---
title: "AnyTLS"
description: "Les réglages TLS, liens et fonctionnalités AnyTLS pris en charge par Potatso."
---

> Documentation Index
> Fetch the complete documentation index at: https://potatso.com/docs/llms.txt
> Use this file to discover all available pages before exploring further.

# AnyTLS

Un serveur AnyTLS se décrit par un **mot de passe** et ses **réglages TLS**. AnyTLS fonctionne dans TLS et remplit son trafic de bourrage, de sorte que la connexion ressemble à une visite HTTPS ordinaire et ne montre pas les signes habituels d’un proxy dans TLS. Potatso se connecte à un serveur lorsqu’il prend en charge ses réglages TLS. Utilisez les tableaux ci-dessous pour vérifier les réglages de votre serveur, tels que votre fournisseur les indique ou tels qu’ils figurent dans son lien `anytls://`.

Vous pouvez ajouter un serveur AnyTLS à la main, avec un [lien `anytls://`](#links), ou en important :

- un abonnement Clash ou Mihomo,
- une configuration Surge.

Potatso n’importe pas encore les serveurs AnyTLS d’une configuration sing-box. Utilisez plutôt le lien `anytls://` du serveur.

## TLS {#tls}

| Réglage | Clé Clash | Paramètre de lien | Pris en charge |
| --- | --- | --- | --- |
| Nom du serveur (SNI) | `sni` | `sni` | ✅ Sans nom, Potatso utilise l’adresse du serveur. |
| ALPN | `alpn` | `alpn` | ✅ Sans ALPN, Potatso n’en envoie aucun, comme Clash. |
| Ignorer la vérification du certificat | `skip-cert-verify` | `insecure` | ✅ |
| Épinglage de certificat (SHA-256) | `fingerprint` | `hpkp` | ✅ |
| Empreinte de navigateur | `client-fingerprint` | `fp` | ✅ `chrome`, `firefox`, `safari`, `ios`, `android`, `edge` et `random`. Les autres noms se connectent avec une négociation par défaut. |
| [REALITY](#reality) | `reality-opts` | | ✅ |
| Encrypted Client Hello (ECH) | `ech-opts` | | ✅ Avec la configuration ECH de l’abonnement, ou récupérée dans le DNS |
| Certificat CA personnalisé | | | ❌ |
| Certificat client TLS | `certificate`, `private-key` | | ❌ |

Désactiver la vérification du certificat permet à n’importe qui entre vous et le serveur de lire votre trafic. Épinglez plutôt le certificat du serveur s’il est autosigné : saisissez le SHA-256 de son certificat comme épinglage de certificat.

Une empreinte de navigateur fait ressembler la négociation TLS de la connexion à celle de ce navigateur. Elle ne change pas ce que le serveur doit prendre en charge.

Potatso n’importe pas un serveur qui exige un certificat client TLS, puisque le serveur refuserait la connexion.

### REALITY {#reality}

Un serveur REALITY emprunte le certificat TLS d’un autre site web, il n’a donc pas besoin du sien. Les serveurs sing-box proposent AnyTLS avec REALITY. Saisissez la **clé publique** et l'**ID court** du serveur tels que votre fournisseur les indique, et le nom du serveur du site web auquel le serveur emprunte. REALITY exige une empreinte de navigateur, comme `chrome`.

## Connexions {#connections}

AnyTLS réutilise ses connexions TLS : quand une connexion vers un site web se termine, la suivante utilise la même connexion TLS au lieu d’en ouvrir une nouvelle. Chaque connexion TLS ne transporte qu’une connexion à la fois ; plusieurs simultanées ouvrent donc plusieurs connexions TLS, qui sont réutilisées ensuite.

| Réglage | Clé Clash | Pris en charge |
| --- | --- | --- |
| Fréquence de vérification des connexions inactives | `idle-session-check-interval` | ✅ En secondes, 30 par défaut |
| Durée pendant laquelle une connexion inactive reste ouverte | `idle-session-timeout` | ✅ En secondes, 60 par défaut |
| Nombre de connexions inactives qui restent ouvertes | `min-idle-session` | ✅ 1 par défaut |

Les valeurs de 5 secondes ou moins valent 30, comme dans Clash. Ces réglages proviennent d’un abonnement Clash. Potatso utilise les valeurs par défaut pour les serveurs que vous ajoutez à la main ou par lien.

