Tailscale est-il gratuit ? Tarifs et limites des forfaits

Tailscale est-il gratuit ? Oui, avec le forfait Personal

Tailscale est gratuit avec le forfait Personal. L’offre gratuite n’a pas de date d’expiration et inclut la plupart des fonctionnalités du produit. Elle limite le nombre de personnes pouvant rejoindre votre réseau, pas le nombre de machines que vous connectez. Vérifiée le 17 août 2026, la page des tarifs de Tailscale indique que Personal inclut six utilisateurs, un nombre illimité d’appareils par utilisateur, 50 ressources taguées et l’accès à presque toutes les fonctionnalités.

Commençons par deux termes. Un tailnet est votre réseau privé : un compte, une liste d’utilisateurs et un fichier de règles. Un seat correspond à une personne dans ce tailnet. Tailscale facture par seat : le décompte porte donc sur les personnes. Ce point détermine à lui seul si votre configuration est gratuite.

Chaque chiffre ci-dessous est un nombre publié, accompagné de sa date de vérification. Les prix et les quotas évoluent ; vérifiez-les donc sur la page des tarifs avant d’établir un budget. La structure évolue beaucoup plus lentement, et c’est elle qui est utile : les personnes et l’infrastructure taguée sont comptées, tandis que les forfaits payants vendent des fonctionnalités supplémentaires plutôt qu’un quota plus élevé d’appareils. WireGuard, le protocole de tunnel sous-jacent, est identique dans tous les forfaits, et ce que Tailscale ajoute à WireGuard seul explique cette distinction.

Ce qui compte comme utilisateur et comme appareil

Chaque machine d’un tailnet appartient à quelque chose. Connectez-vous avec votre propre identité : la machine vous appartient. Tailscale parle alors d’un appareil utilisateur, et la FAQ tarifaire est explicite : « Les appareils utilisateur sont gratuits et illimités. » Votre ordinateur portable, votre téléphone, votre ordinateur de bureau et votre tablette représentent ensemble un seul siège, pas quatre.

Enregistrez plutôt une machine avec un tag : elle appartient alors à ce tag. Tailscale parle de ressource avec tag, et ce sont ces ressources que le forfait comptabilise. Les serveurs et les routeurs doivent généralement utiliser des tags, car une machine partagée ne doit pas appartenir à la personne qui a exécuté la commande de connexion. Au 17 août 2026, le forfait Personal inclut 50 ressources avec tag. La page tarifaire indique que les ressources supplémentaires coûtent 1 dollar US par mois chacune, avec achat en libre-service. Un VPS qui fournit un service à tout le monde entre dans cette catégorie, qu’il s’agisse d’un subnet router qui annonce une plage privée ou d’un exit node qui achemine le trafic sortant.

Ajoutez le tag au serveur au moment où il rejoint le tailnet, car modifier son propriétaire ultérieurement nécessite de réauthentifier le nœud :

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up --advertise-tags=tag:server

tailscale status

tailscale status affiche le nœud avec le propriétaire sous lequel il a été enregistré. Le tag doit déjà exister dans le fichier de règles de votre tailnet, sous tagOwners, car un tag est une autorisation de propriété. Un nœud ne peut pas en revendiquer un qui n’a été autorisé par personne. Si le tag n’est pas présent dans les règles, la commande est refusée et le nœud ne rejoint jamais le tailnet.

C’est pourquoi le forfait gratuit surprend dans les deux sens. Un homelab de trente machines toutes connectées avec votre identité représente un seul siège et reste gratuit. Une équipe de quatre personnes dont chaque membre se connecte représente quatre sièges sur six et reste également gratuite. Avec douze personnes, le service n’est plus gratuit, quel que soit le nombre d’appareils, car la limite compte les personnes.

Les ressources éphémères constituent la troisième catégorie. Un nœud qui s’enregistre avec une clé d’authentification éphémère, comme un runner d’intégration continue ou un pod Kubernetes, se supprime lorsqu’il s’arrête. Il consomme alors un quota mensuel de minutes au lieu d’occuper un emplacement de ressource. Le forfait Personal en incluait 1,000 par mois au 17 août 2026, et le forfait Premium en incluait 10,000. Un nœud qui reste actif plus de quatre heures cesse d’être considéré comme éphémère et devient une ressource avec tag ordinaire.

Un dernier détail concernant la facturation : un utilisateur invité n’occupe pas de siège tant qu’il n’a pas utilisé le tailnet. La FAQ tarifaire précise qu’un utilisateur « n’occupe pas de siège tant qu’il ne s’est pas connecté pour la première fois à la console d’administration ou qu’il n’a pas authentifié un appareil pour la première fois ». Vous pouvez envoyer des invitations à l’avance sans payer pour les personnes qui ne rejoindront jamais le tailnet.

