Tailscale est-il gratuit ? Limites du forfait Personal

Tailscale est-il gratuit ? Oui, avec le forfait Personal

Tailscale est gratuit avec le forfait Personal. L’offre gratuite n’a pas de date d’expiration et inclut la plupart des fonctionnalités du produit. Elle limite le nombre de personnes qui peuvent rejoindre votre réseau, pas le nombre de machines que vous connectez. Vérifiée le 10 octobre 2026, la page des tarifs de Tailscale indique que le forfait Personal comprend six utilisateurs, un nombre illimité d’appareils par utilisateur, 50 ressources marquées et l’accès à presque toutes les fonctionnalités.

Commençons par deux termes. Un tailnet est votre réseau privé : un compte, une liste d’utilisateurs et un fichier de règles. Un seat désigne une personne au sein de ce tailnet. Tailscale facture par seat ; le compteur porte donc sur les personnes. Ce point détermine à lui seul si votre configuration est gratuite.

Chaque chiffre ci-dessous est un nombre publié, accompagné de sa date de vérification. Les prix et les quotas évoluent. Vérifiez-les donc sur la page des tarifs avant d’établir un budget. La structure évolue beaucoup plus lentement, et c’est elle qui est utile : les personnes et l’infrastructure marquée sont comptabilisées, tandis que les forfaits payants vendent des fonctionnalités supplémentaires plutôt qu’un quota supérieur d’appareils. WireGuard, le protocole de tunnel sous-jacent, est identique dans tous les forfaits, et ce que Tailscale ajoute à WireGuard seul explique cette distinction.

Ce qui compte comme utilisateur et ce qui compte comme appareil

Chaque machine d’un tailnet appartient à quelque chose. Connectez-vous avec votre propre identité et la machine vous appartient. Tailscale parle alors d’un appareil utilisateur, et la FAQ tarifaire est claire : « Les appareils utilisateur sont gratuits et illimités. » Votre ordinateur portable, votre téléphone, votre ordinateur de bureau et votre tablette ne représentent qu’un seul siège, et non quatre.

Enregistrez plutôt une machine avec un tag : elle appartient alors à ce tag. Tailscale parle de ressource taguée, et ce sont les ressources taguées qui sont comptabilisées par le forfait. Les serveurs et les routeurs doivent être tagués, car une machine partagée ne doit pas appartenir à la personne qui a exécuté la commande de connexion dessus. Au 10 octobre 2026, le forfait Personal inclut 50 ressources taguées. La page tarifaire indique que les ressources supplémentaires coûtent 1 dollar US par mois chacune, avec achat en libre-service. Un VPS qui fournit un service à tout le monde entre dans cette catégorie, qu’il s’agisse de un subnet router qui annonce une plage privée ou de un exit node qui achemine le trafic sortant.

Taguez un serveur au moment où il rejoint le tailnet. Il ne sera ainsi jamais présent dans le tailnet comme une machine qui vous appartient :

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up --advertise-tags=tag:server

tailscale status

tailscale status affiche le nœud avec le propriétaire sous lequel il a été enregistré. Le tag doit déjà exister dans le fichier de règles de votre tailnet, sous tagOwners, car un tag accorde un droit de propriété. Un nœud ne peut pas revendiquer un tag qui n’a été accordé par personne. Si le tag ne figure pas dans les règles, le nœud ne peut pas l’utiliser.

C’est pourquoi le forfait gratuit surprend dans les deux sens. Un homelab de trente machines, toutes connectées avec votre compte, ne représente qu’un siège et reste gratuit. Une équipe de quatre personnes, dont chaque membre se connecte, utilise quatre sièges sur six et reste gratuite. Avec douze personnes, le forfait n’est plus gratuit, quel que soit le nombre d’appareils, car la limite compte les personnes.

Les ressources éphémères constituent la troisième catégorie. Un nœud qui s’enregistre avec une clé d’authentification éphémère, comme un runner d’intégration continue ou un pod Kubernetes, se supprime lorsqu’il s’arrête. Il utilise alors un quota mensuel de minutes au lieu d’occuper un emplacement de ressource. Au 10 octobre 2026, les forfaits Personal et Standard incluent 1,000 de ces minutes par mois, et Premium en inclut 10,000. Un nœud qui reste actif plus de quatre heures cesse d’être compté comme ressource éphémère et devient une ressource taguée ordinaire.

