Les transferts de fichiers restent l’un des points d’entrée les plus exploités par les attaquants. Mal configurés, les protocoles historiques exposent identifiants, données sensibles et accès techniques sans que l’entreprise ne s’en rende compte. SFTP change la donne : basé sur SSH, il offre un canal chiffré, authentifié et contrôlé, capable de sécuriser aussi bien les flux métiers que les automatisations internes. Découvrez comment fonctionne le protocole SFTP, dans quels cas l’utiliser, et surtout comment le déployer de manière sécurisée pour protéger votre organisation contre les interceptions, les détournements et les accès non maîtrisés.
Définition et principes fondamentaux du protocole SFTP
Secure File Transfer Protocol (SFTP) : qu’est-ce que c’est ?
SFTP est un protocole de transfert de fichiers conçu pour fonctionner au-dessus d’un canal SSH. Il repose sur un modèle sécurisé par construction, qui garantit la confidentialité des données échangées, leur intégrité et l’authentification des parties impliquées.
Il est devenu le standard des échanges inter-entreprises, des automatisations internes et des flux sensibles, en raison de sa robustesse et de sa compatibilité avec les environnements techniques modernes. SFTP est particulièrement apprécié dans les contextes nécessitant une gouvernance fine des accès et une traçabilité complète, pour assurer la sécurité des fichiers en entreprise.
Comment fonctionne le protocole SFTP ?
Avant tout transfert, SFTP établit un tunnel SSH. Cette étape repose sur un chiffrement asymétrique pour la négociation de la session, puis sur un chiffrement symétrique pour les données elles-mêmes : un compromis efficace entre sécurité et performance.
L’authentification s’effectue via des host keys côté serveur, puis via une méthode choisie côté client : clefs SSH, certificats ou, dans certains cas résiduels, mots de passe.
Une fois la session établie, l’ensemble du flux est protégé contre l’interception, la modification ou la redirection.
L’intérêt opérationnel est renforcé par la compatibilité native de SFTP avec les bastions SSH, les SIEM et les solutions de supervision avancée, qui facilitent l’observabilité et le contrôle des accès.
Port SFTP : rôle du TCP/22 et bonnes pratiques de configuration réseau
Parce que SFTP repose sur SSH, il utilise par défaut le port TCP/22.
Certaines organisations choisissent un port alternatif pour répondre à des contraintes internes de gestion des flux ou contourner des environnements filtrés.
Cependant, ce changement ne renforce pas la sécurité : il s’agit davantage d’une forme d’obscurcissement que d’un durcissement technique.
La protection repose plutôt sur un contrôle rigoureux des flux réseau : règles firewall restrictives, filtrage IP, inspection approfondie des paquets et supervision attentive des tentatives de connexion.
L’ANSSI recommande d’ailleurs de concentrer les efforts sur le durcissement du protocole SSH1 (algorithmes cryptographiques modernes, authentification forte, restrictions de commandes), plutôt que sur la modification du port par défaut.
SFTP, FTPS et FTP : quelles différences ?
SFTP est un protocole complet, indépendant de FTP, et fondé sur SSH. Il utilise un canal unique et chiffré, ce qui simplifie la configuration et homogénéise les règles de sécurité.
FTPS, à l’inverse, est une extension de FTP reposant sur TLS. Il reste pertinent dans certains environnements historiques, mais son utilisation de ports multiples complique le passage à travers des pare-feux stricts.
FTP, enfin, transporte identifiants et fichiers en clair. Il est vulnérable à l’interception, au détournement et à la falsification, et ne répond pas aux contraintes imposées par le RGPD ou par les référentiels NIS2.
Dans la majorité des architectures modernes, SFTP constitue aujourd’hui l’option la plus robuste ; FTPS sert avant tout à maintenir des intégrations legacy ; FTP doit être retiré progressivement des systèmes.
Typologies de données et cas d’usage de SFTP en entreprise
Données métiers sensibles transférées via SFTP
Les entreprises échangent fréquemment des données critiques : dossiers de paie, documents financiers, archives sensibles, rapports médicaux, contrats.
Une fuite ou une manipulation illicite de ces fichiers peut provoquer un risque juridique significatif, un impact opérationnel ou des dommages réputationnels.
SFTP apporte un canal chiffré et contrôlé, mais son efficacité repose également sur un cloisonnement précis des permissions : accès nominatif, séparation stricte des zones de stockage, supervision systématique.