Coût des offres payantes

[
  {
    "plan": "Personal",
    "usd_per_user_month": 0
  },
  {
    "plan": "Standard",
    "usd_per_user_month": 8
  },
  {
    "plan": "Premium",
    "usd_per_user_month": 18
  }
]

L’offre Personal est gratuite. L’offre Standard coûte 8 dollars américains par utilisateur et par mois, et l’offre Premium 18, selon les tarifs publiés le 17 août 2026. L’offre Enterprise est établie par le service commercial, avec un nombre d’utilisateurs et des limites personnalisés. Standard et Premium suppriment la limite d’utilisateurs. Pour la plupart des équipes, c’est donc la septième personne qui justifie le passage à une offre payante, et non le quarantième serveur.

Quelles fonctionnalités sont réservées à une formule payante

Il s’agit de limites liées aux fonctionnalités. Ajouter des machines ne vous fait pas passer à la formule supérieure. En revanche, rédiger une policy d’accès plus complexe peut le faire.

Les listes de contrôle d’accès (ACL), c’est-à-dire les règles qui déterminent quel utilisateur peut accéder à quelle machine, l’illustrent clairement. Le fichier de policy lui-même est disponible avec toutes les formules. En revanche, le nombre de groupes que vous pouvez y définir ne l’est pas.

[
  {
    "plan": "Personal",
    "acl_groups": 3
  },
  {
    "plan": "Standard",
    "acl_groups": 10
  },
  {
    "plan": "Premium",
    "acl_groups": 300
  }
]

Personal autorise 3 groupes, Standard 10 et Premium 300. Un groupe est un ensemble nommé d’utilisateurs. Il s’agit donc en réalité d’une limite à la finesse avec laquelle vous pouvez répartir les utilisateurs. Trois groupes suffisent pour « moi », « famille » et « invités ». Cela ne suffit pas pour une entreprise organisée en plusieurs services.

Les autres limites indiquées sur la même page et vérifiées le même jour sont les suivantes :

• L’utilisation de votre propre fournisseur d’identité (IdP), c’est-à-dire le single sign-on (SSO) avec un fournisseur que vous utilisez déjà, commence avec Standard. Personal vous authentifie avec les fournisseurs d’identité grand public que Tailscale prend directement en charge.
• Les network flow logs, l’approbation des appareils et les contrôles de posture des appareils commencent avec Standard.
• Les rôles utilisateur avancés commencent avec Premium, tout comme Tailscale SSH avancé. Tailscale SSH de base avec Personal est limité à 5 hôtes.

L’enregistrement des sessions SSH mérite une lecture attentive, car il montre que ces limites s’appliquent fonctionnalité par fonctionnalité et non selon un ordre strict des formules. La documentation de Tailscale sur l’enregistrement des sessions répertorie cette fonctionnalité pour les formules Personal et Enterprise, tandis que la page des tarifs la classe dans une extension Privileged Access Management achetée séparément. Elle nécessite également un nœud recorder que vous exécutez et sur lequel vous stockez les enregistrements. Consultez la page actuelle avant de fonder une exigence de conformité sur cette fonctionnalité.

Pourquoi un tailnet gratuit affiche « Reached use limit »

La console d’administration affiche « Reached use limit » lorsque le tailnet atteint une limite de l’offre. Avec l’offre Personal, la cause habituelle est l’ajout d’une septième personne, car l’offre compte les utilisateurs. L’autre possibilité est un nombre de ressources avec tags supérieur à la limite incluse. Le message ne concerne donc pas le nombre d’ordinateurs portables et de téléphones connectés. Les compter vous ferait perdre du temps. Ouvrez la console d’administration et comptez d’abord les comptes utilisateurs, puis les machines avec tags.

Faut-il un forfait payant pour utiliser un relais DERP personnalisé ?

DERP (Designated Encrypted Relay for Packets) est le réseau de relais de Tailscale. Lorsque deux nœuds ne peuvent pas établir de connexion directe à travers le NAT (network address translation), leur trafic chiffré passe par défaut par un serveur DERP. L’exécution de votre propre relais DERP se configure dans le fichier de règles du tailnet. Au 17 August 2026, la documentation de Tailscale sur les serveurs DERP personnalisés ne mentionne aucune restriction liée au forfait.

Il faut distinguer précisément ce que change un relais personnalisé. C’est à ce niveau que le relais est souvent confondu avec l’auto-hébergement. Un serveur DERP personnalisé déplace le chemin de données de secours vers une machine que vous contrôlez. Le chemin de contrôle ne change pas. Le serveur de coordination de Tailscale conserve toujours les clés de vos nœuds, votre fichier de règles et la liste de vos utilisateurs. Si vous voulez héberger cette partie sur votre propre matériel, un relais n’est pas l’outil adapté. Vous avez besoin d’un autre control plane.

Dans quels cas un control plane Headscale auto-hébergé est-il pertinent ?

Headscale, le serveur de contrôle Tailscale open source remplace le serveur de coordination par une instance que vous exécutez sur un VPS (virtual private server). Les clients Tailscale ne changent pas. Ils utilisent votre serveur au lieu de celui de Tailscale. Vous n’avez donc aucun seat à acheter et aucune limite d’utilisateurs.

