Ce que vous voyez
$ cloud-sql-proxy projet:europe-west1:base Listening on 127.0.0.1:5432 The proxy has started successfully $ psql -h 127.0.0.1 -p 5432 connection refused
Le proxy tourne. La connexion est refusée. Les deux sont vrais.
C’est la confusion la plus fréquente autour du Cloud SQL Auth Proxy : il annonce qu’il écoute avant d’être réellement prêt, et il continue de tourner quand l’authentification a échoué. Voici les causes, dans l’ordre où elles se vérifient, de la plus fréquente à la plus rare.
macOS 11+ · Windows bientôt
Ce que vous lisez, ce qui se passe
Deux messages qui ne parlent pas de la même chose.
Le proxy dit qu’il est prêt à recevoir. Il ne dit pas qu’il peut joindre l’instance.
Ce que ça veut dire
« Listening » = le port local est ouvert · rien de plus L’instance peut être injoignable Le jeton peut être expiré L’API peut être désactivée Le proxy tourne quand même.
Les cinq causes
Dans l’ordre où il faut les vérifier.
| La cause | Comment la reconnaître | La commande qui tranche |
|---|---|---|
| Identifiants absents ou périmés | le proxy démarre puis journalise une erreur d’authentification | gcloud auth application-default login |
| Mauvais projet actif | l’instance « n’existe pas » alors qu’elle existe | gcloud config get-value project |
| API Cloud SQL Admin désactivée | erreur 403 dans le journal du proxy | gcloud services enable sqladmin.googleapis.com |
| Rôle manquant | authentifié, mais refusé sur l’instance | il faut roles/cloudsql.client sur le compte |
| Trop tôt | refusé pendant une seconde, puis ça marche | attendre que le port réponde vraiment, pas que le proxy le dise |
D’après la documentation du Cloud SQL Auth Proxy et les messages d’erreur de gcloud. Relevé le 7 août 2026.
Ce qui reste vrai après
Quatre choses qu’il faut refaire à chaque fois.
Une fois la cause trouvée, la commande fonctionne. Le lendemain, elle recommence.
Le nom complet de l’instance
projet:région:instance, trois segments qu’on ne retient pas et qu’on va rechercher dans la console à chaque fois. Kestro les découvre depuis vos accès gcloud et les propose dans une liste.
Le port qui reste pris
Un proxy mal fermé garde 5432, et le suivant échoue avec un message qui ne parle pas de cela. Kestro vous dit qu’un port est déjà pris avant d’essayer de l’ouvrir.
Le jeton qui expire
Les identifiants par défaut d’application ont une durée de vie. Le proxy continue de tourner après leur expiration, et la connexion cesse sans que rien ne l’annonce.
Un terminal de plus
Le proxy occupe une fenêtre pour ne rien afficher d’utile la plupart du temps, et c’est celle qu’on ferme par erreur en rangeant son bureau.
Sur votre machine
Tout reste chez vous.
Vos connexions vont de votre poste à vos serveurs, sans passer par nous.
Aucun compte
Rien à créer, aucun mot de passe.
Vos clés ne bougent pas
SSH, Google Cloud, AWS : Kestro se sert de vos outils, sur place.
Aucune statistique d’usage
Nous ne savons pas ce que vous ouvrez, ni quand.
Une seule exception
La licence se renouvelle chez nous. Rien d’autre ne sort.
Quand la commande suffit
Trois cas où il ne faut rien de plus.
Le proxy officiel est un bon outil, et il est gratuit.
En intégration continue, ou sur un serveur
Le proxy est fait pour ça : un processus, un compte de service, aucune interface. Kestro n’a rien à y faire et ne prétend pas le contraire.
Une base, une fois par mois
Si vous ouvrez rarement, la commande est vite retapée et l’historique du shell la retrouve. Le gain ne justifie pas un achat.
Sous Linux, ou aujourd’hui sous Windows
Kestro ne tourne que sur macOS ; la version Windows est en préparation. Le proxy, lui, tourne partout.
Prix
Vous payez une fois. C’est tout.
Un outil qu’on ouvre quarante fois par jour ne devrait pas envoyer une facture tous les mois.
Licence Kestro
29,99 €29,99 $US25,99 £GB25,90 CHF40,99 $CA45,99 $AU39,99 €39,99 $US34,99 £GB33,90 CHF54,99 $CA61,99 $AU · Offre de lancement · tarif à venir
1 ordinateur · paiement unique
- Toutes les fonctions de l’application, sans palier ni version « Pro »
- Un an de mises à jour incluses, puis renouvellement libre
- L’application reste la vôtre, même sans renouveler
- Une seule clé, la même sur tous vos ordinateurs
- Changez de machine quand vous voulez, sans limite
- Aucun compte à créer : la clé arrive par courriel
Ou télécharger gratuitement d’abord →
Remboursé sous 14 jours, sans question posée.
Questions qu’on nous pose
Pourquoi le proxy dit « started successfully » alors que ça ne marche pas ?
Parce que les deux affirmations portent sur des choses différentes. « Listening » signifie que le port local est ouvert et que le proxy accepte des connexions ; il ne dit rien de sa capacité à joindre l’instance derrière, qui dépend de vos identifiants, du projet actif, de l’API et de vos rôles. Le proxy découvre ces problèmes au premier client, pas au démarrage.
Faut-il gcloud auth login ou application-default login ?
Le second. gcloud auth login authentifie la commande gcloud elle-même ; le proxy, lui, cherche des « identifiants par défaut d’application », que seul gcloud auth application-default login dépose. C’est l’erreur la plus fréquente, et la plus déroutante, parce qu’on est authentifié, mais pas de la façon dont le proxy le demande.
Comment savoir si le port est vraiment prêt ?
En essayant de s’y connecter, pas en lisant le journal. Un nc -z 127.0.0.1 5432 en boucle courte tranche la question ; c’est exactement ce que fait Kestro avant d’afficher un tunnel comme ouvert.
Kestro remplace-t-il le proxy ?
Non, il le lance. C’est le binaire officiel de Google, avec vos accès gcloud, dans un vrai terminal. Kestro compose la commande, découvre les instances, vérifie que le port répond et rouvre le tunnel quand la machine se réveille : la tuyauterie reste celle de Google.