La plupart des gens qui cherchent « headscale vs tailscale » savent déjà ce qu'est Tailscale. Ce qui les déroute, c'est ce que Headscale remplace réellement. Ce n'est pas un autre client de VPN maillé, c'est un remplaçant auto-hébergé et open source du serveur de coordination de Tailscale. Vous installez toujours la même application Tailscale officielle sur votre portable et votre téléphone, elle dialogue simplement avec un serveur que vous faites tourner plutôt qu'avec le cloud de Tailscale.
Ce seul détail change tout le calcul. Vous ne choisissez pas une autre expérience côté client, vous choisissez qui détient la carte de votre réseau : l'infrastructure de Tailscale ou la vôtre.
Réponse rapide
Aller à une section
- Qu'est-ce que Headscale ?
- Comment choisir entre les deux
- Présentation de Headscale
- Présentation de Tailscale
- Relais, DERP et peer relays
- Sécurité, SSO et ACL
- Headplane : l'interface web qui manque
- Tableau comparatif des fonctionnalités
- Pourquoi nous faisons tourner Headscale pour nos clients
- Par où je commencerais
Qu'est-ce que Headscale et comment fonctionne-t-il ?
Le produit de Tailscale, ce sont en réalité deux choses : l'application cliente qui construit un réseau maillé WireGuard chiffré entre vos appareils, et un serveur de coordination qui aide ces appareils à se trouver, distribue les clés et applique les règles d'accès. Headscale, écrit en Go et sous licence BSD-3, ne réimplémente que la seconde partie. Le trafic pair à pair réel entre vos appareils ne touche ni Headscale ni les serveurs de Tailscale dans les deux cas, cette partie a toujours été de bout en bout. Ce qui change, c'est qui fait tourner la couche de coordination qui rend le réseau maillé possible dès le départ.
Comment choisir entre Headscale et Tailscale
Trois questions couvrent l'essentiel de la décision :
- Vos métadonnées réseau doivent-elles rester hors des serveurs d'un tiers ? Avec Tailscale, la liste de vos appareils, la topologie du réseau et les règles d'accès vivent sur l'infrastructure de Tailscale, même si votre trafic réel est chiffré et de pair à pair. Si ces seules métadonnées sont rédhibitoires, Headscale est la seule option ici.
- Voulez-vous maintenir un serveur ? Avec Headscale, vous appliquez les correctifs, vous faites les sauvegardes et vous le dépannez quand quelque chose casse. Avec Tailscale, rien de tout cela, c'est un service hébergé auquel vous vous inscrivez.
- Combien d'appareils, et combien de réseaux difficiles ? L'offre gratuite de Tailscale (100 appareils, 3 utilisateurs) couvre à elle seule la plupart des homelabs et des petites équipes, et ses quelque 200 relais DERP mondiaux règlent discrètement des problèmes de NAT que vous devriez sinon déboguer vous-même.
Headscale : votre propre plan de contrôle Tailscale
Headscale est sous licence BSD-3 et a atteint le stade où il est stable pour un usage personnel et pour de petites organisations, avec des milliers de déploiements en production. Il prend en charge l'essentiel de ce que propose Tailscale : MagicDNS, le partage de fichiers Taildrop, le routage de sous-réseaux, les nœuds de sortie, la double pile IPv4/IPv6, les listes de contrôle d'accès et l'authentification unique via OIDC. Il n'y a aucun plafond artificiel d'utilisateurs ni d'appareils, la seule limite est ce que votre serveur peut gérer.