Données techniques et flux inter-systèmes
Au-delà des usages métiers, SFTP est largement utilisé pour transporter des données techniques : sauvegardes, artefacts applicatifs, journaux, binaires destinés aux pipelines CI/CD.
On ne vous apprend rien, une modification volontaire ou accidentelle d’un fichier technique peut compromettre une chaîne de déploiement entière. Dans ces contextes, SFTP constitue un canal robuste utilisé par les équipes DevOps pour fiabiliser les automatisations.
Échanges B2B et communications inter-organisations
Dans les relations fournisseurs, financières, industrielles ou administratives, SFTP s’impose comme une norme commune. Il offre une interopérabilité élevée, une traçabilité complète et une fiabilité adaptée aux échanges sensibles, souvent contractualisés.
Les partenaires apprécient sa stabilité, sa compatibilité multiplateforme et sa capacité à s’intégrer dans des infrastructures complexes sans générer de dépendances supplémentaires.
Comment mettre en place un serveur SFTP sécurisé en entreprise ?
Analyse des flux SFTP et identification des fichiers transférés
Mettre en place un serveur SFTP ne se résume pas à installer un service SSH : il s’agit d’abord de comprendre les flux qui transitent réellement dans l’entreprise.
Cette étape commence par une cartographie précise : quels services échangent des fichiers, quelles équipes les utilisent, quelles applications déclenchent des transferts automatisés et à quelle fréquence ces échanges ont lieu. Cela permet d’identifier les dépendances, les zones à risque et les usages métiers invisibles.
Une fois les flux recensés, il est nécessaire d’examiner la nature des données :
- données personnelles ou RH
- documents financiers
- secrets industriels
- artefacts techniques (binaires, logs, exports applicatifs)
Chaque type de fichier n’expose pas les mêmes risques. C’est pourquoi la classification doit être alignée avec les obligations réglementaires : RGPD pour les données personnelles, NIS2 pour les opérateurs essentiels, DORA pour les acteurs financiers, etc.
Cette étape aide à déterminer quels usages doivent être sécurisés en priorité et quelles mesures de contrôle doivent être associées.
Enfin, cette analyse met très souvent en lumière des flux dégradés, par exemple :
- des transferts encore basés sur FTP ou FTPS sans supervision
- des répertoires partagés accessibles trop largement
- des scripts automatisés utilisant des comptes techniques non tracés
Ces flux nécessitent une remédiation avant ou pendant la mise en place du serveur SFTP, afin d’éviter de reproduire des vulnérabilités préexistantes.
Choisir l’architecture SFTP : on-premise, cloud souverain ou DMZ
Une fois les flux analysés, l’entreprise doit choisir l’architecture la plus adaptée à ses contraintes techniques, réglementaires et opérationnelles. Plusieurs scénarios sont possibles :
- On-premise : appropriée lorsque l’entreprise maîtrise son infrastructure et souhaite conserver un contrôle total sur l’hébergement, les clefs SSH, les journaux, les accès réseau ou la conformité interne. Ce modèle est fréquent dans les environnements industriels ou les SI segmentés.
- DMZ : utilisée lorsqu’il faut exposer SFTP à des partenaires externes tout en isolant strictement les systèmes internes. La DMZ joue le rôle de zone tampon, limitant les voies d’attaque potentielles. Ce choix s’impose souvent dans les organisations multisites ou avec beaucoup d’interfaces B2B.
- Cloud souverain : pertinent pour les organisations cherchant à combiner disponibilité, scalabilité et garanties juridiques (localisation des données, absence d’extraterritorialité). Ce choix est de plus en plus courant dans le secteur public, la santé ou la finance.
Au-delà de l’emplacement d’hébergement, il faut également choisir la topologie du service :
- instance unique pour des usages simples
- cluster pour absorber la charge ou assurer une haute disponibilité
- reverse proxy pour filtrer et orienter les connexions
- bastion SSH pour centraliser l’authentification et la supervision
À noter : dans une approche Zero Trust, chaque connexion doit être explicitement vérifiée, authentifiée, autorisée et journalisée, qu’elle provienne d’un utilisateur interne, d’un compte technique ou d’un partenaire externe. Le serveur SFTP devient alors un point d’accès contrôlé, intégré aux mécanismes globaux de cybersécurité du SI.
