Pare-feu Windows : ouvrir ce qui est nécessaire

Comment ouvrir un port pour votre service, restreindre l'accès par adresse, et vérifier que la règle fonctionne réellement sans perdre l'accès au serveur.

Mis à jour le 23 août 2026

Sur un VDS sous Windows Server, le pare-feu est le seul filtre entre vos services et Internet : l’adresse IPv4 est publique et aucun bouclier externe ne protège la machine. La règle est donc simple : seul ce que vous avez ouvert délibérément est exposé à l’extérieur.

Ce qui est ouvert actuellement

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction
Get-NetFirewallRule -Enabled True -Direction Inbound |
  Where-Object Action -eq Allow |
  Get-NetFirewallPortFilter | Select-Object Protocol, LocalPort -Unique
Get-NetTCPConnection -State Listen | Select-Object LocalAddress, LocalPort, OwningProcess

La dernière commande indique quels ports sont en écoute. Un service qui écoute uniquement sur 127.0.0.1 n’est pas accessible depuis l’extérieur, quelles que soient les règles.

Ouvrir un port

Serveur web :

New-NetFirewallRule -DisplayName "HTTP" -Direction Inbound -Protocol TCP -LocalPort 80 -Action Allow
New-NetFirewallRule -DisplayName "HTTPS" -Direction Inbound -Protocol TCP -LocalPort 443 -Action Allow

Votre propre service uniquement pour des adresses de confiance :

New-NetFirewallRule -DisplayName "App 8080" -Direction Inbound -Protocol TCP -LocalPort 8080 `
  -RemoteAddress 203.0.113.5,198.51.100.0/24 -Action Allow

Une règle visant un programme précis plutôt qu’un port est plus fiable si l’application utilise des ports dynamiques :

New-NetFirewallRule -DisplayName "MyApp" -Direction Inbound -Program "C:\apps\myapp.exe" -Action Allow

Supprimer et afficher une règle :

Remove-NetFirewallRule -DisplayName "App 8080"
Get-NetFirewallRule -DisplayName "App 8080" | Format-List

Ce qu’il faut garder fermé

N’exposez jamais à l’extérieur sans restriction par adresses :

Port	Service	Pourquoi
3389	RDP	le brute force de mots de passe commence dans les premières heures, voir Protection RDP
1433	MS SQL	la base de données ne doit pas être accessible depuis Internet, voir MS SQL Server
5985, 5986	WinRM	gestion à distance, uniquement depuis vos propres adresses
445	SMB	une cible classique pour les attaques massives

Si vous devez accéder à la base de données depuis votre ordinateur, n’ouvrez pas 1433 ; redirigez plutôt le port dans une session RDP ou mettez en place un VPN.

Vérification

Un port en écoute depuis la machine ne signifie pas qu’il est accessible depuis l’extérieur. Vérifiez depuis un autre hôte :

nc -vz YOUR_ADDRESS 443
curl -I http://YOUR_ADDRESS

S’il est fermé depuis l’extérieur mais que Get-NetTCPConnection affiche une écoute, le problème vient de la règle ou du profil réseau : assurez-vous que la règle est créée dans le profil actif (généralement « Réseau public »).

Erreurs courantes

Désactiver complètement le pare-feu « pour déboguer ». La machine sera trouvée avant que vous ayez terminé. Créez plutôt une règle temporaire avec une restriction par adresses.
Ouvrir un port mais oublier l’application. De nombreux services n’écoutent que sur localhost par défaut ; la règle n’y change rien.
Vous bloquer l’accès à RDP. Dans ce cas, connectez-vous via l’onglet « Console » du panneau /hosting/vds/m/<id>, en mode « Écran », et modifiez la règle depuis là.
Créer une règle d’autorisation au-dessus d’une règle de refus. Sous Windows, un refus l’emporte toujours sur une autorisation — cherchez une règle de blocage avec le même port.

Après chaque modification, il est utile d’enregistrer un instantané de la configuration : Get-NetFirewallRule -Enabled True | Export-Csv C:\fw.csv. Ainsi, vous comprendrez ce qui a changé lorsqu’un service cesse soudain de répondre.