Qu'est-ce que le SSTP ?
Abréviation de Secure Socket Tunneling Protocol, le SSTP est un protocole VPN de Microsoft qui fait passer votre trafic dans HTTPS, via SSL/TLS sur le port TCP 443. Windows intègre le client, aucune application supplémentaire n'y est donc nécessaire, tandis que macOS, iOS, Linux et Android se connectent via des applications tierces. SHP.network ne propose pas SSTP parmi ses 7 protocoles. Si vous voulez un protocole VPN moderne sur votre propre serveur, SHP.network installe pour vous IKEv2, WireGuard ou OpenVPN dans les 10 minutes qui suivent le paiement.
- Toujours accepté par Windows Server 2025
- Recommandé par Microsoft à la place de PPTP et L2TP
- L'accès root à votre serveur SHP.network vous permet d'installer SSTP
Les bases du protocole VPN SSTP
Microsoft a créé le protocole SSTP pour l'accès à distance aux réseaux d'entreprise, à une époque où les hôtels et d'autres lieux bloquaient souvent le trafic PPTP et L2TP/IPsec ; de nombreux fournisseurs d'accès à Internet rejetaient aussi les paquets GRE dont dépend PPTP. Le SSTP est arrivé avec Windows Server 2008 et Windows Vista SP1 en 2008 ; Microsoft en avait publié la spécification en 2007. Comme le tunnel passe par TCP 443, le port qu'utilisent les sites HTTPS, le SSTP franchit la plupart des pare-feu et des proxys web. Il n'a besoin que de ce seul port, alors qu'IKEv2, par comparaison, s'appuie sur UDP 500 et 4500. La spécification du SSTP, MS-SSTP, est publique : d'autres développeurs peuvent donc créer des clients et des serveurs compatibles. Lorsque le type de VPN est réglé sur Automatique, Windows essaie aussi SSTP parmi d'autres protocoles. Côté serveur, Windows Server accepte ces connexions grâce à son rôle Routing and Remote Access.
Comment fonctionne le SSTP
Chaque session passe par plusieurs étapes avant que la moindre donnée ne circule. Votre appareil ouvre une connexion TCP vers le port 443 du serveur, et les deux parties effectuent une négociation TLS au cours de laquelle le serveur présente son certificat. Windows n'accepte ce certificat que s'il a été émis par une autorité de confiance et si le nom qui y figure correspond à l'adresse que vous avez saisie. Sur le canal chiffré, le client envoie une requête HTTPS, négocie le tunnel SSTP et vous authentifie via PPP. À partir de là, les paquets IP circulent dans des trames PPP, que le SSTP encapsule dans des enregistrements TLS transportés sur TCP.
Chiffrement et cryptographie du SSTP
Le chiffrement provient de TLS, qui négocie l'algorithme de chiffrement de chaque session. Le serveur prouve son identité au moyen d'un certificat, puis vous vous authentifiez via PPP, par exemple avec MS-CHAPv2 ou EAP-TLS. Pour relier ces deux vérifications, le SSTP utilise la liaison cryptographique : le client envoie une valeur calculée à partir de l'authentification PPP et protégée par HMAC-SHA1 ou HMAC-SHA256, ce qui empêche un intermédiaire malveillant de relayer la session. Dans TLS, seul le serveur doit prouver son identité ; il vous vérifie plus tard, lors de l'authentification PPP. Sans lien entre les deux vérifications, un intermédiaire malveillant pourrait ouvrir sa propre connexion HTTPS vers le serveur et y transmettre les paquets PPP que vous lui avez envoyés en rejoignant un autre réseau, par exemple un réseau sans fil. La spécification rend la liaison cryptographique obligatoire pour toute implémentation du SSTP. Grâce à elle, le client prouve qu'il est bien l'appareil que le serveur a authentifié et que l'authentification a été faite pour cette connexion SSTP.
Avantages et inconvénients du SSTP
Le SSTP doit ses points forts à HTTPS ; TCP et une implémentation fermée de Microsoft en fixent les limites.
| SSTP | |
|---|---|
| Client intégré | le client SSTP de Windows ne demande aucune application supplémentaire |
| Passage des pare-feu | TCP 443 franchit la plupart des pare-feu |
| Proxys web | la connexion HTTPS passe aussi par la plupart des proxys web |
| Réseaux d'entreprise | Windows Server 2025 accepte toujours les connexions SSTP |
| Authentification | PPP prend en charge des méthodes robustes comme EAP-TLS |
| Plateformes | intégré à Windows ; applications pour macOS, iOS, Linux et Android |
| Code source | L'implémentation de Microsoft est fermée, même si la spécification du protocole est publique et qu'il existe des implémentations open source |
| Transport | fonctionne uniquement sur TCP |
Le SSTP est-il sûr ?
