Les deux projets répondent à la même question, comment faire tourner un maillage WireGuard sans qu'une entreprise détienne la carte ?, et les deux y répondent honnêtement. La différence ne tient pas aux fonctionnalités, ni aux performances. Elle tient à la dépendance que vous êtes prêt à porter.
Vous comparez NetBird au service hébergé Tailscale plutôt qu'à Headscale ? Notre comparatif NetBird vs Tailscale couvre les offres gratuites, le prix par utilisateur et la différence qui tranche.
La version en une phrase
Headscale remplace le serveur de coordination de Tailscale par un serveur que vous hébergez, et conserve les clients officiels Tailscale. NetBird remplace le produit entier : son propre agent, son propre serveur de gestion, son propre tableau de bord, sa propre couche d'identité, WireGuard en dessous, rien d'emprunté au-dessus.
Cette seule différence structurelle conditionne presque tout le reste.
Où se situe la dépendance
C'est le point à trancher en premier, car aucune comparaison de fonctionnalités n'y résiste.
Avec Headscale, votre serveur vous appartient, mais le client est un logiciel maintenu par Tailscale Inc., pointé vers votre serveur via une URL de connexion modifiable. Cet arrangement tient depuis des années, et il n'a rien de contractuel. Si vous voulez le compromis dans l'autre sens, le service géré de Tailscale face à Headscale est le comparatif qui le pose en termes de SaaS contre auto-hébergement.
Avec NetBird, le client est l'agent propre au projet. Personne en amont ne peut changer le protocole sous vos pieds, et en échange, la couverture des plateformes, le rythme des versions et la survie à long terme du projet reposent entièrement sur NetBird. Héberger NetBird soi-même détaille ce que cela implique concrètement.
Aucun n'est plus sûr dans l'absolu. L'un vous demande de faire confiance à la tolérance durable d'un éditeur de client ; l'autre vous demande de parier sur un projet plus petit qui possède toute sa stack.
Les pièces mobiles, comptées honnêtement
Headscale, c'est un binaire Go et une base de données. C'est tout le déploiement. Ajouter une machine, c'est une commande de connexion sur un client que la plupart des gens ont déjà.
L'installation par défaut de NetBird lance plusieurs services ensemble : un serveur de gestion, un serveur de signal, un relais TURN pour les connexions qui refusent de passer en direct, un tableau de bord et un fournisseur d'identité. Le docker-compose publié fait tout cela en une commande, mais une commande n'est pas un service. C'est plus de surface à patcher, surveiller et sauvegarder.
Le cadrage honnête : NetBird vous en donne plus dès l'installation, Headscale vous en laisse moins à maintenir. Lequel des deux est la bonne affaire dépend de si vous vouliez une interface d'administration au départ.
L'identité, et pourquoi elle les sépare
NetBird traite l'identité comme une partie du produit. Le SSO, le mappage des groupes et l'approbation des appareils sont le chemin attendu, pas une extension. Si la réponse à « qui a le droit d'être sur ce réseau » doit venir de Google Workspace, Okta, Entra ou Authentik, c'est une configuration documentée plutôt qu'un chantier.
Headscale prend en charge OIDC, il peut donc pointer vers votre fournisseur, mais la surface de gestion autour est volontairement plus mince. Le rôle de Headscale est de parler correctement le protocole Tailscale, pas d'être un produit de gestion d'appareils. Le contrôle d'accès vit dans des fichiers ACL compatibles Tailscale, ce qui est excellent si vous voulez un fichier relisible sous gestion de versions, et maigre si vous vouliez une interface.
Un tableau qui ne se dérobe pas
| Si cela vous décrit | Penchez vers |
|---|---|
| Des portables et téléphones appartenant à des personnes qui ne devraient jamais voir un fichier de configuration | Headscale |
| Vous voulez le SSO, les groupes et l'approbation des appareils dans un seul produit | NetBird |
| Vous voulez le moins de services possible à faire tourner, patcher et sauvegarder | Headscale |
| Vous refusez de dépendre du client d'une autre entreprise | NetBird |
| Vous voulez des règles d'accès sous forme de fichier relisible dans Git | Headscale |
| Vous voulez une interface d'administration dès le premier jour | NetBird |
Ce que nous n'affirmerions pas
Nous ne vous dirions pas que l'un est plus rapide. Les deux font transiter le trafic par WireGuard, les deux traversent le NAT et les deux se replient sur un relais quand ils n'y parviennent pas, un serveur TURN pour NetBird, DERP pour Headscale. Sur un lien donné, le facteur décisif est votre chemin réseau et votre matériel, pas l'étiquette du plan de contrôle. Si le débit est réellement votre contrainte, mesurez votre propre route avant de laisser un tableau comparatif choisir à votre place.
Nous ne vous dirions pas non plus qu'auto-héberger le plan de contrôle rend le maillage hautement disponible. Dans les deux projets, un plan de contrôle injoignable laisse les tunnels existants fonctionner, tandis que les nouveaux enrôlements, la rotation des clés et les changements de politique s'arrêtent. C'est un bon mode de défaillance, et cela signifie que ce qu'il vous faut, c'est une sauvegarde de l'état du plan de contrôle : pas un cluster.
Le verdict honnête
Choisissez Headscale si vous voulez la plus petite chose qui fonctionne et que cela ne vous dérange pas que le client vienne de quelqu'un d'autre. Choisissez NetBird si vous voulez que l'identité, les politiques et une interface fassent partie du même produit, et que vous préférez posséder toute la stack plutôt qu'emprunter la partie la mieux maintenue.
Dans les deux cas, le serveur de coordination a besoin d'un hébergement : un petit VPS toujours allumé avec une IP publique et un domaine. Pour Headscale, notre générateur de configuration Headscale gratuit écrit le config.yaml, le fichier Docker Compose et le bloc de reverse proxy ; pour l'un comme l'autre, un Contabo Cloud VPS 4 (4 vCPU, 8 Go de RAM) est affiché à partir de 5,50 €/mois sur contabo.com (vérifié le 17 octobre 2026), ce qui laisse de la place pour les différents services de NetBird. Si vous préférez un hébergeur américain avec une garantie satisfait ou remboursé de 30 jours, Ultahost VPS Basic coûte 5,52 $ par mois sur un engagement de 24 mois (1 Go de RAM, IPv4 dédiée, relevé le 21 octobre 2026), assez pour un serveur Headscale pour une petite équipe ; pour la stack plus lourde de NetBird, prenez la machine Contabo.
Si aucune des deux dépendances ne vous tente et que vous préférez un maillage avec sa propre autorité de certification, c'est une troisième forme à part entière : Headscale comparé à Nebula explore cette voie.
★ Datacenter Nuremberg GDPR · ✓ IPv4 dédiée incluse · port 200 Mbit/s
Héberge ton VPN sur ton propre VPS → ContaboAccès root complet · IPv4 publique · choisis ta région→
