Qu'est-ce que le FTP ? Protocole et variantes

Une définition

Le FTP est décrit par la RFC 959, publiée en octobre 1985. Le glossaire de MDN, relu le 15 octobre 2026, le qualifie de protocole non sûr pour transférer des fichiers d'une machine à une autre par Internet, et note que beaucoup d'hébergements ne le proposent plus. MDN conseille à la place SFTP, ou rsync par SSH.

Comment fonctionne une connexion FTP

Le FTP utilise deux connexions séparées, ce qui le rend plus délicat que d'autres protocoles :

• la connexion de contrôle, sur le port 21 d'après le registre des ports de l'IANA, transporte les commandes : se connecter, lister un dossier, demander un fichier ;
• la connexion de données transporte les fichiers et les listes de dossiers. En mode passif, le mode courant, le serveur annonce un port supplémentaire sur lequel il attend le client, comme le décrit la RFC 959 avec la commande PASV.

Un pare-feu doit donc laisser passer le port 21 et toute une plage de ports de données. Quand cette plage est fermée, la connexion s'ouvre mais la liste des fichiers n'arrive jamais : c'est l'erreur la plus fréquente, décrite dans Erreurs FTP.

FTP, FTPS et SFTP

Les trois noms se ressemblent, mais ce sont trois choses différentes :

Le FTPS est décrit par la RFC 4217, publiée en octobre 2005 : le client se connecte sur le port de contrôle habituel, puis demande le chiffrement par la commande AUTH TLS. Il garde la double connexion du FTP, et ses difficultés de pare-feu.

Le SFTP n'a de commun avec le FTP que l'usage. Il passe par une connexion SSH, en principe sur le port 22, attribué à SSH par l'IANA d'après la RFC 4253, avec les mêmes identifiants ou une clé : une seule connexion, entièrement chiffrée. Les logiciels courants, FileZilla, Cyberduck ou WinSCP, savent tous s'y connecter. Pour comprendre SSH lui-même, voir Qu'est-ce que SSH.

Pourquoi éviter le FTP en clair

Sur un réseau partagé, comme le Wi-Fi d'un café ou d'un hôtel, une connexion FTP non chiffrée peut être lue au passage : l'identifiant et le mot de passe circulent tels quels. Un mot de passe intercepté donne accès à tous les fichiers du site, et donc la possibilité d'y glisser du code malveillant.

1. Préférez SFTP chaque fois que votre hébergeur le propose.
2. À défaut, utilisez le gestionnaire de fichiers du panneau d'hébergement, qui passe par une page en HTTPS.
3. N'enregistrez pas votre mot de passe dans un logiciel installé sur un ordinateur partagé.

Chez Hubspace

Le FTP classique sur le port 21 n'est pas un accès disponible chez nous : il n'est pas chiffré, et le transfert de fichiers n'y aboutit pas. Vous déposez vos fichiers par le gestionnaire de fichiers de Plesk, sur toutes les offres, ou en SFTP à partir de l'offre Sérénité, une fois l'accès SSH activé dans Plesk. Chaque sous-domaine a son propre dossier, accessible de la même façon. Les réglages de connexion sont dans Se connecter à son hébergement en SFTP, et le pas à pas avec FileZilla dans FileZilla.

Questions fréquentes