Qu’est-ce que le SFTP ? Le protocole SSH File Transfer Protocol expliqué

SFTP signifie SSH File Transfer Protocol, et l’on trouve souvent la formule Secure File Transfer Protocol. Il transfère des fichiers entre un client et un serveur au sein d’une seule connexion chiffrée Secure Shell (SSH), normalement sur le port TCP 22. La couche SSH authentifie le serveur, chiffre les commandes, les identifiants et les données en transit, et protège la connexion contre toute altération. Le SFTP est un protocole distinct de FTP et diffère du FTPS, qui ajoute TLS à FTP.

Le SFTP protège les données en transit, mais il n’analyse pas les fichiers à la recherche de logiciels malveillants, n’applique pas de politiques de données et ne fournit pas aux équipes de conformité un historique gouverné de qui a consulté quoi. Les organisations réglementées associent donc le SFTP à la gestion des clés, au contrôle d’accès et à la journalisation d’audit. Kiteworks fournit un plan de contrôle pour l’échange sécurisé de données, qui place le SFTP, le transfert de fichiers géré, la messagerie et le partage de fichiers sous le même chiffrement, le même contrôle d’accès et la même journalisation d’audit.

Points clés à retenir

1. Le SFTP n’est pas du FTP auquel on a ajouté le chiffrement

Le SFTP est un protocole distinct qui s’exécute dans une session SSH, et non une version sécurisée de FTP. Il n’utilise ni les commandes FTP ni les connexions séparées de contrôle et de données de FTP, ce qui explique qu’il traverse plus facilement les pare-feu que le FTPS.

2. Le SFTP protège les données en transit, pas le reste

Le chiffrement en transit couvre la confidentialité et l’intégrité pendant le transfert. Les fichiers au repos, les logiciels malveillants contenus dans les fichiers et la gouvernance de qui peut envoyer quoi sont des problèmes distincts, qui appellent des contrôles distincts.

3. L’authentification par clé vaut mieux que les mots de passe

L’authentification par clé publique, idéalement associée à l’authentification multifacteur, résiste aux tentatives de devinette d’identifiants que les mots de passe favorisent. La contrepartie est la gestion des clés : les clés non gérées s’accumulent et deviennent un risque discret.

4. Le port 22 est une valeur par défaut, pas une fonction de sécurité

Le numéro de port ne change pas la robustesse du chiffrement. Déplacer le SFTP vers un autre port peut réduire le bruit des analyses automatisées, mais ne remplace ni une authentification forte, ni des algorithmes à jour, ni la surveillance.

5. La conformité dépend du système qui entoure le SFTP

Le SFTP peut répondre aux attentes en matière de sécurité des transmissions, mais ce sont les pistes d’audit, le contrôle d’accès et la détention des clés qui déterminent si un échange est défendable. Les auditeurs recherchent la preuve de qui a transféré quelles données, quand et selon quelle politique.

Que signifie SFTP ?

Le « S » de SFTP renvoie à Secure Shell, le protocole qui fournit le canal sécurisé. SSH a été conçu pour remplacer des outils d’accès à distance non sécurisés. Le SFTP a été conçu en parallèle pour gérer les opérations sur les fichiers dans ce canal : téléversement, téléchargement, liste des répertoires, renommage et suppression de fichiers.

Le protocole est défini dans une série de projets de l’IETF issus du groupe de travail SSH, et non dans une norme publiée. Ces projets ont expiré, et des implémentations comme OpenSSH suivent une version antérieure du protocole (la version 3), devenue la référence de fait. Le transport SSH sur lequel repose le SFTP est normalisé dans les RFC 4251 à 4254.

On confond parfois le SFTP avec d’autres termes :

• FTP (File Transfer Protocol) envoie les commandes, les identifiants et les données en clair. Consultez notre fiche du glossaire sur le FTP.
• FTPS est du FTP encapsulé dans TLS. Il reprend la structure de commandes de FTP, ce qui explique qu’il exige plusieurs ports.
• SCP est un outil de copie distinct, fondé sur SSH, qui offre moins de fonctions que le SFTP.
• TFTP (Trivial File Transfer Protocol) utilise UDP et n’offre ni authentification ni chiffrement. Il se limite à des tâches simples, comme le démarrage d’équipements réseau.

Comment fonctionne le SFTP ?

