Comparatif des protocoles proxy : SS, VMess, VLESS, Trojan, Hysteria2, TUIC

Le fournisseur de lignes proxy est le vendeur, qui vous remet un lien d'abonnement ; les serveurs (ou « nœuds ») sont les machines listées dans cet abonnement ; le protocole est la convention de chiffrement et de déguisement entre un serveur et votre appareil ; le client est le logiciel de votre appareil dans lequel vous importez l'abonnement, par exemple la famille Clash (Clash Meta, Clash Verge, FlClash, Stash), Shadowrocket, v2rayN, v2rayNG, sing-box ou Hiddify.

Les serveurs d'un même fournisseur peuvent utiliser des protocoles différents, et un même client peut accueillir des serveurs de plusieurs protocoles. La question « quelle est la meilleure façon de contourner la censure ? » recouvre donc trois questions : la qualité des lignes de ce fournisseur, l'adéquation du protocole de ce serveur à votre réseau actuel, et sa prise en charge par votre client. Cet article ne traite que de la deuxième.

La différence entre abonnement proxy, VPN et accélérateur est un autre sujet, voir Abonnements proxy, accélérateurs et VPN : les différences ; pour les protocoles VPN comme OpenVPN, WireGuard et AnyConnect, voir Comparatif des protocoles VPN.

• Shadowsocks (SS) : passe par TCP, le plus léger et le plus économe en batterie, pris en charge par presque tous les clients ; le trafic n'imite rien d'autre, il mise sur le fait qu'on « ne voit pas ce que c'est ».
• ShadowsocksR (SSR) : une ancienne branche de SS, avec des modules d'obfuscation ; le projet d'origine n'est plus maintenu depuis longtemps, la plupart des nouveaux clients ne le prennent plus en charge et de moins en moins de fournisseurs l'utilisent.
• VMess : le protocole d'origine de V2Ray, avec chiffrement et vérification de l'heure intégrés : un appareil dont l'horloge est trop décalée ne se connecte pas ; généralement utilisé sous WebSocket + TLS.
• VLESS : version allégée de VMess, sans chiffrement propre, confié à la couche TLS extérieure ; associé à XTLS Vision ou Reality, c'est la combinaison TCP dominante aujourd'hui.
• Trojan : place le trafic proxy dans une vraie connexion TLS ; vu de l'extérieur, on dirait la visite d'un site HTTPS ; configuration simple, passe par le port TCP 443.
• Hysteria2 : basé sur QUIC, passe par UDP et contrôle lui-même son débit d'envoi ; sur une ligne avec beaucoup de pertes, il est bien plus rapide que les protocoles TCP.
• TUIC : également basé sur QUIC et en UDP, dans le même esprit que Hysteria2 mais avec un contrôle de congestion standard, d'où un débit plus régulier ; un peu moins de clients le prennent en charge.
• NaiveProxy : réutilise directement la pile réseau de Chrome en HTTP/2, avec l'empreinte la plus proche d'un vrai navigateur ; vitesse moyenne, peu de clients compatibles.
• WireGuard : à proprement parler un protocole VPN ; certains fournisseurs l'utilisent, ou Cloudflare WARP, comme serveur ; passe par UDP, rapide, mais sans aucun déguisement et facile à identifier.

Shadowsocks est le premier protocole anti-censure à s'être répandu, avec un seul objectif : chiffrer le trafic en une suite d'octets sans motif reconnaissable. Il n'imite aucune poignée de main, son surcoût est minimal, il est le plus économe en batterie sur téléphone et tourne même sur des appareils peu puissants comme les routeurs. Les serveurs SS actuels utilisent en général un chiffrement AEAD (aes-128-gcm, chacha20-ietf-poly1305) ou les méthodes plus récentes de la version 2022 ; les serveurs qui utilisent encore d'anciens chiffrements comme rc4-md5 ou aes-256-cfb sont à éviter.

SSR est une branche de SS qui ajoute deux types de modules : protocole et obfuscation. Le projet d'origine n'est plus maintenu depuis des années, et les nouveaux moteurs comme Clash Meta ou sing-box le prennent mal en charge, voire l'ont retiré. Un fournisseur qui met SSR en avant n'a manifestement pas mis à jour ses serveurs depuis longtemps.

La faiblesse de SS tient justement à son absence de déguisement : il ne ressemble à aucun trafic normal, et sur un réseau très surveillé, un trafic impossible à identifier peut en lui-même attirer l'attention. C'est pourquoi beaucoup de fournisseurs ajoutent à leurs serveurs SS des lignes de relais ou des lignes dédiées, pour que le tronçon transfrontalier ne soit pas exposé directement : c'est le mérite de la ligne, pas du protocole.

V2Ray (et sa branche ultérieure Xray) est une plateforme proxy ; VMess et VLESS sont ses deux protocoles maison. Le principe est l'empilement : à l'intérieur, le protocole proxy ; à l'extérieur, différents modes de transport, par exemple TCP direct, WebSocket, gRPC ou HTTP/2, plus TLS. D'où les noms de serveurs à rallonge comme « VMess + WS + TLS » ou « VLESS + gRPC ».

