AnyTLS

Un serveur AnyTLS se décrit par un mot de passe et ses réglages TLS. AnyTLS fonctionne dans TLS et remplit son trafic de bourrage, de sorte que la connexion ressemble à une visite HTTPS ordinaire et ne montre pas les signes habituels d’un proxy dans TLS. Potatso se connecte à un serveur lorsqu’il prend en charge ses réglages TLS. Utilisez les tableaux ci-dessous pour vérifier les réglages de votre serveur, tels que votre fournisseur les indique ou tels qu’ils figurent dans son lien anytls://.

Vous pouvez ajouter un serveur AnyTLS à la main, avec un lien anytls://, ou en important :

un abonnement Clash ou Mihomo,
une configuration Surge.

Potatso n’importe pas encore les serveurs AnyTLS d’une configuration sing-box. Utilisez plutôt le lien anytls:// du serveur.

TLS

Réglage	Clé Clash	Paramètre de lien	Pris en charge
Nom du serveur (SNI)	`sni`	`sni`	✅ Sans nom, Potatso utilise l’adresse du serveur.
ALPN	`alpn`	`alpn`	✅ Sans ALPN, Potatso n’en envoie aucun, comme Clash.
Ignorer la vérification du certificat	`skip-cert-verify`	`insecure`	✅
Épinglage de certificat (SHA-256)	`fingerprint`	`hpkp`	✅
Empreinte de navigateur	`client-fingerprint`	`fp`	✅ `chrome`, `firefox`, `safari`, `ios`, `android`, `edge` et `random`. Les autres noms se connectent avec une négociation par défaut.
REALITY	`reality-opts`		✅
Encrypted Client Hello (ECH)	`ech-opts`		✅ Avec la configuration ECH de l’abonnement, ou récupérée dans le DNS
Certificat CA personnalisé			❌
Certificat client TLS	`certificate`, `private-key`		❌

Désactiver la vérification du certificat permet à n’importe qui entre vous et le serveur de lire votre trafic. Épinglez plutôt le certificat du serveur s’il est autosigné : saisissez le SHA-256 de son certificat comme épinglage de certificat.

Une empreinte de navigateur fait ressembler la négociation TLS de la connexion à celle de ce navigateur. Elle ne change pas ce que le serveur doit prendre en charge.

Potatso n’importe pas un serveur qui exige un certificat client TLS, puisque le serveur refuserait la connexion.

REALITY

Un serveur REALITY emprunte le certificat TLS d’un autre site web, il n’a donc pas besoin du sien. Les serveurs sing-box proposent AnyTLS avec REALITY. Saisissez la clé publique et l'ID court du serveur tels que votre fournisseur les indique, et le nom du serveur du site web auquel le serveur emprunte. REALITY exige une empreinte de navigateur, comme chrome.

Connexions

AnyTLS réutilise ses connexions TLS : quand une connexion vers un site web se termine, la suivante utilise la même connexion TLS au lieu d’en ouvrir une nouvelle. Chaque connexion TLS ne transporte qu’une connexion à la fois ; plusieurs simultanées ouvrent donc plusieurs connexions TLS, qui sont réutilisées ensuite.

Réglage	Clé Clash	Pris en charge
Fréquence de vérification des connexions inactives	`idle-session-check-interval`	✅ En secondes, 30 par défaut
Durée pendant laquelle une connexion inactive reste ouverte	`idle-session-timeout`	✅ En secondes, 60 par défaut
Nombre de connexions inactives qui restent ouvertes	`min-idle-session`	✅ 1 par défaut

Les valeurs de 5 secondes ou moins valent 30, comme dans Clash. Ces réglages proviennent d’un abonnement Clash. Potatso utilise les valeurs par défaut pour les serveurs que vous ajoutez à la main ou par lien.

Le reuse=false d’une configuration Surge ne s’applique pas : Potatso réutilise toujours les connexions, comme le prévoit la spécification AnyTLS. Potatso importe le serveur et affiche un avertissement.

Bourrage

AnyTLS remplit le début de chaque connexion de bourrage pour masquer les tailles qui trahissent un proxy. Un serveur peut envoyer son propre schéma de bourrage. Potatso l’utilise à partir de la connexion TLS suivante, comme le définit AnyTLS. Il n’y a rien à régler sur votre appareil.

UDP

AnyTLS transporte l’UDP dans sa connexion TLS (UDP sur TCP). L’UDP est désactivé par défaut, comme dans Clash. Activez Relais UDP dans les réglages du serveur si votre serveur relaie l’UDP. Un abonnement Clash l’active avec udp: true, et une configuration Surge l’active toujours.

Fonctionnalités prises en charge

Fonctionnalité	Pris en charge
Protocole AnyTLS v2 : mot de passe, bourrage, réutilisation des connexions	✅
Schémas de bourrage envoyés par le serveur	✅
UDP sur TCP	✅
Réglages des connexions inactives	✅
REALITY, ECH	✅
Épinglage de certificat, empreintes de navigateur	✅
CA personnalisée, certificats client TLS	❌
Liens `anytls://`	✅

Chaque fonctionnalité prise en charge est testée avec au moins un vrai serveur AnyTLS : anytls-go, sing-box ou mihomo.

Quand le mot de passe est incorrect, le serveur ferme la connexion. Vérifiez d’abord le mot de passe quand un serveur AnyTLS ne se connecte jamais.

Liens `anytls://`

Un lien anytls:// contient un serveur entier sur une ligne :

anytls://password@host:port/?parameters#name

Partie	Description
`password`	Le mot de passe, encodé en pourcentage.
`host`	Adresse du serveur. Placez une adresse IPv6 entre crochets, comme `[2001:db8::1]`.
`port`	Port du serveur. S’il manque, Potatso utilise 443.
`name`	Facultatif. Le nom du serveur dans Potatso.

Les paramètres suivent le format anytls-go, plus quelques-uns qu’ajoutent certaines apps :

Paramètre	Description
`sni`	Le nom du serveur TLS.
`insecure`	`1` désactive la vérification du certificat.
`alpn`	La liste ALPN, séparée par des virgules et encodée en pourcentage.
`fp`	L’empreinte de navigateur.
`hpkp`	Le SHA-256 du certificat du serveur.

Quand Potatso partage un serveur AnyTLS, il propose un lien anytls:// avec les mêmes paramètres.

Exemples

Chaque exemple montre le lien à importer. Le mot de passe est secret.

Un serveur de base :

anytls://secret@anytls.example.com:443/?sni=anytls.example.com#Basic

Un certificat autosigné, sans vérification :

anytls://secret@203.0.113.7/?insecure=1#Self-signed

Une empreinte Chrome, une liste ALPN et un certificat épinglé :

anytls://secret@anytls.example.com:443/?sni=anytls.example.com&alpn=h2%2Chttp%2F1.1&fp=chrome&hpkp=abababababababababababababababababababababababababababababababab#Shaped