Le `reuse=false` d’une configuration Surge ne s’applique pas : Potatso réutilise toujours les connexions, comme le prévoit la spécification AnyTLS. Potatso importe le serveur et affiche un avertissement.

## Bourrage {#padding}

AnyTLS remplit le début de chaque connexion de bourrage pour masquer les tailles qui trahissent un proxy. Un serveur peut envoyer son propre schéma de bourrage. Potatso l’utilise à partir de la connexion TLS suivante, comme le définit AnyTLS. Il n’y a rien à régler sur votre appareil.

## UDP {#udp}

AnyTLS transporte l’UDP dans sa connexion TLS (UDP sur TCP). L’UDP est désactivé par défaut, comme dans Clash. Activez Relais UDP dans les réglages du serveur si votre serveur relaie l’UDP. Un abonnement Clash l’active avec `udp: true`, et une configuration Surge l’active toujours.

## Fonctionnalités prises en charge {#features}

| Fonctionnalité | Pris en charge |
| --- | --- |
| [Protocole AnyTLS](https://github.com/anytls/anytls-go/blob/main/docs/protocol.md) v2 : mot de passe, bourrage, réutilisation des connexions | ✅ |
| Schémas de bourrage envoyés par le serveur | ✅ |
| UDP sur TCP | ✅ |
| [Réglages des connexions inactives](#connections) | ✅ |
| REALITY, ECH | ✅ |
| Épinglage de certificat, empreintes de navigateur | ✅ |
| CA personnalisée, certificats client TLS | ❌ |
| Liens `anytls://` | ✅ |

Chaque fonctionnalité prise en charge est testée avec au moins un vrai serveur AnyTLS : [anytls-go](https://github.com/anytls/anytls-go), [sing-box](https://sing-box.sagernet.org/) ou [mihomo](https://wiki.metacubex.one/).

Quand le mot de passe est incorrect, le serveur ferme la connexion. Vérifiez d’abord le mot de passe quand un serveur AnyTLS ne se connecte jamais.

## Liens `anytls://` {#links}

Un lien `anytls://` contient un serveur entier sur une ligne :

```text
anytls://password@host:port/?parameters#name
```

| Partie | Description |
| --- | --- |
| `password` | Le mot de passe, encodé en pourcentage. |
| `host` | Adresse du serveur. Placez une adresse IPv6 entre crochets, comme `[2001:db8::1]`. |
| `port` | Port du serveur. S’il manque, Potatso utilise 443. |
| `name` | Facultatif. Le nom du serveur dans Potatso. |

Les paramètres suivent le [format anytls-go](https://github.com/anytls/anytls-go/blob/main/docs/uri_scheme.md), plus quelques-uns qu’ajoutent certaines apps :

| Paramètre | Description |
| --- | --- |
| `sni` | Le nom du serveur TLS. |
| `insecure` | `1` désactive la vérification du certificat. |
| `alpn` | La liste ALPN, séparée par des virgules et encodée en pourcentage. |
| `fp` | L’empreinte de navigateur. |
| `hpkp` | Le SHA-256 du certificat du serveur. |

Quand Potatso partage un serveur AnyTLS, il propose un lien `anytls://` avec les mêmes paramètres.

### Exemples {#link-examples}

Chaque exemple montre le lien à importer. Le mot de passe est `secret`.

Un serveur de base :

```text
anytls://secret@anytls.example.com:443/?sni=anytls.example.com#Basic
```

Un certificat autosigné, sans vérification :

```text
anytls://secret@203.0.113.7/?insecure=1#Self-signed
```

Une empreinte Chrome, une liste ALPN et un certificat épinglé :

```text
anytls://secret@anytls.example.com:443/?sni=anytls.example.com&alpn=h2%2Chttp%2F1.1&fp=chrome&hpkp=abababababababababababababababababababababababababababababababab#Shaped
```

Source: https://potatso.com/docs/fr/protocols/anytls/index.mdx