Tailscale, c'est quoi et comment ça marche ? Gratuit ? (2026)

Tailscale est un VPN maillé, gratuit jusqu'à 6 utilisateurs, qui relie vos ordinateurs, téléphones et serveurs dans un seul réseau privé chiffré bâti sur WireGuard, sans port à ouvrir ni fichier de configuration à écrire. Il sert à atteindre vos propres machines depuis n'importe où (NAS, serveur maison, SSH), pas à naviguer anonymement : pour masquer votre IP, il lui faut un exit node.

Ce guide répond, dans l'ordre, aux questions que l'on tape dans Google : ce que fait Tailscale, comment il fonctionne, ce qui est gratuit et ce qui est payant, et comment l'utiliser comme un VPN classique.

Combien cela va-t-il vous coûter ? Tailscale est gratuit pour 6 utilisateurs, mais uniquement pour un usage non commercial ; Twingate et NetBird s'arrêtent à 5 utilisateurs, ZeroTier à 10 appareils. Notre calculateur de prix Tailscale gratuit prend votre nombre d'utilisateurs et d'appareils et affiche, pour chaque service, le forfait le moins cher qui convient sur 12 à 36 mois, à côté d'un serveur Headscale ou NetBird auto-hébergé (prix vérifiés le 18 oct. 2026).

Tailscale, c'est quoi en une phrase ?

Tailscale est un VPN maillé, bâti sur WireGuard, qui relie tous vos appareils dans un seul réseau privé presque sans configuration. Vous installez l'application sur chaque appareil, vous vous connectez avec un compte existant, et ils peuvent tous se joindre en toute sécurité, où qu'ils soient dans le monde. Il reprend le protocole WireGuard, rapide et moderne, et supprime le travail manuel qui l'accompagne d'habitude.

Que fait concrètement Tailscale ?

La définition ci-dessus dit ce qu'est Tailscale. On veut en général savoir ce qu'il fait, et la réponse est plus courte : il donne à chacun de vos appareils une adresse privée fixe qui continue de fonctionner quel que soit le réseau sur lequel il se trouve.

Tout le reste découle de ce seul comportement. En pratique, il fait trois choses :

• Il rend vos appareils joignables entre eux. Votre portable peut ouvrir votre NAS, votre PC fixe ou un serveur loué, depuis un café ou un autre pays, sans ouvrir le moindre port sur votre box.
• Il continue de fonctionner quand le réseau change. L'adresse ne bouge pas quand vous passez du Wi-Fi de la maison aux données mobiles. Les connexions survivent au changement au lieu de se couper.
• Il peut aussi faire transiter votre trafic internet, si vous le demandez. En désignant un appareil comme exit node, vous pouvez faire passer votre navigation par lui : c'est la partie qui ressemble à un VPN traditionnel, et elle est désactivée par défaut.

Ce qu'il ne fait pas, c'est vous proposer une liste de serveurs dans d'autres pays. C'est la source de confusion habituelle, on y revient plus bas.

(Le nom s'écrit en un seul mot. Si vous avez cherché « tail scale » en deux mots, vous êtes au bon endroit : le produit s'appelle Tailscale.)

Comment fonctionne Tailscale ?

Tailscale fonctionne en quatre étapes : chaque appareil crée sa propre paire de clés WireGuard, les clés publiques sont échangées via le serveur de coordination de Tailscale, les appareils trouvent un chemin l'un vers l'autre à travers le NAT (en direct, ou via un relais chiffré), puis le trafic circule d'appareil à appareil en WireGuard. Voici ce qui se passe, dans l'ordre, la première fois que vous lancez tailscale up :

1. Vous vous connectez avec une identité que vous avez déjà. Google, Microsoft, GitHub, Apple ou n'importe quel fournisseur OIDC. Tailscale ne stocke aucun mot de passe : le fournisseur d'identité dit qui vous êtes, et cette identité détermine le tailnet que rejoint l'appareil.
2. L'appareil génère une paire de clés WireGuard en local. La clé privée ne quitte jamais la machine. Seules la clé publique et les adresses auxquelles l'appareil est joignable sont envoyées au serveur de coordination (le plan de contrôle sur login.tailscale.com).
3. Le serveur de coordination distribue la carte. Chaque appareil reçoit les clés publiques et les adresses joignables de ses pairs, les règles d'accès (ACL) que vous avez écrites, une adresse privée fixe dans la plage 100.64.0.0/10 et un nom MagicDNS comme nas.votre-tailnet.ts.net.
4. Les appareils trouvent un chemin l'un vers l'autre. Chacun découvre son adresse publique avec STUN et tente d'ouvrir une connexion UDP directe en perçant le NAT. Quand les deux côtés sont derrière un NAT strict ou du CGNAT, le trafic passe plutôt par un relais DERP, toujours chiffré de bout en bout (le relais transporte un contenu chiffré qu'il ne peut pas lire), et Tailscale continue d'essayer de basculer sur un chemin direct en arrière-plan.
5. Le trafic circule en WireGuard, d'appareil à appareil. Le serveur de coordination ne voit jamais un seul paquet de vos données : il ne gère que les clés, l'identité et la liste des pairs.

