Pourquoi choisir CYV

3x-ui, Amnezia, Remnawave et CreateYourVPN aident tous à lancer un VPN sur votre propre serveur. La ressemblance s'arrête à peu près là : ces produits visent des objectifs différents et supposent une quantité de travail manuel très différente de la part du propriétaire.

3x-ui et Remnawave sont des panneaux auto-hébergés. Vous les installez sur votre infrastructure, vous disposez d'un large éventail de réglages et vous prenez en charge vous-même les domaines, les mises à jour, la sécurisation, la supervision et les réparations. Amnezia Self-hosted est une application conçue avant tout pour un VPN personnel simple : elle installe un VPN sur un seul VPS sans terminal et permet de partager l'accès. CreateYourVPN, ou CYV, est une plateforme gérée : les serveurs restent les vôtres, l'exploitation quotidienne est prise en charge par le service.

La vraie question n'est donc pas « quel panneau a le plus de boutons », mais combien de travail manuel restera après le premier lancement. Si vous voulez apprendre Xray, Docker et Linux, un panneau auto-hébergé vous laisse toute la place. Si vous voulez un VPN qui fonctionne pour vous, vos proches ou vos clients sans devenir administrateur système à temps partiel, CYV couvre bien plus de choses d'origine.

Ce qui suit compare les fonctions intégrées. Un script supplémentaire, un bot externe ou un développement maison peuvent en théorie ajouter presque n'importe quoi à n'importe quel panneau, mais cela devient un système à part qu'il faut choisir, relier, mettre à jour et maintenir.

En bref : la différence principale

CYV commence à travailler plus tôt qu'un panneau VPN classique. Il n'installe pas seulement le composant VPN, il prépare le VPS lui-même : il crée un utilisateur dédié, bascule SSH sur des clés, ferme les ports inutiles, active le pare-feu, fail2ban et les mises à jour de sécurité. Après l'installation, la plateforme continue de surveiller le serveur au lieu de le rendre au propriétaire avec un mode d'emploi.

Si un service ou un inbound cesse de fonctionner, CYV ne se contente pas d'un voyant rouge. Des processus automatiques tentent de restaurer le nœud, l'historique des incidents montre ce qui s'est passé, et un point d'entrée injoignable cesse d'être distribué aux utilisateurs tant que la route conserve une alternative saine.

Pour les réseaux qui filtrent, il existe une couche dédiée : le scanner de sites de camouflage, les vérifications Reality effectuées depuis le nœud lui-même, les contrôles croisés entre serveurs, un quorum pour détecter les blocages et le protocole de secours expérimental OLCRTC pour les réseaux en liste blanche.

Enfin, CYV n'est pas seulement de l'infrastructure. Un même système comprend déjà l'espace client, les offres, les paiements, une vitrine en marque blanche, les e-mails, une Partner API et l'intégration MCP avec les assistants IA. Ce qu'il faut habituellement assembler autour d'un panneau auto-hébergé sous forme de projets séparés fonctionne ici comme un seul produit.

1. Mise en service et exploitation au quotidien

La sécurité commence avant l'installation du VPN

Sur un VPS neuf, SSH est en général sur son port standard, la connexion par mot de passe est autorisée et les règles réseau dépendent de l'image de l'hébergeur. L'installateur d'un panneau ajoute le panneau lui-même, mais cela ne veut pas dire que tout le système d'exploitation est devenu sûr.

Lors de la connexion d'un serveur, CYV exécute une étape de préparation distincte :

• crée un administrateur de service et active la connexion par clé SSH ;
• désactive la connexion par mot de passe et la connexion directe en root ;
• déplace SSH sur un port non standard ;
• active UFW selon la règle « tout est interdit sauf le nécessaire » ;
• limite les ports de service aux adresses du plan de contrôle ;
• active fail2ban et l'installation automatique des mises à jour de sécurité ;
• met en place la rotation et une conservation courte des journaux système.

Le mot de passe root saisi lors de l'ajout du serveur ne sert qu'à la première connexion et n'est pas conservé. Après la préparation, CYV travaille avec une clé dédiée. Le processus complet est détaillé dans la leçon sur les serveurs et dans le guide du premier lancement.

