sing-box vs Xray 2026 : la vraie différence, c'est la portée

Divulgation d'affiliation : cet article contient des liens affiliés Contabo et NordVPN. Si vous commandez un VPS via notre lien, nous touchons une commission, sans surcoût pour vous. La comparaison ci-dessous reflète les fonctionnalités documentées de chaque projet. Vérifiez la syntaxe exacte de la config dans la documentation officielle de chaque outil, car elle change d'une version à l'autre.

Réponse courte : vous voulez un setup anti-censure VLESS + REALITY ciblé, éprouvé, avec le plus grand choix de tutoriels ? Choisissez Xray. Vous voulez un seul binaire qui fait à la fois client et serveur et parle aussi les nouveaux protocoles QUIC (Hysteria2, TUIC) ? Il ajoute en plus Shadowsocks, VMess, VLESS, Trojan et WireGuard : choisissez sing-box. Les deux prennent en charge REALITY. Le vrai choix oppose un outil focalisé à une boîte à outils tout-en-un. Vous découvrez ces protocoles ? Commencez par notre guide de configuration V2Ray / VMess / VLESS.

Quel que soit votre choix, la partie serveur tourne sur un VPS hors du réseau censuré. Une option qui convient : un VPS Cloud Contabo sous Ubuntu 24.04 (lien affilié), dès 5,50 € par mois sur 24 mois (tarif relevé le 17 octobre 2026) ; choisissez un datacenter proche de vos utilisateurs pour réduire la latence.

Que sont sing-box et Xray ?

• V2Ray (Project V) : la plateforme proxy multi-protocole d'origine. Elle a introduit VMess puis VLESS, avec des transports comme TCP, WebSocket, HTTP/2, gRPC et QUIC. Elle reste la référence principale, mais son cœur d'origine n'a pas REALITY.
• Xray : un fork de V2Ray qui a ajouté XTLS Vision et REALITY. C'est le cœur le plus activement développé pour contourner la censure. La plupart des setups « V2Ray » anti-GFW en 2026 font en réalité tourner Xray sous le capot. (Nous détaillons un setup complet dans notre guide V2Ray / VMess & VLESS.)
• sing-box : souvent écrit singbox dans les forums et les moteurs de recherche, alors que le projet lui-même prend le trait d'union ; le binaire, le paquet et la clé de config s'appellent tous sing-box. C'est une plateforme tout-en-un plus récente (Go, binaire unique). Elle fait tourner de nombreux protocoles, en client comme en serveur : Shadowsocks, VMess, VLESS, Trojan, Hysteria/Hysteria2, TUIC, WireGuard, ShadowTLS et d'autres. Elle ajoute TLS/REALITY et plusieurs transports. Des applis existent pour Android (SFA), iOS (SFI) et macOS (SFM).

Comparatif côte à côte

Lequel choisir, sing-box ou Xray ?

• Choisissez Xray si votre seul objectif est un setup VLESS + REALITY solide face à un DPI lourd (GFW chinois, Iran, Russie) et que vous voulez la voie la mieux documentée. Il fait très bien ce travail-là.
• Choisissez sing-box si vous voulez tout réunir dans un seul outil : un binaire pour le serveur et tous vos appareils, la liberté de tester Hysteria2/TUIC (des protocoles UDP/QUIC qui peuvent mieux tenir sur des réseaux qui perdent des paquets ou sont bridés), et WireGuard intégré. C'est la meilleure base « couteau suisse » si vous comptez changer de protocole.
• Vous hésitez ? Les deux tournent sur un petit VPS (quel VPS pour V2Ray/Xray) et les deux prennent en charge REALITY : aucun n'est un mauvais choix. Commencez par celui qui correspond au tutoriel que vous suivrez vraiment. Pour VLESS + REALITY, c'est souvent Xray. Pour un labo multi-protocole, c'est sing-box.

Ce qu'il faut pour en essayer un

Les deux cœurs tournent sur n'importe quel petit VPS Linux avec une IP publique, et le serveur est la seule pièce que vous ne pouvez pas emprunter : il doit se trouver hors du réseau qui vous filtre. Notre générateur de config VLESS REALITY gratuit écrit les configs serveur et client pour Xray et pour sing-box à partir des mêmes clés, générées dans votre navigateur : vous installez un cœur, vous le testez, puis vous passez à l'autre sans rien régénérer.