Le point à retenir : le serveur de coordination est la pièce à laquelle vous faites confiance. Il ne transporte jamais vos données, mais c'est lui qui décide quelles clés publiques appartiennent à votre tailnet. Si cela vous gêne, le serveur open source Headscale le remplace sur une machine qui vous appartient, et les clients Tailscale officiels continuent de fonctionner sans changement.

À quoi sert Tailscale ?

Il excelle dès que vous avez besoin d'un accès privé à vos propres machines :

• Atteindre un serveur maison ou un NAS depuis n'importe où, comme si vous étiez chez vous.
• Relier les appareils d'une petite équipe sans VPN d'entreprise traditionnel.
• Se connecter en SSH à des serveurs sans les exposer sur l'internet public.
• Relier des machines cloud et des machines à la maison dans un seul réseau privé à plat.

C'est différent d'un VPN commercial. Pour comparer avec l'alternative plus manuelle, consultez notre comparatif Tailscale ou WireGuard brut.

Quelle différence entre Tailscale et un VPN classique ?

C'est un point qui piège beaucoup de monde, autant être clair. Un VPN commercial fait passer votre trafic par les serveurs d'un fournisseur pour masquer votre IP et débloquer le streaming. Tailscale relie vos propres appareils entre eux de façon privée. Il n'est pas conçu pour la navigation anonyme ni pour regarder le Netflix d'un autre pays. Il est conçu pour un accès sécurisé et privé aux machines et services qui vous appartiennent.

Maillage ou étoile : la forme du réseau

Le tableau ci-dessus compare ce à quoi les deux servent. La différence de fond tient à la topologie, et c'est elle qui décide du chemin réel que prend votre trafic.

Un VPN traditionnel est en étoile (hub and spoke). Chaque appareil appelle le même concentrateur, et tout ce que vous envoyez le traverse, même un fichier destiné au portable posé sur votre propre bureau. Ce concentrateur est un point unique à configurer, un point unique de panne, et un détour qui se mesure en vraies millisecondes quand les deux machines sont dans la même pièce et le concentrateur dans un autre pays.

Un VPN maillé fonctionne de pair à pair. Chaque appareil détient une clé pour chacun des autres et lui parle directement quand le réseau le permet, grâce à la traversée de NAT qui perce un chemin à travers les routeurs intermédiaires. Il existe toujours un serveur de coordination, mais il distribue des clés et des adresses ; il ne transporte pas vos paquets. Quand la traversée échoue, ce qui arrive sur certains réseaux restrictifs, le trafic se rabat sur un relais et vous retrouvez le comportement en étoile, plus lent mais fonctionnel.

Trois conséquences découlent de la forme du réseau, pas de la marque :

• La latence suit le chemin réel entre deux appareils, pas le chemin vers un concentrateur.
• Un maillage n'a pas de goulot d'étranglement unique à dimensionner ou à perdre, mais il dépend d'un service de coordination dont la disponibilité compte toujours.
• Ajouter un appareil revient à échanger des clés, pas à modifier une configuration centrale.

Quelles sont les limites de Tailscale ?

Tailscale est excellent, mais il a ses compromis. Vous dépendez de ses serveurs de coordination et de sa connexion pour la couche de contrôle, il n'est donc pas entièrement autonome ; si cela compte pour vous, le serveur open source Headscale ou WireGuard brut supprime cette dépendance, avec plus de configuration. La tarification est par utilisateur, elle grimpe donc avec la taille de l'équipe. Et comme il est fait pour l'accès privé à vos appareils, il ne remplacera pas un VPN commercial pour débloquer du contenu. Choisissez-le pour ce qu'il est : le moyen le plus simple de relier vos propres appareils en toute sécurité.

