Gérer ses fichiers en FTP et SFTP

3 min de lecture07 novembre 2026

Le transfert de fichiers reste le moyen le plus direct de mettre à jour un site PHP. Encore faut-il choisir un protocole chiffré, se connecter au bon dossier et ne pas exposer les fichiers qui ne doivent jamais être publics.

1. Choisir le protocole

Protocole	Chiffrement	Port usuel	Usage
FTP	aucun	21	à éviter
FTPS	TLS explicite	21	compatible, si activé
SFTP	SSH	22	recommandé

Le FTP simple transmet identifiants et fichiers en clair : un réseau non maîtrisé peut les lire. Privilégiez SFTP. Si votre client ou votre réseau impose FTP, utilisez FTPS avec TLS explicite, jamais du FTP nu sur Internet.

2. Identifiants et comptes

Créez un compte FTP dans KeyHelp, avec un mot de passe long et unique. Un compte par personne facilite la révocation lorsqu'un accès cesse. Ne partagez pas le compte principal entre plusieurs intervenants : vous perdriez la traçabilité.

Les identifiants ressemblent souvent à utilisateur ou [email protected] ; le panneau indique le nom d'hôte et le port exacts. Utilisez un gestionnaire de mots de passe plutôt qu'un fichier texte.

3. Se connecter

Avec un client graphique (FileZilla, WinSCP, Cyberduck), renseignez l'hôte, le port, le protocole, l'utilisateur et le mot de passe. En ligne de commande :

Bash

sftp [email protected]

Pour FTP explicite avec TLS, lftp reste pratique :

Bash

lftp -u utilisateur ftps://votre-domaine.fr

Vérifiez l'empreinte de la clé SSH à la première connexion SFTP. Une empreinte inattendue peut signaler un intermédiaire ou un changement de serveur.

4. Arborescence et permissions

Restez dans le dossier de votre domaine. Les dossiers parents peuvent contenir d'autres sites ou des fichiers système hors de votre périmètre. Après un téléversement :

fichiers 644, dossiers 755 ;
pas de permissions 777 récursives pour « faire marcher » une application ;
propriétaire géré par le panneau, pas par un chown arbitraire.

Un CMS qui demande 777 cache souvent un problème de propriétaire ou de chemin de cache. Corrigez la cause plutôt que d'ouvrir les droits.

5. Fichiers sensibles et vérification

Ne laissez jamais dans la racine web : .env, wp-config.php avec secrets lisibles, dumps .sql, archives .zip ou .tar.gz, dossier .git. Placez-les au-dessus de la racine ou supprimez-les après usage.

Vérifiez ensuite :

https://votre-domaine.fr/.env renvoie 403 ou 404 ;
un fichier de test téléversé est bien servi ;
les permissions affichées par le client correspondent à 644/755 ;
aucune connexion FTP en clair n'est utilisée.

Après une intervention, fermez la session et supprimez les comptes temporaires.