VMess intègre son propre chiffrement et vérifie l'heure de l'appareil : si l'horloge du téléphone ou de l'ordinateur est trop décalée par rapport à l'heure exacte, le serveur refuse la connexion. C'est l'une des causes les plus fréquentes de « tous les serveurs en délai dépassé » avec VMess. VLESS supprime ce chiffrement et cette vérification et confie entièrement la sécurité à la couche TLS extérieure : il est plus léger, mais utiliser VLESS sans TLS n'est pas sûr.

XTLS Vision et Reality sont deux technologies qu'Xray associe à VLESS. Vision supprime l'empreinte et le gaspillage dus au « TLS dans le TLS » ; Reality dispense le serveur d'avoir son propre domaine et son propre certificat en empruntant, lors de la poignée de main, l'empreinte du certificat d'un grand site réel : vu de l'extérieur, on dirait une visite de ce site. « VLESS + Reality + Vision » est aujourd'hui la combinaison principale des serveurs en connexion directe chez de nombreux fournisseurs.

Les serveurs sous WebSocket peuvent être placés derrière un CDN : l'adresse réelle du serveur reste cachée, et si une entrée est bloquée, il suffit d'en changer ; en contrepartie, le détour supplémentaire pénalise la latence et la vitesse.

Trojan procède très simplement : il établit avec le serveur une connexion TLS standard, exactement comme pour ouvrir un site HTTPS, et place les données proxy à l'intérieur. Quelqu'un qui sonde ce port sans connaître le mot de passe obtient une page web normale.

Il a peu d'options de configuration, se configure difficilement de travers et est largement pris en charge par les clients. Par rapport à « VLESS + TLS », la différence est mince : tous deux se déguisent en TLS sur le port TCP 443 ; Trojan exige que le serveur ait son propre domaine et son propre certificat.

Les protocoles en TCP partagent un point faible : dès que la ligne perd des paquets, TCP réduit de lui-même son débit, et aux heures de pointe du soir, quand les liaisons transfrontalières perdent beaucoup de paquets, la vidéo saccade nettement. La famille QUIC, présentée ci-dessous, vise précisément ce problème.

Hysteria2 et TUIC reposent tous deux sur QUIC et passent par UDP. QUIC est le protocole de transport utilisé par HTTP/3 : vu de l'extérieur, le trafic de ces deux protocoles ressemble à la consultation d'un site en HTTP/3.

La grande particularité de Hysteria2 est de contrôler lui-même son débit d'envoi grâce à son propre algorithme de contrôle de congestion : en cas de pertes, au lieu de ralentir fortement comme TCP, il continue d'envoyer au débit que vous avez défini. Sur une liaison transfrontalière avec beaucoup de pertes, il est souvent plusieurs fois plus rapide que les protocoles en TCP ; sur une ligne déjà propre, l'avantage est faible.

TUIC suit une logique proche, mais avec des algorithmes de contrôle de congestion standard : il est plus « courtois » envers les autres utilisateurs de la ligne et son débit est plus régulier, mais il résiste moins agressivement aux pertes que Hysteria2.

Le point faible de cette famille, c'est l'UDP : certains réseaux d'entreprise, d'école ou d'hôtel brident l'UDP, voire le bloquent entièrement ; Hysteria2 et TUIC ne se connectent alors pas ou sont très lents, et il faut revenir à Trojan ou VLESS, en TCP. Sur téléphone, les longs transferts à haut débit consomment aussi un peu plus de batterie qu'avec SS.

• NaiveProxy : utilise directement le code réseau du navigateur Chrome pour établir des connexions HTTP/2, avec une poignée de main identique à celle d'un vrai navigateur. Peu de clients le prennent en charge (famille sing-box, quelques clients de bureau) et on le croise rarement chez les fournisseurs.
• WireGuard / WARP : WireGuard est un protocole VPN dont les paquets de poignée de main ont une empreinte fixe, sans déguisement. Certains fournisseurs utilisent Cloudflare WARP comme sortie pour débloquer le streaming ou ChatGPT : c'est une question d'« adresse de sortie », sans rapport avec le protocole utilisé entre vous et le serveur.
• Snell : protocole léger créé par l'auteur de Surge, utilisé surtout dans des clients comme Surge et Stash ; les autres clients ne le prennent pratiquement pas en charge.
• ShadowTLS : enveloppe SS dans une vraie poignée de main TLS, pour que le trafic SS ressemble à la visite d'un site ; il doit être pris en charge à la fois par le client et par le serveur.
• Proxy HTTP / HTTPS / SOCKS5 : la forme de proxy la plus basique ; HTTP et SOCKS5 non chiffrés ne conviennent qu'en local ou sur un réseau interne ; pour franchir une frontière, il faut un proxy HTTPS avec TLS.