Le panneau n'est pas un serveur de plus à maintenir

3x-ui et Remnawave doivent être installés, publiés sur Internet via une adresse sûre, dotés de TLS, mis à jour et sauvegardés. Remnawave demande en plus de déployer le panneau, les nœuds, un domaine et un reverse proxy. C'est un modèle normal pour un produit auto-hébergé, mais avec le contrôle le propriétaire hérite d'un service de production supplémentaire.

CYV est déjà hébergé et mis à jour comme une plateforme unique. Le propriétaire connecte ses VPS, tandis que les versions des composants serveur et des agents de service sont déployées de façon centralisée. Inutile de se connecter à chaque serveur pour répéter la mise à jour à la main.

La supervision doit répondre à la question « et maintenant ? »

La charge CPU et un processus au vert sont utiles, mais n'expliquent pas à eux seuls pourquoi tel utilisateur n'arrive pas à se connecter. Dans CYV, le diagnostic relie l'état du serveur, de l'inbound, de la route et de l'abonnement, et formule le problème en langage courant.

Si la panne est déjà terminée, il reste l'historique des sept derniers jours : quand le problème a commencé, combien de temps il a duré, s'il s'était déjà produit, si une réparation a été lancée, si le panneau a redémarré et si une notification est partie. Cela permet de distinguer un aléa réseau ponctuel d'un problème systématique chez l'hébergeur.

Pour aller plus loin : supervision et maillage de contrôles, métriques serveur et routes.

L'assistance fait partie du produit

Une demande d'assistance à CYV peut être envoyée directement depuis le panneau, à tout moment. C'est particulièrement important pour un débutant : il n'a pas à déterminer d'abord quel composant est en cause ni dans quel dépôt GitHub ouvrir un ticket. Les projets open source ont de la documentation, des communautés et des salons de discussion, mais l'aide de la communauté n'équivaut pas à un canal d'assistance intégré au service.

2. Résistance au blocage, routage et réseau

CYV évite de deviner le site de camouflage

VLESS + Reality fait ressembler la connexion VPN à une visite HTTPS ordinaire vers un vrai site. La qualité du camouflage dépend du site choisi : il doit prendre en charge TLS 1.3 et HTTP/2, être accessible depuis le pays du serveur et répondre assez vite.

Dans CYV, le serveur scanne automatiquement son voisinage réseau et cherche des sites proches qui remplissent ces conditions. Un site proche offre souvent une latence minimale et un profil de trafic naturel pour un centre de données. Les candidats apparaissent dans le panneau sous forme de suggestions prêtes à l'emploi, et l'adresse choisie est vérifiée depuis le nœud lui-même, pas depuis le navigateur du propriétaire dans un autre pays.

Le scan démarre à l'installation et peut être relancé manuellement à tout moment. Son fonctionnement et la raison du contrôle TLS 1.3 + HTTP/2 sont expliqués dans la leçon sur le scanner de camouflage.

Les serveurs se regardent les uns les autres depuis l'extérieur

L'autocontrôle voit que Xray tourne et que le port écoute. Il ne voit pas le cas où l'adresse IP est bloquée chez le fournisseur de l'utilisateur : le serveur se croit en bonne santé, mais de l'extérieur personne ne l'atteint.

C'est pourquoi les serveurs CYV forment un maillage. Chaque nœud contrôle les autres serveurs et leurs inbounds, et la décision ne repose pas sur un délai d'attente isolé, mais sur une série d'échecs durable et sur les votes de plusieurs vérificateurs indépendants. Un serveur situé dans le pays de vos clients peut être désigné comme vérificateur de confiance : son point de vue se rapproche du réseau réel de l'utilisateur.

Si le blocage est confirmé, le propriétaire reçoit un e-mail et l'inbound concerné cesse d'être distribué tant que la même route conserve un point d'entrée sain. À la prochaine actualisation de l'abonnement, l'utilisateur bascule sur un serveur fonctionnel sans recevoir de nouveau lien. Le système ne promet pas de voir tous les réseaux du monde : le contrôle montre le point de vue de vos serveurs, et c'est bien pour cela qu'un vérificateur dans le bon pays est si utile.

