Ces deux produits apparaissent dans les mêmes recherches, sont comparés dans les mêmes fils de discussion et souvent décrits avec les mêmes mots : « remplaçant moderne du VPN », « zéro configuration », « aucun port ouvert ». Tout cela est vrai pour les deux, et rien de cela ne vous aide à choisir.
La question utile n'est pas de savoir lequel est le meilleur. C'est à quoi chacun vous donne accès.
Combien cela va-t-il vous coûter ? Tailscale est gratuit jusqu'à 6 utilisateurs mais uniquement pour un usage non commercial, Twingate et NetBird s'arrêtent à 5 utilisateurs, ZeroTier à 10 appareils. Notre calculateur de prix Tailscale gratuit prend votre nombre d'utilisateurs et d'appareils et affiche l'offre la moins chère qui convient pour chaque service sur 12 à 36 mois, à côté d'un serveur Headscale ou NetBird auto-hébergé (prix vérifiés le 18 octobre 2026).
Envie d'auto-héberger ? Seul le côté Tailscale peut sortir du SaaS : Headscale, son serveur de contrôle open source, tourne sur n'importe quel petit VPS avec une IPv4 publique, par exemple un Contabo Cloud VPS 4 (lien affilié) dès 5,50 € par mois sur 24 mois (vérifié le 17 octobre 2026). Twingate n'a pas de contrôleur auto-hébergeable.
La réponse courte
Tailscale connecte des appareils entre eux. Une machine rejoint votre tailnet, reçoit une adresse privée stable et peut joindre les autres machines qui s'y trouvent, dans la limite des règles que vous écrivez. Vous êtes, au sens fort, sur un réseau.
Twingate connecte des utilisateurs à des ressources. Un administrateur déclare ce qui existe (un hôte, un sous-réseau, un nom d'hôte interne) et accorde à des personnes nommées l'accès à ces éléments précis. Vous ne rejoignez jamais de réseau : on vous remet une porte pour chaque pièce où vous avez le droit d'entrer.
Pour un home lab, prenez Tailscale. Pour une organisation qui doit accorder à des personnes l'accès à certains systèmes internes et être capable de prouver la frontière, le modèle de Twingate est celui qui répond à la question qu'on vous posera réellement.
Twingate vs Tailscale en un coup d'œil
Les prix et limites ci-dessous ont été relevés sur les pages tarifaires officielles le 18 octobre 2026 ; les prix par utilisateur de Twingate sont ceux affichés pour la facturation annuelle, la facturation mensuelle coûte plus cher.
| Critère | Tailscale | Twingate |
|---|---|---|
| Unité d'accès | L'appareil : une machine rejoint le tailnet et obtient une adresse stable | La ressource : un hôte, un sous-réseau ou un nom DNS que des utilisateurs nommés peuvent ouvrir |
| Protocole du plan de données | WireGuard, en pair à pair avec des relais DERP en secours | Tunnel TLS à certificat épinglé du client au connecteur, relais en secours |
| Ce que vous installez | Un client sur chaque machine (ou un routeur de sous-réseau) | Un client sur les machines des utilisateurs plus un connecteur dans chaque réseau privé |
| Offre gratuite | Personal : jusqu'à 6 utilisateurs, usage non commercial uniquement | Starter : jusqu'à 5 utilisateurs |
| Première offre payante | Standard, 8 $ par utilisateur et par mois | Teams, 5 $ par utilisateur et par mois (facturation annuelle), jusqu'à 100 utilisateurs |
| Offre suivante | Premium, 18 $ par utilisateur et par mois | Business, 10 $ par utilisateur et par mois, jusqu'à 500 utilisateurs |
| Faire passer tout le trafic par un nœud | Oui, exit nodes | Non, seul le trafic vers les ressources déclarées passe par le tunnel |
| Auto-héberger le plan de contrôle | Oui, avec Headscale (open source, BSD-3) sur votre propre serveur | Non, le contrôleur n'existe qu'en SaaS chez Twingate |
| Clients open source | Oui (Linux, Android et la bibliothèque principale) | Non, les clients sont fermés ; Twingate publie des images de connecteur, un provider Terraform et un opérateur |
| Idéal pour | Home labs, petites équipes techniques, toute personne qui veut une option d'auto-hébergement | Donner à des prestataires ou à des salariés l'accès à des applications internes précises, frontières faciles à auditer |
Pourquoi « VPN moderne » décrit les deux sans expliquer aucun
Les deux produits ont corrigé les mêmes problèmes visibles du VPN d'entreprise traditionnel : aucun port entrant à ouvrir, aucun concentrateur à dimensionner, aucun client qui se bloque à la reconnexion. Dans les deux cas, un élément situé dans votre réseau appelle le service en sortie, et le trafic revient par ce chemin.
