Headplane 0.8.0 : une interface web pour piloter Headscale, le Tailscale auto-hébergé, à condition de la tenir à jour

Relier son ordinateur portable, son serveur domestique et son téléphone dans un même réseau privé, sans dépendre du serveur d’une entreprise : c’est la promesse de Headscale, une réimplémentation libre du serveur central de Tailscale. Encore faut-il pouvoir l’administrer confortablement. Headplane, l’une des interfaces web qui s’y emploient, a été mis en avant par la lettre d’information selfh.st le 9 octobre 2026, puis a publié sa version 0.8.0 le 13 octobre 2026. Nous avons regardé ce qu’elle apporte, ce qu’elle exige et les précautions qu’elle impose.

Tailscale, sans le serveur des autres

Pour comprendre l’intérêt de l’outil, il faut partir de Tailscale. Le dépôt de Headscale le résume en une phrase : « Tailscale is a modern VPN built on top of Wireguard. » Il s’agit donc d’un réseau privé virtuel (VPN), qui relie des appareils dispersés comme s’ils partageaient le même réseau local, en s’appuyant sur WireGuard, un protocole de chiffrement moderne et léger. Au centre du dispositif se trouve un serveur de coordination : d’après le dépôt de Headscale, il sert de point d’échange pour les clés publiques WireGuard des appareils, leur attribue leurs adresses IP et trace les frontières entre utilisateurs. Headscale se présente comme « An open source, self-hosted implementation of the Tailscale control server » : ce serveur central, on peut l’installer chez soi.

Le périmètre de Headscale est volontairement restreint : selon son dépôt, il convient à un usage personnel ou à une petite organisation open source. Le projet précise qu’il n’est pas associé à l’entreprise Tailscale Inc., tout en signalant que l’un de ses mainteneurs actifs est employé par elle. Il rappelle aussi que les applications graphiques de Tailscale destinées aux systèmes propriétaires (Windows, macOS et iOS) ne sont pas libres. Dernier point, que le dépôt de Headplane souligne sans détour : Headscale n’est livré avec aucune interface web par défaut.

Une interface inspirée de Tailscale

C’est ce manque que comblent plusieurs projets tiers. La documentation officielle de Headscale en dresse la liste, avec un avertissement clair : ces projets ne sont pas maintenus par les auteurs de Headscale. Headplane y figure, décrit comme une interface avancée inspirée de Tailscale. Son propre dépôt affiche l’ambition de reproduire les fonctionnalités du produit et du tableau de bord officiels de Tailscale. Le code est publié sous licence MIT, une licence libre très permissive qui autorise la réutilisation, la modification et la redistribution du logiciel.

Concrètement, selfh.st décrit un tableau de bord qui permet de gérer les sous-réseaux, les machines, les utilisateurs, les listes de contrôle d’accès (les règles qui décident quel appareil peut joindre quel autre), le DNS et les réglages de Headscale. S’y ajoutent une connexion SSH ouverte directement depuis le navigateur vers les machines configurées, l’authentification unique via OpenID Connect (un standard qui permet de se connecter avec un compte déjà géré ailleurs, par exemple un annuaire d’entreprise) et des informations détaillées sur le réseau. Pour qui gère une dizaine d’appareils, c’est la différence entre taper des commandes et cliquer sur une liste.

Ce qu’apporte la version 0.8.0

La version 0.8.0 se concentre sur les règles d’accès. Selon les notes de version, elle ajoute à la page de contrôle d’accès un éditeur structuré qui permet de modifier ces règles par des formulaires, sans toucher directement au fichier de politique (au format HuJSON) ; l’éditeur de fichier reste disponible pour tout le reste, et rien n’est appliqué avant l’enregistrement. Une précaution s’impose toutefois : passer par l’éditeur structuré supprime les commentaires du fichier, ce dont Headplane avertit au préalable. La page des utilisateurs affiche désormais les groupes de règles auxquels chacun appartient, et la fenêtre d’étiquetage des machines signale les étiquettes qui ne sont attribuées à aucun propriétaire dans la politique d’accès.

Parmi les corrections, les espaces parasites en début et en fin de nom ou de valeur des enregistrements DNS ajoutés depuis l’interface sont désormais supprimés. Cette version met aussi à jour les bibliothèques utilisées par le projet (dépendances NPM et Go) pour corriger des vulnérabilités, ce qui suffit à justifier la mise à jour. Les personnes qui compilent elles-mêmes le logiciel devront disposer de Go 1.27.1 ou d’une version plus récente. Côté installation, la documentation recommande Docker pour la plupart des utilisateurs, propose une installation native pour ceux qui préfèrent s’en passer, et un mode limité réservé aux tests : ce dernier n’est pas destiné à la production et se prive de la gestion du réseau comme du SSH dans le navigateur. Dans tous les cas, Headplane a besoin d’un fichier de configuration pour fonctionner.

Le SSH dans le navigateur mérite qu’on s’y arrête, car son fonctionnement est ingénieux. D’après la documentation, Headplane démarre un nœud Tailscale éphémère qui rejoint le réseau le temps de la session SSH, puis disparaît. Cette fonction a ses conditions : l’utilisateur doit être connecté via OpenID Connect, les connexions par simple clé d’API ne pouvant pas l’utiliser, et le navigateur doit pouvoir joindre directement Headplane et Headscale. Ce n’est donc pas une option qui s’active d’un clic sur une installation minimale.

Les points de vigilance

Headplane a d’ailleurs déjà dû corriger une faille sérieuse. Un avis de sécurité publié le 14 mai 2026 sur GitHub, référencé CVE-2026-46484 et classé de gravité élevée, décrit une faille de traversée de chemin, une technique qui détourne une adresse vers une autre ressource que celle prévue, permettant de contourner les contrôles d’autorisation lors du renommage de machines et d’utilisateurs. Seuls des utilisateurs déjà authentifiés pouvaient l’exploiter, mais ils pouvaient ainsi agir sur des ressources du réseau qu’ils n’étaient pas autorisés à gérer. Les versions 0.6.2 et antérieures étaient concernées, ainsi que les préversions 0.7.0-beta.1 et 0.7.0-beta.2 ; la correction est arrivée avec les versions 0.6.3 et 0.7.0-beta.3.

Une interface d’administration de réseau privé est une cible de choix : une installation de Headplane oubliée depuis plusieurs mois n’est pas un détail.

Il faut aussi garder en tête la maturité du projet. Le numéro de version, qui commence encore par zéro, signale un logiciel qui évolue vite, et Headplane reste un projet communautaire distinct de Headscale : si son développement ralentissait, il faudrait se tourner vers une autre interface. La documentation de Headscale en recense plusieurs, comme headscale-ui ou headscale-admin, ce qui limite le risque d’impasse. Enfin, ce type d’interface n’a pas vocation à être exposé sur Internet sans protection : la réserver au réseau privé lui-même, ou la placer derrière une authentification solide, réduit nettement la surface d’attaque.

Pour une TPE, une association ou un particulier qui veut accéder à son NAS, à ses caméras ou à son serveur domestique sans confier la coordination de son réseau à une entreprise tierce, le duo Headscale et Headplane est une piste sérieuse, libre côté serveur comme côté interface. Il demande en échange un minimum de rigueur : un serveur pour héberger la coordination, des mises à jour suivies et des règles d’accès réfléchies. Si vous hésitez à franchir le pas, nous pouvons vous aider à évaluer votre besoin dans le cadre de notre accompagnement bénévole et gratuit, dans la mesure de nos disponibilités.