Tarifs Tailscale après le forfait gratuit

Tarifs de Tailscale en un paragraphe

La tarification de Tailscale se fait par utilisateur, et non par appareil. Le nombre d’appareils des utilisateurs est illimité avec chaque forfait, y compris le forfait gratuit. Le forfait gratuit ne devient donc pas insuffisant parce que vous avez acheté un autre ordinateur portable. Il le devient parce que vous avez ajouté une personne ou parce qu’il vous fallait une fonctionnalité d’administration disponible uniquement avec un forfait payant. Tailscale est un VPN (réseau privé virtuel) basé sur WireGuard. Ce que vous payez concerne le plan de contrôle des tunnels : l’identité et les règles.

[
  {
    "plan": "Personal",
    "usd_per_user_month": 0
  },
  {
    "plan": "Standard",
    "usd_per_user_month": 8
  },
  {
    "plan": "Premium",
    "usd_per_user_month": 18
  }
]

Tailscale propose 3 forfaits en libre-service, ainsi qu’un forfait sur devis. Personal coûte $0 et couvre jusqu’à six utilisateurs. Standard coûte $8 par utilisateur et par mois. Premium coûte $18 par utilisateur et par mois. Le tarif d’Enterprise est défini au cas par cas. Il n’a donc pas de prix catalogue à indiquer. Ces tarifs catalogue publiés étaient ceux en vigueur en août 2026, d’après la page des tarifs de Tailscale. Tailscale a modifié ses forfaits à plusieurs reprises. Consultez donc cette page avant d’établir votre budget.

Tailscale a remanié ses forfaits le 8 avril 2026. Personal Plus a été supprimé et son quota de six utilisateurs a été intégré au forfait gratuit Personal. L’ancien forfait Starter est devenu Standard. Tailscale a indiqué que, pour les clients qui payaient déjà, le forfait en cours continuerait de fonctionner au même prix pendant au moins douze mois supplémentaires à compter de cette annonce. Une facture existante peut donc ne pas correspondre à la page actuelle.

Ce que Tailscale facture réellement

Quatre éléments sont comptabilisés dans votre tailnet (le réseau Tailscale que vos appareils partagent), et un seul correspond aux personnes. Les chiffres ci-dessous sont ceux publiés en août 2026.

• Utilisateurs. Un utilisateur correspond à une personne. Les offres Standard et Premium sont facturées par utilisateur et par mois, et le nombre d’utilisateurs constitue l’intégralité de la facture.
• Appareils des utilisateurs. Leur nombre est illimité dans toutes les offres. Une machine appartenant à une personne ne coûte rien, quel que soit le nombre de machines qu’elle possède.
• Ressources étiquetées. Chaque offre en inclut 50. Les ressources supplémentaires coûtent $1 par mois chacune et peuvent être ajoutées en libre-service depuis la console de facturation. Une ressource étiquetée est une machine qui utilise un tag au lieu d’une identité utilisateur. C’est ainsi qu’un serveur ou un autre nœud non humain rejoint le réseau.
• Groupes ACL. Un groupe ACL (liste de contrôle d’accès) est un ensemble nommé d’utilisateurs auquel vos règles de stratégie font référence. Le nombre disponible varie fortement selon l’offre. Cette différence fait l’objet d’une section distincte ci-dessous.

Les ressources éphémères sont comptabilisées séparément, en minutes : 1,000 minutes par mois avec Personal et Standard, et 10,000 avec Premium. Un nœud éphémère est un nœud de courte durée, comme un runner de CI (intégration continue) qui rejoint le réseau pour une build, puis le quitte. Un nœud qui reste dans le tailnet plus de quatre heures cesse d’être décompté de ce quota. Un serveur classique ne l’épuise donc jamais. Le tableau comparatif ne comporte aucune ligne pour les exit nodes, les subnet routers ou MagicDNS. La structure du réseau elle-même n’est donc pas comptabilisée. C’est pourquoi une seule machine qui annonce un subnet privé depuis un VPS peut rendre tout un réseau d’appareils accessible depuis votre tailnet sans ajouter de ligne facturable à la facture. Serve et Funnel en sont également absents. La publication d’un service HTTPS ne coûte donc rien, quelle que soit l’offre. Funnel est toutefois limité par un paramètre de stratégie et non par son prix, comme l’explique serve et funnel. Pour connaître précisément les limites de l’offre gratuite, consultez où s’arrête l’offre Tailscale gratuite.

