Tailscale vs WireGuard self-host : lequel choisir en 2026 ?

Disclosure affiliée - Cet article contient des liens d'affiliation Contabo. Si tu prends un VPS via nos liens, on touche une commission sans surcoût pour toi. Nos recommandations s'appuient sur le fonctionnement documenté de chaque outil et les specs publiées des hébergeurs.

La question revient toutes les semaines sur les forums self-hosting : tu connais WireGuard, tu sais que Tailscale est "du WireGuard managé", et tu te demandes si payer 18 $/user/mois pour Tailscale Premium vaut le coup, ou si tu dois assumer le self-host complet sur un VPS à 5 €/mois. La réponse n'est pas binaire - elle dépend de combien de nœuds tu déploies, de ta tolérance au vendor lock-in, et de ce que tu fais de ton temps.

Les deux outils résolvent le même problème différemment : Tailscale te donne un mesh managé en quelques minutes, WireGuard nu sur un VPS Contabo te donne le contrôle total et un coût plus bas à l'échelle. Ce comparatif les pèse sur l'architecture, le coût à 1/5/20 nœuds, les pièges courants et un guide de décision concret - sur la base du fonctionnement conçu de chacun, pas de chiffres de terrain inventés.

C'est quoi Tailscale et en quoi diffère-t-il de WireGuard self-host ?

Tailscale est un control plane SaaS bâti au-dessus de WireGuard. Il automatise la découverte des pairs, la rotation des clés, le NAT traversal, les ACLs et MagicDNS. Le chiffrement des paquets est WireGuard. WireGuard self-host offre des performances brutes (~900 Mbps, 66 €/an sur Contabo) et zéro vendor lock-in ; Tailscale fait gagner du temps de setup mais coûte ~1 080 $/an à 5 utilisateurs.

Ce que Tailscale est vraiment (et ce qu'il n'est pas)

Tailscale n'est pas un nouveau protocole VPN - c'est un control plane posé au-dessus de WireGuard. Le data plane (le chiffrement effectif des paquets) reste 100 % WireGuard. Ce que Tailscale gère pour toi :

• Discovery - chaque nœud annonce son IP publique au coordinator (Tailscale SaaS). Les autres nœuds récupèrent cette info pour établir le tunnel.
• NAT traversal - STUN + ICE-like pour ouvrir un tunnel direct entre deux nœuds derrière des NAT symétriques. Quand ça échoue, fallback sur les serveurs DERP (relay TCP/443).
• Key management - rotation automatique des clés WireGuard, expiration de devices, signature des configs.
• ACLs - fichier JSON déclaratif qui définit qui peut parler à qui, sur quels ports. Compilé en règles iptables push sur chaque nœud.
• MagicDNS / Tailnet name - résolution nom-machine.ton-tailnet.ts.net partout dans ton mesh.

Le code du client Tailscale est open source (github.com/tailscale/tailscale). Le control plane SaaS ne l'est pas - mais Headscale est une réimplémentation open source du control plane, compatible client officiel. C'est important pour la suite.

Ce que Tailscale n'est pas : ce n'est pas un VPN grand public type NordVPN. Tailscale ne te donne pas une IP de sortie pour faire croire à Netflix US que tu es à New York. Tu peux configurer un "exit node" Tailscale, mais c'est un nœud que toi tu héberges - sur un VPS, par exemple. On revient là-dessus plus bas, parce que c'est exactement le point où le calcul économique bascule vers le self-host.

Architecture comparée

Tailscale managé :

[App A] ── WireGuard ──► [App B]
   │                        │
   └──► Coordinator SaaS ◄──┘
        (Tailscale Inc.)

Le coordinator orchestre. Les paquets, eux, vont en direct A → B via WireGuard quand le NAT le permet, ou via un relay DERP de Tailscale en fallback (latence + dépendance au SaaS).

WireGuard self-host (modèle hub-and-spoke) :

[Client 1] ──► [VPS Hub Contabo] ◄── [Client 2]
                     │
                 [Client 3]

Tout passe par le hub. Latence prévisible, contrôle total, mais le hub est un single point of failure (et un single point d'optimisation).

WireGuard self-host (modèle full-mesh manuel) :

[Node A] ◄──► [Node B]
    ▲          ▲
    │          │
    ▼          ▼
[Node C] ◄──► [Node D]

N²/2 tunnels à configurer. Devient ingérable au-delà de 5-6 nœuds - c'est exactement le problème que Tailscale résout côté managé.

Le choix d'architecture en self-host est crucial : pour 1 à 4 nœuds, le hub-and-spoke est imbattable en simplicité ; au-delà, il faut soit accepter Tailscale, soit déployer Headscale (le control plane open source).

Tableau comparatif honnête

Trois observations qu'on ne voit jamais sur les blogs comparatifs sponsorisés :

1. Tailscale Premium est rentable à 1-3 users avec beaucoup de nœuds. Si tu es seul mais tu administres 15 serveurs perso, 0 € avec le plan Free. Pas de débat.
2. Le calcul bascule à partir de 4-5 users. À 5 users à 18 $/mois, tu payes 90 $/mois soit 1 080 $/an - pour un service qui équivaut techniquement à WireGuard + un control plane que tu peux héberger toi-même sur un VPS Contabo S à 5,50 €/mois.
3. La maintenance n'est pas zéro en self-host, mais elle n'est pas non plus écrasante. Notre setup hub-and-spoke WireGuard sur Contabo demande environ 1h/mois de maintenance moyenne : upgrades système, rotation des clés tous les 6 mois, vérification des logs.

