Le FTP a longtemps été la méthode standard pour transférer des fichiers vers un hébergement web, et beaucoup de tutoriels anciens continuent de le recommander sans préciser qu'une version plus sûre existe depuis longtemps. La différence entre FTP et SFTP ne se limite pas à un détail technique : elle concerne directement la sécurité de vos identifiants et de vos fichiers à chaque connexion.
Ce qui circule réellement sur le réseau avec le FTP classique
Le protocole FTP transmet les identifiants de connexion (nom d'utilisateur, mot de passe) et le contenu des fichiers transférés en clair, sans aucun chiffrement. Concrètement, toute personne capable d'intercepter le trafic réseau entre votre ordinateur et le serveur, par exemple sur un réseau Wi-Fi public mal sécurisé, peut techniquement lire ces informations, y compris votre mot de passe d'hébergement.
Ce que le SFTP change
Le SFTP (SSH File Transfer Protocol) repose sur le même protocole de chiffrement que les connexions SSH sécurisées. Il transporte les mêmes types de fichiers que le FTP classique, mais chaque échange, identifiants compris, est chiffré de bout en bout :
- Le mot de passe ne circule jamais en clair sur le réseau.
- Le contenu des fichiers transférés est protégé contre l'interception.
- La connexion peut en plus s'appuyer sur une clé SSH, encore plus sûre qu'un simple mot de passe.
Pourquoi le FTP classique persiste encore malgré ce risque
Plusieurs raisons expliquent que le FTP reste parfois utilisé par habitude :
- D'anciens tutoriels ou documentations qui n'ont jamais été mis à jour.
- Une confusion entre FTP et FTPS (une variante qui ajoute un chiffrement SSL, différente du SFTP mais également plus sûre que le FTP pur).
- Des logiciels de gestion de site anciens configurés par défaut en FTP simple.
Aucune de ces raisons ne justifie réellement de continuer, puisque le SFTP fonctionne avec les mêmes clients de transfert de fichiers habituels, sans complexité supplémentaire pour l'utilisateur final.
Comment vérifier et changer sa configuration
La plupart des hébergeurs modernes proposent le SFTP par défaut sur le même compte d'hébergement, avec un port de connexion différent (généralement le port 22, celui de SSH, plutôt que le port 21 du FTP classique). Dans un client comme FileZilla, il suffit de sélectionner le protocole SFTP lors de la création de la connexion, en utilisant les mêmes identifiants que pour l'accès SSH à votre hébergement.
Ce que risque concrètement un mot de passe FTP intercepté
Un identifiant FTP intercepté ne donne pas seulement accès à la consultation des fichiers d'un site : il permet de les modifier directement, d'y injecter du code malveillant invisible dans une page existante, ou de créer de nouveaux fichiers utilisés ensuite pour d'autres attaques. Ce niveau d'accès complet, obtenu via un simple mot de passe FTP capturé sur un réseau non sécurisé, explique pourquoi ce protocole reste une cible privilégiée malgré l'existence d'une alternative chiffrée disponible sans effort supplémentaire.
Dans les faits, un réseau Wi-Fi public (aéroport, café, espace de coworking) constitue le terrain le plus propice à ce type d'interception, puisque le trafic y circule souvent sans protection suffisante entre l'appareil de l'utilisateur et le point d'accès. C'est précisément dans ces conditions que la différence entre FTP et SFTP devient la plus concrète : un transfert chiffré reste illisible pour un tiers qui intercepterait le trafic, tandis qu'un transfert FTP classique expose directement les identifiants, quel que soit le réseau utilisé pour s'y connecter.
Le FTP classique est-il complètement supprimé chez les hébergeurs sérieux ?
De plus en plus d'hébergeurs désactivent le FTP non chiffré par défaut, ou le proposent uniquement sur demande explicite, justement pour limiter ce risque pour leurs clients qui ne connaîtraient pas la différence entre les deux protocoles.
Le SFTP est-il plus lent que le FTP pour transférer de gros fichiers ?
La différence de vitesse reste généralement négligeable pour un usage courant. Le chiffrement ajoute un travail de calcul minime comparé au temps de transfert réel, largement compensé par la protection apportée à vos identifiants et à vos données.
Basculer vers le SFTP ne demande aucune compétence technique avancée, seulement un changement de protocole dans votre client de transfert habituel. L'ensemble des offres d'hébergement mutualisé et de VPS Linux de VSP TECH proposent le SFTP en standard, en complément d'un certificat SSL pour sécuriser également la navigation de vos visiteurs.