Comment sécuriser un serveur SFTP ? 5 conseils
Conseil n°1 : Durcir SSH pour renforcer la sécurité de SFTP
La sécurité de SFTP repose entièrement sur celle de SSH : si la couche SSH est fragile, l’ensemble du service l’est aussi.
Le durcissement doit donc commencer par le choix d’algorithmes modernes, tels qu’Ed25519 pour les clefs et SHA-256 pour les empreintes, afin de garantir une résistance élevée aux attaques cryptographiques.
L’abandon de l’authentification par mot de passe, au profit de clefs SSH, permet d’éliminer les risques de credential stuffing ou de brute force.
Le durcissement passe également par une restriction fine des commandes accessibles, ce qui limite l’usage abusif d’un compte compromis. L’isolation des utilisateurs via chroot, combinée à des permissions précises, empêche un utilisateur d’explorer des répertoires qui ne devraient pas être visibles.
Cet ensemble de mesures réduit fortement la surface d’attaque et limite les scénarios d’exploitation courants observés sur des serveurs SFTP non durcis.
Conseil n°2 : Maîtriser les clefs SSH et les identités techniques
Les clefs SSH jouent le rôle d’identité pour les utilisateurs comme pour les comptes techniques. Leur gestion doit donc être organisée, complète et systématique.
Un inventaire centralisé permet d’identifier rapidement quelles clefs sont actives, qui les utilise, et à quels services elles donnent accès. La rotation régulière empêche l’accumulation de anciennes clefs qui resteraient valides par inadvertance.
Privilégier les accès nominatifs, plutôt que les comptes partagés, améliore la traçabilité et réduit les ambiguïtés lors d’un audit ou d’une enquête de sécurité.
Du côté des outils dédiés, des solutions comme LockPass permettent d’automatiser la distribution, la révocation et le suivi des clefs, ce qui évite les accès dormants , souvent à l’origine de compromissions discrètes mais impactantes.
Conseil n°3 : Encadrer les connexions SFTP via un bastion SSH
Le bastion joue un rôle d’intermédiaire contrôlé entre les utilisateurs et les serveurs SFTP.
Il devient le point unique par lequel transitent toutes les connexions, ce qui simplifie l’audit et la supervision.
Grâce à une journalisation exhaustive, les équipes cyber disposent d’un historique précis : commandes exécutées, fichiers transférés, comportements anormaux. Cette visibilité permet de détecter rapidement des écarts ou des usages non conformes.
Le bastion impose également une application stricte du moindre privilège : chaque utilisateur n’accède qu’aux ressources nécessaires à son rôle.
Dans les environnements où plusieurs partenaires ou prestataires doivent échanger des fichiers, ce contrôle centralisé évite la prolifération d’accès directs non maîtrisés ; un problème fréquent dans les infrastructures vieillissantes.
Conseil n°4 : Sécuriser le stockage des fichiers transférés
La transmission n’est qu’une partie du flux : une fois déposés, les fichiers doivent rester protégés avec le même niveau d’exigence.
Le chiffrement au repos permet de neutraliser l’impact d’un accès non autorisé au système de fichiers. Un coffre-fort numérique comme LockFiles assure cette protection de manière uniforme, tout en fournissant une traçabilité fiable des opérations.
La segmentation des espaces de stockage limite la diffusion d’un accès compromis : un compte utilisé pour un flux financier ne doit pas permettre d’accéder aux archives RH, par exemple.
La journalisation systématique des consultations, la détection des suppressions suspectes et les contrôles d’intégrité permettent enfin de repérer rapidement une altération volontaire ou accidentelle.
Conseil n°5: Mettre en place une gouvernance robuste des accès SFTP
Le volet organisationnel conditionne la robustesse du dispositif.
Les accès SFTP doivent s’intégrer dans des processus classiques d’onboarding et d’offboarding, afin d’éviter qu’un ancien employé conserve une clef valide ou qu’un compte technique reste actif après la fin d’un projet.
Les revues régulières des droits permettent de vérifier que chaque accès est toujours justifié, qu’aucune permission excessive ne persiste et que les comptes temporaires ont bien été désactivés.
Une gouvernance claire, portée par la PSSI et les procédures associées, apporte une cohérence durable au dispositif et facilite les audits de conformité. Elle sert également de référence commune entre la DSI, les équipes sécurité et les projets opérationnels.
Sources :
1. https://messervices.cyber.gouv.fr/guides/usage-securise-dopenssh