Un broker MQTT managé est un serveur MQTT exploité pour vous par un tiers : vous obtenez un nom d'hôte, des ports et des identifiants, et le fournisseur s'occupe des serveurs, des certificats, des mises à jour et de la capacité. Dans ce guide, vous verrez ce qu'un broker MQTT managé fait concrètement pour vous, en quoi il diffère d'un broker que vous exploitez vous-même, quel modèle de déploiement convient à votre projet et comment connecter votre premier client en cinq minutes environ.
Si vous découvrez MQTT, commencez par Qu'est-ce qu'un broker MQTT ? puis revenez ici lorsque vous serez prêt à réfléchir à l'hébergement.
Qu'est-ce qu'un broker MQTT managé ?
MQTT est un protocole publish/subscribe léger. Les appareils et les applications ne communiquent jamais directement entre eux : ils se connectent à un broker, publient des messages sur des topics et s'abonnent aux topics qui les intéressent. Le broker est l'unique brique d'infrastructure par laquelle transite chaque message, ce qui le rend à la fois simple et critique.
Un broker auto-hébergé signifie que vous installez le logiciel du broker sur une machine virtuelle ou un cluster Kubernetes et que tout ce qui l'entoure vous incombe. Un broker MQTT managé (parfois appelé « MQTT broker as a service » ou broker MQTT cloud) transfère cette responsabilité à un fournisseur. Concrètement, vous recevez :
- Un endpoint public tel que
mqtts://your-broker:8883, ainsi que des endpoints WebSocket pour les navigateurs. - Des identifiants (nom d'utilisateur, mot de passe, client ID) générés pour chaque broker.
- Du TLS avec un certificat valide renouvelé automatiquement.
- Une console web pour créer des brokers, inspecter les topics, suivre les connexions et configurer des alertes.
- Des limites liées à l'offre (connexions, taille des messages, QoS) que vous relevez en changeant d'offre plutôt qu'en reconstruisant votre infrastructure.
Vos appareils continuent de parler un MQTT standard. C'est important : vous n'êtes pas enfermé dans un SDK propriétaire, et n'importe quelle bibliothèque cliente MQTT 3.1.1 ou MQTT 5.0 fonctionne.
Broker MQTT managé ou auto-hébergé
Faire tourner un broker open source sur une seule VM est facile le premier jour. Le travail arrive plus tard : renouvellement des certificats, correctifs de l'OS, la première fois qu'une flotte entière d'appareils se reconnecte d'un coup, et la question à 3 heures du matin de savoir si le broker est seulement en ligne. Voici comment se répartissent les responsabilités.
Exploitation et correctifs
Avec un broker auto-hébergé, vous suivez les alertes de sécurité du broker, de la bibliothèque TLS et du système d'exploitation, planifiez des fenêtres de maintenance et testez les mises à jour. Avec un broker MQTT managé, le fournisseur applique les mises à jour sur sa flotte de brokers, et vous continuez à utiliser le même nom d'hôte et les mêmes identifiants.
Montée en charge
Un nœud auto-hébergé unique a un plafond défini par son CPU, sa mémoire et ses limites de descripteurs de fichiers. Le relever implique de redimensionner, d'optimiser le noyau et parfois de revoir l'architecture. Sur un broker MQTT managé, vous montez en charge en passant à une offre aux limites plus élevées ou à un cluster dédié. ConnectMQ protège aussi l'infrastructure partagée grâce à des quotas par offre, une protection contre les rafales de connexions et une protection adaptative contre la surcharge : un client défaillant ne peut pas faire tomber tous les autres.
Certificats TLS
Le MQTT chiffré sur le port 8883 nécessite un certificat reconnu par les clients. En auto-hébergement, il faut l'obtenir, automatiser son renouvellement et redémarrer les listeners. ConnectMQ sert le TLS sur le port 8883 et le WebSocket sécurisé sur le port 8084 avec un certificat Let's Encrypt, que les clients standard reconnaissent nativement. Pour approfondir la sécurité du transport, consultez Sécurité MQTT : les bonnes pratiques.