Une route est une ligne stable, pas un serveur précis

Dans l'application de l'utilisateur, une route apparaît comme un seul emplacement. À l'intérieur, elle peut contenir plusieurs inbounds sur des serveurs différents.

CYV répartit les utilisateurs entre les serveurs. Le panneau détermine quel serveur est le moins chargé à cet instant et y envoie l'utilisateur suivant : la charge se mesure en bande passante disponible par utilisateur connecté, si bien qu'une machine faible et saturée ne reçoit pas de nouvelles personnes. Il existe aussi une simple répartition à tour de rôle avec des coefficients, lorsque les serveurs ont des puissances différentes et que vous voulez fixer la proportion à la main.

Si un serveur tombe, la route subsiste. S'il ne reste plus aucun inbound sain, la ligne vide disparaît temporairement de l'abonnement et revient après rétablissement. De ce fait, remplacer ou réparer un VPS ne se transforme pas en envoi de nouvelles configurations à toute l'audience.

Pour une topologie plus complexe, il y a le multi-hop : l'utilisateur entre par un serveur dans un pays et sort vers Internet par un autre. La chaîne se construit dans le panneau sans éditer la configuration Xray à la main.

Le split tunneling atteint les applications et les routeurs

Dans CYV, vous définissez quels domaines, catégories de sites et pays passent par le VPN et lesquels vont en direct. Les valeurs geosite et geoip sont validées par catalogue avant l'enregistrement : une faute de frappe n'entre pas dans la configuration et n'empêche pas l'application de démarrer chez les utilisateurs.

Des règles toutes faites peuvent être importées depuis Clash, sing-box, Xray ou une simple liste. La source est actualisée une fois par mois, et un élargissement potentiellement dangereux des règles, qui enverrait trop de trafic hors du VPN, exige une nouvelle validation du propriétaire.

Ces mêmes règles sont reçues par les applications compatibles et par les routeurs domestiques sous OpenWrt avec Nikki. Séparément, le blocage des torrents et de la publicité peut être activé sur le serveur : l'utilisateur ne le contournera pas en modifiant sa configuration locale. On peut commencer par les leçons sur les inbounds et la connexion d'OpenWrt.

OLCRTC, la voie de secours pour les listes blanches

Quand un réseau n'autorise qu'une courte liste de services, les protocoles VPN habituels peuvent ne pas établir de connexion du tout. Pour ce cas, CYV propose le protocole de secours expérimental OLCRTC.

L'utilisateur crée un nouvel appel vidéo dans un service pris en charge, transmet le lien via son espace client ou par e-mail et reçoit une connexion temporaire. Pour le réseau restrictif, le trafic ressemble à la participation à une visioconférence autorisée. OLCRTC est plus lent qu'un VPN classique et dépend de la disponibilité du service vidéo : c'est une bouée de sauvetage, pas le transport principal. Mieux vaut se préparer à l'avance en suivant les instructions d'accès de secours.

3. Utilisateurs, vitrine et argent

Pas seulement un lien, mais un espace client

Le lien d'abonnement et le QR code existent dans plusieurs produits, et le tableau le reconnaît honnêtement. La différence de CYV, c'est que tout le parcours utilisateur est déjà construit autour de ce lien.

Le client se connecte avec un code à usage unique reçu par e-mail et voit :

• son abonnement et le QR code ;
• les boutons d'installation des applications et les instructions ;
• la durée, le trafic et l'état de l'accès ;
• les offres et le bouton de paiement ;
• les contacts d'assistance de votre service ;
• le lien et les instructions pour OpenWrt avec Nikki ;
• l'accès de secours, s'il est activé.

La vitrine peut s'installer sur l'écran d'accueil du téléphone comme une PWA, avec votre nom et votre icône. Quand un serveur, une route ou une règle changent, l'utilisateur ne reçoit pas de nouveau fichier : l'application récupère la mise à jour par le même abonnement. Tout cela est détaillé dans les leçons sur les utilisateurs et la personnalisation de la vitrine.

Une limite d'appareils que l'on peut expliquer et gérer

La limite « une seule connexion » se transforme souvent en refus mystérieux, sans indiquer quel appareil occupe la place. Dans CYV, l'utilisateur dispose d'emplacements d'appareils, et le propriétaire voit les emplacements occupés, l'heure de la dernière requête et un compteur de refus sur 24 heures. Un emplacement inactif se libère au bout de 14 jours ; au besoin, le propriétaire réinitialise les emplacements manuellement.