Si vous vous connectez depuis la Chine ou l'Iran, l'emplacement du datacenter compte plus que la fiche technique. Contabo propose Singapour et Tokyo en plus de l'Europe et des États-Unis, et son offre d'entrée (4 vCPU, 8 Go de RAM, 5,50 €/mois les 24 premiers mois) dépasse largement les besoins d'un proxy personnel. Aucun hébergeur ne garantit que ses plages d'IP resteront joignables : considérez le serveur comme remplaçable et gardez votre config prête à être redéployée sur une nouvelle IP.

Protocoles et transports en un coup d'œil

Les deux cœurs se recouvrent sur les protocoles proxy classiques mais divergent sur les plus récents. C'est la différence factuelle la plus nette entre eux.

• Terrain commun : les deux parlent VLESS, VMess, Trojan et Shadowsocks, et les deux prennent en charge REALITY et TLS. Ils proposent aussi les transports courants comme TCP, WebSocket, HTTP/2 et gRPC. Pour un tunnel VLESS + REALITY, l'un ou l'autre cœur fait l'affaire.
• L'orientation de Xray : le cœur Xray est bâti autour de la pile VLESS + XTLS Vision + REALITY. XTLS Vision est le mécanisme de contrôle de flux propre à Xray, qui réduit la surcharge « TLS dans TLS » quand on fait passer du trafic TLS à l'intérieur d'un proxy TLS. C'est le setup pour lequel Xray est le plus connu et le plus documenté.
• Les protocoles en plus de sing-box : sing-box ajoute dans le même binaire des protocoles plus récents basés sur QUIC/UDP, notamment Hysteria/Hysteria2 et TUIC, ainsi que WireGuard en inbound/outbound intégré et ShadowTLS. Cette étendue est la principale raison de préférer sing-box à Xray.

Lequel résiste le mieux à l'inspection profonde de paquets ?

Les deux projets font de REALITY leur première ligne de défense contre l'inspection profonde de paquets. REALITY emprunte la vraie poignée de main TLS d'un site tiers légitime (une conception qui « vole la poignée de main » d'un autre), si bien que pour un observateur la connexion ressemble à du HTTPS ordinaire vers ce site, et non à un proxy. Point essentiel, il est conçu pour résister à l'active probing, quand un censeur se connecte à votre serveur pour voir s'il se comporte comme un proxy : comme REALITY renvoie les sondes inattendues vers le vrai site cible, la sonde reçoit une réponse TLS normale au lieu d'un proxy qui se trahit.

Xray est le projet où REALITY a été introduit et où XTLS Vision atténue l'empreinte de double chiffrement d'un tunnel TLS. sing-box implémente aussi REALITY et le superpose à son éventail de protocoles plus large : vous pouvez par exemple associer REALITY à un protocole basé sur QUIC sur un point d'accès séparé. Aucune des deux approches n'est un contournement garanti : les systèmes de censure changent, et la position honnête est que l'anti-DPI reste un jeu du chat et de la souris permanent, pas un problème réglé.

Conception et gouvernance

Les deux projets viennent de lignées différentes, et cela façonne la manière dont chacun est construit.

• sing-box (SagerNet) est un binaire unique polyvalent : le même exécutable fait client et serveur, avec les règles de routage, la gestion du DNS et plusieurs inbounds/outbounds configurés dans un seul fichier JSON unifié. C'est le plus récent des deux, et il vise à être une plateforme universelle plutôt que la référence d'un seul protocole.
• Xray (Project XTLS) est un fork communautaire de V2Ray (Project V). Il reste proche du rôle de cœur proxy : c'est avant tout le moteur, l'expérience client étant généralement assurée par des applis tierces séparées. Son identité est liée à XTLS Vision et REALITY, les fonctions anti-détection dont il a été le pionnier.

La différence ne se joue donc pas seulement fonction par fonction. C'est une boîte à outils tout-en-un face à un cœur proxy focalisé, entouré d'un vaste écosystème de clients.

Les licences ne sont pas les mêmes, et les comparatifs l'oublient sans cesse

Les deux projets sont open source, et la plupart des comparatifs s'arrêtent à ce mot. Ils ne sont pourtant pas soumis aux mêmes conditions, et c'est le genre de différence qui compte si vous distribuez quelque chose bâti sur l'un d'eux.

Xray-core est sous Mozilla Public License 2.0. L'API de GitHub la normalise en MPL-2.0. C'est un copyleft au niveau du fichier : si vous modifiez un fichier MPL, ce fichier reste sous MPL, mais vous pouvez le combiner avec du code sous d'autres licences.

sing-box est sous GPL version 3 ou ultérieure, avec une clause bien à lui. Son fichier LICENSE reprend la concession standard GPLv3 ou ultérieure, puis ajoute :

In addition, no derivative work may use the name or imply association with this application without prior consent.