Supervision
Un broker brut vous fournit des logs et, au mieux, des topics $SYS. Il vous faut encore des tableaux de bord, des alertes et un moyen de voir quel appareil est connecté. Le portail ConnectMQ inclut un tableau de bord, un explorateur de topics en temps réel, un client MQTT dans le navigateur, une vue des appareils organisée selon les niveaux ISA-95, des règles d'alerte à seuil et un journal des alertes.
Coût total de possession
La facture des serveurs est rarement le poste le plus coûteux. Le tableau ci-dessous compare où se situe l'effort.
| Domaine | Broker auto-hébergé | Broker MQTT managé |
|---|---|---|
| Serveurs et OS | Vous les provisionnez, dimensionnez et corrigez | Exploités par le fournisseur |
| Mises à jour du broker | Vous les testez et les déployez | Déployées par le fournisseur |
| Certificats TLS | Vous les émettez, renouvelez et déployez | Inclus et renouvelés |
| Authentification | Vous configurez les utilisateurs et leur stockage | Identifiants générés dans le portail |
| Protection contre les abus et la surcharge | Vous construisez limites de débit et bannissements | Quotas, protection anti-rafales et blocage d'IP intégrés |
| Supervision et alertes | Vous assemblez tableaux de bord et alerting | Tableau de bord, explorateur de topics et règles d'alerte inclus |
| Montée en charge | Redimensionner, optimiser, repenser | Changer d'offre ou passer en dédié |
| Astreinte | Votre équipe | Le fournisseur pour le broker ; vous pour vos applications |
| Délai jusqu'au premier message | De quelques heures à plusieurs jours | Quelques minutes |
L'auto-hébergement reste pertinent lorsque les données ne doivent jamais quitter votre réseau, lorsque vous avez des exigences strictes d'isolement physique (air gap) ou lorsque vous disposez déjà d'une équipe plateforme avec de la capacité disponible. Pour la plupart des équipes qui livrent un produit, un broker MQTT managé transforme une charge d'exploitation récurrente en un abonnement prévisible.
Modèles de déploiement d'un broker MQTT managé
« Managé » ne désigne pas une seule chose. Le bon modèle dépend du niveau d'isolation dont vous avez besoin et de l'endroit où vos données doivent résider. ConnectMQ propose quatre modèles qui correspondent à ses offres.
| Modèle de déploiement | Offre ConnectMQ | Qui exploite l'infrastructure | Cas d'usage typique |
|---|---|---|---|
| Serverless (partagé) | Serverless Free / Serverless Paid | ConnectMQ, sur un cluster mutualisé multi-tenant | Prototypes, pilotes, flottes de production petites et moyennes |
| Dedicated | Dedicated | ConnectMQ, sur un cluster isolé rien que pour vous | Charges de production nécessitant leurs propres ressources |
| Bring Your Own Cloud | BYOC | ConnectMQ gère les brokers dans votre compte cloud | Résidence des données, engagements cloud existants |
| Autogéré | Self Managed Enterprise | Vous, avec un broker ConnectMQ sous licence | Sites sur site, réglementés ou isolés (air gap) |
Serverless (cluster partagé)
Vous obtenez un broker en quelques secondes sans choisir de taille de machine. Les topics de chaque tenant sont isolés des autres tenants et de la zone publique. L'offre Serverless gratuite cible les essais et les prototypes : jusqu'à 25 connexions simultanées, QoS jusqu'à 1, messages de 256 Ko, retained messages et abonnements avec wildcards. L'offre Serverless payante porte ces valeurs à des limites de production sur le même cluster partagé : jusqu'à 1 000 connexions, QoS 2, messages de 1 Mo et shared subscriptions.
Dedicated
Une offre dédiée vous donne votre propre cluster de brokers isolé. Les voisins bruyants disparaissent de l'équation et la capacité est réservée à votre charge, tandis que ConnectMQ continue de l'exploiter.
BYOC (Bring Your Own Cloud)
Avec BYOC, les brokers tournent dans votre propre compte cloud et ConnectMQ les gère. C'est utile lorsque votre équipe sécurité exige que les données restent à l'intérieur de votre compte ou lorsque vous souhaitez consommer un budget cloud existant.
