SFTP, FTPS et FTP : comparer les protocoles de transfert

SFTP est le protocole à retenir pour envoyer chaque fichier d’un site sur son serveur web : identifiant, clé et donnée transmise voyagent cryptés dans une seule connexion SSH sécurisée. FTP ou SFTP ? Le protocole FTP en clair ne sert que sur un réseau fermé ; le FTPS dépanne quand l’hébergeur n’ouvre pas SSH.

FTP, FTPS et SFTP, deux familles sous trois sigles

Les trois sigles se ressemblent, mais FTP et FTPS forment une famille, SFTP une autre. Le choix entre ces protocoles de communication change la façon dont les identifiants voyagent, le nombre de ports à ouvrir et les outils compatibles.

FTP, le protocole historique de 1971

Le protocole FTP (FTP, file transfer protocol) apparaît en 1971 dans la RFC 114, et sa version de référence, la RFC 959, date de 1985. Il repose sur un modèle client serveur à deux canaux : une connexion de contrôle sur le port TCP 21, puis un canal séparé pour chaque transfert de fichier ou chaque listage de dossier. Rien n’y est crypté, ni les instructions, ni le contenu, ni le mot de passe envoyé par l’instruction PASS.

FTPS, le même FTP protégé par SSL/TLS

FTPS ajoute au FTP la couche SSL/TLS, celle du HTTPS, décrite par la RFC 4217 en 2005. Le mode explicite démarre sur le port 21 puis bascule en session sécurisée (instruction AUTH TLS) ; le mode implicite crypte d’emblée sur le port 990. Le principe des canaux multiples reste le même, avec ses contraintes de filtrage.

SFTP, le SSH File Transfer Protocol

SFTP, pour SSH File Transfer Protocol (parfois écrit SSH/File Transfer Protocol), n’a rien d’un FTP amélioré : c’est un sous-système du protocole SSH (secure shell, normalisé par les RFC 4251 à 4254 en 2006). Le serveur SFTP utilise la même connexion chiffrée que le terminal SSH, sur le port 22, pour les instructions comme pour chaque donnée. Le nom « secure file transfer protocol » circule aussi, mais il désigne le même outil.

Ce que voit un tiers sur une session FTP en clair

Une session FTP sans protection expose tout ce qu’elle transporte à quiconque se trouve sur le chemin du trafic : un wifi d’hôtel ou de gare, un routeur compromis, un poste infecté du même bureau. Un simple outil de capture comme Wireshark affiche l’instruction USER, puis PASS suivie du secret en toutes lettres. L’attaquant n’a rien à casser : il lit.

Muni de ces secrets, un tiers dépose un script malveillant dans le dossier public, modifie un fichier de configuration ou copie la base de données exportée laissée sur le serveur. Les campagnes d’injection de code dans des sites WordPress passent souvent par des comptes FTP volés plutôt que par une faille du CMS. Le contenu transféré circule lui aussi en clair : un export de clients, un fichier wp-config.php ou des sauvegardes deviennent lisibles. Pour une boutique qui touche à des cartes bancaires, la norme PCI DSS (exigence 4) impose de crypter ces échanges sur les réseaux publics, ce que FTP ne sait pas faire. Les informations sensibles d’une entreprise (contrats, fichiers clients) appellent la même prudence.

Pourquoi SFTP s’impose chez les hébergeurs web

SFTP s’impose d’abord par le chiffrement de bout en bout : identifiants, instructions, noms de dossiers et contenu passent dans le tunnel SSH. Le protocole vérifie aussi l’intégrité de chaque paquet, si bien qu’une altération en route se repère au lieu de corrompre une page en silence.

Le second argument tient au filtrage. Le FTP utilise une connexion de données distincte, active ou passive, que les pare-feu et les box filtrent mal ; le mode passif oblige l’hébergeur à ouvrir toute une plage de ports. SFTP n’emploie qu’un port, ce qui simplifie la sécurité côté serveur et évite les listages qui restent bloqués sur « Récupération de la liste ». Les navigateurs ont d’ailleurs abandonné le protocole FTP : Chrome a retiré sa prise en charge avec la version 88 en janvier 2021, Firefox avec la version 90 en 2021 aussi.

Parmi les avantages de SFTP sur le plan de la sécurité, la différence la mieux visible tient à l’authentification : l’authentification par clé, impossible en FTP, retire au mot de passe son rôle de point faible. Une autre différence concerne la transmission elle-même, contrôlée paquet par paquet, ce qui donne confiance dans la copie d’une base de données volumineuse ou d’une archive de sauvegarde.

