Tarifs Tailscale : combien payez-vous vraiment ?

Tarifs de Tailscale en un paragraphe

La tarification de Tailscale se fait par utilisateur, et non par appareil. Le nombre d’appareils d’un utilisateur est illimité avec toutes les offres, y compris l’offre gratuite. Cette offre ne devient donc pas insuffisante parce que vous avez acheté un autre ordinateur portable. Elle le devient parce que vous avez ajouté une personne ou parce que vous avez besoin d’une fonctionnalité d’administration disponible uniquement dans une offre payante. Tailscale est un VPN (virtual private network) basé sur WireGuard. Ce que vous payez concerne le control plane qui gère les tunnels : les identités et les règles.

[
  {
    "plan": "Personal",
    "usd_per_user_month": 0
  },
  {
    "plan": "Standard",
    "usd_per_user_month": 8
  },
  {
    "plan": "Premium",
    "usd_per_user_month": 18
  }
]

Tailscale propose 3 offres en libre-service et une offre sur devis. Personal coûte $0 et couvre jusqu’à six utilisateurs. Standard coûte $8 par utilisateur et par mois. Premium coûte $18 par utilisateur et par mois. Le tarif d’Enterprise est établi au cas par cas. Il n’existe donc pas de montant catalogue à représenter. Ces montants correspondent aux tarifs catalogue publiés, vérifiés le 10 octobre 2026 sur la page des tarifs de Tailscale. Tailscale a modifié ses offres à plusieurs reprises. Consultez donc cette page avant d’établir votre budget.

Tailscale a remanié ses offres le 8 avril 2026. Personal Plus a été supprimée et sa limite de six utilisateurs a été intégrée à l’offre gratuite Personal. L’ancienne offre Starter est devenue Standard. Tailscale a indiqué que les clients qui payaient déjà pourraient continuer à utiliser leur offre actuelle au même tarif pendant au moins douze mois supplémentaires à compter de cette annonce. Une facture existante peut donc ne pas correspondre à la page actuelle.

Ce que Tailscale facture réellement

Quatre éléments sont comptabilisés sur votre tailnet (le réseau Tailscale partagé par vos appareils), mais un seul correspond aux personnes. Les chiffres ci-dessous ont été vérifiés par rapport aux tarifs publiés par Tailscale le 10 octobre 2026.

• Sièges. Un siège correspond à un utilisateur. Les offres Standard et Premium sont facturées par siège et par mois, et le nombre de sièges détermine le montant de la facture.
• Appareils des utilisateurs. Leur nombre est illimité dans toutes les offres. Une machine qui appartient à une personne ne coûte rien, quel que soit le nombre de machines détenues par cette personne.
• Ressources avec tag. Chaque offre en inclut 50. Les ressources supplémentaires coûtent $1 par mois chacune et peuvent être ajoutées en self-service. Contrairement aux sièges, leur nombre n’augmente pas automatiquement avec l’utilisation : ajoutez-les avant d’en avoir besoin. Une ressource avec tag est une machine qui porte un tag au lieu d’une identité utilisateur. C’est ainsi qu’un serveur ou un autre nœud non humain rejoint le réseau.
• Groupes ACL. Un groupe ACL (liste de contrôle d’accès) est un ensemble nommé d’utilisateurs auquel vos règles de stratégie font référence. Le nombre disponible varie fortement selon l’offre, et cette différence fait l’objet d’une section distincte ci-dessous.

Les ressources éphémères sont comptabilisées séparément, en minutes : 1,000 minutes par mois avec Personal et Standard, et 10,000 avec Premium. Un nœud éphémère est un nœud de courte durée, comme un runner de CI (intégration continue) qui rejoint le réseau pour une build, puis le quitte. Un nœud qui reste dans le tailnet plus de quatre heures n’est plus décompté de ce quota. Un serveur standard ne l’épuise donc jamais. Le tableau comparatif ne comporte aucune ligne pour les exit nodes, les subnet routers ou MagicDNS : la topologie du réseau elle-même n’est donc pas comptabilisée. C’est pourquoi une seule machine annonçant un subnet privé depuis un VPS peut rendre tout un réseau d’appareils accessible depuis votre tailnet sans ajouter de ligne facturable à la facture. Serve et Funnel n’y figurent pas non plus. La publication d’un service HTTPS ne coûte donc rien avec aucune offre, même si Funnel est limité par un paramètre de stratégie et non par son prix, comme l’explique serve par rapport à funnel. Pour connaître précisément les limites de l’offre gratuite, consultez où s’arrête l’offre Tailscale gratuite.