Si le lien fuite, l'utilisateur peut le régénérer lui-même depuis son espace, dans la limite d'une fréquence autorisée. L'ancien secret et les anciennes clés cessent de fonctionner, et l'événement reste dans le journal de sécurité. Le propriétaire n'a pas à retrouver le client ni à faire l'opération à sa place.

Remnawave prend également en charge des restrictions HWID, d'où le ✅ dans la ligne du contrôle des appareils. C'est un exemple de fonction proche que les produits traitent différemment.

La vitrine devient un service à votre marque

Au niveau de base, CYV fournit déjà l'espace client. L'offre Max ajoute une page d'accueil publique, vos propres domaines et un parcours de vente complet. Le logo sert automatiquement de favicon, d'icône PWA et d'image pour les réseaux sociaux ; les couleurs, le nom et les contacts d'assistance sont définis par le propriétaire.

La vitrine possède trois adresses distinctes : page d'accueil, espace client et abonnements. Elles peuvent vivre sur des domaines différents, si bien que le blocage de la page publique n'emporte pas forcément avec lui la connexion des utilisateurs et la mise à jour des configurations. Le client voit la marque du propriétaire, pas CreateYourVPN, y compris dans l'interface de l'espace client et dans les e-mails.

Un paiement devient immédiatement un accès

Dans CYV, une offre, c'est une durée, un volume de trafic, une limite d'appareils, un prix et des règles d'inscription. Elle peut être attribuée à la main ou vendue via un prestataire de paiement connecté. Après un webhook vérifié, le système retrouve lui-même l'utilisateur, active ou prolonge l'accès et se protège contre une double attribution pour un même paiement.

L'argent arrive directement sur le compte du propriétaire chez le prestataire ; CYV n'est pas le vendeur et ne prélève aucune commission sur le chiffre d'affaires. Le journal des paiements affiche les événements traités, les erreurs et les paiements « non rattachés ». Ces derniers se relient manuellement à un utilisateur et à une offre, après quoi le paiement suivant est reconnu automatiquement.

Tout le parcours est décrit dans trois leçons : offres, monétisation et paiement de la plateforme.

4. Automatisation, intégrations et sauvegarde des données

MCP permet de piloter l'infrastructure en conversant

3x-ui, Remnawave et CYV disposent tous d'une API : les trois peuvent donc être reliés à votre automatisation. Dans CYV, un serveur MCP distant fonctionne déjà au-dessus de la Partner API : un assistant IA compatible reçoit non pas une API HTTP brute, mais des outils clairs pour les serveurs, les inbounds, les routes, les utilisateurs, le diagnostic et la documentation.

La connexion passe par OAuth. Le propriétaire choisit le niveau : lecture seule, lecture et configuration, ou accès complet. Les droits sont vérifiés à chaque appel, les suppressions sensibles sont protégées en plus par un code envoyé par e-mail, et la connexion peut être révoquée depuis le panneau. Le journal d'actions montre quel outil a été appelé et comment l'opération s'est terminée ; les secrets et les adresses e-mail complètes n'y figurent pas.

On peut connecter ChatGPT, Claude, DeepSeek et d'autres clients MCP. L'architecture et les limites de l'accès sont expliquées dans la leçon sur MCP, et un exemple pratique se trouve dans le guide DeepSeek. Pour les intégrations classiques, voyez la présentation de la Partner API.

La sauvegarde part déjà chiffrée vers le stockage du propriétaire

Une sauvegarde conserve les utilisateurs, leurs durées, leurs quotas, leurs jetons d'abonnement et leurs clés de connexion. CYV chiffre le fichier avant l'envoi et le dépose dans le Google Drive ou le stockage compatible S3 du propriétaire : AWS S3, Cloudflare R2, Backblaze B2, Wasabi et d'autres.

La copie peut être restaurée dans un cluster CYV ou dans un panneau compatible vierge. C'est un point de principe : la sauvegarde reste utile même en dehors de la plateforme, et les applications déjà configurées des utilisateurs peuvent continuer à fonctionner après la restauration. La fréquence et la durée de conservation sont définies par le propriétaire ; les détails sont dans la leçon sur les sauvegardes et les instructions de sauvegarde.