Fonctionnalités clés
- Compatibilité complète avec les applications clientes Tailscale officielles, aucun logiciel sur mesure à installer
- MagicDNS, Taildrop, routage de sous-réseaux et prise en charge des nœuds de sortie
- Listes de contrôle d'accès et clés pré-authentifiées pour l'enrôlement automatique des appareils
- Authentification unique fondée sur OIDC pour authentifier les utilisateurs
- Aucune limite par utilisateur ni par appareil
Avantages
- Zéro coût par utilisateur, jamais, quelle que soit la taille de l'équipe
- Les métadonnées du réseau et la liste des appareils ne quittent jamais votre propre serveur
- Aucun plafond artificiel d'appareils ou d'utilisateurs sur lequel butter plus tard
Inconvénients
- Pas d'interface web officielle, vous êtes en ligne de commande sauf à ajouter Headplane séparément
- Vous êtes responsable des correctifs, des sauvegardes et de la disponibilité du serveur de coordination
- Pas de réseau mondial de relais intégré, le franchissement de NAT dans les réseaux délicats demande davantage de configuration de votre part
Tailscale : VPN maillé géré, sans maintenance
Tailscale est le produit commercial dont Headscale réimplémente le côté serveur. Il repose sur WireGuard, ajoute un contrôle d'accès fondé sur l'identité et s'appuie sur quelque 200 serveurs relais DERP dans le monde, qui gèrent discrètement les situations de NAT et de pare-feu qui exigeraient sinon un dépannage manuel. L'offre gratuite couvre 100 appareils et 3 utilisateurs, assez généreuse pour la plupart des homelabs et des petits projets personnels. Les offres payantes démarrent autour de 6 USD par utilisateur et par mois et montent jusqu'à une offre Premium à 18 USD par mois avec des intégrations SSO plus poussées (Okta, SAML, Google, Microsoft, GitHub, GitLab).
Fonctionnalités clés
- Zéro maintenance de serveur, c'est un service de coordination entièrement géré
- Quelque 200 serveurs relais DERP dans le monde pour un franchissement de NAT fiable
- L'offre gratuite couvre 100 appareils et 3 utilisateurs, sans limite de durée
- Intégrations SSO d'entreprise poussées en standard
- Console web officielle et soignée pour gérer votre tailnet
Avantages
- Vraiment zéro maintenance, on s'inscrit et ça marche
- L'offre gratuite suffit à elle seule à la plupart des petites équipes et des homelabs
- Le réseau mondial de relais règle des problèmes de NAT que vous devriez sinon déboguer vous-même
Inconvénients
- Tarification par utilisateur dès que vous dépassez l'offre gratuite
- La topologie de votre réseau et les métadonnées de vos appareils se trouvent sur l'infrastructure de Tailscale
- Les plafonds de l'offre gratuite (100 appareils, 3 utilisateurs) finissent par imposer une offre payante aux équipes en croissance
Relais et franchissement de NAT : DERP et peer relays
C'est le seul point où les deux diffèrent vraiment sur ce que votre réseau peut faire, et pas seulement sur qui le fait tourner.
Quand deux appareils ne peuvent pas ouvrir de connexion WireGuard directe, parce que tous deux sont derrière un NAT strict ou un pare-feu d'entreprise, quelque chose doit relayer le trafic. Tailscale fait tourner pour cela environ 200 serveurs relais DERP dans le monde, dans toutes les offres, y compris la gratuite. Headscale parle DERP lui aussi. Mais soit vous le pointez vers les relais publics de Tailscale, ce qui vous remet sur leur infrastructure pour précisément les connexions qui vous préoccupaient, soit vous faites tourner les vôtres, et bien faire tourner les vôtres suppose des serveurs dans les régions où se trouvent réellement vos utilisateurs. Pas une seule machine à Francfort parce que tout le reste y vit.
Headscale prend-il en charge les peer relays de Tailscale ?
Les peer relays sont la réponse plus récente de Tailscale au même problème. Au lieu de passer par DERP, vous désignez un appareil déjà présent dans votre tailnet pour relayer pour les autres, ce qui garde le trafic sur du matériel qui vous appartient et lève le plafond de débit qu'impose DERP. Tout appareil sous Tailscale 1.86 ou plus récent peut en être un, activé avec tailscale set --relay-server-port.
Sur Headscale, cela fonctionne, mais pas à l'identique, et l'écart est du genre qui vous coûte un après-midi. La prise en charge est suivie en amont. Le problème connu : sur le service hébergé de Tailscale, un peer relay fonctionne encore quand les deux extrémités ne peuvent pas joindre directement le nœud relais, alors que sur Headscale elles ont aujourd'hui besoin de cette visibilité, ce qui revient en pratique à ajouter une règle ACL qui n'existe que pour rendre le relais joignable. Si les peer relays sont la raison de votre changement, lisez l'état actuel de ce ticket avant de vous engager.
