Reponse courte : Tailscale est construit sur WireGuard, donc le chiffrement et la vitesse en connexion directe sont les memes. Tailscale ajoute un plan de controle gere (cles, traversee du NAT, DNS, ACL) : gratuit jusqu'a 6 utilisateurs, puis 8 $ par utilisateur et par mois. WireGuard brut est gratuit, mais vous configurez tout vous-meme.
Tailscale vs WireGuard n'est pas une comparaison de protocoles. Tailscale est WireGuard, en dessous. La comparaison est entre gerer WireGuard vous-meme et laisser le plan de controle de Tailscale le gerer pour vous. Cette distinction determine tout : le temps de mise en place, la maintenance continue, ce que vous controlez et ce que vous confiez a un tiers.
Vous partez sur WireGuard brut ? Le serveur doit avoir une IPv4 publique, ce qu'une box derriere un CGNAT ne donne pas : un Contabo Cloud VPS 4 (lien affilie) fait l'affaire a 5,50 EUR par mois sur 24 mois, le meme prix que dans les tableaux ci-dessous.
La decision en un tableau
| Preoccupation | WireGuard brut | Tailscale |
|---|---|---|
| Chiffrement du plan de donnees | Curve25519 + ChaCha20-Poly1305 | Identique (meme tunnel WireGuard) |
| Gestion des cles | Manuelle | Automatique |
| Traversee NAT | Manuelle / redirection de ports | Automatique (STUN + DERP) |
| Exposition des metadonnees | Aucune au-dela de vos serveurs | Le serveur de coordination voit la topologie |
| Cout | VPS uniquement, par ex. Contabo Cloud VPS 4 a 5,50 EUR/mois ou Ultahost VPS Basic a 5,52 $/mois (1 CPU, 1 Go, engagement 24 mois) | Plan gratuit ou 8+ $/utilisateur/mois |
| Temps de mise en place (5 appareils) | 30 a 60 minutes | Moins de 10 minutes |
| Maintenance continue | Vous gerez tout | Tailscale gere la coordination |
| Code source | Entierement ouvert | Plan de donnees ouvert, plan de controle ferme |
Le chiffrement est le meme. La question est de savoir si vous voulez operer le plan de controle ou payer quelqu'un d'autre pour le faire.
Deux raccourcis : le generateur de config WireGuard ecrit les fichiers serveur et clients pour la voie brute, et le calculateur de prix Tailscale donne la facture mensuelle selon la taille de votre equipe face a l'auto-hebergement. Le générateur est gratuit et sans compte, jusqu'à 250 appareils, et son export ZIP réunit chaque .conf client et son code QR en PNG, pratique pour équiper tout un bureau ou une famille d'un coup.
Générez vos configs WireGuard ici
Saisissez l'adresse du serveur, le nombre d'appareils, puis scannez chaque QR code depuis l'app.
Toutes les clés sont générées dans ton navigateur (Curve25519 / X25519). Rien n'est envoyé à nos serveurs - ta config reste 100% privée.
IPv4 publique ou domaine de la machine qui fera tourner WireGuard. Pas encore de serveur ? Laisse vide et ajoute-la plus tard.
Gratuit, sans compte : jusqu'à 250 clients, chaque .conf avec son QR code, et un ZIP avec tous les fichiers.
Tout ce que l'appareil envoie sur Internet passe par ton serveur.
Paramètres avancésSous-réseau du tunnel, DNS, réseaux site à site. Les valeurs par défaut conviennent à la plupart des cas.
Optionnel. Indique le sous-réseau local derrière le serveur et/ou derrière un client qui sert de passerelle de site (un routeur, un Raspberry Pi, un NAS). Le générateur ajoute chaque réseau aux AllowedIPs du serveur, donne à chaque pair les routes vers les autres réseaux et écrit les règles de transfert sur les passerelles. Laisse un champ vide pour un client normal.
Ce que tu télécharges
wg0.conf
pour le serveur
client1.conf
un par appareil
QR (exemple)
pour l'app mobile
Aperçu illustratif : lignes et QR fictifs, aucune vraie clé. Tes vrais fichiers sont générés dans ton navigateur au clic.
Ce qu'est reellement WireGuard
WireGuard est un protocole VPN. Il vit dans le noyau Linux (depuis la version 5.6) et dispose d'implementations pour Windows, macOS, iOS et Android. Sa philosophie de conception est le minimalisme : environ 4 000 lignes de code, une suite cryptographique fixe (Curve25519 pour l'echange de cles, ChaCha20-Poly1305 pour le chiffrement symetrique, BLAKE2s pour le hachage), et aucune negociation de suites de chiffrement.
Vous generez une paire de cles sur chaque appareil, echangez les cles publiques manuellement, configurez les plages d'IP autorisees et activez l'interface. WireGuard gere le tunnel. Tout le reste, y compris la distribution des cles, le DNS, la traversee NAT, le controle d'acces et la revocation, est votre responsabilite.
Ce n'est pas une critique. C'est une decision de conception deliberee. WireGuard fait une chose et vous laisse le reste, ce qui est exactement ce que certains administrateurs veulent.