L'offre Pro comprend aussi le changement de maître du cluster. Le rôle de contrôle passe à un autre nœud sans remplacer les liens d'abonnement des utilisateurs. Au lieu d'une migration manuelle en urgence, vous obtenez une opération contrôlée, avec vérifications préalables et retour arrière ; voir la leçon sur les clusters.

5. Sécurité et confidentialité vérifiables

Pas « faites-nous confiance », mais des affirmations réfutables

CYV publie un rapport de sécurité. Il ne s'agit pas de promesses générales, mais d'affirmations numérotées : ce qu'il advient du premier mot de passe du VPS, quelles données arrivent dans les journaux, comment les comptes sont cloisonnés et ce qui est installé sur le serveur.

Les limites connues sont publiées juste à côté. Un chercheur peut non seulement trouver une vulnérabilité classique, mais aussi démontrer qu'une affirmation du rapport est fausse. Un programme de bug bounty est prévu exactement pour cela. Les découvertes confirmées et leurs correctifs sont publiés dans un journal public, et leurs auteurs dans le Hall of Fame.

Ce format compte pour une plateforme gérée : une partie du travail est faite automatiquement, la confiance doit donc s'appuyer sur des promesses techniques vérifiables et sur l'historique des réactions aux erreurs.

Journaux minimaux

Sur les serveurs VPN, le journal d'accès de Xray est désactivé de force à chaque application de la configuration : les adresses visitées par les utilisateurs ne sont pas enregistrées. Les journaux système du VPS sont conservés une heure, l'historique de charge 24 heures, et les incidents d'infrastructure anonymisés ainsi que les résultats de diagnostic jusqu'à sept jours.

Une vue d'ensemble de ces principes se trouve dans le centre de sécurité CYV.

Ce que cela coûte réellement

3x-ui, Amnezia Self-hosted et Remnawave s'utilisent gratuitement : c'est un de leurs atouts importants. Mais un prix de licence nul ne rend pas l'exploitation gratuite. La note comprend toujours le VPS du panneau, les domaines, les sauvegardes, la supervision et, surtout, le temps de la personne qui met à jour le système et réagit aux pannes.

CYV n'a pas d'abonnement au nombre de serveurs. Le premier utilisateur est gratuit ; ensuite, vous choisissez entre 0,10 € par mois et par utilisateur enregistré, ou 0,20 € uniquement pour un utilisateur qui s'est connecté au cours des dernières 24 heures. Pro coûte 0,99 € par mois et ajoute les sauvegardes, OLCRTC et le changement de maître. Max coûte 4,99 € par mois, inclut Pro et débloque la page d'accueil, les domaines personnels, les offres et les ventes.

La comparaison pertinente n'est donc pas « 0 € contre 0,10 € », mais deux façons de payer : avec votre temps pour une exploitation manuelle, ou avec une petite somme prévisible pour l'automatisation. Le mode de facturation en vigueur, la période d'essai et le comportement du solde sont détaillés dans la leçon sur le paiement.

Ce qui reste à vous

CYV ne vend pas un VPN mutualisé tout fait et ne s'approprie pas l'infrastructure. Les VPS sont loués chez les hébergeurs que vous choisissez, les domaines vous appartiennent, les paiements des clients vont directement à votre prestataire et les sauvegardes se trouvent dans votre Google Drive ou S3.

La base d'utilisateurs peut être sauvegardée régulièrement dans votre propre stockage et restaurée à partir d'une copie hors de CYV. Ce n'est pas seulement une fonction de secours, c'est aussi la réponse à la question de la dépendance vis-à-vis de la plateforme : le service fournit l'automatisation, les actifs essentiels restent au propriétaire.

À qui convient chaque solution

3x-ui conviendra à qui veut un panneau gratuit et polyvalent, avec un grand choix de protocoles, et souhaite gérer soi-même chaque réglage. Il propose des abonnements, une API REST, le multi-nœud, des sauvegardes et des bots pour administrateurs.