Comment un siège est comptabilisé pour que la facture corresponde à votre effectif

La FAQ tarifaire de Tailscale l’indique clairement : vous payez pour un certain nombre de sièges sur votre tailnet, et un utilisateur occupe un siège lorsqu’il rejoint celui-ci. En pratique, un utilisateur occupe un siège dès sa première connexion à l’admin console ou lors de la première authentification d’un device. Une personne que vous avez invitée mais qui n’a pas encore accepté l’invitation n’occupe pas de siège et ne vous est pas facturée. Si tous les sièges sont occupés et qu’un nouvel utilisateur se connecte, le nombre de sièges augmente automatiquement de 1. Un siège ajouté pendant une période de facturation mensuelle est facturé au prorata. Un siège peut être libéré, par exemple en supprimant l’utilisateur, puis réutilisé par la personne suivante. Avec un abonnement annuel, ces modifications passent par l’équipe commerciale de Tailscale et non par la console. Vous devez le savoir avant de vous engager pour un an.

Deux scénarios, de bout en bout

Le nombre de sièges est la principale variable. L’abonnement correspond donc au nombre de sièges multiplié par le prix mensuel, puis par douze. Les ressources supplémentaires marquées au-delà des 50 incluses, ainsi que les modules complémentaires comme celui de Mullvad VPN, qui sont concédés sous licence par appareil et non par utilisateur, s’ajoutent à ce montant. Voici quatre configurations au tarif catalogue.

[
  {
    "label": "Household of 4, Personal",
    "usd_per_year": 0
  },
  {
    "label": "Household of 7, Standard",
    "usd_per_year": 672
  },
  {
    "label": "Team of 5, Standard",
    "usd_per_year": 480
  },
  {
    "label": "Team of 5, Premium",
    "usd_per_year": "1,080"
  }
]

Scénario 1 : un foyer de quatre personnes

C’est le cas le plus simple, et la réponse est $0. L’offre Personal couvre jusqu’à six utilisateurs, sans limite sur le nombre d’appareils par utilisateur. Quatre personnes possédant chacune un téléphone et un ordinateur portable, ainsi qu’un serveur domestique, un enregistreur vidéo réseau et un VPS, tiennent tous dans l’offre gratuite. Un VPS utilisé comme nœud de sortie Tailscale sur un VPS est un appareil gratuit supplémentaire, car l’offre compte les personnes et non les rôles.

Deux situations mettent tout de même fin à l’offre gratuite d’un foyer. La première est l’arrivée d’un septième utilisateur. Des colocataires, les parents de votre partenaire ou un ami qui souhaite accéder à votre serveur multimédia peuvent vous faire dépasser la limite de six utilisateurs. Tout le tailnet passe alors à l’offre Standard, et vous payez chaque siège, pas seulement le nouveau. Sept sièges à $8 chacun coûtent $672 par an. La seconde situation concerne les tags. Si vous utilisez des tags pour que vos serveurs appartiennent à un tag plutôt qu’à votre compte, les 50 premiers sont inclus. Chaque serveur supplémentaire coûte alors 1 $ par mois. La plupart des foyers n’atteignent jamais 50.

Scénario 2 : une équipe de cinq personnes

Cinq personnes respectent la limite de six utilisateurs, mais l’effectif ne suffit pas à déterminer si l’usage est commercial. La page tarifaire de Tailscale indique que l’offre Personal est « uniquement adaptée à un usage non commercial ». La documentation des offres précise également que « l’offre Personal n’est pas destinée à un usage commercial ». Par ailleurs, un tailnet utilisant un domaine personnalisé est considéré comme un usage professionnel et est inscrit à un essai gratuit. Une entreprise de cinq personnes doit donc prévoir une offre payante dès le départ. L’administration du produit orienterait de toute façon une petite équipe vers une offre payante, bien avant l’embauche de la sixième personne.