(En français : de plus, aucune œuvre dérivée ne peut utiliser le nom de cette application ni laisser entendre une association avec elle sans accord préalable.)

C'est cette phrase ajoutée qui empêche GitHub de la normaliser : l'API renvoie Other / NOASSERTION plutôt que GPL-3.0, parce que le texte n'est plus la licence non modifiée. (Les deux valeurs ont été relevées sur l'API GitHub le 20 août 2026, avec 41 119 étoiles pour Xray-core et 37 139 pour sing-box.)

Si vous auto-hébergez pour votre propre usage, rien de tout cela ne vous concerne : faire tourner un logiciel, ce n'est pas le redistribuer. Si vous construisez un produit, un service ou un appareil sur l'un de ces cœurs, « GPLv3 ou ultérieure avec une restriction sur le nom » et « MPL-2.0 » sont des points de départ très différents, et c'est une question à poser à la personne qui gère vos licences plutôt qu'à trancher à partir d'un article comparatif.

Quels clients fonctionnent avec sing-box et Xray ?

Au quotidien, la façon dont vous vous connectez compte autant que le cœur côté serveur.

• Applis clientes : sing-box fournit des applis compagnons officielles, SFA (Android), SFI (iOS) et SFM (macOS), qui font tourner le même cœur sur l'appareil. Xray ne publie pas ses propres applis grand public ; il est intégré à des clients tiers populaires comme v2rayNG sur Android et Shadowrocket sur iOS, que beaucoup utilisent déjà.
• Configuration : les deux cœurs se configurent en JSON. sing-box utilise un schéma unifié qui couvre inbounds, outbounds, DNS et règles de routage dans un seul fichier, ce qui convient à un setup tout-en-un. Le JSON de Xray est centré sur l'inbound/outbound proxy, avec son propre bloc de routage. Aucun des deux n'est trivial, et les deux schémas changent d'une version à l'autre : c'est la config, pas l'installation, qui fait échouer la plupart des setups.

« sing-box ou v2rayN ? » est une mauvaise comparaison

Cette question revient sans arrêt, et elle mélange deux types de logiciels différents.

sing-box est un cœur. Il parle les protocoles, termine le tunnel et route le trafic. v2rayN est un client : une interface de bureau Windows qui gère vos profils, importe les liens d'abonnement, et lance ou coupe la connexion. Il n'implémente pas lui-même les protocoles : il pilote un cœur en dessous. Selon la version installée, ce cœur est V2Ray, Xray ou sing-box.

Les deux ne sont donc pas des alternatives. La façon honnête de poser la décision se fait en deux temps :

• Quel cœur voulez-vous pour gérer le protocole et la résistance au DPI : sing-box ou Xray ? C'est la comparaison que fait cette page plus haut.
• Quel client voulez-vous pour le piloter sur votre machine ? Sous Windows, v2rayN est la réponse courante, quel que soit le cœur choisi. Sur Android, l'équivalent est v2rayNG, et sing-box fournit aussi ses propres applis officielles (SFA, SFI, SFM).

Si vous utilisez déjà v2rayN et vous demandez s'il faut « passer à sing-box », ce que vous envisagez en réalité, c'est de changer le cœur qu'il lance, pas de remplacer l'application. Vérifiez quels cœurs votre version de v2rayN prend en charge avant de conclure dans un sens ou dans l'autre, car cela varie selon les versions.

Comment migrer de Xray vers sing-box ?

Une question qui arrive une fois le choix fait : peut-on simplement convertir le fichier de configuration ? Pas en le retouchant à la main, non. Une migration de V2Ray vers sing-box recrée la configuration au lieu de la traduire : les deux cœurs décrivent la même connexion avec des noms de clés différents, et aucun rechercher-remplacer ne vous mènera au bout.

La forme de l'écart, en prenant un outbound VMess comme exemple :

Deux remarques pratiques s'ajoutent au simple renommage. La documentation actuelle de Xray montre l'outbound VMess avec address, port et id directement sous settings, et non plus le tableau vnext que beaucoup d'exemples publiés utilisent encore : même au sein d'une seule lignée, les configs ne se ressemblent donc pas toutes. Et sing-box sépare en tls et transport ce que Xray garde ensemble sous streamSettings, et c'est précisément là qu'une copie mécanique champ par champ déraille le plus souvent.

La voie fiable consiste donc à écrire l'outbound sing-box à partir des paramètres du serveur que vous connaissez déjà (hôte, port, UUID, transport, réglages TLS) plutôt qu'à partir de l'ancien fichier, puis à le valider avant de lancer quoi que ce soit : sing-box check -c config.json signale les erreurs de schéma, et sing-box format -w -c config.json réécrit le fichier sous sa forme canonique. Comme le rappelle la mise en garde plus bas, vérifiez les noms de champs dans la documentation de la version que vous avez réellement installée, car ces schémas changent d'une version à l'autre.