Self Managed Enterprise
Pour les usines, les opérateurs de réseaux et les autres sites où le broker doit résider sur votre propre matériel, l'offre Self Managed Enterprise fournit un broker sous licence que vous exploitez sur votre infrastructure. Elle convient aux environnements industriels ; lisez MQTT Sparkplug B et Unified Namespace pour voir comment ConnectMQ gère les structures de topics ISA-95 et Sparkplug B.
Vous hésitez ? Notre guide comment choisir un broker MQTT pour l'IoT passe en revue les critères de décision.
Démarrage rapide : votre premier broker MQTT managé en 5 minutes
Vous pouvez essayer MQTT avant de créer un compte, puis passer à un broker privé avec identifiants.
Étape 0 : tester anonymement sur le serveur MQTT public gratuit
Le serveur MQTT public gratuit broker.connectmq.com dispose d'une zone publique, réservée aux tests et aux prototypes. Connectez-vous sans nom d'utilisateur ni mot de passe, avec un client ID unique et non vide. Tout ce qui se trouve dans la zone publique est lisible par n'importe qui : utilisez un préfixe aléatoire et n'envoyez jamais de données personnelles ou sensibles.
Ouvrez un terminal et abonnez-vous :
mosquitto_sub -h broker.connectmq.com -p 1883 -i demo-sub-7f3k \
-t "connectmq/demo/7f3k/#" -v
Dans un second terminal, publiez :
mosquitto_pub -h broker.connectmq.com -p 1883 -i demo-pub-7f3k \
-t "connectmq/demo/7f3k/room1/temp" -m '{"temp":22.5}' -q 1
L'abonné affiche connectmq/demo/7f3k/room1/temp {"temp":22.5}. Les limites de la zone publique sont de 64 Ko par message, 10 messages par seconde et par client, 10 abonnements par client et 8 niveaux de topic au maximum. Parfait pour tester ; en production, vous voudrez votre propre broker.
Étape 1 : s'inscrire et créer un broker
- Rendez-vous sur app.connectmq.com et inscrivez-vous. L'offre Serverless gratuite ne demande pas de carte bancaire.
- Choisissez une offre et créez un broker.
- Copiez le nom d'utilisateur, le mot de passe et le client ID générés. Votre client ID est limité à la valeur émise et à ses variantes
_suffix(par exempleYOUR_CLIENT_ID_sensor1), ce qui vous permet de faire tourner plusieurs clients sous un même broker.
Étape 2 : se connecter en TLS avec mosquitto
Utilisez le port 8883 pour le MQTT chiffré. Comme le certificat est émis par Let's Encrypt, il suffit de pointer le client vers le magasin de CA du système. Sous Linux et macOS :
mosquitto_sub -h broker.connectmq.com -p 8883 --capath /etc/ssl/certs \
-u YOUR_USERNAME -P YOUR_PASSWORD -i YOUR_CLIENT_ID_sub \
-t "factory1/line1/#" -v -V mqttv5
mosquitto_pub -h broker.connectmq.com -p 8883 --capath /etc/ssl/certs \
-u YOUR_USERNAME -P YOUR_PASSWORD -i YOUR_CLIENT_ID_pub \
-t "factory1/line1/cnc1/telemetry" -m '{"spindle_rpm":12000}' -q 1 -V mqttv5
Sous Windows, passez un fichier de bundle CA avec --cafile au lieu de --capath.
Étape 3 : se connecter depuis Python
Installez le client avec pip install paho-mqtt (version 2.x), puis exécutez :
import json
import ssl
import paho.mqtt.client as mqtt
BROKER = "broker.connectmq.com"
PORT = 8883
USERNAME = "YOUR_USERNAME"
PASSWORD = "YOUR_PASSWORD"
CLIENT_ID = "YOUR_CLIENT_ID"
TOPIC = "factory1/line1/cnc1/telemetry"
def on_connect(client, userdata, flags, reason_code, properties):
print("Connected:", reason_code)
client.subscribe(TOPIC, qos=1)
client.publish(TOPIC, json.dumps({"spindle_rpm": 12000}), qos=1)
def on_message(client, userdata, msg):
print(f"{msg.topic} -> {msg.payload.decode()}")
client = mqtt.Client(
mqtt.CallbackAPIVersion.VERSION2,
client_id=CLIENT_ID,
protocol=mqtt.MQTTv5,
)
client.username_pw_set(USERNAME, PASSWORD)
client.tls_set(cert_reqs=ssl.CERT_REQUIRED)
client.on_connect = on_connect
client.on_message = on_message
client.connect(BROKER, PORT, keepalive=60)
client.loop_forever()
Vous devriez voir Connected: Success suivi de votre propre message. Ouvrez l'explorateur de topics en temps réel dans le portail : le même message y apparaît.