Une session SFTP suit une séquence prévisible :

1. Connexion. Le client ouvre une connexion TCP vers le serveur, généralement sur le port 22, et les deux parties s’accordent sur les versions du protocole et sur les algorithmes.
2. Échange de clés et authentification du serveur. Le client et le serveur établissent des clés de session partagées au moyen d’une méthode d’échange de clés, et le serveur prouve son identité avec sa clé d’hôte. Le client vérifie cette clé par rapport à une clé en laquelle il a déjà confiance, ce qui protège contre les attaques de l’homme du milieu.
3. Chiffrement et intégrité. À partir de là, tout le trafic est chiffré avec un chiffrement symétrique comme AES ou ChaCha20-Poly1305 et protégé par un code d’authentification de message ou par un mode de chiffrement authentifié.
4. Authentification de l’utilisateur. L’utilisateur prouve son identité par un mot de passe, une paire de clés SSH, des invites interactives au clavier comme un code à usage unique, ou d’autres méthodes prises en charge.
5. Opérations sur les fichiers. Le client démarre le sous-système SFTP et envoie des requêtes pour lire, écrire, lister et gérer les fichiers sur la même connexion.

Comme les commandes et les données transitent par une seule connexion, le SFTP n’a besoin que d’un seul port ouvert. Cette simplicité est l’une des principales raisons pour lesquelles les administrateurs le préfèrent au FTPS. L’échange de clés dans le SSH moderne repose couramment sur la cryptographie à courbes elliptiques de type Diffie-Hellman, et les clés d’hôte et d’utilisateur sont couramment de type Ed25519, ECDSA ou RSA. Pour comprendre le fonctionnement de ces types de clés, consultez notre guide sur le chiffrement à clé publique et à clé privée, et pour le chiffrement symétrique le plus souvent utilisé pour le flux de données, consultez le chiffrement AES-256.

Le SFTP est-il sécurisé ?

Le SFTP offre une protection solide des données en transit lorsqu’il est bien configuré. Il assure notamment :

• La confidentialité. Les commandes, les identifiants et le contenu des fichiers sont chiffrés entre le client et le serveur.
• L’intégrité. Toute altération en transit est détectée grâce à l’authentification des messages.
• L’authentification du serveur. La clé d’hôte permet aux clients de détecter un serveur usurpé, à condition que le client vérifie la clé.
• Une authentification flexible des utilisateurs. La connexion par clé et les options multifacteur réduisent la dépendance aux mots de passe.

Les limites comptent tout autant. Le SFTP ne protège pas les fichiers au repos sur le serveur, n’inspecte pas le contenu des fichiers à la recherche de logiciels malveillants ou de données sensibles, et ne fournit pas à lui seul de journaux centralisés ni de workflows d’approbation. Il ne traite pas non plus la disponibilité : la résilience dépend donc de la manière dont le serveur et le réseau sont conçus. Les faiblesses les plus courantes en pratique sont les mots de passe faibles, les clés non gérées, les algorithmes obsolètes, les comptes partagés et l’absence de surveillance. Ce sont des problèmes de configuration et de gouvernance, pas des défauts du protocole. Notre présentation du transfert de fichiers sécurisé explique comment ces contrôles s’articulent.

Quel port le SFTP utilise-t-il ?

Le SFTP utilise par défaut le port TCP 22, le même que SSH, et n’a besoin d’aucun port de données distinct. Les administrateurs peuvent l’exécuter sur un autre port. Cela peut réduire le volume des tentatives de connexion automatisées visant le port 22, mais ne renforce pas le chiffrement : cette mesure doit donc compléter, et non remplacer, l’authentification par clé, les restrictions par adresse IP et la surveillance.

À titre de comparaison, FTP utilise le port 21 pour les commandes et une connexion de données distincte. Le FTPS utilise le port 21 en mode explicite ou le port 990 en mode implicite, plus une plage de ports pour les connexions de données, ce qui complique les règles de pare-feu. Le TFTP utilise le port UDP 69.

Quelle est la différence entre FTP, SFTP, FTPS et TFTP ?

Protocole	Fondé sur	Chiffrement	Ports habituels	Effet sur le pare-feu
FTP	TCP	Aucun ; identifiants et données en clair	21 plus connexions de données	Plusieurs ports, mode passif nécessaire
FTPS	FTP avec TLS	TLS	21 ou 990 plus plage de ports de données	Plusieurs ports à ouvrir et à suivre
SFTP	SSH	Chiffrement du transport SSH	22	Port unique
TFTP	UDP	Aucun	69	Limité aux réseaux locaux de confiance

Le FTPS est un choix raisonnable lorsque les partenaires exploitent déjà des systèmes et des certificats TLS, tandis que le SFTP est généralement plus simple à déployer à travers les pare-feu et convient aux exploitations centrées sur SSH. Pour une comparaison plus détaillée, lisez notre guide SFTP et FTP. Le SFTP diffère aussi d’un VPN. Un VPN protège un chemin réseau et peut acheminer n’importe quel trafic, alors que le SFTP sécurise un seul service de transfert de fichiers : les organisations les utilisent donc souvent ensemble plutôt que de choisir l’un ou l’autre.

