Aller au contenu

Tester un port ouvert

Vérifiez si un port TCP est ouvert sur une IP ou un hôte public : testez votre redirection de port, ou les ports courants d'un coup.

Port TCP entre 1 et 65535, par exemple 443 pour HTTPS ou 22 pour SSH.

Les ports TCP courants et leur usage

Le scan ci-dessus teste les 21 premiers d'un coup. Les deux derniers sont des cas typiques de redirection de port : saisissez-les à la main.

PortServiceÀ quoi il sert
21FTPTransfert de fichiers (FTP). Les mots de passe y passent en clair : SFTP, sur le port 22, le remplace.
22SSHShell à distance et transfert de fichiers (SSH, SFTP) sur les serveurs Linux et les équipements réseau.
25SMTPCourrier entre serveurs (SMTP). Souvent bloqué sur les connexions grand public contre le spam.
53DNSDNS sur TCP : grandes réponses et transferts de zone. Les requêtes ordinaires passent par UDP.
80HTTPSites web sans chiffrement (HTTP), le plus souvent une simple redirection vers HTTPS.
110POP3Relève du courrier (POP3), non chiffrée. Le port 995 en est la version TLS.
143IMAPLecture du courrier sur le serveur (IMAP), non chiffrée. Le port 993 en est la version TLS.
443HTTPSSites web et API en TLS (HTTPS). Le port le plus souvent ouvert partout.
465SMTPSEnvoi de courrier depuis un client de messagerie, en TLS dès le premier octet (SMTPS).
587SMTP-TLSEnvoi de courrier depuis un client, passé en TLS par STARTTLS (soumission).
993IMAPSIMAP en TLS : ce qu'utilisent les téléphones et logiciels de messagerie pour lire une boîte.
995POP3SPOP3 en TLS : relève du courrier chiffrée.
3306MySQLBases de données MySQL et MariaDB. Ne devrait pas être joignable depuis tout internet.
3389RDPBureau à distance de Windows (RDP). Une cible permanente d'attaques par force brute s'il est ouvert.
5060SIPSignalisation de la téléphonie sur IP (SIP), pour les téléphones et standards VoIP.
5432PostgreSQLBases de données PostgreSQL. Comme MySQL, mieux vaut les garder derrière un pare-feu ou un VPN.
6379RedisRedis, une base de données en mémoire. Sans mot de passe, un Redis ouvert est pris en main en quelques heures.
6443KubernetesLe serveur d'API de Kubernetes, qui pilote tout un cluster.
8080HTTP-AltPort HTTP alternatif : proxys, interfaces d'administration, serveurs de développement.
8443HTTPS-AltPort HTTPS alternatif, fréquent pour les pages d'administration de boîtiers et de routeurs.
27017MongoDBBases MongoDB. Des milliers d'instances ouvertes sans mot de passe ont été effacées par des robots rançonneurs.
25565MinecraftServeurs Minecraft Java Edition : le cas classique de redirection de port sur une box.
32400PlexPlex Media Server, pour regarder sa médiathèque hors de chez soi.

À propos du test de ports

Un test de port ouvre une connexion TCP vers un port précis et indique si elle aboutit. Là où le ping vous dit qu'une machine répond, ceci vous dit qu'un service donné écoute et reste joignable : la distinction qui compte quand une base ou une API est injoignable alors que l'hôte répond au ping.

Le chemin d'un test de redirection de portLe test vient de l'extérieur, comme n'importe quel visiteur : votre box doit le transmettre au bon appareil, et cet appareil doit répondre.
  1. Notre serveur de testInternet, depuis Falkenstein (Allemagne)
    Ouvre une connexion TCP vers203.0.113.42:25565
    Avant la box : le CGNAT

    Votre opérateur partage une adresse publique entre plusieurs clients : l'adresse WAN de la box est dans 100.64.0.0/10 ou privée. Le test s'arrête chez l'opérateur, et aucune règle de votre côté n'y peut rien.

