident.

Les modèles de sécurité côte à côte

Une fois les listes de fonctions écartées, restent deux questions : qui peut techniquement lire une réponse, et que doit-il se passer pour que cela change ?

LimeSurvey — vous êtes l’exploitant, et la frontière de confiance est votre serveur

En auto-hébergement, aucun fournisseur ne voit vos données — un avantage réel et souvent décisif. En échange, la confidentialité de chaque réponse repose sur votre durcissement serveur, votre rythme de correctifs, votre contrôle d’accès à la base et votre gestion des sauvegardes. Les réponses sont dans votre base MySQL, en clair tant que le chiffrement par question n’est pas activé, et lisibles par quiconque a un accès base ou système de fichiers. Pour un sondage institutionnel mené par une équipe de recherche sous la même gouvernance que les chercheurs, c’est parfaitement approprié. Pour un sondage sur l’institution — harcèlement, conduite de l’encadrement, signalements —, les personnes ayant accès à la base font souvent partie du groupe contre lequel le sondage protège les répondants.

Schweizerform — la clé n’atteint jamais le serveur

Nous détenons du chiffré et des clés encapsulées. Aucune configuration, aucun outil de support et aucune dérogation administrative ne produit une réponse lisible de notre côté, parce que le matériel nécessaire au déchiffrement dérive d’une clé du coffre que nous ne recevons jamais. Cette propriété ne dépend pas de notre bonne conduite, de nos contrôles du personnel ni du gouvernement qui demande. Elle coupe aussi dans l’autre sens : si vous perdez la clé du coffre, nous ne pouvons rien, et les réponses sont perdues. Le mécanisme est décrit dans l’architecture à connaissance nulle expliquée.

Comparatif fonctionnel direct

Hébergement et juridiction — y compris les régions de LimeSurvey Cloud

C’est là que les institutions suisses découvrent le plus souvent l’écart entre ce qu’elles supposaient et ce qu’elles ont acheté. LimeSurvey Cloud propose un choix de région d’hébergement sur ses offres, et l’ensemble publié est l’Allemagne, la Finlande, le Royaume-Uni, les États-Unis, le Canada, l’Australie et Singapour. La Suisse n’y figure pas, et la partie contractante est LimeSurvey GmbH à Hambourg. Une université suisse qui veut LimeSurvey avec résidence des données en Suisse n’a qu’une voie : installer la Community Edition sur une infrastructure suisse — Infomaniak propose des installations LimeSurvey en un clic dans ses centres de données suisses, et Hostpoint exploite son hébergement sur des serveurs en Suisse.

Si votre sondage traite des données couvertes par un secret professionnel ou par une loi cantonale de protection des données, la question de la résidence n’est que la moitié de l’analyse ; l’autre moitié est de savoir qui peut lire les données une fois sur place. Notre liste fournisseur par fournisseur est dans outils de formulaires et de sondage hébergés en Suisse, et la vue de catégorie dans outils de sondage conformes : le comparatif.

Le coût réel d’exploiter LimeSurvey soi-même

« Gratuit » qualifie la licence, pas le déploiement. Une installation LimeSurvey sur laquelle on peut réellement poser un sondage sensible exige, en continu et sous la responsabilité de quelqu’un :

• les montées de version de PHP, de la base et de LimeSurvey, y compris celles qui cassent, à un rythme qui suit les vulnérabilités publiées
• le cycle de vie des certificats TLS, les en-têtes de sécurité HTTP et une configuration de serveur web durcie
• des sauvegardes base et système de fichiers testées par restauration, plus un stockage sûr des clés de chiffrement séparé du serveur si la fonction est utilisée
• le contrôle et la revue périodique des accès — qui a un shell, qui a les identifiants de base, qui a quitté l’institution le trimestre dernier
• la conservation des journaux, la supervision et un vrai chemin de détection des compromissions, car l’art. 24 nLPD impose d’annoncer au PFPDT dans les meilleurs délais les violations susceptibles d’entraîner un risque élevé
• des routines de conservation et d’effacement, car les réponses s’accumulent dans une base que plus personne ne regarde une fois l’étude terminée

Selon l’art. 8 nLPD, les mesures techniques et organisationnelles incombent au responsable du traitement, et l’auto-hébergement les concentre toutes sur vous. Les institutions dotées d’une informatique professionnelle absorbent cela sans peine — c’est leur rôle. Une équipe de recherche de quatre personnes, un cabinet ou une direction d’école, souvent non, et le mode de défaillance n’a rien de spectaculaire : une instance non corrigée qui sert encore un sondage clos trois ans plus tard. La version générale de cet arbitrage est dans la comparaison avec les formulaires auto-hébergés, et la vue « parc de formulaires » dans la gestion numérique des formulaires.

