Les ports réseau courants et leur signification

Un port est un nombre de 16 bits qui indique à un ordinateur quel programme doit recevoir les données réseau entrantes. L'adresse IP permet de trouver la bonne machine, et le port de trouver le bon service sur cette machine, par exemple le 443 pour HTTPS ou le 25 pour la remise du courrier. Les ports vont de 0 à 65535, et un service « écoute » sur un port jusqu'à ce qu'un client se connecte.

Qu'est-ce qu'un port

Une connexion est identifiée par cinq valeurs : le protocole (TCP ou UDP), l'adresse et le port source, ainsi que l'adresse et le port de destination. Votre navigateur choisit un port source aléatoire pour chaque connexion, mais le port de destination est fixé par le service. C'est pourquoi les numéros de port standard comptent : un navigateur sait que https:// signifie port 443 sans qu'on le lui dise.

TCP et UDP

• TCP fonctionne en mode connecté. Il établit une connexion, numérote les données, retransmet les parties perdues et les livre dans l'ordre. Le web, le courrier électronique, SSH et les bases de données utilisent TCP.
• UDP envoie des datagrammes indépendants, sans connexion et sans retransmission. Il offre un délai plus faible et moins de surcharge. Les requêtes DNS, DHCP, NTP et de nombreux services de voix et de vidéo utilisent UDP.

Le port TCP 80 et le port UDP 80 sont deux choses différentes. Certains services utilisent les deux, par exemple le DNS sur le port 53. Pour mieux comprendre l'articulation des couches, consultez le modèle OSI.

Plages de ports

L'Internet Assigned Numbers Authority (IANA) répartit les ports en trois plages :

Plage	Nom	Usage
0 – 1023	Ports réservés (ports système)	Services essentiels tels que HTTP, SSH et SMTP. Sur les systèmes de type Unix, seuls les processus privilégiés peuvent écouter ici.
1024 – 49151	Ports enregistrés	Applications enregistrées auprès de l'IANA, par exemple MySQL (3306) et PostgreSQL (5432).
49152 – 65535	Ports dynamiques (éphémères)	Ports source temporaires choisis par les clients. Certains systèmes d'exploitation utilisent une plage par défaut différente ; Linux, par exemple, utilise 32768 – 60999.

L'enregistrement n'est pas une garantie. N'importe quel programme peut écouter sur n'importe quel port libre, et certains services fonctionnent sur des ports non standard, comme SSH sur le 2222.

Ports courants et leur usage

Comment vérifier si un port est ouvert

Vous pouvez tester un port depuis l'extérieur avec notre testeur de ports. Il tente d'ouvrir une connexion TCP vers l'hôte et le port que vous saisissez, et renvoie l'un de ces trois résultats :

• Ouvert : un service a accepté la connexion. L'hôte est joignable et quelque chose écoute.
• Fermé : l'hôte a répondu, mais a refusé la connexion (un TCP reset). Le chemin réseau fonctionne, mais aucun programme n'écoute sur ce port.
• Filtré : aucune réponse n'est revenue avant le délai d'expiration. Un pare-feu abandonne probablement les paquets en silence. Cela peut aussi signifier que l'hôte est hors ligne.

Depuis votre propre ordinateur, vous pouvez tester avec ces commandes :

Test-NetConnection -ComputerName example.com -Port 443   (Windows PowerShell)
nc -vz example.com 443                                     (Linux, macOS)
ss -tlnp                                                   (Linux: list local listening ports)
netstat -ano                                               (Windows: list local connections)

Tester UDP est plus difficile, car l'absence de réponse peut signifier aussi bien « ouvert » que « filtré ». Pour cette raison, les testeurs de ports en ligne testent surtout TCP.

Conseils de sécurité : les ports à ne pas exposer

Chaque port ouvert est un point d'entrée potentiel. N'ouvrez que le nécessaire et fermez le reste. Certains services ne devraient presque jamais être accessibles depuis tout internet :

• Telnet (23) : envoie les mots de passe en clair. Utilisez SSH (22) à la place.
• SMB (445) et NetBIOS (137-139) : partage de fichiers Windows. Il a été la cible de nombreux vers et attaques par rançongiciel. Ne l'exposez jamais sur internet.
• RDP (3389) : le bureau à distance est une cible fréquente des attaques par devinette de mots de passe. Placez-le derrière un VPN ou une passerelle avec authentification multifacteur.
• Bases de données : MySQL (3306), PostgreSQL (5432), SQL Server (1433), MongoDB (27017), Redis (6379) et Elasticsearch (9200). N'autorisez que les serveurs d'applications qui en ont besoin.
• FTP (21) : non chiffré. Utilisez SFTP ou FTPS.
• SSH (22) : acceptable si vous utilisez des clés, désactivez la connexion par mot de passe et limitez les adresses sources, mais attendez-vous à des tentatives de connexion automatisées permanentes.

Règles générales : refusez par défaut tout le trafic entrant et n'autorisez que des ports précis ; limitez par adresse source lorsque c'est possible ; maintenez à jour le logiciel derrière chaque port ; et analysez régulièrement vos propres serveurs pour comparer ce qui est ouvert avec ce que vous attendez. Un port ouvert sans raison connue doit faire l'objet d'une enquête.

Pour aller plus loin

Pour comprendre le lien entre les ports et les adresses IP, lisez ce qu'est une adresse IP. Pour tester un service précis dès maintenant, utilisez le testeur de ports.