    Le test affiche : filtré

  2. Votre box (routeur)Le seul appareil qu'Internet voit
    Adresse publique203.0.113.42
    Règle de redirection25565 → 192.168.1.20:25565
    Règle absente, ou vers la mauvaise adresse locale

    Aucune règle pour ce port, ou une règle qui vise une ancienne adresse de l'appareil (réattribuée par le DHCP) : réservez son adresse dans la box.

    Le plus souvent : filtré

  3. L'appareilIci, un serveur Minecraft
    Adresse locale192.168.1.20
    Écoute surTCP 25565
    Sur l'appareil : pare-feu ou service absent

    Son pare-feu bloque la connexion, ou le service est arrêté ou n'écoute que sur 127.0.0.1.

    Pare-feu : filtré. Pas de service : fermé.

TCP seulement : UDP n'a pas de poignée de main, un port muet ne prouve donc rien.

les ports courants de scanme.nmap.org, un hôte mis à disposition par le projet Nmap pour les tests : SSH (22) et HTTP (80) ouverts, SMTP (25 et 465) filtré, les autres fermés.

Trois résultats méritent d'être distingués. Un port ouvert a complété la poignée de main : le service tourne et est joignable de l'extérieur. Une connexion refusée signifie que quelque chose a répondu mais que rien n'écoute : le service est généralement arrêté. Un timeout signifie que rien n'a répondu du tout, ce qui désigne presque toujours un pare-feu qui jette le trafic en silence plutôt qu'un service arrêté.

Questions fréquentes

Le port est ouvert en local mais fermé d'ici. Pourquoi ?
Un pare-feu, un groupe de sécurité, ou le service qui écoute sur 127.0.0.1 au lieu de 0.0.0.0. Les trois sont indiscernables depuis la machine et radicalement différents vus de l'extérieur.
Refusé ou timeout : lequel est le pire ?
Refusé est plus simple : le paquet a atteint l'hôte et rien n'écoutait. Un timeout signifie que le paquet a disparu : il faut alors investiguer le service et toute la chaîne de filtrage.
Puis-je tester un port de mon réseau domestique ?
Oui, par son adresse publique : celle que votre routeur présente à internet, exactement ce qu'il faut pour tester une redirection de port. Les adresses privées et locales (192.168.x.x, 10.x.x.x, 127.0.0.1) sont refusées exprès : sonder des plages internes depuis un service public est un risque, pas une fonctionnalité.
Un port ouvert signifie-t-il que je suis exposé ?
Cela signifie que le service est joignable. Que ce soit un problème dépend de ce qui écoute et de son authentification. Une base de données ou un port d'administration ouverts au monde méritent d'être fermés aujourd'hui.
Comment vérifier que ma redirection de port fonctionne ?
Démarrez d'abord le service sur votre ordinateur (serveur de jeu, Plex, caméra), puis saisissez ici votre adresse IP publique et le port : seul un test depuis l'extérieur prouve la redirection. Ouvert : le routeur redirige le port et le service répond. Refusé : le routeur le redirige, mais rien n'écoute sur la machine. Délai dépassé : le plus souvent le routeur ne le redirige pas, un pare-feu le bloque, ou votre opérateur vous place derrière un CGNAT, où l'adresse publique est partagée et aucun port ne peut être redirigé.
Puis-je tester un port UDP ?
Non, et aucun outil en ligne ne peut le faire de façon fiable. TCP a une poignée de main : un port ouvert le prouve. UDP n'en a pas : un port fermé reste souvent muet lui aussi, donc le silence ne prouve rien. Beaucoup de serveurs de jeu et de VPN (WireGuard par exemple) utilisent UDP : pour eux, le test consiste à se connecter avec le vrai client depuis l'extérieur de votre réseau.

Guides associés

Outils associés

Pour aller plus loin

Glossaire réseau : ICMP, MSS, CGNAT

Lancer un traceroute visuel vers cet hôte