Cas 1 - Tu es seul, tu administres tes propres machines

Verdict : Tailscale Free, sans hésiter.

Le plan Personal de Tailscale (100 devices, 3 users) couvre 99 % des usages perso. MagicDNS marche en deux clics, le NAT traversal te sauve une demi-journée de pfSense, et le client mobile (iOS/Android) est honnêtement bien fait. À ce stade, ne perds pas de temps à self-host WireGuard.

La seule raison de basculer vers WireGuard nu en solo est l'apprentissage. Si tu veux comprendre WireGuard en profondeur, monter ton hub-and-spoke sur un VPS est l'exercice. C'est exactement ce que couvre notre guide self-host VPN Contabo WireGuard, et c'est un investissement en compétences qui se paye largement à moyen terme.

Cas 2 - Petite équipe (2-5 personnes)

Verdict : Tailscale Free si tu rentres dans les 3 users, sinon WireGuard self-host.

À 4-5 users, Tailscale Premium devient 864-1 080 $/an. Au même prix, tu obtiens :

• 12 mois d'un Contabo Cloud VPS 10 (66 €/an)
• Le temps de scripter ton WireGuard avec Ansible (10 h ≈ 500 € à 50 €/h)
• Un budget restant pour Headscale en option

Cette équation tient si une personne dans l'équipe sait scripter du shell. Sinon, le coût d'opportunité monte, et le 18 $/user/mois Tailscale redevient compétitif.

Setup recommandé self-host à 5 nœuds :

1. Un Contabo Cloud VPS 10 Nuremberg (4 vCPU, 8 Go, 5,50 €/mois) - voir notre avis Contabo 2026.
2. WireGuard en hub-and-spoke. Le VPS est le hub, tous les clients pointent dessus.
3. Routes statiques côté serveur : un AllowedIPs par peer client.
4. ACLs via iptables : par défaut chaque client ne voit que le hub ; on ouvre les routes inter-clients à la demande.
5. Observabilité minimale : wg show toutes les 5 min via cron + alerte si peer offline > 15 min.

L'inconvénient assumé du hub-and-spoke : tous les paquets transitent par le VPS. Si Alice à Paris envoie un fichier à Bob à Berlin, le paquet fait Paris → Nuremberg → Berlin. C'est ~25 ms de latence en plus vs Tailscale qui aurait monté un tunnel direct. Pour 90 % des usages collaboratifs (SSH, RDP, fichiers partagés via Syncthing), c'est invisible. Pour de la voix temps réel, ça commence à se sentir.

Cas 3 - Équipe 10-20+ ou compliance

Verdict : Tailscale Premium ou Headscale self-host. Pas WireGuard nu.

À 10+ nœuds, le full-mesh manuel WireGuard devient ingérable et le hub-and-spoke ne scale plus bien (le hub devient le goulot d'étranglement réseau). Deux options sérieuses restent :

Tailscale Premium : tu acceptes 200-400 $/mois et tu te concentres sur ton vrai métier. Audit logs, SAML, ACLs, support - tout est inclus. Pour une boîte SaaS B2B en croissance, c'est probablement le meilleur ROI.

Headscale self-host : tu héberges le control plane open source (github.com/juanfont/headscale) sur ton propre VPS. Les clients officiels Tailscale pointent sur ton coordinator - la magie continue de marcher, mais sans vendor lock-in et sans facture mensuelle. Comptez 2-3 jours pour un setup propre avec PostgreSQL backend, certificat TLS et OIDC pour l'auth. Voir doc Headscale.

Headscale est le sweet spot pour qui veut du Tailscale-like avec souveraineté complète. C'est aussi un cas où l'investissement initial (2-3 jours d'un sysadmin) se paye en moins de 2 mois vs Tailscale Premium 10 users.

Sécurité comparée - où sont les vrais risques

Tailscale :

• Le coordinator ne voit jamais tes clés privées (elles restent locales).
• Mais : le coordinator distribue les clés publiques et établit les sessions. Une compromission du coordinator permettrait à un attaquant d'injecter un faux pair dans ton mesh.
• Tailscale Inc. a publié un threat model détaillé et fait auditer son code régulièrement.
• Surface d'attaque : client local + control plane SaaS + relais DERP.

WireGuard self-host :

• Surface d'attaque : client local + hub VPS (que tu administres).
• Pas de tiers, mais tout repose sur la robustesse de ta config VPS : SSH hardened, firewall, mises à jour automatiques.
• Risque concret : si ton VPS hub est compromis (root), l'attaquant a accès aux configs /etc/wireguard/*.conf et peut décrypter le trafic actif. C'est pour ça qu'on recommande WireGuard + port knocking et un kill-switch côté client.

