FTP ou SFTP : pourquoi le premier ne devrait plus être utilisé

Baie serveur dans un centre de données : l'accès sécurisé aux fichiers commence par le choix du bon protocole

À la une

Le protocole FTP transmet les identifiants et les fichiers en clair sur le réseau, ce qui signifie qu’un attaquant positionné entre le client et le serveur peut lire le mot de passe d’administration sans effort particulier. SFTP, lui, encapsule l’intégralité de la communication dans un tunnel SSH chiffré, rendant l’interception inexploitable. Pour tout site WordPress en production, le choix ne se discute plus depuis que la spécification SSH (RFC 4251) a normalisé ce canal sécurisé.

Sommaire

FTP envoie les mots de passe sans aucun chiffrement
SFTP fonctionne sur un seul port chiffré par SSH
Tableau comparatif : FTP, FTPS et SFTP
Quelle est la différence entre FTP et FTPS ?
Câble FTP et câble SFTP : une confusion fréquente qui n’a rien à voir
Configurer l’accès SFTP sur un hébergement WordPress

FTP envoie les mots de passe sans aucun chiffrement

Le File Transfer Protocol, défini dès 1971 puis formalisé dans la RFC 959, a été conçu à une époque où la sécurité réseau n’était pas une préoccupation. Chaque commande (USER, PASS, RETR, STOR) circule en texte brut sur le port 21. Un simple outil de capture de paquets, lancé sur le même réseau Wi-Fi qu’un café ou un espace de coworking (le genre d’endroit où l’on se dit « je mets juste un fichier à jour vite fait »), suffit à récupérer les identifiants.

FTP ouvre aussi un canal de données séparé pour chaque transfert, sur un port négocié dynamiquement. Ce fonctionnement à deux canaux complique la configuration des pare-feux et multiplie la surface d’attaque.

SFTP fonctionne sur un seul port chiffré par SSH

SFTP n’est pas une couche ajoutée au-dessus de FTP : c’est un protocole distinct, intégré au sous-système SSH. Il utilise un seul port, le port 22 par défaut, pour l’authentification et le transfert. Les données comme les commandes passent dans le même tunnel chiffré, ce qui simplifie les règles de pare-feu et élimine le problème des ports dynamiques.

L’authentification peut se faire par mot de passe (chiffré dans le tunnel) ou, mieux, par clé publique/privée. Avec une clé ED25519, la connexion est à la fois plus rapide et plus résistante aux tentatives de force brute qu’un mot de passe classique. C’est d’ailleurs la méthode recommandée pour les accès récurrents, par exemple le déploiement automatisé depuis un environnement de préproduction.

Voir aussi Erreur 500 sur WordPress : la méthode de diagnostic en cinq minutes

Tableau comparatif : FTP, FTPS et SFTP

Critère	FTP	FTPS	SFTP
Chiffrement	Aucun	TLS/SSL	SSH
Port par défaut	21	990 (implicite) ou 21 (explicite)	22
Nombre de canaux	2 (commande + données)	2 (commande + données, tous deux chiffrés)	1 seul
Authentification par clé	Non	Certificat X.509	Clé SSH
Configuration pare-feu	Complexe (ports dynamiques)	Complexe (ports dynamiques)	Simple (port unique)
Reprise de transfert	Partielle	Partielle	Oui

Le tableau montre que FTPS corrige le problème du chiffrement mais conserve l’architecture à deux canaux. SFTP résout les deux limites d’un coup.

Quelle est la différence entre FTP et FTPS ?

FTPS ajoute une couche TLS/SSL au protocole FTP existant, exactement comme HTTPS sécurise HTTP. Le canal de commande et le canal de données sont chiffrés, et le serveur présente un certificat SSL que le client peut vérifier. La différence majeure avec SFTP tient à l’infrastructure : FTPS nécessite un certificat à maintenir et ouvre toujours plusieurs ports, tandis que SFTP s’appuie sur le serveur SSH déjà présent sur la quasi-totalité des hébergements Linux.

Pourquoi alors choisir SFTP plutôt que FTPS ? Parce que la gestion d’un seul port et l’absence de certificat dédié réduisent la charge d’administration, surtout quand on gère plusieurs sites WordPress sur le même serveur.

Câble FTP et câble SFTP : une confusion fréquente qui n’a rien à voir

Les termes FTP et SFTP désignent aussi des types de blindage pour les câbles Ethernet, ce qui alimente régulièrement la confusion dans les résultats de recherche. Un câble FTP (Foiled Twisted Pair) possède un écran en aluminium global autour des paires torsadées. Un câble SFTP (Shielded and Foiled Twisted Pair) ajoute une tresse métallique par-dessus cet écran, offrant une meilleure protection contre les interférences électromagnétiques dans les environnements industriels ou les chemins de câbles très chargés.

Le rapport avec les protocoles de transfert de fichiers est strictement nul. Si la question concerne la sécurité d’un accès serveur, c’est bien du protocole SFTP (SSH File Transfer Protocol) qu’il s’agit, pas du blindage cuivre.

Configurer l’accès SFTP sur un hébergement WordPress

La plupart des hébergeurs mutualisés proposent SFTP dans leur interface d’administration. La procédure consiste généralement à activer l’option SSH/SFTP dans le panneau du compte, puis à renseigner dans le client de transfert (comme FileZilla) le protocole SFTP, le port 22, et les identifiants fournis par l’hébergeur.

Dans le fichier wp-config.php, la constante FS_METHOD peut être définie sur 'ssh2' pour que WordPress utilise SFTP lors des mises à jour de plugins et de thèmes, au lieu du FTP classique. Cela suppose que l’extension PHP ssh2 soit installée sur le serveur.

Pour les accès par clé, il est conseillé de générer une paire de clés dédiée au déploiement, avec une passphrase, et de la déclarer dans le fichier ~/.ssh/authorized_keys du serveur. Cette approche complète bien une stratégie de sécurité qui inclut la double authentification sur l’admin et le blocage des attaques par force brute.

À retenir

Désactiver l’accès FTP (port 21) dans le panneau de l’hébergeur et ne conserver que SFTP (port 22).
Privilégier l’authentification par clé SSH plutôt que par mot de passe.
Vérifier que le client de transfert affiche bien « SFTP » dans la barre de connexion, pas « FTP ».
Ajouter define('FS_METHOD', 'ssh2'); dans wp-config.php si le serveur le permet.

Questions fréquentes

Quelle est la différence principale entre SFTP et FTP ?

FTP transmet tout en clair (identifiants compris), tandis que SFTP chiffre l’intégralité de la connexion via un tunnel SSH. C’est la seule différence qui compte pour la sécurité d’un site.

Quelle est la différence entre un câble FTP et un câble SFTP ?

Il s’agit de types de blindage pour câbles Ethernet à paires torsadées. Le câble FTP a un écran aluminium global, le SFTP y ajoute une tresse métallique. Cela n’a aucun lien avec les protocoles de transfert de fichiers.

Quelle est la différence entre FTP et FTPS ?

FTPS est le protocole FTP auquel on a ajouté une couche de chiffrement TLS/SSL. Il sécurise les données en transit mais conserve l’architecture à deux canaux et nécessite un certificat, ce qui le rend plus complexe à administrer que SFTP.

Damien Roux

Damien Roux est l'hébergement web. de web-city.fr, il partage guides pratiques, comparatifs objectifs et outils gratuits pour choisir le bon hébergeur et créer son site WordPress