Comment les sièges sont comptabilisés pour que la facture corresponde à votre effectif

La documentation de facturation de Tailscale est claire : vous payez un certain nombre de sièges sur votre tailnet, et un utilisateur occupe un siège lorsqu’il le rejoint. En pratique, un utilisateur prend un siège la première fois qu’il se connecte à la console d’administration ou la première fois qu’il authentifie un appareil. Une personne invitée qui n’a pas encore accepté l’invitation n’occupe pas de siège et ne vous est pas facturée. Si tous les sièges sont occupés et qu’un nouvel utilisateur se connecte, le nombre de sièges augmente automatiquement de 1. Un siège ajouté au cours d’une période de facturation mensuelle est facturé au prorata. Un siège peut être libéré, par exemple en supprimant l’utilisateur, puis réutilisé par la personne suivante. Avec un abonnement annuel, ces modifications passent par l’équipe commerciale de Tailscale plutôt que par la console. Il est utile de le savoir avant de vous engager pour un an.

Deux scénarios, traités de bout en bout

Le nombre de sièges est la seule variable. Le montant annuel correspond donc au nombre de sièges multiplié par le prix mensuel, puis par douze. Voici quatre configurations au tarif catalogue.

[
  {
    "label": "Household of 4, Personal",
    "usd_per_year": 0
  },
  {
    "label": "Household of 7, Standard",
    "usd_per_year": 672
  },
  {
    "label": "Team of 5, Standard",
    "usd_per_year": 480
  },
  {
    "label": "Team of 5, Premium",
    "usd_per_year": "1,080"
  }
]

Scénario 1 : un foyer de quatre personnes

C’est le cas le plus simple. Le coût est de $0. L’offre Personal couvre jusqu’à six utilisateurs et le nombre d’appareils par utilisateur est illimité. Quatre personnes disposant chacune d’un téléphone et d’un ordinateur portable, ainsi qu’un serveur domestique, un enregistreur vidéo réseau et un VPS, tiennent tous dans l’offre gratuite. Un VPS utilisé comme nœud de sortie Tailscale sur un VPS est un appareil gratuit supplémentaire, car l’offre compte les personnes et non les rôles.

Deux éléments mettent tout de même fin à l’offre gratuite d’un foyer. Le premier est le septième utilisateur. Des colocataires, les parents de votre partenaire ou un ami qui veut accéder à votre serveur multimédia : dès que vous dépassez six utilisateurs, tout le tailnet passe à l’offre Standard, et vous payez chaque siège, pas seulement le nouveau. Sept sièges à $8 chacun coûtent $672 par an. Le second élément est l’utilisation de tags. Si vous attribuez des tags à vos serveurs afin qu’ils soient possédés par un tag plutôt que par vous, les 50 premiers sont inclus et chaque serveur supplémentaire coûte 1 $ par mois. La plupart des foyers n’atteignent jamais 50 serveurs.

Scénario 2 : une équipe de cinq personnes

Cinq personnes tiennent dans l’offre gratuite limitée à six utilisateurs. Une entreprise de cinq personnes peut donc utiliser Tailscale pour $0 par an, et beaucoup le font. L’effectif est rarement ce qui les incite à changer d’offre. C’est plutôt l’administration du produit qui pousse une petite équipe vers une offre payante, bien avant le recrutement de la sixième personne.

Lorsque vous changez d’offre, le calcul est simple, car le nombre de sièges est le seul paramètre. Cinq sièges avec Standard coûtent $480 par an. Les mêmes cinq sièges avec Premium coûtent $1,080 par an. Une nouvelle recrue au septième mois ajoute un siège au prorata, et non une nouvelle offre.

Pourquoi la facture apparaît du côté de l’identité

La connexion elle-même est gratuite avec toutes les offres. La facturation concerne les mécanismes qui l’entourent : les personnes autorisées à administrer chaque élément et le niveau de précision possible dans la description des accès. C’est le même modèle que celui décrit dans la taxe SSO des applications auto-hébergées, et Tailscale en est un exemple clair.

Commencez par les rôles utilisateur, car c’est le point qui fait passer les petites équipes à une offre payante. La documentation de Tailscale répartit les rôles en deux catégories. « Basic roles are available for all pricing plans » : ces rôles sont Owner, Admin et Member. « Advanced roles are available for the Standard, Premium, and Enterprise pricing plans » : ces rôles sont Billing admin, IT admin, Network admin et Auditor. Avec l’offre gratuite, il est impossible de permettre à la personne chargée du réseau de gérer le fichier de policy sans lui donner aussi le droit de supprimer le tailnet. Aucun rôle en lecture seule n’est disponible. Dès qu’un collègue demande un accès d’audit, vous passez à Standard.

