SSTP : le protocole VPN compatible avec les pare-feu, signé Microsoft

Ce que c'est

Secure Socket Tunneling Protocol, plus connu sous le nom de SSTP, est un protocole VPN créé par Microsoft et introduit avec Windows Vista. Contrairement à de nombreux autres protocoles VPN, SSTP a été conçu dès le départ pour fonctionner de manière transparente dans des environnements qui bloquent généralement le trafic VPN — comme les réseaux d'entreprise, les établissements scolaires ou les pays appliquant des politiques internet restrictives.

Son nom vous donne un indice utile sur son fonctionnement : il fait transiter votre connexion VPN à travers SSL/TLS — la même technologie de chiffrement qui protège votre navigation web HTTPS au quotidien. De ce fait, le trafic SSTP est presque impossible à distinguer d'un trafic web sécurisé ordinaire, ce qui rend sa détection ou son blocage par les pare-feu et les administrateurs réseau très difficile.

Comment ça fonctionne

SSTP opère sur le port TCP 443, qui est le port standard utilisé par HTTPS. C'est ce détail clé qui le distingue de protocoles comme OpenVPN ou IKEv2, lesquels utilisent des ports différents, facilement identifiables et bloquables.

Voici le fonctionnement de base :

  1. Initiation de la connexion — Votre client VPN établit une négociation SSL/TLS avec le serveur VPN, exactement comme le ferait votre navigateur en se connectant à un site web sécurisé.
  2. Création du tunnel — Une fois le canal sécurisé établi, les données PPP (Point-to-Point Protocol) sont encapsulées dans des trames HTTP et transmises via ce canal.
  3. Chiffrement — Toutes les données transitant par le tunnel sont chiffrées à l'aide de SSL/TLS, généralement avec un chiffrement AES-256 pour une protection renforcée.
  4. Authentification — SSTP prend en charge l'authentification par certificat, ce qui ajoute une couche supplémentaire de vérification entre le client et le serveur.

Étant donné que le trafic passe par le port 443 enveloppé dans TLS, les outils d'inspection approfondie des paquets peinent à le distinguer d'une navigation HTTPS ordinaire — une propriété connue sous le nom d'obfuscation.

Pourquoi c'est important pour les utilisateurs VPN

Le principal atout de SSTP est sa capacité à contourner les pare-feu. Si vous avez déjà tenté de vous connecter à un VPN et constaté qu'il était bloqué — au travail, sur un réseau scolaire ou lors d'un voyage dans un pays appliquant des restrictions internet importantes — SSTP est l'un des protocoles les plus susceptibles de passer au travers.

Son intégration poussée dans Windows constitue un autre avantage concret. Windows prend en charge SSTP nativement, sans nécessiter de logiciel tiers, ce qui simplifie la configuration pour toute personne utilisant déjà un ordinateur Windows. Cela le rend particulièrement attractif pour les administrateurs informatiques déployant des solutions d'accès à distance dans des environnements professionnels fortement axés sur Windows.

Du point de vue de la sécurité, SSTP se défend bien. Le chiffrement SSL/TLS est mature, largement audité et reconnu à l'échelle mondiale. Il évite les vulnérabilités connues associées aux protocoles plus anciens comme PPTP ou L2TP.

Cependant, SSTP présente des limitations notables. Il s'agit essentiellement d'un protocole propriétaire Microsoft, ce qui signifie qu'il bénéficie d'un support limité sur les plateformes non-Windows comme macOS, Linux, Android et iOS — bien que certains clients tiers aient ajouté une prise en charge partielle. Microsoft contrôlant la spécification, les chercheurs en sécurité indépendants disposent d'une visibilité moindre sur le protocole par rapport aux alternatives open source comme OpenVPN ou WireGuard.

Les performances sont également un facteur à prendre en compte. SSTP utilisant TCP plutôt qu'UDP, il peut souffrir d'un problème connu sous le nom de « TCP meltdown » — où la perte de paquets provoque des délais de retransmission qui s'accumulent et ralentissent la connexion. Les protocoles basés sur UDP offrent généralement de meilleures performances pour les tâches sensibles à la latence, comme le streaming ou le jeu en ligne.

Cas d'utilisation pratiques

  • Accès à distance en entreprise — Les équipes informatiques dans des environnements Windows déploient souvent SSTP pour les collaborateurs en télétravail devant se connecter depuis des réseaux aux règles de pare-feu restrictives.
  • Contournement de la censure — Les voyageurs se rendant dans des pays qui bloquent les protocoles VPN courants peuvent s'appuyer sur le comportement de SSTP sur le port 443 pour maintenir leur accès.
  • Navigation sécurisée sur des réseaux verrouillés — Les réseaux scolaires ou hôteliers qui bloquent les ports VPN laissent souvent le port 443 ouvert, faisant de SSTP une solution de repli fiable.
  • Compatibilité avec les systèmes existants — Les organisations déjà investies dans une infrastructure Windows Server peuvent préférer SSTP pour sa compatibilité native.

Pour la plupart des utilisateurs VPN en général, les protocoles modernes comme WireGuard ou OpenVPN offrent de meilleures performances et une prise en charge multiplateforme plus étendue. Mais SSTP reste un outil fiable lorsque le contournement des pare-feu est la priorité et que vous évoluez dans un environnement centré sur Windows.