Étape 4 : surveiller et alerter
Depuis le portail, vous pouvez inspecter les topics au fil de l'eau, vérifier quels clients sont connectés et ajouter une règle d'alerte à seuil (par exemple, être notifié lorsque spindle_rpm dépasse une limite). Si vous travaillez dans VS Code, l'extension ConnectMQ affiche les reason codes CONNACK, SUBACK et PUBACK et trace en direct les champs JSON numériques.
Ce qu'il faut vérifier avant de choisir un broker MQTT managé
Quel que soit le fournisseur évalué, posez-vous ces questions :
- Prise en charge du protocole : supporte-t-il à la fois MQTT 3.1.1 et MQTT 5.0 ? Les fonctionnalités de MQTT 5 comme l'expiration de session, l'expiration des messages, les topic aliases et les reason codes facilitent l'exploitation des flottes.
- Options de transport : TCP, TLS et WebSocket (y compris le WebSocket sécurisé pour les tableaux de bord dans le navigateur).
- Isolation des tenants : vos topics sont-ils invisibles pour les autres clients d'un cluster partagé ?
- Protection contre les abus : quotas, protection anti-rafales et blocage des tentatives répétées avec de mauvais identifiants.
- Des limites annoncées, pas devinées : un broker MQTT 5 peut communiquer ses limites aux clients dans le CONNACK (Maximum QoS, Retain Available, Wildcard et Shared Subscription Available, Receive Maximum). ConnectMQ le fait, ce qui permet aux clients de s'adapter au lieu d'échouer en silence.
- Évolutivité : pouvez-vous passer d'un broker partagé gratuit à du dédié, à votre propre cloud ou à du sur site sans réécrire le code de vos appareils ?
Démarrer avec ConnectMQ
Créez votre premier broker MQTT managé sur app.connectmq.com. L'offre Serverless est gratuite, ne demande pas de carte bancaire et vous fournit en quelques minutes des identifiants, le TLS et un portail avec explorateur de topics. Quand vous la dépassez, passez à Serverless Paid, Dedicated, BYOC ou Self Managed Enterprise sans modifier votre code MQTT.
Questions fréquentes
Qu'est-ce qu'un broker MQTT managé ?
Un broker MQTT managé est un serveur MQTT exploité par un fournisseur. Vous vous connectez avec des clients MQTT standard à l'aide d'un nom d'hôte et d'identifiants, tandis que le fournisseur gère les serveurs, les mises à jour, les certificats TLS, la capacité et la protection.
Un broker MQTT managé coûte-t-il plus cher que l'auto-hébergement ?
L'abonnement peut sembler plus élevé qu'une simple VM, mais l'auto-hébergement coûte aussi du temps d'ingénierie pour les correctifs, les certificats, la supervision et l'astreinte. Pour la plupart des équipes, le coût total de possession est plus faible avec un broker MQTT managé, et ConnectMQ propose une offre Serverless gratuite pour démarrer.
Puis-je utiliser mes bibliothèques clientes MQTT existantes ?
Oui. ConnectMQ parle MQTT 3.1.1 et MQTT 5.0 standard sur TCP, TLS et WebSocket : des bibliothèques comme Eclipse Paho, MQTT.js et PubSubClient fonctionnent sans modification.
Quels ports utiliser avec ConnectMQ ?
En production, utilisez le port 8883 pour MQTT sur TLS et le port 8084 pour le WebSocket sécurisé. Les ports 1883 (TCP) et 8083 (WebSocket) sont disponibles pour des tests rapides sur le serveur MQTT public gratuit.
Puis-je conserver mes données dans mon propre cloud ou sur site ?
Oui. L'offre BYOC exécute des brokers MQTT managés par ConnectMQ dans votre propre compte cloud, et l'offre Self Managed Enterprise fournit un broker sous licence que vous exploitez sur votre propre infrastructure.