Microsoft considère le SSTP comme une option sûre : l'entreprise recommande SSTP et IKEv2 à la place de PPTP et L2TP, et Windows Server 2025 accepte toujours ce protocole. TLS protège le tunnel, le serveur prouve son identité par un certificat, et la liaison cryptographique protège l'authentification, qui a lieu dans le canal chiffré. L'implémentation de Microsoft reste toutefois fermée. Pour les nouvelles installations, SHP.network recommande WireGuard ou OpenVPN. Les protocoles plus anciens que remplace le SSTP s'en sortent moins bien : depuis Windows Server 2025, les nouvelles installations de Routing and Remote Access refusent par défaut les connexions PPTP et L2TP, et Microsoft indique que ces deux protocoles présentent des vulnérabilités bien documentées et ne répondent plus aux normes de sécurité actuelles. Certains serveurs SSTP sont open source : SoftEther VPN Server sous licence Apache-2.0 et accel-ppp, un serveur PPTP, L2TP et SSTP pour Linux, sous GPL-2.0. Sur votre propre serveur, vous pouvez installer l'un d'eux : l'implémentation SSTP que vous utilisez est alors une implémentation dont tout le monde peut lire le code.
Le SSTP face aux autres protocoles VPN
Le SSTP partage son port avec les sites HTTPS. OpenVPN, IKEv2 et WireGuard sont les protocoles que SHP.network installe sur votre propre serveur, fourni avec une adresse IP dédiée.
| SSTP | OpenVPN | IKEv2 | WireGuard | |
|---|---|---|---|---|
| Port | TCP 443 | UDP 1194 sur SHP.network | UDP 500 et 4500 | UDP 51820 sur SHP.network |
| Vitesse | fonctionne uniquement sur TCP | modérée | élevée | élevée |
| Sécurité | TLS avec certificat serveur et liaison cryptographique | audité à plusieurs reprises, dernièrement par SRLabs en 2026 | norme IETF éprouvée par des années de relecture par les pairs | protocole vérifié formellement |
| Plateformes | intégré à Windows ; applications pour macOS, iOS, Linux et Android | l'application OpenVPN Connect sur Windows, macOS, iOS et Android ; Linux | intégré à Windows, macOS et iOS ; l'application strongSwan sur Android | l'application WireGuard sur Windows, macOS, iOS et Android ; Linux |
| Résistance au DPI | TCP 443, le port HTTPS | faible : non conçu pour contourner les blocages | faible : ports UDP fixes 500 et 4500 | faible : non conçu pour contourner les blocages |
Comment configurer une connexion VPN SSTP
SHP.network n'installe pas SSTP, mais votre accès root suffit pour configurer vous-même un serveur VPN SSTP.
Commandez un serveur avec un OS vierge
Choisissez un forfait et une ville sur SHP.network sans choisir de protocole : le serveur est livré avec Ubuntu 24.04 et sans logiciel VPN. L'accès root via SSH est inclus dans chaque forfait (y compris l'essai de 7 jours).
Installez le serveur SSTP
Via SSH, installez SoftEther VPN Server ou accel-ppp, activez SSTP et ouvrez le port TCP 443 dans le pare-feu que SHP.network configure. Ajoutez ensuite un certificat reconnu par Windows, émis pour le nom exact auquel vous vous connecterez.
Connectez-vous depuis Windows
Dans Windows, ouvrez Paramètres, puis Réseau et Internet, VPN et Ajouter un VPN. Réglez le fournisseur VPN sur Windows (intégré) et le type de VPN sur SSTP, puis saisissez l'adresse du serveur, votre nom d'utilisateur et votre mot de passe.
Alternatives modernes au SSTP
Au lieu du SSTP, choisissez parmi les protocoles VPN que SHP.network installe pour vous, chacun sur un serveur qui n'appartient qu'à vous :
Intégré comme le SSTP
IKEv2 fonctionne avec les clients VPN intégrés de Windows, macOS et iOS, et SHP.network le configure sur votre serveur en 10 minutes maximum. Sur Android, IKEv2 se connecte via l'application strongSwan.
Haute vitesse
WireGuard est rapide et envoie son trafic sur le port UDP 51820, chiffré avec ChaCha20-Poly1305. Une preuve Tamarin vérifie formellement le protocole. Chaque appareil possède sa propre paire de clés, comme avec SSH.
Éprouvé et audité
OpenVPN a été audité à plusieurs reprises, dernièrement par SRLabs en 2026, et fonctionne sur Windows, macOS, iOS, Android et Linux. SHP.network le configure sur le port UDP 1194.
Questions fréquentes
Secure Socket Tunneling Protocol. Microsoft l'a conçu pour transporter le trafic PPP dans une connexion HTTPS.
TCP 443. Le port SSTP est celui qu'utilisent les sites HTTPS : le pare-feu n'a donc besoin d'aucune autre ouverture pour lui.
SHP.network recommande OpenVPN : son code est open source, il a été audité à plusieurs reprises et il fonctionne sur tous les grands systèmes. Là où seul le client intégré de Windows est autorisé, SSTP et IKEv2 fonctionnent tous deux sans application supplémentaire. SHP.network installe aussi OpenVPN pour vous, alors que le SSTP serait à configurer vous-même.
Pas avec un client intégré, mais des applications tierces l'ajoutent. Mac et iPhone utilisent SSTP Connect, une application payante de l'App Store ; Linux dispose de sstp-client et de NetworkManager-sstp ; et Android a l'application open source Open SSTP Client.
Oui. Windows fournit toujours le client et essaie SSTP dans son type de VPN Automatique, Windows Server 2025 accepte le protocole, et en 2024 Microsoft a conseillé de passer de PPTP et L2TP à SSTP ou IKEv2.