Avec une offre payante, le calcul est simple, car la facture dépend du nombre de sièges. Cinq sièges en Standard coûtent $480 par an. Les mêmes cinq sièges en Premium coûtent $1,080 par an. Une nouvelle recrue au septième mois ajoute un siège calculé au prorata, et non une nouvelle offre.

Pourquoi la facture apparaît du côté de la gestion des identités

La connexion elle-même est gratuite avec tous les forfaits. La facturation concerne les mécanismes qui l’entourent : qui peut administrer quoi et avec quel niveau de précision vous pouvez décrire les accès. C’est le même modèle que celui décrit dans la taxe SSO des applications auto-hébergées, et Tailscale en est un exemple clair.

Commencez par les rôles utilisateur, car c’est la ligne qui fait passer les petites équipes à un forfait payant. La documentation de Tailscale distingue deux catégories de rôles. « Les rôles de base sont disponibles avec tous les forfaits tarifaires », à savoir Owner, Admin et Member. « Les rôles avancés sont disponibles avec les forfaits tarifaires Standard, Premium et Enterprise », à savoir Billing admin, IT admin, Network admin et Auditor. Avec le forfait gratuit, le seul moyen de laisser la personne chargée du réseau gérer le fichier de stratégie consiste à en faire un Admin. Un Admin peut tout faire dans la console d’administration, de la suppression d’utilisateurs à la modification du forfait de facturation. La suppression du tailnet reste réservée à l’Owner, mais le rôle plus restreint de Network admin, qui ne concerne que la configuration réseau, est payant. Il n’existe aucun rôle en lecture seule. Dès qu’un collègue vous demande un accès d’audit, vous passez au forfait Standard.

SCIM (system for cross-domain identity management) est la deuxième ligne. SCIM est le protocole qui transmet les utilisateurs et les groupes de votre fournisseur d’identité vers un service. Ainsi, un utilisateur qui quitte l’entreprise disparaît du tailnet lorsque les RH désactivent son compte. Cette fonctionnalité commence avec le forfait Standard. Avec Personal, vous supprimez les utilisateurs manuellement. Cela convient à quatre personnes, mais devient un vrai risque à vingt. Un compte oublié est aussi le moyen réaliste d’entrer dans un tailnet. Le problème ne vient pas du chiffrement, comme l’explique le modèle de confiance de Tailscale.

[
  {
    "plan": "Personal",
    "groups_included": 3
  },
  {
    "plan": "Standard",
    "groups_included": 10
  },
  {
    "plan": "Premium",
    "groups_included": 300
  }
]

Viennent ensuite les groupes ACL. Personal inclut 3 groupes. Standard en inclut 10. Premium en inclut 300. Trois groupes semblent suffisants jusqu’à ce que vous rédigiez le fichier de stratégie : un groupe pour le personnel et un pour les prestataires ne vous laisse plus qu’un seul groupe pour tout le reste. Toute structure supplémentaire doit donc être définie utilisateur par utilisateur. Cela empêche la configuration de passer à l’échelle dès qu’une personne change de fonction.

Deux autres lignes méritent d’être mentionnées, afin que vous ne changiez pas de forfait pour la mauvaise raison. Les intégrations de posture des appareils avec les solutions MDM (mobile device management), EDR (endpoint detection and response) et XDR (extended detection and response) commencent avec le forfait Standard. En revanche, les contrôles de posture de base portant sur le système d’exploitation et la version de Tailscale fonctionnent avec tous les forfaits. Les journaux de flux réseau et leur transmission vers un système de logs commencent avec Premium. L’enregistrement des sessions arrive avec l’extension de la plateforme de gestion des accès privilégiés, qui est pour l’instant vendue par l’équipe commerciale de Tailscale. L’approbation des appareils, qui maintient une nouvelle machine dans un état d’attente jusqu’à ce qu’un administrateur l’autorise, est documentée comme disponible avec tous les forfaits. Ce n’est donc pas une raison de payer.