Ce que Tailscale ajoute par-dessus
Tailscale enveloppe un plan de controle autour du plan de donnees de WireGuard. Le trafic entre vos appareils passe toujours par un tunnel WireGuard avec la meme cryptographie. Ce qui change, c'est tout ce qui entoure ce tunnel :
Gestion automatique des cles. Quand vous ajoutez un appareil a votre reseau Tailscale (appele tailnet), le plan de controle distribue les cles publiques a chaque autre appareil qui devrait pouvoir l'atteindre. Vous ne copiez jamais une cle manuellement.
Traversee NAT. WireGuard necessite qu'au moins un endpoint ait une adresse IP publiquement accessible, ou vous devez configurer la redirection de ports. Tailscale utilise une combinaison de STUN, de perforation de trous et de ses propres serveurs relais (appeles DERP) pour etablir des connexions directes peer-to-peer a travers les NAT et les pare-feu. Dans la plupart des configurations, aucune redirection de port n'est necessaire.
MagicDNS. Chaque appareil obtient un nom d'hote stable sur votre tailnet (ex. laptop.tailnet-name.ts.net). Vous adressez les machines par nom plutot que par IP.
Listes de controle d'acces. Tailscale fournit un systeme d'ACL declaratif ou vous definissez quels appareils et utilisateurs peuvent atteindre quels services. Avec le WireGuard brut, vous implementeriez cela via des regles de pare-feu sur chaque machine.
Un tableau de bord web et une API. Vous pouvez voir tous les appareils connectes, leur derniere heure de connexion, leur OS et leur version Tailscale depuis un navigateur. Le WireGuard brut n'a pas d'interface de gestion.
Ce que Tailscale retire
Chaque commodite que Tailscale fournit vient de son plan de controle, et ce plan de controle est un service SaaS proprietaire opere par Tailscale Inc. aux Etats-Unis. Voici ce que cela signifie en pratique :
Votre serveur de coordination n'est pas le votre. Le plan de controle sait quels appareils sont sur votre reseau, leurs cles publiques, leurs adresses IP et leurs metadonnees de connexion. Tailscale affirme qu'il ne voit pas le contenu de votre trafic (car le tunnel WireGuard est chiffre de bout en bout), mais il voit la topologie du reseau.
Vous dependez de la disponibilite de Tailscale. Si le serveur de coordination tombe, les connexions existantes continuent de fonctionner (car les tunnels WireGuard sont deja etablis), mais les nouveaux appareils ne peuvent pas rejoindre et les rotations de cles stagnent. C'est une preoccupation pratique pour l'infrastructure de production.
Le plan gratuit a des limites. Le plan gratuit Personal de Tailscale couvre jusqu'à 6 utilisateurs avec un nombre d'appareils illimité, d'après tailscale.com, lu le 7 octobre 2026. Au-delà, le tarif commence à 8 $ par utilisateur par mois sur le plan Standard.
Vous ne pouvez pas inspecter ou modifier le plan de controle. Il est a code source ferme. Si vous voulez comprendre exactement ce que le serveur de coordination fait avec vos metadonnees, vous faites confiance a la documentation et a la politique de confidentialite de Tailscale plutot que de lire le code.
WireGuard brut : ce que vous obtenez en le faisant vous-meme
Faire tourner WireGuard sans plan de controle signifie que vous gerez chaque tache operationnelle, mais vous controlez aussi chaque decision operationnelle :
Propriete totale de tous les composants. Vos cles, vos serveurs, votre DNS, vos regles de pare-feu. Rien ne quitte votre infrastructure sauf le trafic tunnel chiffre.
Aucune dependance externe. Votre VPN fonctionne tant que vos serveurs sont en marche. Aucun service tiers ne peut l'affecter.
Pas de tarification par utilisateur. WireGuard est gratuit et open source. Votre cout est le VPS ou le serveur sur lequel vous l'executez, generalement de 3 a 6 $ par mois pour une instance de base.
Aucune exposition de metadonnees a un tiers. Aucun serveur de coordination ne voit votre topologie.
Le cout est le temps. Configurer WireGuard pour deux appareils prend dix minutes. Le configurer pour vingt appareils sur trois emplacements, avec rotation des cles, DNS et regles de pare-feu, prend considerablement plus de temps et necessite une maintenance continue.