Comme la douleur visible est la même, le marketing converge. Mais en profondeur, ils ont fait des paris opposés sur ce que doit être l'unité d'accès.
L'unité d'accès, et tout ce qui en découle
L'unité de Tailscale est l'appareil. Installez le client, authentifiez-vous, et la machine devient joignable par vos autres machines. Les règles d'accès restreignent cela, mais la posture par défaut est la connectivité : vous ajoutez un appareil à quelque chose.
L'unité de Twingate est la ressource. Un administrateur définit ce qui mérite d'être joint et indique quels utilisateurs peuvent y accéder. Il n'y a pas de réseau à plat sur lequel se trouver, donc rien à restreindre : un utilisateur qui a accès à une application interne n'a aucune route vers l'hôte voisin, parce qu'aucune route de ce genre n'a jamais été créée.
Trois conséquences pratiques en découlent, et c'est là que le choix se joue vraiment.
Qui fait le travail. Le modèle de Tailscale demande presque zéro administration pour un petit nombre de machines qui vous appartiennent, et c'est précisément pour cela que les home labs l'adorent. Twingate exige que quelqu'un recense les ressources et écrive les politiques avant que quiconque puisse joindre quoi que ce soit. En équipe, c'est de la gouvernance. Seul chez soi, ce sont des devoirs.
Ce que vous pouvez prouver. « Quels systèmes ce prestataire pouvait-il joindre le mois dernier ? » est une question qui a une réponse nette avec Twingate, parce que l'accès a été accordé ressource par ressource et que rien d'autre n'existait pour lui. Avec un maillage, la réponse honnête est « tout ce que les règles autorisaient », ce qui n'est jamais plus clair que les règles que vous avez écrites.
Ce qui casse quand vous grandissez. Un maillage devient plus difficile à appréhender à mesure que les appareils se multiplient, et les règles d'accès deviennent ce que vous maintenez. Un modèle par ressource devient fastidieux dans l'autre sens : chaque nouveau service interne doit être déclaré avant que quiconque puisse l'utiliser. Les deux passent à l'échelle ; ils vous coûtent de l'attention à des endroits différents.
Quand chacun est la réponse évidente
Tailscale, clairement, si vous voulez que votre portable, votre téléphone et votre serveur domestique se joignent de n'importe où ; vous faites tourner un home lab ; vous êtes une petite équipe technique dont les machines doivent communiquer entre elles plutôt qu'avec un ensemble fixe d'applications ; ou vous voulez pouvoir auto-héberger le plan de contrôle plus tard, et c'est là qu'interviennent Headscale ou un produit à serveur ouvert comme NetBird.
Twingate, clairement, si vous accordez des accès à des personnes plutôt que de relier des machines ; vous avez besoin de frontières par ressource que vous pouvez montrer à un auditeur ; vous intégrez des prestataires ou du personnel de support qui doivent joindre une application et rien d'autre ; ou votre politique de sécurité est formulée en termes de moindre privilège plutôt que d'appartenance à un réseau.
Aucun des deux, si ce que vous voulez en réalité, c'est naviguer depuis un autre pays ou cacher votre adresse aux sites web. Ces deux outils vous connectent à des choses que vous possédez ou administrez. Les VPN commerciaux résolvent un autre problème, et la comparaison entre les deux familles est traitée dans VPN auto-hébergé vs VPN payant.