Commencez par le coût, car l’écart est moins important que prévu. Un seat Standard coûte 8 dollars américains par mois. Un petit VPS capable d’exécuter un control plane coûte à peu près le prix d’un ou deux seats. Le calcul ne devient donc favorable qu’à partir de plusieurs utilisateurs. Il ne le devient jamais pour un homelab individuel, qui était déjà gratuit. L’auto-hébergement ne permet pas de faire des économies sur un réseau de cinq appareils.

Le véritable compromis oppose le contrôle à la charge d’exploitation. Headscale stocke votre liste d’utilisateurs et votre fichier de policy sur une machine que vous possédez, dans le pays de votre choix, sans compte fournisseur intermédiaire. D’après la documentation du projet vérifiée le 17 août 2026, il prend en charge les ACL et les grants, les tags, les subnet routers, les exit nodes, MagicDNS, Taildrop, Tailscale SSH, l’enregistrement des nœuds via OpenID Connect (OIDC) et un serveur DERP intégré. Funnel et Serve sont indiqués comme étant en cours de développement. La publication d’un service avec Serve ou Funnel reste donc pour l’instant sur le control plane de Tailscale. Les network flow logs sont également absents. Les groupes OIDC ne peuvent pas être utilisés dans les règles ACL. Enfin, le projet est conçu pour un seul tailnet.

Voici les tâches dont vous prenez la responsabilité :

• Vous assurez la disponibilité du control plane. Les tunnels existants continuent de faire transiter le trafic pendant un certain temps, car les pairs possèdent déjà leurs clés respectives. Tout ce qui nécessite une coordination s’arrête : les nouveaux nœuds ne peuvent pas s’enregistrer, les clés arrivant à expiration ne peuvent pas être renouvelées et les changements de policy n’atteignent jamais les nœuds.
• Vous assurez les mises à niveau. Headscale implémente un protocole que les clients Tailscale continuent de faire évoluer. Votre calendrier de mise à niveau doit donc suivre leurs releases plutôt que votre propre calendrier.
• Vous gérez la base de données et ses sauvegardes. Si vous perdez cet état, chaque nœud doit être enregistré de nouveau.
• Vous gérez TLS (transport layer security) sur l’endpoint public du serveur, car les clients atteignent le control server en HTTPS.

C’est le coût réel. Acceptez-le si votre objectif est le contrôle ou si le nombre d’utilisateurs rend la tarification par seat peu adaptée. Ne le faites pas pour économiser huit dollars.

Un serveur NetBird auto-hébergé est l’autre solution auto-hébergeable. Il fournit son propre control plane, sa propre gestion des identités et sa propre interface web. Il est conçu comme un produit, et non comme une réimplémentation du control server de quelqu’un d’autre. Dans les deux cas, vous devez exploiter un service dont dépend votre réseau. Décidez d’abord si vous voulez en exploiter un, puis choisissez.

FAQ

Le forfait gratuit de Tailscale est-il une version d’essai ?

Non. Personal est une formule gratuite sans date d’expiration. Vérifiée le 17 August 2026, elle comprend six utilisateurs, un nombre illimité d’appareils utilisateur et 50 ressources marquées. Elle inclut presque toutes les fonctionnalités. En revanche, elle n’inclut pas les capacités proposées par les formules payantes, comme davantage de groupes ACL et l’authentification unique avec votre propre fournisseur d’identité. Vérifiez les chiffres du jour sur la page des tarifs de Tailscale, car les quotas sont révisés.

Combien d’appareils puis-je ajouter avec le forfait gratuit de Tailscale ?

Vos propres appareils sont illimités. La FAQ des tarifs de Tailscale précise que les appareils utilisateur, c’est-à-dire les nœuds qui ne sont pas marqués, sont gratuits et illimités. Le quota porte sur les ressources marquées : les serveurs et les routeurs que vous enregistrez avec un tag. Le forfait Personal en incluait 50 le 17 August 2026. Les anciens guides qui mentionnent une limite de 20 ou de 100 appareils décrivent un ancien modèle tarifaire qui ne s’applique plus.

Pourquoi mon tailnet indique-t-il « Reached use limit » ?

Le tailnet a atteint la limite de sa formule. Avec Personal, la cause habituelle est la présence d’une septième personne, car la formule compte les utilisateurs et non les machines. L’autre possibilité est que le nombre de ressources marquées dépasse le quota inclus. Commencez par compter les comptes utilisateurs dans la console d’administration, puis comptez les machines marquées. Les ordinateurs portables et les téléphones non marqués ne sont pas en cause.

Headscale est-il moins cher que de payer Tailscale ?

Seulement au-delà de quelques utilisateurs payants. Un VPS capable d’exécuter Headscale coûte à peu près le prix d’un ou deux sièges Standard par mois. Avec un petit tailnet, vous n’économisez donc rien, et un tailnet individuel était gratuit au départ. Headscale devient intéressant lorsque vous voulez héberger le control plane sur du matériel que vous possédez, ou lorsque le nombre d’utilisateurs rend la tarification par siège contraignante. Le coût est opérationnel : les mises à niveau à effectuer au rythme des releases du client Tailscale, les sauvegardes de la base de données, le certificat TLS à renouveler et le fait d’être la seule personne capable de résoudre une panne.