Headscale :

• Mêmes risques que Tailscale côté client, plus la responsabilité du hosting du coordinator.
• Avantage : tu connais l'opérateur (toi) et tu contrôles les logs.

Aucune des trois options n'est intrinsèquement plus sécurisée. Le facteur déterminant est qui fait les mises à jour. Tailscale les fait pour toi automatiquement ; en self-host, tu dois mettre unattended-upgrades en place.

Coûts réels à 36 mois - projection

On a fait tourner le calcul sur 36 mois pour les trois scénarios (5 nœuds, 5 users), avec des hypothèses conservatrices :

Le résultat est moins évident qu'il n'y paraît. WireGuard nu reste le moins cher en coût total à 5 nœuds, mais Headscale devient plus cher que Tailscale Premium dès qu'on intègre le coût opportunité du temps. Tailscale Premium est la solution la moins risquée mais la plus chère en cash direct.

Si tu values ton temps à plus de 70 €/h, Tailscale Premium devient quasiment aussi compétitif que WireGuard nu. Si ton temps est moins cher (junior, side project, apprentissage), self-host gagne.

Comment migrer de Tailscale vers WireGuard self-host

C'est le chemin qu'on a fait en mars 2026. Le résultat tient en une semaine de travail, étalé sur 3 weekends :

1. Audit existant - lister tous les nœuds Tailscale, leurs IPs Tailnet (100.x.x.x), leurs ACLs actuelles.
2. Provisionner un Contabo Cloud VPS 10 comme hub. Voir tutoriel Contabo VPS step-by-step - compter 20 min de A à Z.
3. Installer WireGuard sur le hub, générer une clé serveur, ouvrir le port UDP 51820 dans le firewall Contabo.
4. Définir un plan d'adressage IP statique - par exemple 10.66.0.0/16 côté WireGuard, avec mapping clair vers les anciennes IPs Tailnet.
5. Générer une config WireGuard par client, distribuer via canal sécurisé (Bitwarden, Signal, jamais email).
6. Bascule : un client à la fois, vérifier la connectivité, ajuster AllowedIPs côté serveur.
7. Arrêter Tailscale progressivement, garder en parallèle 1-2 semaines pour rollback rapide en cas de pépin.

La migration est faisable mais c'est un projet - pas un truc d'une après-midi. Si l'équipe est à 8+ users et qu'on parle de 30+ nœuds, sérieusement, reste sur Tailscale Premium et investis le temps gagné dans ton produit.

Mon verdict (pragmatique)

• Solo, projets perso, 1-10 machines → Tailscale Free. Ne perds pas ton temps.
• Solo nerd, envie d'apprendre, budget 5 €/mois → WireGuard self-host sur Contabo. C'est un investissement en compétences qui se paye 10 fois.
• Petite team 2-5 personnes, pas de compliance forte → WireGuard hub-and-spoke sur Contabo. Souveraineté + 66 €/an vs 1 000 $/an.
• Team 5-15, croissance, compliance B2B → Tailscale Premium. Cash bien placé.
• Org 15+ avec contraintes souveraineté (UE, secteur public, défense) → Headscale self-host. C'est l'option qui aligne souveraineté et scalabilité.

Le pire choix possible : WireGuard nu avec full-mesh manuel à 10+ nœuds. Tu vas y passer tes weekends et ça finira en mesh cassé un mardi soir.

Alternative sans infra : si tu n'as pas de VPS et que tu veux juste protéger tes données en mobilité (café, hôtel, aéroport), Proton VPN no-log audité est une alternative honnête au self-host pour cet usage personnel.

Pour aller plus loin

• Self-host VPN sur Contabo : guide WireGuard complet 2026
• Contabo VPS setup pas-à-pas pour VPN 2026
• WireGuard vs OpenVPN : benchmarks VPS 2026
• WireGuard kill-switch Linux : iptables + systemd
• Avis Contabo 2026 : retour d'expérience honnête
• Calculateur de coût VPN auto-hébergé - compare le plan Tailscale team face à un VPS WireGuard sur 1, 2 et 3 ans avec ton vrai nombre d'utilisateurs
• Comparateur VPS interactif - choisis entre Contabo, Hetzner et OVH pour ton serveur WireGuard selon la latence et le prix sur 24 mois

Sources et références :

• Tailscale Security Bulletin & Threat Model
• Tailscale CLI client - code source
• Headscale - control plane open source compatible Tailscale
• WireGuard whitepaper - Jason A. Donenfeld
• DERP - Designated Encrypted Relay for Packets (Tailscale)

Article publié le 2026-06-05. Comparaison basée sur l'architecture documentée et les tarifs de chaque outil. Tarifs Tailscale relevés sur tailscale.com/pricing en juin 2026 - vérifier avant décision car ils évoluent. Les performances et les économies réelles dépendent de ta taille d'équipe, de tes contraintes compliance et de ta tolérance au sysadmin.

Rappel : WireGuard, Tailscale et l'auto-hébergement VPN sont parfaitement légaux dans l'UE, aux US, au Canada et dans la plupart des pays démocratiques. VPNSmith publie ce contenu à titre éducatif.