Sécurité de Headscale, SSO et ACL
Le chiffrement est identique des deux côtés. C'est le client qui l'impose, WireGuard de bout en bout, et votre trafic ne passe jamais par le serveur de coordination dans les deux cas. Cela surprend ceux qui supposent qu'auto-héberger le plan de contrôle rend le tunnel plus privé. Ce n'est pas le cas. Le tunnel était déjà privé.
Ce qui change, c'est qui détient la carte. La liste de vos appareils, les clés et la politique se trouvent sur un serveur qui vous appartient, ce qui est toute la raison de le faire, et cela signifie aussi que les correctifs, le certificat TLS et les sauvegardes de la base de données sont désormais les vôtres.
SSO et OIDC
Headscale propose le SSO via OIDC : découverte, PKCE et autorisation par domaine, adresse e-mail ou appartenance à un groupe. Keycloak, Entra ID et Google s'y intègrent sans difficulté.
Une limite vous mordra si vous avez bâti votre modèle d'accès autour de cela. Les groupes OIDC ne peuvent pas être référencés dans les ACL, et les ACL dynamiques ne sont pas prises en charge. L'appartenance à des groupes de votre fournisseur d'identité ne pilote pas les règles d'accès comme dans les offres payantes de Tailscale, vous associez donc les utilisateurs à la politique à la main.
ACL
Le même format de politique HuJSON que celui de Tailscale, les règles se transposent donc en grande partie. Modifier, c'est un fichier et un rechargement. Ou Headplane, si vous préférez travailler dans un navigateur.
Headplane : l'interface web que Headscale ne fournit pas
Faites tourner Headscale plus d'un week-end et le flux de travail en ligne de commande seule commence à lasser, c'est le vide que comble Headplane. C'est une interface web conçue par la communauté et complète en fonctionnalités pour Headscale : gestion des machines (expiration, routage, propriété), configuration détaillée des ACL et des étiquettes, connexion OIDC, paramètres DNS et possibilité de modifier la configuration même de Headscale, le tout depuis un navigateur plutôt que par SSH et un éditeur de texte. Ce n'est pas un projet officiel de Headscale ni de Tailscale, mais il est activement maintenu et c'est ce qui se rapproche le plus de la console d'administration soignée de Tailscale côté auto-hébergé.
Headscale vs Tailscale : comparatif des fonctionnalités
| Fonctionnalité | Headscale | Tailscale |
|---|---|---|
| Licence / modèle | BSD-3, auto-hébergé | Propriétaire, SaaS géré |
| Logiciel client | Client Tailscale officiel | Client Tailscale officiel |
| Tarifs | Gratuit, vous ne payez que votre serveur | Gratuit jusqu'à 100 appareils/3 utilisateurs, puis par utilisateur |
| Interface web | Aucune intégrée, utiliser Headplane | Officielle, intégrée |
| MagicDNS | Oui | Oui |
| Partage de fichiers Taildrop | Oui | Oui |
| Nœuds de sortie et routage de sous-réseaux | Oui | Oui |
| SSO / OIDC | Oui | Oui, plus SAML, Okta et d'autres |
| Réseau mondial de relais (DERP) | Configuré par vous | ~200 relais dans le monde, intégrés |
| Peer relays | Fonctionne, mais les extrémités doivent voir le relais | Disponibilité générale, client 1.86+ |
| Maintenance du serveur | Votre responsabilité | Aucune, entièrement géré |
| Plafonds d'appareils/d'utilisateurs | Aucun | Offre gratuite limitée à 100 appareils/3 utilisateurs |
Pourquoi nous faisons tourner Headscale pour nos clients
La plupart des équipes qui viennent nous voir à propos de Tailscale ne sont pas mécontentes du produit, elles sont gênées de voir la carte de leur réseau sur les serveurs de quelqu'un d'autre, ou elles ont vu la facture par utilisateur grossir à chaque nouvelle arrivée. Headscale supprime les deux problèmes sans changer ce que voient les utilisateurs finaux au quotidien, ils installent toujours la même application Tailscale qu'ils auraient utilisée de toute façon. Nous l'empaquetons sous forme d'AMI prête à lancer, avec le serveur de coordination, les ACL et le TLS déjà configurés, de sorte que la partie qui prend normalement un week-end de lecture de documentation est faite avant la fin du démarrage de l'instance.