Amnezia Self-hosted est une bonne option pour un VPN personnel sur un seul VPS. L'installation se fait sans terminal, plusieurs protocoles sont disponibles et l'accès se partage avec les proches par clé, fichier ou QR code.

Remnawave s'adresse à l'administrateur expérimenté qui veut un panneau auto-hébergé moderne, plusieurs nœuds, des profils Xray flexibles, une API, des métriques et une page d'abonnement personnalisable.

CYV se choisit quand ce qui compte n'est pas le nombre maximal de réglages manuels, mais un résultat fini : connecter des serveurs en sécurité, les maintenir en marche automatiquement, détecter les blocages, offrir aux gens un espace client pratique et, si vous le souhaitez, transformer le tout en service sous votre propre marque.

Questions fréquentes

CYV convient-il pour un simple VPN personnel ?

Oui. Vous pouvez rester en mode simplifié à un seul serveur et ne jamais activer les fonctions commerciales. Le premier utilisateur est gratuit : pour un usage personnel, vous ne payez donc que la location de votre VPS. Si des proches ou des clients arrivent plus tard, rien n'est à reconstruire depuis zéro.

Faut-il savoir administrer Linux ?

Non. Pour le premier lancement, il suffit de louer un VPS compatible et de saisir ses informations de connexion dans l'assistant. CYV prépare lui-même le système d'exploitation et installe les composants nécessaires. Le terminal reste accessible au propriétaire, mais ce n'est pas le moyen habituel de gérer le service.

CYV remplace-t-il un hébergeur ?

Non. Vous louez le VPS directement chez le fournisseur de votre choix, et CYV le connecte et l'exploite comme serveur VPN. La facture du VPS se règle séparément auprès de l'hébergeur.

Que se passe-t-il si un serveur est bloqué ?

Vos autres serveurs remarqueront l'indisponibilité durable, et un vérificateur de confiance aidera à déterminer le sens du blocage. CYV prévient le propriétaire et cesse de distribuer un inbound confirmé comme bloqué si la route dispose d'une alternative saine. Pour les réseaux en liste blanche, il existe le scénario de secours OLCRTC.

Faut-il développer sa propre application VPN ?

Non. Les utilisateurs se connectent avec des applications standard : Happ, Streisand, v2rayN, v2rayNG, Hiddify et d'autres. L'espace client indique l'application adaptée et fournit le lien ou le QR code. On peut commencer par le guide Happ.

CYV enregistre-t-il les sites visités par les utilisateurs ?

Non. Le journal d'accès de Xray sur les serveurs connectés est désactivé de force. La plateforme ne conserve qu'une télémétrie technique limitée, nécessaire à la santé des serveurs, au diagnostic et à la sécurité ; les durées de conservation sont publiées dans le rapport.

Puis-je connecter mon propre bot ou CRM à CYV ?

Oui. Pour les intégrations classiques, il y a la Partner API et une collection Postman publique. Pour les assistants IA, il y a MCP avec OAuth et des droits au choix. Les deux permettent d'automatiser sans transmettre le mot de passe du panneau.

Qu'adviendra-t-il de mes utilisateurs si je décide de partir ?

Les serveurs et les domaines restent les vôtres. Avec Pro, vous pouvez exporter régulièrement la base d'utilisateurs chiffrée vers votre propre stockage, puis restaurer la copie dans un panneau compatible vierge.

Comment nous avons comparé

Nous n'avons pas comparé toutes les fonctions de Xray ni le nombre de champs dans les formulaires. Le critère de cet article, c'est ce que le propriétaire obtient comme processus de travail fini : installation, sécurité du VPS, détection et réparation des pannes, réaction aux blocages, remise de l'accès à l'utilisateur, ventes et automatisation.

Pour les autres produits, nous avons utilisé les documents officiels disponibles à la date de mise à jour de l'article :

• documentation 3x-ui et ses sections sur l'installation et les abonnements ;
• documentation Amnezia sur la configuration du VPN Self-hosted et le partage d'accès ;
• documentation Remnawave sur la configuration initiale, les variables d'environnement et le modèle officiel de page d'abonnement.

Les produits évoluent : les tableaux reflètent l'état à la date indiquée. Si une fonction intégrée comparable apparaît dans la version officielle d'un concurrent, la comparaison mérite d'être mise à jour.