Réductions réellement accessibles

Tailscale en documente plusieurs. Il est donc utile de les vérifier avant de payer le tarif catalogue. Les associations éligibles, les organisations à but non lucratif et les établissements d’enseignement « bénéficient d’une réduction de 50 % sur les tarifs catalogue de Tailscale ». La procédure dépend de votre situation. Si vous n’avez pas encore d’abonnement payant, contactez d’abord le support Tailscale avec les justificatifs demandés. Une fois votre éligibilité confirmée, le support vous fournit un coupon de réduction unique de 50 %, à appliquer lors du paiement. Si vous avez déjà un abonnement payant, contactez le support. La réduction est alors appliquée à cet abonnement. Les entreprises commerciales de technologies éducatives et les programmes exclusivement destinés aux moins de 18 ans ne sont pas éligibles. Les projets open source hébergés dans une organisation GitHub et distribués sous une licence OSI (Open Source Initiative) peuvent utiliser Tailscale gratuitement, à condition que le tailnet utilise GitHub pour l’authentification. Ce plan n’est pas disponible depuis la page Billing. Vous devez donc en faire la demande au lieu de le sélectionner. Des codes promotionnels sont proposés lors de conférences et dans les e-mails marketing. Ils s’appliquent lors de la mise à niveau ou, depuis la page Billing de la console d’administration, à un plan payant que vous avez déjà. Ces conditions ont été vérifiées dans la documentation de Tailscale consacrée aux réductions le 10 octobre 2026.

Headscale, l’alternative auto-hébergée

Headscale est une implémentation open source du serveur de contrôle Tailscale, et les clients Tailscale officiels s’y connectent. Il n’est pas associé à Tailscale Inc. Sa documentation délimite clairement son périmètre : un seul tailnet, « suitable for a personal use, or a small open-source organisation », destiné aux personnes qui auto-hébergent leurs services et aux amateurs. La liste des fonctionnalités est plus complète que la plupart des utilisateurs ne le pensent. MagicDNS, Taildrop, les tags, les subnet routers, les exit nodes, les nœuds éphémères, un serveur DERP (designated encrypted relay for packets) intégré, les ACL et Tailscale SSH sont tous indiqués comme pris en charge.

Le compromis fonctionne dans les deux sens, et il faut le présenter clairement. Headscale supprime entièrement la facturation par utilisateur : le nombre d’utilisateurs, de devices et de groupes d’ACL dépend de vous, et le coût par personne disparaît. En contrepartie, vous exploitez le control plane. Le serveur de contrôle émet les clés des nœuds et distribue la carte des pairs. Lorsqu’il est hors ligne, vous ne pouvez donc pas ajouter de device ni réauthentifier un device dont la clé a expiré. Sa base de données doit donc être sauvegardée, sa version doit faire l’objet d’un plan de mise à niveau et son hôte doit être surveillé, comme n’importe quel autre service de production. L’identité est également son principal point faible : Headscale prend en charge les connexions OIDC (OpenID Connect), mais sa documentation précise que les groupes OIDC ne peuvent pas être utilisés dans les ACL. C’est précisément la fonctionnalité pour laquelle une équipe aurait payé Tailscale.

Choisissez donc ce compromis si vous gérez un seul tailnet, si vous maintenez déjà un serveur Linux à jour et sauvegardé, et si le prix par utilisateur est votre seule raison de chercher une alternative. Ne le choisissez pas si vous étiez sur le point d’acheter SCIM, un accès pour les auditeurs ou une stratégie basée sur les groupes, car Headscale ne cherche pas à répondre à ce besoin. L’installation est une configuration de serveur classique, décrite dans exécuter Headscale comme votre propre serveur de contrôle Tailscale. Si vous ne voulez ni payer l’abonnement ni exploiter le control plane, consultez WireGuard classique face à Tailscale, car WireGuard géré manuellement n’a aucun coût par utilisateur et aucun serveur de coordination. Si la stratégie basée sur les groupes est ce qui vous poussait vers une offre payante, exécuter votre propre serveur NetBird correspond davantage à votre besoin, car il fournit un fournisseur d’identité avec le control plane et définit ses règles d’accès à partir des groupes que vous gérez vous-même.