La plupart des formules mutualisées récentes ouvrent un accès SFTP, parfois à activer dans le panneau de gestion ; le support technique de l’hébergeur indique l’adresse du serveur, le port et l’identifiant à saisir pour se connecter. Sur un serveur VPS administré par son propriétaire, SSH est présent d’office : un serveur FTP séparé n’a souvent aucune raison d’y tourner.

Comment fonctionne le protocole SFTP à l’intérieur de SSH

Le protocole SFTP fonctionne en trois temps. D’abord, le logiciel client ouvre une session SSH sur le port 22 et négocie les algorithmes de chiffrement avec le serveur. Ensuite, le serveur présente sa clé d’hôte : le client compare son empreinte à celle qu’il connaît, ou la montre à l’utilisateur lors du premier contact. Enfin, après l’authentification, le client demande le sous-système « sftp » et échange des requêtes binaires (ouvrir, lire, écrire, renommer, lister).

La version 3 du protocole, celle qu’implémente OpenSSH, reste la mieux implantée ; l’IETF n’a jamais publié de RFC finale pour SFTP, seulement des brouillons successifs. Depuis OpenSSH 9.0 (avril 2022), l’outil scp passe elle-même par SFTP par défaut. SFTP offre aussi ce que le FTP n’a jamais su faire proprement : reprendre un envoi interrompu à l’octet près, conserver dates et droits, créer des liens symboliques.

L’empreinte de la clé d’hôte mérite une vraie vérification : si elle change sans raison connue (réinstallation, migration), le client affiche un avertissement, qui peut signaler une interception. L’hébergeur publie normalement cette empreinte dans son espace client ou sa documentation d’aide.

Mot de passe ou paire de clés SSH pour s’authentifier

L’authentification par clé SSH remplace le secret partagé par une paire : une clé privée qui ne quitte jamais l’ordinateur, une clé publique déposée sur le serveur dans le fichier authorized_keys. À la connexion, le serveur pose un défi que seule la clé privée sait résoudre ; aucun secret ne transite.

Une clé de type Ed25519, générée par ssh-keygen -t ed25519, constitue le choix courant en 2026 ; RSA en 3072 bits reste accepté par la quasi-totalité des hébergements. Protéger la clé privée par une phrase secrète limite les dégâts si l’ordinateur est volé. Une fois la clé en place, désactiver l’authentification par mot de passe ferme la porte aux attaques par force brute, qui visent le port 22 de tous les serveurs exposés sur internet.

Le FTPS connaît un équivalent, le certificat client, rarement proposé en hébergement mutualisé. Sous Windows, PuTTYgen ou ssh-keygen (intégré à Windows 10 et 11) produit la paire, et WinSCP l’utilise à l’aide d’un simple réglage d’authentification. Le FTP simple ne connaît que le couple identifiant et secret, transmis lisible.

Quel protocole selon le profil du site

Le profil du site et de son hébergement décide davantage que les préférences techniques. Le tableau croise les situations courantes avec le protocole à retenir.

Pour un site WordPress, seul le dossier wp-content change d’une mise à jour à l’autre : thèmes, extensions et médias. Les réglages propres à l’hébergement d’un WordPress (version de PHP, cache, SSH) pèsent sur le choix de l’offre autant que le protocole.

Configurer un serveur SFTP sur un VPS

Configurer un serveur SFTP sur un VPS Linux ne demande aucun logiciel supplémentaire : OpenSSH, installé d’office, sait déjà le faire. Le réglage utile consiste à créer un utilisateur dédié au site, à l’enfermer dans son dossier et à lui retirer le terminal.

1. Créer un groupe, par exemple sftpusers, puis un utilisateur membre de ce groupe sans shell interactif.
2. Dans /etc/ssh/sshd_config, ajouter un bloc « Match Group sftpusers » avec ForceCommand internal-sftp et ChrootDirectory pointant vers le dossier du site.
3. Attribuer le dossier racine du chroot à root, la règle d’OpenSSH, et ouvrir en écriture le sous-dossier public à l’utilisateur.
4. Déposer sa clé publique, passer PasswordAuthentication à no, puis tester avant de recharger le service ssh.

Garder une seconde session ouverte pendant ces essais évite de s’enfermer dehors si la configuration contient une erreur. Un outil comme fail2ban bloque ensuite les adresses qui multiplient les tentatives ratées sur le port 22.