Ce qu'ils coûtent pour 10 et 25 utilisateurs
Les offres gratuites tranchent la plupart des petits cas : un home lab d'une personne ne paie rien d'un côté comme de l'autre, et une équipe de cinq personnes ne paie rien chez Twingate, ni chez Tailscale tant que l'usage reste non commercial. Au-delà, les prix par utilisateur divergent, et l'option auto-hébergée change complètement la donne.
| Équipe (usage commercial, 36 mois) | Tailscale Standard | Twingate Teams | Headscale sur un VPS |
|---|---|---|---|
| 10 utilisateurs | 8 $ x 10 = 80 $ par mois, environ 2 560 EUR sur 36 mois | 5 $ x 10 = 50 $ par mois, environ 1 600 EUR sur 36 mois | Contabo Cloud VPS 4, 5,50 EUR par mois, 198 EUR sur 36 mois |
| 25 utilisateurs | 8 $ x 25 = 200 $ par mois, environ 6 400 EUR sur 36 mois | 5 $ x 25 = 125 $ par mois, environ 4 000 EUR sur 36 mois | Contabo Cloud VPS 4, 5,50 EUR par mois, 198 EUR sur 36 mois |
Les montants en EUR utilisent le taux de référence de la BCE du 16 octobre 2026 (1 EUR = 1,1253 USD) et s'entendent hors taxes. La colonne auto-hébergée ne chiffre que le serveur : les heures que vous passez à faire tourner Headscale sont bien réelles, elles ne figurent simplement sur aucune facture. Pour faire le calcul avec votre propre nombre d'utilisateurs et d'appareils, utilisez le calculateur de prix Tailscale, qui inclut aussi NetBird et ZeroTier.
Peut-on auto-héberger l'un ou l'autre ?
C'est la question que les tableaux de fonctionnalités passent sous silence, et c'est elle qui sépare le plus nettement les deux produits.
Tailscale, oui. Les clients sont open source et parlent un protocole de coordination documenté, et Headscale réimplémente le plan de contrôle sous la forme d'un unique binaire Go que vous exécutez sur votre propre serveur. Vos appareils gardent les applications Tailscale officielles ; seul change le serveur qui distribue les clés et les règles d'accès, et il tourne sur une machine qui vous appartient, dans un data center que vous avez choisi. Il est généralement hébergé sur un petit VPS avec une IPv4 publique : Headscale est assez léger pour la plus petite offre, et le même serveur peut servir d'exit node pour les appareils qui ont besoin d'une adresse publique fixe.
Notre générateur de configuration Headscale gratuit écrit le config.yaml de ce serveur, le fichier Docker Compose et le bloc de reverse proxy (Caddy, nginx ou Let's Encrypt intégré), avec l'approbation automatique des exit nodes si vous le souhaitez.
Twingate, non. Le contrôleur qui stocke vos ressources, vos utilisateurs et vos politiques est le service hébergé de Twingate, et il n'en existe aucune implémentation ouverte. Vous déployez des connecteurs dans vos réseaux, mais le cerveau reste chez Twingate. Pour la plupart de ses clients, c'est justement l'intérêt : quelqu'un d'autre s'en occupe. Si la résidence des données, l'indépendance vis-à-vis du fournisseur ou une facture de licences qui grossit à chaque recrutement vous préoccupe, c'est aussi la raison de regarder du côté de Headscale.
★ Datacenter Nuremberg GDPR · ✓ IPv4 dédiée incluse · port 200 Mbit/s
Hébergez Headscale sur votre propre VPS → Contabo Cloud VPS 4Dès 5,50 €/mois (engagement 24 mois) · 4 vCPU, 8 Go de RAM, IPv4 publique · Francfort ou Nuremberg pour une résidence des données dans l'UE→En résumé
Si vous vous retrouvez à lutter contre l'un de ces produits, c'est généralement parce que vous avez choisi le modèle plutôt que l'outil. Twingate paraît bureaucratique quand vous vouliez simplement joindre votre NAS. Tailscale paraît trop permissif quand vous deviez démontrer qu'un prestataire ne pouvait pas toucher au serveur de la comptabilité.
Demandez-vous quelle phrase décrit votre situation : « mes machines doivent se joindre entre elles », ou « ces personnes ont besoin d'accéder à ces systèmes ». La première, c'est Tailscale. La seconde, c'est Twingate. Presque tout le reste d'un comparatif de fonctionnalités découle de cela.
★ Datacenter Nuremberg GDPR · ✓ IPv4 dédiée incluse · port 200 Mbit/s
Héberge ton VPN sur ton propre VPS → ContaboAccès root complet · IPv4 publique · choisis ta région→