• Regardez le début du lien de partage : ss:// pour Shadowsocks, ssr:// pour SSR, vmess:// pour VMess, vless:// pour VLESS, trojan:// pour Trojan, hysteria2:// ou hy2:// pour Hysteria2, tuic:// pour TUIC.
• Regardez la liste des serveurs dans le client : la famille Clash et Shadowrocket indiquent le type à côté du nom du serveur (Shadowsocks, Vmess, Vless, Trojan, Hysteria2, TUIC).
• Regardez le contenu d'un abonnement Clash : chaque serveur a une ligne type qui indique le protocole ; les champs voisins network (ws, grpc), tls et reality-opts décrivent le transport extérieur.
• Les fournisseurs proposent généralement plusieurs formats : abonnement Clash, abonnement sing-box et abonnement universel (un lien de partage par ligne, souvent encodé en Base64). Ce sont les mêmes serveurs dans des formats différents : choisissez selon votre client. Ne confiez pas un lien d'abonnement contenant vos identifiants à un site tiers de « conversion d'abonnement ».

• Clients basés sur le moteur Clash Meta (mihomo) — Clash Verge, FlClash, Mihomo Party, Clash Nyanpasu, ClashX Meta, OpenClash : SS, VMess, VLESS (avec Reality), Trojan, Hysteria2, TUIC et WireGuard.
• Clash d'origine et Clash for Windows : moteur abandonné depuis longtemps, ne reconnaît que les anciens protocoles SS, VMess et Trojan, sans VLESS, Hysteria2 ni TUIC. Si vous l'utilisez encore, passez à l'un des clients mihomo ci-dessus.
• Clients basés sur le moteur sing-box — app officielle sing-box, Hiddify, Karing, NekoBox : la prise en charge la plus complète des nouveaux protocoles, dont Hysteria2, TUIC, NaiveProxy et ShadowTLS.
• Shadowrocket (iOS, payant) : prend en charge l'essentiel des protocoles courants, importe aussi bien les liens de partage que les abonnements Clash.
• v2rayN (Windows) et v2rayNG (Android) : basés principalement sur le moteur Xray, forts sur VMess, VLESS, Trojan et SS ; les versions récentes prennent aussi en charge Hysteria2 et d'autres protocoles.
• Stash (iOS / macOS) : lit les abonnements au format Clash, prend en charge Hysteria2, TUIC, Snell, etc.
• Surge, Quantumult X, Loon : chacun a son propre format de configuration ; les protocoles pris en charge sont ceux indiqués dans leurs notes de version, et les fournisseurs leur fournissent généralement un abonnement dédié.

• Connexion fixe à la maison, UDP non bridé, vidéo qui saccade aux heures de pointe : Hysteria2 en priorité, puis TUIC.
• Réseau d'entreprise, d'école ou d'hôtel, UDP bridé ou Hysteria2 qui ne se connecte pas : passez à Trojan ou VLESS (Reality / TLS), qui passent par le port TCP 443.
• Données mobiles, économie de batterie, ou simple navigation et messagerie : un protocole léger comme SS ou VLESS suffit.
• Serveurs « tous en délai dépassé » : vérifiez d'abord que l'heure de l'appareil est juste (VMess y est sensible), mettez à jour l'abonnement, puis essayez un serveur d'un autre protocole.
• La lenteur ne vient pas forcément du protocole : à protocole égal, l'écart entre connexion directe, relais et ligne dédiée est bien plus grand qu'entre protocoles. Changez d'abord de serveur et de région, et seulement ensuite de protocole.
• Vous ne voulez pas vous plonger là-dedans : prenez un service VPN clés en main, où client et lignes sont configurés pour vous.

LeoTun n'est pas un fournisseur de lignes proxy, mais un service VPN avec six méthodes de connexion sur un même compte ; l'une d'elles, Hiddify, fournit justement un lien d'abonnement de ce type, avec le protocole Hysteria2. Une fois connecté, cliquez sur le drapeau d'une région sur la page Hiddify : la fenêtre propose trois abonnements : abonnement sing-box (Hiddify, sing-box, Karing), abonnement Clash (Clash Meta, Clash Verge, FlClash, Stash, etc.) et lien de partage hysteria2 (NekoBox, Shadowrocket, v2rayN, etc.). Cliquez sur le bouton correspondant à votre client, sans conversion d'abonnement. Les étapes d'import sont dans Comment importer un lien d'abonnement.

Si votre réseau bloque l'UDP et que Hysteria2 ne se connecte pas, le même compte permet de passer à Cisco (AnyConnect), qui passe par TLS, ou au Proxy Web, qui ne prend en charge que le navigateur ; la méthode OpenVPN repose sur OpenVPN, et la méthode Privé sur WireGuard. Les protocoles de chaque méthode sont détaillés dans Comparatif des protocoles VPN, et le choix dans Quelle méthode de connexion pour quelle situation.