SCIM (system for cross-domain identity management) est le deuxième point. SCIM est le protocole qui envoie les utilisateurs et les groupes de votre identity provider vers un service. Ainsi, lorsqu’un salarié quitte l’entreprise et que les RH désactivent son compte, il disparaît du tailnet. Cette fonction commence avec Standard. Avec Personal, vous devez supprimer les utilisateurs manuellement. Cela convient à quatre personnes, mais devient un vrai risque à vingt. Un compte oublié est aussi le moyen réaliste d’accéder à un tailnet. Le problème ne vient pas du chiffrement, comme l’explique le modèle de confiance de Tailscale.

[
  {
    "plan": "Personal",
    "groups_included": 3
  },
  {
    "plan": "Standard",
    "groups_included": 10
  },
  {
    "plan": "Premium",
    "groups_included": 300
  }
]

Viennent ensuite les groupes ACL. Personal autorise 3 groupes. Standard en autorise 10. Premium en autorise 300. Trois groupes peuvent sembler suffisants jusqu’à ce que vous rédigiez le fichier de policy : un groupe pour le personnel et un pour les sous-traitants ne vous laisse qu’un seul groupe pour tout le reste. Toute structure supplémentaire doit donc être définie à partir des utilisateurs individuels. Cette organisation cesse de passer à l’échelle dès qu’une personne change de fonction.

Deux autres points méritent d’être mentionnés, afin que vous ne changiez pas d’offre pour une mauvaise raison. Les intégrations de device posture avec les outils MDM (mobile device management), EDR (endpoint detection and response) et XDR (extended detection and response) commencent avec Standard. Les network flow logs et le log streaming commencent avec Premium. L’enregistrement des sessions est disponible avec l’extension Enterprise de privileged access management. La validation des appareils, qui maintient une nouvelle machine dans un état d’attente jusqu’à ce qu’un administrateur l’autorise, est documentée comme disponible avec toutes les offres. Ce n’est donc pas une raison de payer.

Réductions réellement accessibles

Tailscale en documente plusieurs. Il est donc utile de les vérifier avant de payer le tarif catalogue. Les associations caritatives, les organismes à but non lucratif et les établissements d’enseignement bénéficient d’une « réduction de 50 % sur les tarifs catalogue » : sélectionnez d’abord un plan dans la console de facturation, puis contactez le support Tailscale pour faire appliquer la réduction. Les projets open source hébergés dans une organisation GitHub et distribués sous une licence OSI (Open Source Initiative) peuvent utiliser Tailscale gratuitement, à condition que le tailnet utilise GitHub pour l’authentification. Des codes promotionnels sont proposés lors de conférences et dans des e-mails marketing. Ils s’appliquent lors de la mise à niveau.

Headscale, l’alternative auto-hébergée

Headscale est une implémentation open source du serveur de contrôle de Tailscale, et les clients Tailscale officiels s’y connectent. Il n’est pas associé à Tailscale Inc. Sa documentation définit un périmètre volontairement limité : un seul tailnet, « adapté à un usage personnel ou à une petite organisation open source », destiné aux personnes qui auto-hébergent leurs services et aux amateurs. La liste des fonctionnalités est plus complète que ce que la plupart des utilisateurs imaginent. MagicDNS, Taildrop, les tags, les subnet routers, les exit nodes, les nœuds éphémères, un serveur DERP (designated encrypted relay for packets) intégré, les ACL et Tailscale SSH sont tous indiqués comme pris en charge.

Le compromis fonctionne dans les deux sens, et il faut le présenter honnêtement. Headscale supprime complètement la facturation par utilisateur : le nombre d’utilisateurs, d’appareils et de groupes ACL dépend de vous, et la facturation par personne disparaît. En contrepartie, vous exploitez le control plane. Le serveur de contrôle émet les clés des nœuds et distribue la carte des pairs. Tant qu’il est hors ligne, vous ne pouvez donc pas ajouter un appareil ni réauthentifier un appareil dont la clé a expiré. Sa base de données doit donc être sauvegardée, sa version doit faire l’objet d’un plan de mise à niveau et son hôte doit être surveillé, comme n’importe quel autre service de production. La gestion des identités est également son point faible : Headscale prend en charge les connexions OIDC (OpenID Connect), mais sa documentation précise que les groupes OIDC ne peuvent pas être utilisés dans les ACL. C’est précisément la fonctionnalité pour laquelle une équipe aurait payé Tailscale.