★ Datacenter Nuremberg GDPR · ✓ IPv4 dédiée incluse · port 200 Mbit/s
Voir les VPS Contabo →Le moyen le moins cher de faire tourner WireGuard brut ou Headscale : Cloud VPS 4 a 5,50 EUR/mois, datacenters allemands sous RGPD, suffisant pour 1 a 10 utilisateurs.→Ce que ca coute sur 3 ans
Le prix par utilisateur ne se fait sentir qu'une fois sorti du plan gratuit. Voici le cout en argent sur 36 mois aux tarifs cites plus haut (Tailscale Standard a 8 $ par utilisateur et par mois, un Contabo Cloud VPS 4 a 5,50 EUR par mois comme hub WireGuard) :
| Taille de l'equipe | Tailscale, 36 mois | WireGuard brut sur un VPS, 36 mois |
|---|---|---|
| 1 a 6 utilisateurs, usage personnel | 0 $ (plan gratuit Personal) | environ 198 EUR (Contabo Cloud VPS 4) |
| 10 utilisateurs | 2 880 $ | environ 198 EUR |
| 25 utilisateurs | 7 200 $ | environ 198 EUR (meme VPS, WireGuard est leger) |
La ligne VPS ne grossit pas avec le nombre d'utilisateurs, la ligne Tailscale grossit de facon lineaire. Ce que le tableau omet, c'est votre temps : a 10 utilisateurs, l'ecart est d'environ 74 $ par mois, donc l'auto-hebergement est rentable tant que la mise en place et la maintenance vous coutent moins que cela chaque mois. Pour un utilisateur seul dans le plan gratuit, Tailscale est tout simplement moins cher ; pour une equipe de 10 personnes ou plus a l'aise sous Linux, un seul VPS l'emporte largement sur le plan financier.
Passer de Tailscale a WireGuard brut
Si vous depassez le plan gratuit et decidez d'auto-heberger, traitez cela comme un petit projet, pas comme une apres-midi :
- Listez chaque noeud avec son IP Tailnet (
100.x.x.x) et les ACL sur lesquelles vous vous appuyez reellement. - Provisionnez un VPS avec une IPv4 publique comme hub, puis installez WireGuard et ouvrez le port UDP 51820 dans son pare-feu.
- Choisissez une plage privee (par exemple
10.66.0.0/24) et associez chaque ancienne IP Tailnet a une nouvelle adresse. - Generez une configuration par client et envoyez-la par un canal securise (un gestionnaire de mots de passe ou Signal, jamais un simple e-mail).
- Basculez un client a la fois, verifiez la connectivite, ajustez
AllowedIPssur le hub. - Gardez Tailscale en parallele pendant une semaine ou deux pour pouvoir revenir en arriere si un appareil se comporte mal.
Si vous preferez garder les clients Tailscale et leur traversee NAT, faites plutot tourner Headscale sur le meme VPS (voir la voie du milieu plus bas).
Quand choisir le WireGuard brut
Vous avez un petit ensemble statique d'appareils. Un serveur VPN personnel avec un a cinq clients est le point fort de WireGuard. La gestion des cles est triviale a cette echelle, et la simplicite de la configuration est une vertu.
Vous avez besoin d'un controle total sur votre infrastructure. Si votre modele de menace inclut le fait de ne faire confiance a aucun service de coordination tiers pour votre topologie reseau, le WireGuard brut est la seule option qui garde tout entre vos mains.
Vous integrez WireGuard dans un autre systeme. Si vous embarquez la fonctionnalite VPN dans un produit ou une pile reseau personnalisee, vous voulez le protocole, pas le service gere.
Quand choisir Tailscale
Vous avez un ensemble d'appareils croissant ou dynamique. Une fois passe une poignee de machines, la distribution des cles et la traversee NAT deviennent de vrais fardeaux operationnels. Tailscale les elimine tous les deux.
Votre equipe a besoin d'un acces partage. La gestion des utilisateurs et les ACL de Tailscale rendent simple de donner aux coequipiers l'acces a des ressources specifiques sans configurer des regles de pare-feu sur chaque machine.
Vous etes derriere des NAT restrictifs. Les pare-feu d'entreprise, le NAT de grade operateur et les configurations NAT symetriques peuvent rendre les connexions WireGuard brutes difficiles ou impossibles sans relais. L'infrastructure DERP de Tailscale gere cela automatiquement.
Pour garder les commandes sous la main : notre Tailscale & Headscale Cheat Sheet gratuite (PDF de 4 pages en anglais, téléchargement direct, sans inscription) réunit status et ping, exit node, subnet router, Serve et Funnel, la configuration Headscale, les utilisateurs, clés et ACL, et les causes de panne habituelles. Télécharger la fiche.
La voie du milieu : Headscale
Si vous voulez la commodite de Tailscale sans son plan de controle proprietaire, Headscale est une reimplementation open source du serveur de coordination Tailscale, ecrite en Go. Elle fonctionne avec les clients officiels Tailscale et vous donne la meme gestion automatique des cles, traversee NAT et MagicDNS, mais tourne entierement sur votre propre infrastructure.
Le compromis est la complexite de mise en place. Headscale vous demande de provisionner et maintenir le serveur de coordination vous-meme, et n'a pas la parite de fonctionnalites avec l'offre commerciale de Tailscale (l'interface web est maintenue par la communaute, et certaines fonctionnalites entreprise sont absentes).
Autres comparatifs Tailscale : Twingate vs Tailscale, NetBird vs Tailscale, ZeroTier vs Tailscale.
Lien affilié
★ Datacenter Nuremberg GDPR · ✓ IPv4 dédiée incluse · port 200 Mbit/s
Héberge ton VPN sur ton propre VPS → ContaboCloud VPS 4 · 5,50 €/ mois · Carte ou PayPal · commandes hors UE acceptées→Prix relevé le 17/10/2026, engagement 24 mois