Tarifs

Le modèle de LimeSurvey

La Community Edition est un logiciel libre : aucune redevance, aucun coût par réponse, vos coûts sont l’hébergement et le temps de vos équipes. LimeSurvey Cloud fonctionne par abonnement, mesuré en réponses et en stockage — tel qu’affiché en juillet 2026 : Basic à 44 CHF par mois pour 1 000 réponses par mois et 250 Mo, Expert à 40 CHF par mois en facturation annuelle pour 10 000 réponses par an et 1 Go, Business à 70 CHF par mois en facturation annuelle pour 50 000 réponses par an et 3 Go, et Corporate sur demande. Notez la forme : les offres cloud comptent les réponses, une seule grande étude peut donc consommer un quota annuel.

Le modèle de Schweizerform

Gratuit, Pro à 19 CHF par mois et Business à 49 CHF par mois. Le chiffrement de bout en bout et le stockage en Suisse des envois chiffrés ne sont pas un palier : c’est le fonctionnement du produit sur toutes les offres, y compris gratuite, car il n’existe pas de mode non chiffré à vous vendre. Les offres diffèrent par le volume, les sièges et les fonctions avancées ; les limites actuelles sont sur la page des tarifs.

Quel outil pour quel cas

Choisissez LimeSurvey quand

• l’instrument est complexe : branchements, expressions, quotas, randomisation, mesures répétées, plusieurs versions linguistiques avec des logiques différentes
• il vous faut des jetons de participation, la gestion des invitations et relances, ou l’intégration de panels
• l’analyse doit se faire dans l’outil, avec statistiques et tris croisés côté serveur
• vous avez une informatique institutionnelle qui exploite déjà la pile, ou un hébergement où quelqu’un en répond
• le sondage est de la recherche avec des participants consentants, et non un canal utilisé au risque personnel de quelqu’un

Choisissez Schweizerform quand

• une réponse sincère pourrait coûter quelque chose au répondant — enquêtes de personnel visant des cadres identifiables, collecte de signalements, questionnaires patients, sondages auprès d’élèves ou de groupes vulnérables
• vous êtes tenu au secret professionnel de l’art. 321 CP, qui lie le professionnel et ses auxiliaires
• vous voulez des envois chiffrés stockés en Suisse sans devenir exploitant d’infrastructure
• le formulaire relève de la collecte plutôt que de la recherche : candidatures, orientations, signalements, entrée en relation, remise de documents
• il vous faut le même formulaire en ligne en FR, DE, IT et EN sans maintenir quatre instruments

Quand utiliser honnêtement les deux

C’est l’issue fréquente dans les institutions suisses, et elle est sensée. LimeSurvey reste là où il mérite sa place — les instruments de recherche, les évaluations de cours, les études longitudinales avec panels et quotas. Une plateforme de collecte chiffrée prend en charge l’ensemble étroit de canaux où le contenu est sensible et où la sincérité dépend de l’impossibilité de remonter : la ligne d’éthique, l’enquête sur le harcèlement, le questionnaire de recrutement de patients, le formulaire de retour du centre investigateur. Deux outils délimités par la sensibilité ne sont pas un échec de consolidation : c’est la bonne réponse à deux problèmes différents. Là où se situe la frontière pour la recherche est exposé dans la protection des données dans la recherche clinique — y compris le constat honnête qu’une plateforme à connaissance nulle est le mauvais outil pour un eCRF réglementé, puisque moniteurs, auditeurs et inspecteurs doivent pouvoir lire les enregistrements.

Déplacer un sondage sensible hors de LimeSurvey

Vous ne migrerez sans doute pas tout votre parc LimeSurvey, et il ne faut pas essayer. Le mouvement réaliste consiste à repérer la poignée de sondages qui n’auraient jamais dû se trouver dans une base lisible et à ne déplacer que ceux-là.

En résumé

LimeSurvey est un meilleur outil de sondage que Schweizerform et le restera : logique plus profonde, vraie gestion de panels, statistiques côté serveur, et une licence à zéro franc. Si votre métier est la recherche par sondage, installez-le, mettez-le sur une infrastructure suisse si la résidence compte, réglez « réponses anonymisées » sur Oui délibérément, et activez l’attribut de chiffrement sur les champs qui en ont besoin.

Ce que LimeSurvey ne peut pas vous donner — dans aucune configuration, à cause de l’endroit où vit la clé —, c’est la garantie que les personnes qui exploitent le serveur ne peuvent pas lire les réponses. Quand c’est l’exigence, le choix ne se fait pas entre deux outils de sondage. Il se fait entre un outil de sondage et une architecture.