Notre guide développeur de Headscale couvre l'installation manuelle complète si vous préférez d'abord le faire tourner vous-même.
Par où je commencerais
Vous voulez zéro maintenance et vous avez moins de 100 appareils : utilisez simplement l'offre gratuite de Tailscale, il n'y a aucune raison d'ajouter un entretien de serveur dont vous n'avez pas encore besoin. Vous êtes gêné de voir vos métadonnées réseau sur l'infrastructure d'un tiers, ou vous dépassez le point où la tarification par utilisateur s'additionne : Headscale, associé à Headplane si vous voulez une interface web plutôt que la ligne de commande.
Dans les deux cas, vous n'êtes pas enfermé. Comme les deux parlent le même protocole au même logiciel client, passer plus tard de Tailscale à une installation Headscale auto-hébergée est un changement de configuration, pas un projet de migration.
Questions fréquentes
Headscale vs Tailscale : quelle est la vraie différence ?
Headscale est un remplaçant open source et auto-hébergé du serveur de coordination de Tailscale. Vous continuez à faire tourner le client Tailscale officiel sur chaque appareil, il dialogue simplement avec votre propre serveur Headscale au lieu du cloud de Tailscale. Le réseau maillé en lui-même est identique.
Qu'est-ce que Headscale ?
Une implémentation auto-hébergée, sous licence BSD-3 et écrite en Go, du serveur de contrôle de Tailscale. Il distribue les clés, suit les appareils présents dans votre réseau et applique les règles d'accès. Ce n'est pas un client VPN, et il ne remplace pas l'application Tailscale sur vos appareils.
Headscale prend-il en charge les peer relays de Tailscale ?
Oui, mais pas à l'identique. La prise en charge est suivie en amont, et il existe une lacune connue : le service hébergé de Tailscale relaie même lorsque les extrémités ne peuvent pas joindre directement le nœud relais, alors que Headscale a aujourd'hui besoin de cette visibilité, généralement via une règle ACL supplémentaire.
Où trouver la documentation officielle de Headscale, le serveur de contrôle Tailscale auto-hébergé ?
Sur headscale.net, qui couvre la configuration, OIDC, la politique d'ACL et l'enregistrement des appareils, avec le code source sur github.com/juanfont/headscale. Tailscale ne documente pas Headscale, car c'est un projet communautaire et non un projet officiel.
Headscale prend-il en charge le SSO ?
Oui, via OIDC, avec découverte, PKCE et autorisation par domaine, adresse e-mail ou appartenance à un groupe, de sorte que Keycloak, Entra ID et Google fonctionnent. Un bémol : les groupes OIDC ne peuvent pas être utilisés dans les ACL, et les ACL dynamiques ne sont pas prises en charge.
Headscale est-il aussi sûr que Tailscale ?
Le chiffrement est identique, car c'est le client Tailscale officiel qui l'impose, WireGuard de bout en bout, avec un trafic qui ne passe jamais par le serveur de coordination dans les deux cas. Ce qui change, c'est que les correctifs, le TLS et les sauvegardes du plan de contrôle deviennent votre responsabilité.
Comment configurer un Tailscale auto-hébergé avec Headscale ?
Faites tourner le serveur Headscale (Docker ou un binaire natif), pointez vos clients Tailscale vers lui avec --login-server, puis enregistrez chaque appareil avec une clé de pré-authentification. Ajoutez ensuite Headplane si vous voulez une interface web plutôt que la ligne de commande pour la gestion quotidienne.
Qu'est-ce que l'interface Headplane et en ai-je besoin ?
Headplane est une interface web tierce pour Headscale qui remplace la ligne de commande pour gérer les nœuds, les ACL et le DNS. Vous n'en avez pas besoin, Headscale fonctionne entièrement en ligne de commande, mais la plupart de ceux qui le font tourner au-delà d'une poignée d'appareils ajoutent Headplane pour la visibilité.
Lancez Headscale sur AWS sans installation manuelle
Lancez un serveur Headscale préconfiguré sur AWS, une alternative auto-hébergée à Tailscale avec le TLS et les ACL déjà en place.
Obtenir Headscale sur AWS Marketplace