Choisissez donc ce compromis si vous exploitez un seul tailnet, si vous maintenez déjà un serveur Linux à jour et sauvegardé, et si le prix par utilisateur est votre seule raison de chercher une alternative. Ne le choisissez pas si ce que vous alliez acheter est SCIM, l’accès pour les auditeurs ou une stratégie fondée sur les groupes, car Headscale ne cherche pas à résoudre ce besoin. L’installation correspond à une configuration de serveur classique, décrite dans exécuter Headscale comme votre propre serveur de contrôle Tailscale. Si vous ne voulez ni payer l’abonnement ni exploiter le control plane, consultez WireGuard classique face à Tailscale, car WireGuard géré manuellement n’a aucun coût par utilisateur et ne nécessite aucun serveur de coordination. Si c’est la stratégie fondée sur les groupes qui vous orientait vers une offre payante, exécuter votre propre serveur NetBird est une solution plus proche de votre besoin : il fournit un fournisseur d’identité avec le control plane et applique ses règles d’accès aux groupes que vous définissez vous-même.

Comptez d’abord vos utilisateurs et vos appareils

Avant de modéliser quoi que ce soit, obtenez les deux nombres réels. Sur une machine déjà présente dans le tailnet :

tailscale status

Cette commande affiche une ligne par machine :

100.101.102.103  laptop-alice   alice@   linux   active; direct 203.0.113.9:41641, tx 1116 rx 1124
100.101.102.104  phone-bob      bob@     iOS     active; relay "fra", tx 1351 rx 4262
100.101.102.105  vps-frankfurt  alice@   linux   idle; tx 1214 rx 50

Les colonnes contiennent l’adresse IP Tailscale, le nom de la machine, son propriétaire, le système d’exploitation et l’état de la connexion. La troisième colonne détermine votre facture. Comptez les identifiants distincts dans cette colonne plutôt que les lignes, car trois machines appartenant à alice@ correspondent à un seul seat et à trois appareils gratuits.

Pour obtenir la liste complète des appareils du tailnet, et non la vue d’une seule machine, l’API renvoie la liste complète des appareils :

curl -s "https://api.tailscale.com/api/v2/tailnet/example.com/devices" -u "$TS_API_KEY:"

Remplacez example.com par le nom de votre tailnet et générez le access token sur la page Keys de la console d’administration. Vous devez être Owner, Admin ou IT admin pour que cet appel aboutisse. Le nombre qui détermine la facture figure toujours sur la page Users de la console d’administration : un seat correspond à un utilisateur qui s’est connecté, et c’est ce que Tailscale compte.

FAQ

Tailscale est-il gratuit pour un usage personnel ?

Oui, jusqu’à six utilisateurs. Le forfait Personal coûte $0 et inclut un nombre illimité d’appareils utilisateur, 50 ressources marquées, 3 groupes ACL et 1 000 minutes mensuelles de ressources éphémères, selon les informations publiées en août 2026. La limite de six utilisateurs s’applique à l’ensemble du tailnet : l’ajout d’une septième personne fait passer tout le tailnet sur un forfait payant et chaque utilisateur existant devient une licence facturée.

Mes appareils sont-ils pris en compte dans la facture Tailscale ?

Les appareils associés à une personne ne le sont pas. Le nombre d’appareils utilisateur est illimité avec tous les forfaits : une personne possédant vingt machines ne compte donc que pour une licence. Le type d’appareil susceptible d’être facturé est celui des ressources marquées, c’est-à-dire les machines qui portent un tag au lieu d’une identité utilisateur. Chaque forfait en inclut 50, puis chaque ressource supplémentaire coûte 1 $ par mois. Vous pouvez les ajouter directement depuis la console de facturation.

Quelle est la solution la moins chère pour utiliser Tailscale avec une équipe de cinq personnes ?

Restez sur le forfait Personal, car cinq personnes tiennent dans la limite gratuite de six utilisateurs. Passez au forfait Standard à $8 par utilisateur et par mois, soit $480 par an pour cinq licences, lorsque vous avez besoin d’une fonctionnalité absente du forfait gratuit : rôles utilisateur avancés, provisionnement SCIM, contrôles de posture des appareils ou plus de 3 groupes ACL. Si vous êtes une association reconnue d’utilité publique ou un établissement d’enseignement, demandez la remise de 50 % au support Tailscale avant de vous abonner.

L’auto-hébergement de Headscale permet-il réellement de réduire les coûts ?

Il supprime la facturation par licence et la remplace par un serveur que vous devez administrer. Ce choix est pertinent lorsque la facture est votre seule motivation, que vous utilisez un seul tailnet et que vous gérez déjà un hôte Linux sauvegardé et maintenu à jour. Il devient moins intéressant si vous comptiez payer pour la gouvernance des identités, car la documentation de Headscale précise que les groupes OIDC ne peuvent pas être utilisés dans ses ACL. La stratégie fondée sur les groupes dont vous aviez besoin n’est donc pas transposable.