Quels sont les avantages et les inconvénients du SFTP ?

Avantages

• Un chiffrement et une authentification du serveur solides, dans un protocole mature et largement pris en charge.
• Un seul port et une seule connexion, ce qui simplifie la conception des pare-feu et du réseau.
• La prise en charge de l’authentification par clé, qui convient à l’automatisation et réduit le risque lié aux mots de passe.
• Une large prise en charge côté client et côté serveur sur les systèmes d’exploitation et les outils de script.
• De nombreux clients peuvent reprendre les transferts interrompus, ce qui aide pour les fichiers volumineux.

Inconvénients

• La prolifération des clés. Les clés qui ne sont ni inventoriées ni renouvelées créent des accès cachés.
• Aucune inspection de contenu intégrée : les logiciels malveillants et les données sensibles passent donc, sauf si d’autres contrôles existent.
• Une gouvernance native limitée. La journalisation, les rapports, les approbations et la conservation dépendent de la plateforme serveur.
• Les performances sur les liaisons à forte latence peuvent être décevantes, et le comportement varie selon les implémentations.
• Les configurations manuelles sont difficiles à étendre à de nombreux partenaires, comptes et scripts.

Quelles sont les bonnes pratiques pour utiliser le SFTP en toute sécurité ?

1. Privilégiez l’authentification par clé et ajoutez l’authentification multifacteur lorsque les utilisateurs se connectent de manière interactive. Désactivez les connexions par mot de passe pour les comptes automatisés. Consultez notre guide sur l’authentification multifacteur.
2. Gérez les clés comme des actifs. Tenez un inventaire, attribuez des responsables, renouvelez les clés selon un calendrier et supprimez-les lorsque des personnes ou des intégrations partent.
3. Vérifiez les clés d’hôte. Épinglez ou distribuez des clés d’hôte de confiance afin que les clients détectent un serveur modifié ou usurpé.
4. N’autorisez que des algorithmes modernes. Désactivez les chiffrements, méthodes d’échange de clés et algorithmes de signature hérités qui ne sont plus considérés comme sûrs.
5. Appliquez le moindre privilège. N’accordez à chaque compte que les dossiers et les opérations dont il a besoin, et évitez les comptes partagés. Consultez le contrôle d’accès basé sur les rôles.
6. Restreignez l’origine des connexions. Utilisez des listes d’adresses IP autorisées, le géorepérage et la limitation de débit contre les attaques par force brute.
7. Analysez et inspectez les fichiers. Ajoutez une analyse antivirus et des contrôles de prévention des pertes de données, car le SFTP ne les fait pas lui-même. Consultez nos guides sur l’antivirus et la prévention des pertes de données.
8. Journalisez tout et envoyez les journaux à votre SIEM. Enregistrez les connexions, les échecs et les opérations sur les fichiers, et examinez-les. Consultez notre guide sur les journaux d’audit.
9. Appliquez rapidement les correctifs du logiciel serveur. Les implémentations SSH reçoivent régulièrement des correctifs de sécurité.

Quand faut-il utiliser le SFTP ?

Le SFTP convient aux échanges planifiés et automatisés entre parties connues. Parmi les exemples courants figurent les organisations de santé qui échangent avec leurs partenaires des fichiers de demandes de remboursement et de dossiers, les établissements financiers qui livrent des rapports par lots, les industriels qui échangent des fichiers de commandes et d’EDI avec leurs fournisseurs, les administrations qui reçoivent des dépôts, les équipes média qui livrent de gros fichiers, et les équipes de développement qui distribuent des artefacts de build. Pour le partage ponctuel avec des personnes qui ont besoin d’une expérience interactive, le partage de fichiers sécurisé ou la protection de la messagerie conviennent souvent mieux que de demander aux destinataires d’utiliser un client SFTP. Découvrez comment le transfert de fichiers géré prolonge le SFTP pour les workflows récurrents.

Quel rôle le SFTP joue-t-il dans la conformité ?

Le SFTP aide les organisations à répondre aux obligations de protection des données en transit, mais aucun protocole ne rend à lui seul une organisation conforme. Parmi les exigences qu’il peut soutenir figurent la norme de sécurité des transmissions de la règle de sécurité HIPAA (HIPAA), les exigences de PCI DSS en matière de cryptographie forte lorsque les données de titulaires de cartes traversent des réseaux ouverts (PCI DSS), l’obligation de sécurité du traitement du RGPD, et les mesures de la NIST SP 800-171 pour protéger les informations non classifiées contrôlées pendant leur transmission (NIST 800-171). Les auditeurs demandent généralement davantage que des preuves de chiffrement. Ils veulent voir qui a échangé quelles données, qui a approuvé l’accès, comment les clés sont contrôlées et si la cryptographie est validée. Les organisations qui ont besoin d’une cryptographie validée devraient rechercher des modules validés FIPS.