Tailscale est-il gratuit ?

Réponse courte : oui pour un usage personnel, jusqu'à 6 utilisateurs. Notre page dédiée Tailscale est-il gratuit ? Les limites du plan gratuit passe en revue cinq cas courants (famille, homelab, freelance, petite équipe) et ce que coûte chaque sortie du plan gratuit.

Il existe une offre gratuite, étonnamment généreuse pour un usage personnel : le forfait Personal couvre jusqu'à 6 utilisateurs avec un nombre d'appareils illimité, tant que l'usage reste non commercial. Un tailnet créé avec un domaine d'entreprise démarre un essai puis exige un forfait payant, facturé par utilisateur et non par appareil. Chiffres tirés de tailscale.com/pricing, consulté le 18 oct. 2026 ; revérifiez-les avant de souscrire, la grille change régulièrement.

Les ressources taguées (serveurs, exit nodes, routeurs de sous-réseau) sont incluses jusqu'à 50 sur les forfaits payants, puis facturées 1 $ par mois chacune. Trois façons de ne rien payer une fois le forfait Personal dépassé : comptez les personnes qui se connectent plutôt que les appareils (un foyer de 4 personnes avec 20 machines reste gratuit) ; auto-hébergez le plan de contrôle avec Headscale, où les clients Tailscale officiels fonctionnent, sans plafond d'utilisateurs, le seul coût étant le serveur, un VPS Contabo à environ 5,50 € par mois (vérifié le 17 oct. 2026), avec notre générateur de configuration Headscale gratuit pour écrire la configuration ; ou comparez avec la concurrence dans notre calculateur de prix Tailscale, qui donne le coût réel de Tailscale, Twingate, NetBird et ZeroTier sur 12 à 36 mois pour vos chiffres.

La distinction qui compte plus que le prix : Tailscale est gratuit au sens où un service de coordination vous est fourni, pas au sens où vous faites tout tourner vous-même. Votre trafic reste de pair à pair, mais le service qui présente vos appareils les uns aux autres est le leur. Si vous voulez aussi cette partie sur votre propre infrastructure, c'est exactement la raison d'être de Headscale, une réimplémentation open source du plan de contrôle que vous hébergez vous-même.

Pourquoi Tailscale est-il gratuit, alors ? Tailscale l'explique lui-même dans le billet How our free plan stays free de son PDG Avery Pennarun (lu le 24 octobre 2026). Vos données circulent en pair-à-pair entre vos appareils, pas par les serveurs de Tailscale : un utilisateur gratuit lui coûte donc très peu ; et ceux qui l'adoptent chez eux l'apportent au travail, où les entreprises paient par utilisateur. La position affichée de Tailscale : vos données ne sont pas le produit. L'offre gratuite repose sur ce modèle économique, c'est une des raisons pour lesquelles certains homelabs gardent un Headscale auto-hébergé en solution de repli.

Le détail cas par cas (famille, homelab, freelance, 7e utilisateur) est dans notre guide Tailscale est-il gratuit ? Les limites du plan gratuit, avec le coût de chaque façon de les dépasser.

Tailscale voit-il mon trafic ?

Non, dans le cas normal, et la raison est structurelle plutôt qu'une promesse. Tailscale construit des tunnels WireGuard directement entre vos appareils, et les clés de chiffrement ne les quittent jamais : les serveurs de coordination échangent des clés publiques et des informations de connexion, pas le contenu. Ce que Tailscale peut voir, ce sont les métadonnées : quels appareils existent, quand ils se connectent, quelles adresses ils annoncent.

Une nuance mérite d'être connue plutôt que découverte. Quand deux appareils se trouvent derrière des configurations réseau qui refusent une connexion directe, le trafic se rabat sur un relais DERP exploité par Tailscale. Ce relais transporte le tunnel chiffré ; il ne peut pas lire à l'intérieur, car les clés restent uniquement sur vos appareils. La formulation honnête est donc : les relais peuvent voir que vous communiquez et en quelle quantité, jamais ce que vous dites.

Tailscale ou application VPN : une seule distinction

La confusion derrière la plupart des questions du type « lequel choisir » vient de ce que le mot VPN recouvre deux métiers sans rapport.

Une application VPN commerciale vous donne l'adresse IP de quelqu'un d'autre. C'est ce qui permet de contourner le géoblocage et de cacher votre adresse à un site web, et c'est tout le produit. Tailscale vous donne vos propres appareils, joignables depuis n'importe où, comme s'ils partageaient un réseau privé. Il ne vous cache pas des sites web : vous sortez toujours par le réseau sur lequel vous êtes, sauf si vous faites volontairement passer le trafic par un exit node que vous contrôlez.