Un dernier détail concernant la facturation : un utilisateur invité n’occupe pas de siège tant qu’il n’a pas utilisé le tailnet. La FAQ tarifaire précise qu’un utilisateur « n’occupe pas de siège tant qu’il ne s’est pas connecté pour la première fois à la console d’administration ou qu’il n’a pas authentifié un appareil pour la première fois ». Vous pouvez envoyer les invitations à l’avance sans payer pour les personnes qui ne se connecteront jamais.

Combien coûtent les offres payantes

[
  {
    "plan": "Personal",
    "usd_per_user_month": 0
  },
  {
    "plan": "Standard",
    "usd_per_user_month": 8
  },
  {
    "plan": "Premium",
    "usd_per_user_month": 18
  }
]

L’offre Personal est gratuite. Standard coûte 8 dollars US par utilisateur et par mois, et Premium coûte 18, selon les tarifs publiés le 10 octobre 2026. Le prix de l’offre Enterprise est communiqué par l’équipe commerciale selon le nombre d’utilisateurs et les limites souhaitées. Standard et Premium suppriment la limite d’utilisateurs. Pour la plupart des équipes, c’est donc l’arrivée de la septième personne qui déclenche le paiement, et non celle du quarantième serveur. Pour convertir ces tarifs affichés en facture mensuelle réelle, il faut additionner les utilisateurs et les ressources marquées. Un exemple détaillé pour un foyer et une équipe de cinq personnes présente les deux cas.

Fonctionnalités réservées aux offres payantes

Il s’agit de restrictions par fonctionnalité. Ajouter des machines ne vous fait pas passer à une offre supérieure. En revanche, rédiger une policy d’accès plus complexe peut le faire.

Les listes de contrôle d’accès (ACL), c’est-à-dire les règles qui déterminent quel utilisateur peut accéder à quelle machine, l’illustrent clairement. Le fichier de policy lui-même est disponible avec toutes les offres. Le nombre de groupes que vous pouvez y définir ne l’est pas.

[
  {
    "plan": "Personal",
    "acl_groups": 3
  },
  {
    "plan": "Standard",
    "acl_groups": 10
  },
  {
    "plan": "Premium",
    "acl_groups": 300
  }
]

Personal autorise 3 groupes, Standard 10 et Premium 300. Un groupe est un ensemble nommé d’utilisateurs. Il s’agit donc en réalité d’une limite à la précision avec laquelle vous pouvez répartir les utilisateurs. Trois groupes suffisent pour « moi », « famille » et « invités ». Cela ne suffit pas pour une entreprise organisée en services.

Les autres restrictions, vérifiées le 10 octobre 2026 sur la page des tarifs et dans la documentation des fonctionnalités de Tailscale :

• L’utilisation de votre propre fournisseur d’identité (IdP), c’est-à-dire le single sign-on (SSO) avec n’importe quel fournisseur OIDC que vous exploitez déjà, est disponible avec toutes les offres, y compris Personal. Tailscale a supprimé sa restriction aux offres payantes en avril 2024 et indique que « le SSO est de nouveau disponible gratuitement pour tout le monde ». La configuration OIDC personnalisée nécessite de prouver que vous possédez le domaine et d’utiliser un fournisseur qui respecte ses exigences techniques, mais elle ne nécessite pas d’offre particulière. Sur le plan de l’identité, Standard ajoute SCIM, qui provisionne automatiquement les utilisateurs et les groupes depuis ce fournisseur.
• L’approbation des appareils et les vérifications de posture de base (système d’exploitation et version de Tailscale) sont disponibles avec toutes les offres. Les intégrations de posture avec les outils de gestion des appareils mobiles (MDM) et de sécurité des endpoints commencent avec Standard.
• Les rôles utilisateur avancés, comme administrateur de facturation, administrateur IT et auditeur, commencent avec Standard.
• Les journaux de flux réseau commencent avec Premium, tout comme Tailscale SSH avancé. Tailscale SSH de base est disponible avec toutes les offres, et le comparatif des tarifs l’indique pour un maximum de 5 hôtes.

L’enregistrement des sessions SSH mérite une lecture attentive. Il montre que ces restrictions s’appliquent fonctionnalité par fonctionnalité, et non selon un ordre fixe entre les offres, et qu’elles peuvent évoluer. La documentation de Tailscale sur l’enregistrement des sessions indique que la fonctionnalité basée sur un recorder est disponible avec les offres Personal et Enterprise. Toutefois, au 10 octobre 2026, elle la marque comme obsolète : Tailscale ne la propose plus via tsrecorder, la prise en charge des utilisateurs existants prendra fin en août 2027, et la documentation renvoie vers Tailscale PAM. La page des tarifs regroupe l’enregistrement des sessions SSH, Kubernetes et des bases de données dans cette extension Privileged Access Management vendue séparément. Consultez la page actuelle avant d’en faire une exigence de conformité.