Comptez d’abord vos propres utilisateurs et appareils

Avant de modéliser quoi que ce soit, obtenez les deux nombres réels. Sur n’importe quelle machine déjà connectée au tailnet :

tailscale status

Cette commande affiche une ligne par machine :

100.101.102.103  laptop-alice   alice@   linux   active; direct 203.0.113.9:41641, tx 1116 rx 1124
100.101.102.104  phone-bob      bob@     iOS     active; relay "fra", tx 1351 rx 4262
100.101.102.105  vps-frankfurt  alice@   linux   idle; tx 1214 rx 50

Les colonnes indiquent l’adresse IP Tailscale, le nom de la machine, le propriétaire, le système d’exploitation et l’état de la connexion. C’est la troisième colonne qui détermine votre facture. Comptez les identifiants distincts plutôt que les lignes, car trois machines appartenant à alice@ correspondent à un seul siège et à trois appareils gratuits.

Pour obtenir la liste complète des appareils du tailnet, plutôt que la vue d’une seule machine, l’API renvoie la liste complète :

curl -s "https://api.tailscale.com/api/v2/tailnet/example.com/devices" -u "$TS_API_KEY:"

Remplacez example.com par le nom de votre tailnet et générez le jeton d’accès depuis la page Keys de la console d’administration. Vous devez être Owner, Admin, IT admin ou Network admin pour générer ce jeton. Le nombre qui détermine la facture se trouve toujours sur la page Users de la console d’administration, car un siège correspond à un utilisateur qui s’est connecté, et c’est ce que Tailscale compte.

FAQ

Tailscale est-il gratuit pour un usage personnel ?

Oui, jusqu’à six utilisateurs. Le forfait Personal coûte $0 et inclut un nombre illimité d’appareils utilisateur, 50 ressources marquées, 3 groupes ACL et 1 000 minutes mensuelles de ressources éphémères, selon les tarifs vérifiés le 10 octobre 2026. La limite de six utilisateurs s’applique à l’ensemble du tailnet. Une septième personne fait donc passer tout le tailnet à un forfait payant, et chaque utilisateur existant devient un siège facturé.

Mes appareils sont-ils pris en compte dans la facture Tailscale ?

Les appareils associés à une personne ne le sont pas. Les appareils utilisateur sont illimités avec tous les forfaits. Une personne possédant vingt machines ne représente donc toujours qu’un siège. Le type d’appareil susceptible d’être facturé est celui des ressources marquées : il s’agit de machines qui portent un tag au lieu d’une identité utilisateur. Chaque forfait en inclut 50. Les ressources supplémentaires coûtent $1 par mois et par unité, avec souscription en libre-service.

Quelle est la solution la moins chère pour utiliser Tailscale avec une équipe de cinq personnes ?

Si vous êtes une entreprise, la réponse n’est pas Personal, même si cinq personnes tiennent dans sa limite de six utilisateurs. La documentation des forfaits de Tailscale précise en effet que « The Personal plan is not intended for commercial use. » Un groupe non commercial de cinq personnes, par exemple un foyer ou un projet personnel, peut rester sur Personal. Pour une entreprise, la solution la moins chère est Standard à $8 par utilisateur et par mois, soit $480 par an pour cinq sièges. Ce forfait inclut également des fonctions absentes du forfait gratuit : rôles utilisateur avancés, provisionnement SCIM, intégrations tierces de posture des appareils et plus de 3 groupes ACL. Si vous êtes une association déclarée ou un établissement d’enseignement, demandez la remise de 50 % au support Tailscale avant de vous abonner. Vous disposerez ainsi du coupon à usage unique à appliquer lors du paiement.

L’auto-hébergement de Headscale permet-il réellement de faire des économies ?

Il supprime la facturation par siège, mais la remplace par un serveur que vous devez exploiter. Ce choix est pertinent si la facture est votre seule motivation, si vous utilisez un seul tailnet et si vous maintenez déjà un hôte Linux sauvegardé et à jour. Il l’est beaucoup moins si vous comptiez payer pour la gouvernance des identités. La documentation de Headscale précise en effet que les groupes OIDC ne peuvent pas être utilisés dans ses ACL. La politique fondée sur les groupes que vous vouliez mettre en place ne peut donc pas être reprise.