La question n'est donc pas de savoir lequel est le meilleur, mais quel besoin vous avez. Atteindre votre NAS depuis un hôtel, c'est Tailscale. Regarder un service indisponible là où vous êtes, c'est un VPN commercial. Vouloir les deux, c'est utiliser les deux, et c'est une configuration normale, pas un compromis.

Qu'est-ce qui surprend d'abord avec Tailscale ?

Trois points expliquent l'essentiel des frictions du début, et aucun n'est un défaut :

• Chaque appareil a besoin du client. Il n'y a pas d'interrupteur côté serveur qui ajoute une machine à votre réseau. Tout ce que vous voulez rendre joignable doit faire tourner Tailscale, c'est pourquoi une imprimante ou un vieux NAS finit souvent derrière un routeur de sous-réseau.
• Les adresses IP ont un air inhabituel. Les appareils reçoivent une adresse dans la plage 100.x, pas dans celle de votre réseau local. C'est voulu (cela évite les conflits avec le réseau local sur lequel vous vous trouvez), mais cela signifie que les favoris pointant vers des adresses en 192.168.x ne fonctionneront pas depuis l'extérieur.
• L'accès est ouvert par défaut. Un nouveau réseau laisse chaque appareil joindre tous les autres. C'est très bien pour un usage personnel et inadapté à tout ce qui est partagé ; les ACL existent précisément pour cela, et elles valent la peine d'être écrites avant d'inviter qui que ce soit.

Tailscale peut-il masquer votre IP comme un VPN classique ?

Oui, à une condition : vous lui donnez une sortie. Tailscale n'a pas de serveurs de navigation à lui. Pour que votre trafic internet sorte ailleurs que par le réseau sur lequel vous êtes, vous désignez un appareil de votre tailnet comme exit node, et vos autres appareils naviguent avec l'IP de ce nœud. Il y a trois façons de le faire, et elles ne remplissent pas le même rôle :

Le VPS est le choix habituel quand vous voulez une sortie qui ne dépend ni de votre box ni du courant à la maison. La mise en place prend une dizaine de minutes : installez Tailscale sur le serveur, activez l'IP forwarding (net.ipv4.ip_forward = 1), lancez sudo tailscale set --advertise-exit-node, puis approuvez le nœud dans la console d'administration. Toutes les commandes et la vérification du bon fonctionnement sont dans notre guide complet de l'exit node Tailscale. Le même serveur pourra ensuite faire tourner Headscale si vous voulez aussi ne plus dépendre des serveurs de coordination.

En résumé

Tailscale est le chemin le plus simple vers un réseau privé réunissant vos propres appareils. Il reprend la vitesse et la sécurité de WireGuard et en masque la complexité : relier un portable, un téléphone et un serveur prend quelques minutes au lieu d'une soirée. Ce n'est pas un outil d'anonymat, c'est un outil d'accès privé, et dans ce rôle il est difficile à battre.

Un VPN change votre IP. Il ne change pas votre navigateur.

Un tunnel remplace l'adresse que voit un service. Il ne change rien à ce que votre navigateur annonce de lui-même (polices, écran, fuseau horaire, pile graphique), et cette combinaison est souvent assez stable pour vous reconnaître d'une session à l'autre, avec ou sans tunnel.

Mesurez l'empreinte de votre navigateur : passif, sans questions, sans compte, sans e-mail.

Pour garder les commandes sous la main : notre Tailscale & Headscale Cheat Sheet gratuite (PDF de 4 pages en anglais, téléchargement direct, sans inscription) réunit status et ping, exit node, subnet router, Serve et Funnel, la configuration Headscale, les utilisateurs, clés et ACL, et les causes de panne habituelles. Télécharger la fiche.

Guides associés

• Tailscale Funnel : le mot qui met votre application sur l'internet public
• Exit node Tailscale : le guide complet sur un VPS
• Tailscale ou Headscale : SaaS géré ou serveur de contrôle auto-hébergé
• Routeur de sous-réseau Tailscale : atteindre l'imprimante ou le NAS sans client

Si vous préférez gérer le point de sortie vous-même plutôt que dépendre d'un service de coordination, notre comparatif des VPS les moins chers passe en revue les offres d'entrée de gamme qui suffisent.