Pourquoi un tailnet gratuit affiche « Reached use limit »

La console d’administration affiche « Reached use limit » lorsque le tailnet ne peut pas accueillir un utilisateur supplémentaire. La référence du message de Tailscale, consultée le 10 octobre 2026, indique trois causes : l’ajout d’un nombre d’utilisateurs supérieur à la limite du forfait, un compte qui n’a pas été correctement mis à jour après un changement de forfait, et une règle d’organisation qui limite l’accès au tailnet. Avec Personal, la cause habituelle est l’ajout de la septième personne, car le forfait compte les personnes. Standard et les forfaits supérieurs n’ont pas de limite d’utilisateurs. Avec un forfait payant, ce message indique donc un problème de configuration du compte. La correction documentée par Tailscale consiste à contacter son support. Si vous vous connectez avec un domaine d’entreprise, demandez à votre administrateur informatique si une règle restreint les connexions à Tailscale. Aucune de ces causes ne concerne le nombre d’ordinateurs portables et de téléphones connectés. Compter les appareils lorsque ce message s’affiche fait donc perdre du temps. Ouvrez d’abord la console d’administration et comptez les comptes utilisateur.

Faut-il un forfait payant pour utiliser un relais DERP personnalisé ?

DERP (Designated Encrypted Relay for Packets) est le réseau de relais de Tailscale. Lorsque deux nœuds ne peuvent pas établir de connexion directe à travers le NAT (network address translation), leur trafic chiffré passe par défaut par un serveur DERP. L’utilisation de votre propre relais DERP se configure dans le fichier de règles du tailnet. Au 10 octobre 2026, la documentation de Tailscale sur les serveurs DERP personnalisés ne mentionne aucune restriction liée au forfait. La même page indique toujours que les serveurs DERP personnalisés sont en version alpha.

Il faut préciser ce que change un relais personnalisé, car le relais est souvent confondu avec l’auto-hébergement. Un serveur DERP personnalisé déplace le chemin de données de secours vers une machine que vous contrôlez. Le chemin de contrôle ne change pas. Le serveur de coordination de Tailscale conserve toujours les clés de vos nœuds, votre fichier de règles et la liste de vos utilisateurs. Il ne détient jamais les clés privées qui déchiffrent votre trafic. La question de ce qu’un attaquant obtient réellement en prenant le contrôle de ce serveur de coordination est donc plus limitée qu’elle n’en a l’air. Si vous voulez héberger cette partie sur votre propre matériel, un relais n’est pas le bon outil. Vous avez besoin d’un autre control plane.

Quand un control plane Headscale auto-hébergé est-il pertinent ?

Headscale, le serveur de contrôle Tailscale open source remplace le serveur de coordination par un serveur que vous exécutez sur un VPS (virtual private server). Les clients Tailscale ne changent pas. Ils se connectent à votre serveur au lieu de celui de Tailscale : vous n’avez donc aucun siège à acheter et aucune limite d’utilisateurs.

Commencez par le coût, car l’écart est moins important qu’on ne le pense. Un siège Standard coûte 8 dollars américains par mois. Un petit VPS capable d’exécuter un control plane coûte à peu près le prix d’un ou deux sièges. Le calcul ne devient donc favorable qu’à partir de plusieurs utilisateurs. Il ne le devient jamais pour un homelab individuel, qui était déjà gratuit. L’auto-hébergement ne permet pas de faire des économies sur un réseau de cinq appareils.

Le véritable compromis oppose le contrôle à la charge d’exploitation. Headscale stocke votre liste d’utilisateurs et votre fichier de règles sur une machine que vous possédez, dans le pays de votre choix, sans compte fournisseur dans le chemin. D’après la documentation du projet consultée le 10 octobre 2026, il prend en charge les ACL et les grants, les tags, les subnet routers, les exit nodes, MagicDNS, Taildrop, Tailscale SSH, l’enregistrement des nœuds via OpenID Connect (OIDC) et un serveur DERP intégré. Funnel et Serve sont indiqués comme non pris en charge pour le moment. Publier un service avec Serve ou Funnel nécessite donc encore le control plane de Tailscale. Les journaux de flux réseau sont également absents, les groupes OIDC ne peuvent pas être utilisés dans les règles ACL et le projet est conçu pour un seul tailnet.