Si vous utilisez v2rayN sous Windows, la migration est un autre chantier. Vous ne réécrivez pas une config serveur : vous changez le cœur que le client pilote, puisque v2rayN peut faire tourner le cœur Xray ou le cœur sing-box sous la même interface. Cela change les options que l'interface graphique expose et, surtout, le composant qui résout le DNS. Nous détaillons ce changement et son piège récurrent dans v2rayN avec le noyau sing-box.

De quel serveur avez-vous besoin pour faire tourner l'un ou l'autre ?

Si un simple WireGuard suffit pour votre réseau et que vous n'avez pas besoin d'un protocole obfusqué, notre générateur de config WireGuard gratuit vous donne une config serveur et client fonctionnelle en une minute, avec des clés générées dans votre navigateur.

Quel que soit le cœur choisi, le tunnel casse de la même façon quand le MTU est mauvais : les petites requêtes passent, les gros transferts se figent, et la connexion tombe sous la charge. Ce symptôme est régulièrement mis sur le dos de l'hébergeur. mtu-probe mesure le plus gros paquet que votre chemin transporte réellement, pour que vous régliez le MTU de l'interface à partir d'une mesure plutôt que d'une valeur par défaut, en retirant 60 octets pour WireGuard sur IPv4, 80 sur IPv6.

Quel que soit le cœur choisi, vous l'auto-hébergez sur votre propre VPS. C'est ce qui garde le setup privé et sous votre contrôle. Une petite instance suffit largement pour un usage personnel ; si vous n'avez pas encore choisi d'hébergeur, voyez comment Contabo, Hetzner et OVH se comparent pour un VPN auto-hébergé.

Une option pratique : un VPS Contabo (Ubuntu 24.04). Prenez un datacenter proche de votre région cible pour réduire la latence. Voir les tarifs VPS Contabo →

Une fois le VPS prêt, notre générateur de config VLESS REALITY écrit les configs serveur et client pour l'un ou l'autre cœur, Xray ou sing-box, à partir des mêmes clés : de quoi essayer les deux.

Qu'est-ce qui doit vous faire hésiter ?

Contourner la censure peut enfreindre la loi locale dans certains pays. Cet article explique la technique ; ce n'est pas un avis juridique. Par ailleurs, les schémas de config des cœurs proxy changent d'une version à l'autre. Considérez tout extrait de config que vous trouvez (même dans les tutoriels) comme un point de départ. Vérifiez-le dans la documentation officielle à jour de sing-box ou de Xray avant de vous y fier.

Et si maintenir un cœur de proxy vous paraît trop lourd, la voie clé en main est un VPN commercial à serveurs obfusqués, comme NordVPN (qui tournent désormais sur son protocole NordWhisper). Le compromis est réel : ses IP de serveurs sont partagées et connues des censeurs, donc dans un pays très filtré il est bloqué plus souvent que votre propre serveur REALITY.

Votre VPN masque votre IP. Il ne masque pas votre navigateur.

Un tunnel WireGuard correctement configuré remplace l'adresse que voit un site. Il ne change rien à ce que votre navigateur annonce de lui-même : polices, écran, fuseau horaire, pile graphique. Cette combinaison est souvent assez unique pour vous suivre d'une session à l'autre, avec ou sans tunnel.

Mesurez votre propre empreinte de navigateur : passif, sans questions, sans compte, sans e-mail. Le test vous dit combien de navigateurs sur N ressemblent au vôtre, et quel attribut vous fait sortir du lot.

Guides liés

• v2rayN expliqué : le client Windows pour VLESS et VMess
• Masquerade Hysteria2 : cacher le tunnel derrière un site plausible
• Configuration V2Ray : VMess & VLESS pour la Chine, l'Iran et la Russie
• Shadowsocks vs VPN : comparaison technique
• Cloak : obfuscation TLS pour VPN auto-hébergé
• Anti-DPI : contourner l'inspection profonde de paquets
• La répression des VPN en Russie en 2026 : ce qui est bloqué et ce qui fonctionne encore
• v2rayN avec le noyau sing-box : ce qui change, et le piège DNS

Les deux cœurs ont toujours besoin d'un serveur pour tourner. Si ce point n'est pas encore réglé, notre comparatif des VPS les moins chers pour WireGuard indique ce que chaque hébergeur facture pour la configuration dont ces setups ont réellement besoin.