Que rechercher dans une solution SFTP ?

• Options d’authentification : connexion par clé, authentification multifacteur et intégration avec votre fournisseur d’identité.
• Gestion des clés : enregistrement des clés en libre-service, contrôles par politique et responsabilité clairement attribuée.
• Autorisations granulaires : accès aux dossiers selon les rôles et possibilité de fonctionner en lecture seule.
• Contrôles de session : limites de sessions simultanées et délais d’inactivité.
• Journalisation d’audit : enregistrements complets des connexions, des échecs et des opérations sur les fichiers, avec des flux vers votre SIEM.
• Contrôles de contenu : intégration de l’antivirus et de la prévention des pertes de données (DLP).
• Cryptographie : algorithmes modernes et modules validés FIPS pour les environnements réglementés.
• Souplesse de déploiement : des options adaptées à vos exigences de résidence des données et d’isolation. Consultez notre présentation des options de déploiement sécurisé.
• Automatisation et passage à l’échelle : planification, workflows et transferts volumineux avec reprise.

Situation actuelle : échange de clés post-quantique et algorithmes hérités

Cette section est revue et mise à jour séparément du reste de la page. Dernière revue : octobre 2026.

OpenSSH 10.0, publié en avril 2025, a fait de la méthode d’échange de clés post-quantique hybride mlkem768x25519-sha256 le choix par défaut du client, en combinant l’algorithme ML-KEM-768 normalisé par le NIST et la méthode à courbe elliptique X25519. La même version a supprimé la prise en charge de l’algorithme de signature DSA, jugé faible. L’échange de clés hybride est conçu pour empêcher que des sessions SFTP enregistrées aujourd’hui soient déchiffrées plus tard par un futur ordinateur quantique, tout en conservant la protection des algorithmes actuels.

Le recours à un échange de clés post-quantique par une connexion SFTP dépend des deux extrémités. Le logiciel client et le logiciel serveur doivent le prendre en charge, et le serveur doit l’autoriser dans sa configuration. Lorsque vous évaluez un serveur ou un service SFTP, demandez quelles méthodes d’échange de clés il prend en charge et s’il est possible de désactiver les algorithmes hérités.

Transférez des fichiers en toute sécurité et en conformité avec le SFTP de Kiteworks

Kiteworks fournit un plan de contrôle pour l’échange sécurisé de données, qui applique au SFTP la même gouvernance qu’à la messagerie, au partage de fichiers et au transfert de fichiers géré. Le serveur SFTP de Kiteworks donne aux tiers externes un accès SFTP aux dossiers partagés, tandis que les employés accèdent aux mêmes dossiers par les interfaces web et mobile, sous les mêmes contrôles d’accès. La plateforme aide les organisations de plusieurs façons :

• Authentification par clé et pilotée par politique. Les administrateurs peuvent exiger l’authentification par clé, et les utilisateurs et les administrateurs peuvent enregistrer et gérer des clés publiques SSH pour les transferts automatisés et manuels.
• Ports configurables. SSH et SFTP peuvent fonctionner sur des ports autres que le 22.
• Autorisations de dossier basées sur les rôles. Les autorisations s’appliquent à chaque lecture, écriture, renommage et suppression : les utilisateurs SFTP ne peuvent donc faire que ce que leur rôle autorise, et un serveur SFTP peut fonctionner en lecture seule.
• Contrôles de session. Les administrateurs peuvent plafonner le nombre de sessions simultanées par utilisateur et mettre fin automatiquement aux sessions inactives.
• Journalisation d’audit. Les connexions SFTP, les tentatives échouées, les accès refusés et les opérations sur les fichiers sont enregistrés dans le journal d’audit unique de la plateforme, qui peut alimenter votre SIEM.
• Transfert de fichiers volumineux avec reprise. Les téléversements et téléchargements volumineux sont diffusés par blocs, et les téléversements peuvent reprendre après une interruption.
• Cryptographie validée et clés détenues par le client. Le service SFTP utilise une cryptographie validée FIPS 140 pour les environnements qui l’exigent, et les clients détiennent leurs clés de chiffrement. Consultez le chiffrement validé FIPS 140-3 niveau 1 de la plateforme.

Pour les workflows récurrents et automatisés, ajoutez le transfert de fichiers géré sécurisé (MFT) sur la même plateforme. Découvrez le plan de contrôle des données Kiteworks pour voir comment le SFTP s’intègre à un échange de données gouverné.