Ports : lesquels ouvrir et comment vérifier

Quels ports les services courants nécessitent, comment voir ce sur quoi la machine écoute, comment vérifier la disponibilité externe et que faire si un port est fermé.

Mis à jour le 23 août 2026

Un port est un numéro qui indique au système quel service doit recevoir une connexion entrante. La règle est simple : seul ce que vous utilisez réellement doit être ouvert. Chaque port ouvert en trop est une porte supplémentaire que quelqu'un testera pour y trouver des failles.

Numéros de ports courants

Port	Service	Ouvert vers l'extérieur
22	SSH	Oui, de préférence restreint par adresse
80	HTTP	Oui, si vous avez un site web
443	HTTPS	Oui, si vous avez un site web
25, 465, 587	Mail	Entrant — uniquement si vous hébergez votre propre serveur mail. Le sortant est fermé de notre côté et ouvert sur demande
3306	MySQL	Non, local uniquement
5432	PostgreSQL	Non, local uniquement
6379	Redis	Non, local uniquement
27017	MongoDB	Non, local uniquement
25565	Minecraft	Oui, s'il s'agit d'un serveur de jeu

Une remarque sur le mail : les connexions entrantes ne sont pas restreintes, tandis que les connexions sortantes sur 25, 465 et 587 sont fermées au niveau du nœud jusqu'à ce que vous nous demandiez de les ouvrir. Les règles à l'intérieur de la machine n'y changent rien — consultez Serveur mail : pourquoi c'est difficile et ce qu'il faut prendre en compte pour plus de détails.

Les bases de données ne sont presque jamais exposées vers l'extérieur. Si vous avez besoin d'y accéder depuis votre ordinateur de travail, la bonne méthode est un tunnel SSH, pas un port ouvert :

ssh -L 5432:127.0.0.1:5432 artem@<address>

Ce sur quoi la machine écoute

ss -tulpn
ss -tlpn | grep 443
lsof -i -P -n | grep LISTEN

Regardez l'adresse avant le numéro de port. 127.0.0.1:5432 signifie que le service n'est disponible que depuis l'intérieur — il n'est pas joignable depuis l'extérieur, quel que soit le nombre de règles que vous ajoutez. 0.0.0.0:5432 signifie que le service est ouvert sur toutes les interfaces réseau et doit être protégé par un pare-feu.

Vérification depuis l'extérieur

Depuis votre ordinateur :

nc -vz <address> 443
curl -I http://<address>

Vérifier avec ping est inutile : ICMP et TCP sont deux choses différentes ; un port peut fonctionner alors que le ping est bloqué, et inversement.

Le port est fermé : dépannage étape par étape

Le service tourne-t-il ? systemctl status <service>
Écoute-t-il sur la bonne adresse ? ss -tulpn — pas 127.0.0.1
Le pare-feu l'autorise-t-il ? ufw status verbose ou nft list ruleset
Docker interfère-t-il ? Les ports publiés des conteneurs contournent ufw
Consultez les journaux du service : journalctl -u <service> -n 50

L'ordre compte : le plus souvent, le problème se situe à l'étape deux, pas dans le pare-feu.

Changer le port d'un service

Par exemple, déplacer SSH :

sed -i "s/^#\?Port 22/Port 2222/" /etc/ssh/sshd_config
ufw allow 2222/tcp
sshd -t
systemctl restart ssh

Vérifiez que vous pouvez vous connecter sur le nouveau port dans une fenêtre séparée, et seulement ensuite supprimez la règle pour le port 22. Pour plus de détails, consultez Durcissement SSH.

Erreurs courantes

Symptôme	Cause	Solution
`Connection refused`	Le service ne tourne pas	`systemctl status`, consultez les journaux
`Connection timed out`	Le paquet est rejeté par le pare-feu	Vérifiez les règles
Fonctionne en local, pas depuis l'extérieur	Lié à `127.0.0.1`	Changez l'adresse dans la configuration
`Address already in use`	Le port est occupé par un autre service	`ss -tulpn` et arrêtez le service en trop

N'ouvrez un port qu'après avoir vérifié ce qui y répond. Un port oublié d'une ancienne expérimentation est un point d'entrée typique pour un piratage ; consultez signes de compromission.