Voici les tâches dont vous prenez la responsabilité :

• Vous garantissez la disponibilité du control plane. Les tunnels existants continuent de transmettre du trafic pendant un certain temps, car les pairs détiennent déjà leurs clés respectives. Tout ce qui nécessite une coordination s’arrête : les nouveaux nœuds ne peuvent pas s’enregistrer, les clés arrivant à expiration ne peuvent pas être renouvelées et les changements de règles n’atteignent jamais les nœuds.
• Vous gérez les mises à niveau. Headscale implémente un protocole que les clients Tailscale continuent de faire évoluer. Votre calendrier de mise à niveau dépend donc des releases des clients, et non de votre propre calendrier.
• Vous gérez la base de données et ses sauvegardes. Si vous perdez ces données, chaque nœud doit être enregistré de nouveau.
• Vous gérez TLS (transport layer security) sur le endpoint public du serveur, car les clients atteignent le serveur de contrôle via HTTPS.

C’est le coût réel. Choisissez cette solution si votre priorité est le contrôle ou si le nombre d’utilisateurs rend la tarification par siège peu adaptée. Ne la choisissez pas pour économiser huit dollars.

Un serveur NetBird auto-hébergé est l’autre solution que vous pouvez auto-héberger. Il fournit son propre control plane, sa propre gestion des identités et sa propre interface web. Il est conçu comme un produit, plutôt que comme une réimplémentation du serveur de contrôle d’un autre projet. Dans les deux cas, vous devez exploiter un service dont votre réseau dépend. Décidez d’abord si vous voulez en exploiter un, puis choisissez lequel.

FAQ

Le forfait gratuit de Tailscale est-il une version d’essai ?

Non. Personal est une offre gratuite sans date d’expiration. Au 10 octobre 2026, elle prend en charge six utilisateurs, un nombre illimité d’appareils utilisateur et 50 ressources marquées. Elle inclut presque toutes les fonctionnalités, notamment le single sign-on avec votre propre fournisseur d’identité OIDC. En revanche, elle n’inclut pas les fonctionnalités des offres payantes, comme davantage de groupes ACL, le provisionnement SCIM, les rôles utilisateur avancés et les journaux de flux réseau. Vérifiez les chiffres du jour sur la page tarifaire de Tailscale, car les quotas peuvent être révisés.

Combien d’appareils puis-je ajouter avec le forfait gratuit de Tailscale ?

Vos propres appareils sont en nombre illimité. La FAQ tarifaire de Tailscale indique que les appareils utilisateur, c’est-à-dire les nœuds qui ne sont pas marqués, sont gratuits et illimités. Les ressources marquées sont comptabilisées. Il s’agit des serveurs et des routeurs que vous enregistrez avec un tag. Au 10 octobre 2026, Personal en incluait 50. Les anciens guides qui mentionnent une limite de 20 ou 100 appareils décrivent un ancien modèle tarifaire qui ne s’applique plus.

Pourquoi mon tailnet indique-t-il « Reached use limit » ?

Avec Personal, la cause habituelle est la présence d’une septième personne, car le forfait compte les personnes et non les machines. Tailscale cite également un compte qui n’a pas été correctement mis à jour après un changement de forfait, ainsi qu’une règle d’organisation qui limite l’accès. Avec une offre payante, qui n’impose aucune limite d’utilisateurs, contactez le support Tailscale. Commencez par compter les comptes humains dans la console d’administration. Les ordinateurs portables et les téléphones non marqués ne sont pas en cause.

Headscale coûte-t-il moins cher qu’un abonnement Tailscale payant ?

Seulement au-delà de quelques utilisateurs payants. Un VPS capable d’exécuter Headscale coûte à peu près le prix d’un ou deux sièges Standard par mois. Un petit tailnet ne permet donc aucune économie, et un tailnet individuel était gratuit dès le départ. Headscale devient intéressant si vous voulez héberger le control plane sur du matériel que vous possédez, ou si votre nombre d’utilisateurs rend la tarification par siège peu adaptée. Le coût est opérationnel : mises à niveau suivant les releases du client Tailscale, sauvegardes de la base de données, certificat TLS à renouveler et dépendance à la seule personne capable de résoudre une panne.