Déployer un serveur FTP sécurisé reste une compétence essentielle pour administrateurs réseaux et responsables IT. Ce guide pratique explique les choix techniques, les étapes d’installation et les outils recommandés.
Le protocole FTP facilite l’échange de fichiers volumineux sur LAN ou Internet, mais présente des risques sans chiffrement. Les éléments essentiels et enjeux pratiques suivent dans un encadré synthétique.
A retenir :
- Espace dédié sécurisé pour échanges de fichiers volumineux en entreprise
- Isolation des utilisateurs par dossier pour limitation des accès internes
- Chiffrement obligatoire pour transfert sensible via FTPS ou SFTP
- Clients reconnus pour administration et transferts : WinSCP, Cyberduck, Transmit, FileZilla
Installer et configurer le serveur FTP sécurisé sur Windows Server
Après la synthèse des enjeux, l’installation commence par la préparation du serveur et des rôles IIS. Sur Windows Server 2016 ou 2019, le rôle Web Server (IIS) doit être installé avant FTP. L’ouverture des ports 20 et 21 sur le pare-feu reste une étape obligatoire pour les connexions actives.
Étapes d’installation Windows :
- Accéder au Gestionnaire de serveur et choisir Ajouter un rôle
- Sélectionner Serveur Web (IIS) puis cocher Service rôle FTP
- Installer le rôle FTP, puis redémarrer si demandé par l’installateur
- Ouvrir port 20 et 21 sur pare-feu local et sur passerelle
Logiciel
Plateforme
Protocoles
Licence
FileZilla Server
Windows
FTP, FTPS
Open source
ProFTPD
Unix/Linux
FTP, FTPS
Open source
vsftpd
Linux
FTP, FTPS
Open source
Pure-FTPd
Unix/Linux
FTP, FTPS
Open source
Cerberus FTP Server
Windows
FTP, FTPS, SFTP
Propriétaire
OpenSSH (SFTP)
Unix/Windows
SFTP
Open source
Préparation du serveur et rôle IIS
Cette opération lie directement l’installation du rôle IIS à la sécurité du service FTP. Selon Microsoft, l’ajout du rôle Web Server permet de déployer ensuite le rôle FTP via le gestionnaire de serveur. Il est recommandé d’appliquer les dernières mises à jour Windows avant d’installer IIS et FTP.
« J’ai installé le rôle IIS puis configuré FTP avec isolation d’utilisateurs en quelques minutes, sans problème majeur »
Marc N.
Points techniques :
- Vérifier le domaine Active Directory intégré au serveur
- Configurer les règles de pare-feu entrantes pour ports 20 et 21
- Choisir mode passif ou actif selon l’infrastructure réseau
- Prévoir certificat SSL si FTPS requis en production
La suite logique consiste à préparer l’arborescence et l’isolation des comptes pour limiter les accès. Cette préparation conditionne la bonne application des droits et la sécurité des fichiers. L’enchaînement suivant montrera comment isoler les utilisateurs et positionner les droits NTFS.
Isoler les utilisateurs et chiffrer les transferts avec FTPS ou SFTP
Après avoir isolé les comptes, la priorité suivante consiste à chiffrer les échanges et gérer les certificats. L’isolation par répertoire permet à chaque compte d’accéder uniquement à son dossier, réduisant ainsi les risques d’accès croisées. Ensuite, le choix entre FTPS et SFTP dépendra des contraintes réseau et des outils clients disponibles.
Étapes de configuration sécurité :
- Activer FTPS avec certificat TLS pour sécuriser le canal de contrôle
- Considérer SFTP via OpenSSH pour simplifier l’authentification par clé
- Désactiver accès FTP non chiffré sur le serveur de production
- Mettre en place limitation de bande passante et quotas disque
Arborescence, droits et isolation d’utilisateurs
Cette partie explique comment structurer l’espace disque et appliquer des droits NTFS cohérents. Par convention, créer une arborescence type E:FTP
Élément
Recommandation
Justification
Racine
E:FTP
Nom de domaine pour correspondance avec AD
Dossier utilisateur
Nom identique au login
Permet l’isolation simple et automatique
Groupe AD
Groupe dédié aux utilisateurs FTP
Facilite délégation et audits
Permissions
Droits NTFS en écriture sur groupe, restreints sinon
Réduction des risques d’altération
« La séparation des répertoires par login a évité plusieurs incidents de confidentialité chez mon client »
Sophie N.
Clients recommandés :
- WinSCP pour administrateurs Windows avec scripts automatisés
- Cyberduck pour usage multiplateforme et intégration cloud
- Transmit pour utilisateurs macOS exigeants sur interface
- FileZilla Client pour transferts courants et compatibilité large
Selon FileZilla Project, FileZilla Server reste une option fiable pour serveurs Windows simples. Selon Wikipédia, le FTP utilise historiquement les ports 20 et 21, ce qui impose des règles NAT et pare-feu. Selon Microsoft, l’activation d’FTPS via certificat réduit fortement le risque d’interception des identifiants.
Accès distant, NAT, DNS et outils clients pour exploitation sécurisée
Ensuite, la mise en production impose la configuration du NAT, des enregistrements DNS et des clients. L’accès depuis l’extérieur nécessite une IP publique fixe ou une solution DNS dynamique, ainsi qu’une redirection de port correctement configurée. Il est conseillé de prévoir un enregistrement DNS de type A pour ftp.votredomaine.tld pointant l’IP publique.
Considérations pour l’accès externe :
- Utiliser NAT et redirection de port 21 vers serveur interne
- Prévoir IP publique fixe ou service DNS dynamique fiable
- Conserver règles pare-feu strictes et journalisation des connexions
- Privilégier SFTP si le routeur ou firewall supporte SSH
Options logicielles et recommandations opérationnelles
Cette section compare solutions serveur et clients en contexte opérationnel et exigences de sécurité. Pour Windows, FileZilla Server ou Cerberus FTP Server sont des choix courants selon budget et fonctionnalités. Pour SFTP, OpenSSH et Bitvise SSH Server fournissent une solution robuste, l’une open source et l’autre orientée entreprise.
Client
Plateforme
Protocoles
Licence
WinSCP
Windows
SFTP, FTP, SCP
Open source
Cyberduck
macOS, Windows
SFTP, FTP, WebDAV, S3
Open source
Transmit
macOS
SFTP, FTP, WebDAV
Propriétaire
FileZilla Client
Windows, macOS, Linux
FTP, FTPS, SFTP
Open source
« La bascule vers SFTP a simplifié nos sauvegardes automatisées et réduit les interventions manuelles »
Alex N.
Mise en production et tests d’accès externes
Cette phase finalise la configuration réseau et valide les accès depuis l’extérieur avec des outils clients. Effectuer des tests depuis FileZilla Client et WinSCP permet de vérifier NAT, TLS et authentification par clé. Après validation, activer les audits et conserver des logs pour l’analyse en cas d’incident.
« Notre équipe a automatisé les tests FTP avec scripts WinSCP, ce qui a réduit les interventions manuelles »
Paul N.
Enfin, pour des opérations courantes, privilégier des clients compatibles et une stratégie de sauvegarde régulière. La combinaison de l’isolation, du chiffrement et d’une bonne politique réseau garantit un service utilisable et sécurisé pour les collaborateurs et partenaires. Cette approche prépare le terrain pour documenter les sources et ressources utiles.
Source : Microsoft, « Configure FTP Server (IIS) », Microsoft Docs, 2016 ; FileZilla Project, « FileZilla Server », filezilla-project.org, 2024 ; Wikipédia, « File Transfer Protocol », Wikipédia, 2024.