Les cas où FTP ou FTPS restent utiles

FTP survit dans des usages précis où l’on ne peut pas utiliser SFTP. Beaucoup d’imprimantes multifonctions, de caméras et d’automates industriels ne savent déposer leurs numérisations qu’en FTP : on les laisse alors sur un réseau local isolé, avec un compte qui ne voit qu’un dossier. Certains miroirs publics de logiciels proposent encore un accès anonyme en lecture, sans aucun secret à protéger.

FTPS garde sa place chez les hébergeurs mutualisés qui n’ouvrent pas SSH et dans des échanges interentreprises bâtis il y a quinze ou vingt ans, où les partenaires possèdent déjà des certificats. Dans ces deux cas, le client doit exiger TLS : FileZilla propose l’option « Exiger FTP explicite sur TLS », qui refuse la connexion si le serveur ne crypte pas, au lieu de basculer en silence vers le FTP en clair.

Entreprises, PCI DSS et transfert de fichiers géré

Une entreprise qui échange chaque jour des commandes, des factures ou des fichiers de paie avec des partenaires dépasse vite le simple logiciel client. Les solutions de managed file transfer (MFT) ajoutent au serveur SFTP la traçabilité de chaque dépôt, les alertes en cas d’échec, la reprise automatique et le chiffrement au repos.

Ces outils répondent aux exigences de conformité : PCI DSS pour les données de cartes bancaires, RGPD pour les données personnelles. L’hébergement conforme au RGPD suppose de savoir où les documents transitent et qui y accède ; un journal SFTP horodaté apporte cette preuve, un FTP en clair l’efface. Une solution cloud de stockage ne remplace pas ce contrôle si elle ne garde aucun historique. Pour une PME, un serveur SFTP bien réglé avec des comptes par partenaire couvre souvent l’essentiel sans plateforme MFT.

Secrets enregistrés, fichiers écrasés et droits trop larges

Enregistrer ses identifiants dans le logiciel client sans protection reste l’erreur la mieux exploitée : des logiciels malveillants volent précisément le fichier de sites enregistrés de FileZilla pour injecter du code ailleurs. Un mot de passe maître dans le gestionnaire de sites, ou la clé SSH protégée par phrase secrète, coupe ce risque.

L’écrasement accidentel arrive tout aussi souvent : envoyer une ancienne configuration par-dessus celle du serveur coupe le site, et une suppression côté serveur ne passe pas par une corbeille. Une sauvegarde testée avant chaque envoi important ramène le site en quelques minutes. Côté droits, 755 pour les dossiers et 644 pour les documents suffisent sur la plupart des hébergements ; un 777 laissé après un dépannage ouvre l’écriture à tout processus du serveur.

Au-delà du transfert manuel, Git et rsync par SSH

Pour un site qui évolue chaque semaine, le dépôt manuel cède la place au déploiement automatisé. Le code part dans un dépôt Git, puis un outil le copie sur le serveur par SSH en une commande, sans oublier ni écraser un document. rsync, qui passe lui aussi par SSH, n’envoie que les différences et peut supprimer côté serveur ce qui a disparu en local.

Cette méthode garde l’historique de chaque version et permet de revenir à la précédente si une mise en ligne pose problème. Elle repose sur le même socle que SFTP : la clé SSH, un compte limité et le port 22.

Port bloqué, SCP, navigateur : les questions concrètes sur SFTP et FTP

SFTP et FTPS sont-ils la même chose ?

Non, SFTP et FTPS reposent sur deux protocoles différents. FTPS reste du FTP protégé par TLS, avec plusieurs canaux ; SFTP appartient à SSH et n’utilise qu’un canal, en général sur le port 22.

Que faire si le port 22 est bloqué sur le réseau ?

Certains réseaux d’entreprise ou d’hôtel filtrent le port 22. Plusieurs hébergeurs exposent SSH sur un autre port, indiqué dans leur documentation ; à défaut, un partage de connexion depuis un téléphone permet de passer.

SCP ou SFTP pour copier un fichier ?

Pour une copie ponctuelle en ligne de commande, scp suffit et passe d’ailleurs par SFTP depuis OpenSSH 9.0. Pour parcourir l’arborescence, renommer ou reprendre un envoi, un client SFTP comme WinSCP, FileZilla ou Cyberduck reste préférable.

Peut-on ouvrir un serveur FTP dans un navigateur web ?

Non, Chrome et Firefox ont retiré la prise en charge du FTP en 2021. Un serveur FTP se consulte désormais avec un logiciel client ou l’explorateur de fichiers du système.