Tailscale répond au même besoin par le réseau : un agent sur chaque machine, et tout devient joignable. C’est excellent. Quand vous avez le droit de le déployer. Kestro passe par les portes qui existent déjà, vos clés SSH et vos accès cloud, et ne demande la permission de personne.
macOS 11+ · Windows bientôt
Deux façons d’atteindre la même base
Ce ne sont pas deux versions du même produit : ce sont deux décisions différentes, et l’une des deux engage votre infrastructure.
Tailscale
Installer un agent sur chaque machine à joindre ou un routeur de sous-réseau, et ses routes Décrire les accès dans une politique Obtenir l’accord de l’infrastructure Ensuite : tout est joignable, pour tout le monde, depuis n’importe où, en permanence.
Kestro
Rien à installer sur vos serveurs. Vos clés SSH, votre gcloud, votre aws. Aucune politique à écrire, aucun accord à obtenir. La porte s’ouvre quand vous en avez besoin, depuis votre poste, et se referme quand vous le dites. $ psql "$(kestro url notes-db)"
Point par point
| Tailscale | Kestro | |
|---|---|---|
| À installer sur les machines à joindre | un agent, ou un routeur de sous-réseau | rien |
| Décision nécessaire | un changement d’infrastructure, donc un accord | aucune : vous employez vos accès actuels |
| Ce qui authentifie | votre fournisseur d’identité et une politique | vos clés SSH, gcloud, aws, inchangés |
| Portée | toute l’équipe, en permanence | votre poste, quand vous le décidez |
| Fonctionne quand votre Mac est éteint | oui, le réseau reste | non |
| Journal des accès | oui | non |
| Sur une machine que vous n’administrez pas | non, sans agent il n’y a pas de nœud | oui, si ssh ou votre outil cloud y accède |
| Cloud SQL, IAP, Session Manager | hors sujet : le réseau les remplace | oui, par vos outils officiels |
| Systèmes | à peu près tous | macOS seulement |
| Coût | plan gratuit pour un usage personnel, puis par utilisateur | 29,99 €29,99 $US25,99 £GB25,90 CHF40,99 $CA45,99 $AU une fois |
Relevé le 4 août 2026, d’après la documentation publique de Tailscale.
Ce que Kestro apporte
Tailscale rend les machines joignables. Il reste ensuite à ouvrir la bonne porte, au bon moment, et à savoir laquelle est ouverte.
Déployer un agent sur la production est une décision d’équipe, souvent longue, parfois refusée. Ouvrir un tunnel avec les clés qu’on vous a déjà données n’en est pas une : c’est l’accès dont vous disposez, employé autrement.
Cloud SQL par le proxy officiel, une VM par IAP, une EC2 par Session Manager : ce sont les chemins que Google et AWS documentent, avec leur journalisation et leur IAM. Kestro les emprunte au lieu de les contourner.
Un réseau privé rend tout joignable en permanence, ce qui est le but, et fait qu’on ne sait plus ce à quoi on est branché. Ici, chaque porte est une ligne, la production porte un liseré rouge, et « Tout fermer » les referme d’un geste.
Vos dépôts et leur branche, les services du docker compose, vos scripts épinglés, vos adresses surveillées : le même panneau, le même raccourci.
Sur votre machine
Vos connexions vont de votre poste à vos serveurs, sans passer par nous.
Rien à créer, aucun mot de passe.
SSH, Google Cloud, AWS : Kestro se sert de vos outils, sur place.
Nous ne savons pas ce que vous ouvrez, ni quand.
La licence se renouvelle chez nous. Rien d’autre ne sort.
Quand Tailscale est le bon choix
Ce sont deux outils qui répondent à la même question par deux bouts. Voici les cas où l’autre bout est le bon.
Un service qui doit joindre un autre service, une machine qui doit rester atteignable la nuit, une astreinte : Kestro s’arrête avec votre session. Un réseau privé, non.
Donner à dix personnes un accès révocable, avec un journal et une politique, est exactement ce que fait Tailscale et exactement ce que Kestro ne fait pas. Nous n’avons ni compte, ni administration, ni journal : c’est un outil personnel.
Kestro ne tourne que sur macOS 11 et suivants. La version Windows est en préparation ; il n’y a pas de version Linux prévue.
Prix
Un outil qu’on ouvre quarante fois par jour ne devrait pas envoyer une facture tous les mois.
Licence Kestro
1 ordinateur · paiement unique
Ou télécharger gratuitement d’abord →
Remboursé sous 14 jours, sans question posée.
Questions qu’on nous pose
Oui, et c’est un cas courant. Si votre équipe a déployé un réseau privé, vos machines sont joignables et Kestro s’en sert comme de n’importe quel réseau : un tunnel SSH vers une adresse interne fonctionne pareil. Les deux ne se disputent rien : l’un rend la machine atteignable, l’autre ouvre la porte et vous dit qu’elle est ouverte.
Il n’ouvre rien de nouveau : il emprunte les accès que vous avez déjà (vos clés SSH, votre session gcloud, votre profil aws) et n’en copie aucun. Un tunnel dure le temps que vous le laissez ouvert, contre un réseau joignable en permanence. Ce qui manque, en revanche, est réel : il n’y a ni politique d’accès, ni journal, ni révocation centralisée. Pour un usage personnel c’est sans objet ; pour dix personnes sur de la production, c’est exactement ce qu’il faut, et c’est Tailscale qu’il vous faut.
Non, rien. C’est la différence de fond entre les deux approches. Kestro se sert des portes qui existent déjà : sshd, le proxy Cloud SQL, IAP, Session Manager. Si vous pouvez vous connecter à une machine aujourd’hui depuis votre terminal, Kestro le peut aussi, et rien ne change côté serveur.
C’est le cas qui nous vaut le plus de courriels. Un prestataire, un client, une infrastructure qu’on ne gère pas, une équipe sécurité qui n’a pas tranché : il reste les accès qu’on vous a donnés. Kestro travaille avec ceux-là, et ne demande la permission de personne.
Non, et il ne demande pas non plus de compte. Vous téléchargez, vous avez 7 jours complets. Aucune carte n’est demandée avant que vous décidiez d’acheter.