FTP : le transfert de fichiers des débuts d’Internet

Plus ancien qu’Internet lui-même, pendant des décennies la norme pour les téléchargements et la mise en ligne de sites – et aujourd’hui un risque de sécurité s’il fonctionne encore sans chiffrement. Ce qu’est FTP, ce qui le remplace et à quoi faire attention.

Qu’est-ce que FTP ?

FTP signifie File Transfer Protocol, protocole de transfert de fichiers. Il sert à télécharger des fichiers depuis un serveur ou à les déposer sur un serveur – autrefois par exemple des programmes, des pilotes ou les fichiers de son propre site web.

FTP fonctionne avec deux lignes : sur l’une, l’ordinateur et le serveur se parlent (« Je suis Anna, mon mot de passe est … », « Montre-moi le dossier », « Donne-moi ce fichier »). Le fichier lui-même passe par la seconde.

Schéma : ligne de commande sur le port 21 pour les ordres comme la connexion et la liste des fichiers, ligne de données séparée pour les fichiers — Deux lignes : une pour les commandes, une pour les données.

Comme un guichet de commande avec un retrait séparé : on commande au guichet, la marchandise sort par une autre ouverture.

Petite histoire

Chronologie de FTP : 1971 première description, 1985 norme actuelle, années 1990 extensions, 2005 FTPS, 2021 fin de FTP dans les navigateurs — Plus de 50 ans de transfert de fichiers.

1971 Abhay Bhushan décrit FTP pour l’ARPANET – avant les normes de l’e-mail et bien avant le World Wide Web.
1985 La version encore valable aujourd’hui paraît.
Années 1990 FTP est le moyen de distribuer des logiciels. De nombreux serveurs permettent le FTP « anonyme », sans compte personnel.
Années 2000 Les hébergeurs proposent FTP pour mettre en ligne les sites web. En parallèle apparaissent des successeurs sûrs : FTPS (FTP avec chiffrement) et SFTP (transfert de fichiers via SSH).
2021 Chrome et Firefox suppriment FTP. Les liens ftp:// ne s’ouvrent plus dans le navigateur.
Aujourd’hui FTP survit surtout dans d’anciens appareils et processus, par exemple des scanners, des machines ou de vieux outils pour sites web.

Le problème : tout en clair

Le FTP classique transmet nom d’utilisateur, mot de passe et fichiers sans chiffrement. Quiconque écoute sur le même réseau – Wi-Fi public, fournisseur d’accès ou routeur piraté – peut tout lire. Particulièrement délicat : un mot de passe FTP permet souvent de modifier tout le site web, par exemple pour y injecter un logiciel malveillant.

S’y ajoutent des attaques permanentes : des robots essaient des mots de passe jour et nuit sur les services FTP ouverts, et les anciens serveurs FTP présentent des failles connues.

Les successeurs sûrs

Comparaison : FTP sans chiffrement (port 21), FTPS avec chiffrement TLS (port 21 ou 990), SFTP via SSH (port 22) — FTP, FTPS et SFTP comparés.

FTPS est du FTP avec chiffrement (comme le S de https). Il garde les deux lignes et reste donc compliqué pour les pare-feu.
SFTP n’a que le nom en commun avec FTP : il fonctionne via SSH, la connexion sécurisée pour la maintenance à distance des serveurs, n’a besoin que d’une ligne et peut utiliser des clés au lieu de mots de passe. C’est la recommandation actuelle.
Pour partager avec des personnes, des plateformes d’échange chiffrées ou des partages cloud avec date d’expiration conviennent mieux qu’un serveur.

FTP aujourd’hui

Les navigateurs ne savent plus faire de FTP ; il faut un programme dédié (p. ex. FileZilla, WinSCP).
De nombreux hébergeurs proposent SFTP en plus de FTP – souvent, FTP n’est activé que par habitude.
Des appareils comme les imprimantes multifonctions (« scan to FTP »), les caméras ou les automates de production envoient encore par FTP. Cela ne devrait se faire que sur le réseau interne, jamais via Internet.
Presque toutes les archives publiques de téléchargement sont passées à HTTPS.

Ce qui arrive

Le FTP non chiffré continue de disparaître. Les nouveaux systèmes misent sur SFTP ou HTTPS.
SFTP se modernise aussi : SSH passe à des méthodes qui résisteront aux futurs ordinateurs quantiques.
Les processus automatisés entre entreprises passent de plus en plus par des interfaces (API) plutôt que par des fichiers sur un serveur.

Ce que vous pouvez faire

Vérifier si FTP est encore ouvert sur votre site web ou chez votre hébergeur, et le désactiver si personne n’en a besoin.
Utiliser SFTP pour les mises en ligne, de préférence avec une clé plutôt qu’un mot de passe.
N’exploiter les appareils qui envoient par FTP qu’en interne et les isoler d’Internet.
Faire vérifier son propre domaine depuis l’extérieur : les services FTP ouverts ressortent.

En bref

FTP (1971/1985) transfère des fichiers via deux connexions : commandes sur le port 21, données séparément.
Le FTP classique n’est pas chiffré : mots de passe et fichiers peuvent être lus.
Les navigateurs ne prennent plus en charge FTP depuis 2021.
Successeurs sûrs : SFTP (via SSH, recommandé) et FTPS (FTP avec TLS).
Désactiver les services FTP inutiles ; n’exploiter les appareils utilisant FTP qu’en interne.