Référence des ports TCP/UDP courants

Les ports les plus rencontrés en administration réseau, avec leur service habituel, leur rôle et les points de vigilance en matière de sécurité.

À retenir : un numéro de port indique une convention (attribution IANA ou usage répandu), pas une preuve. N'importe quel service peut écouter sur n'importe quel port ; seule l'analyse du protocole permet d'identifier réellement ce qui tourne.

Transfert de fichiers

Port	Protocole	Service	Usage typique	Sécurité
20, 21	TCP	FTP	Transfert de fichiers (21 : contrôle, 20 : données en mode actif).	Identifiants et données en clair : préférer SFTP ou FTPS.
69	UDP	TFTP	Transfert simple sans authentification (démarrage PXE, équipements).	Aucune authentification : limiter à des réseaux maîtrisés.

Administration

Port	Protocole	Service	Usage typique	Sécurité
22	TCP	SSH / SFTP / SCP	Administration à distance chiffrée et transfert de fichiers.	Restreindre les sources, authentification par clé, pas de connexion root directe.
23	TCP	Telnet	Ancien protocole d’accès distant.	Tout circule en clair : à désactiver au profit de SSH.
830	TCP	NETCONF sur SSH	Configuration programmatique des équipements.	Réseau de gestion uniquement, comptes dédiés.
3389	TCP / UDP	RDP	Bureau à distance Windows.	Jamais exposé directement sur Internet ; passerelle, VPN ou bastion avec MFA ; NLA activé.
5985, 5986	TCP	WinRM (HTTP / HTTPS)	Administration PowerShell à distance.	Réseau d’administration uniquement.

Messagerie

Port	Protocole	Service	Usage typique	Sécurité
25	TCP	SMTP	Relais de messagerie entre serveurs.	Ne pas laisser de relais ouvert ; souvent bloqué en sortie par les FAI.
110	TCP	POP3	Récupération des courriels.	En clair : préférer POP3S (995).
143	TCP	IMAP	Accès aux boîtes aux lettres.	En clair : préférer IMAPS (993).
465	TCP	SMTPS (soumission, TLS implicite)	Envoi de courriels par les clients authentifiés.	Authentification obligatoire.
587	TCP	SMTP (soumission, STARTTLS)	Envoi de courriels par les clients authentifiés.	Exiger STARTTLS et l’authentification.
993	TCP	IMAPS	IMAP chiffré.	Authentification forte recommandée.
995	TCP	POP3S	POP3 chiffré.	—

Infrastructure

Port	Protocole	Service	Usage typique	Sécurité
53	UDP / TCP	DNS	Résolution de noms ; TCP pour les grosses réponses et transferts de zone.	Pas de résolveur ouvert sur Internet ; restreindre les transferts de zone.
67, 68	UDP	DHCP	Attribution automatique d’adresses (67 serveur, 68 client).	DHCP Snooping contre les serveurs illégitimes.
123	UDP	NTP	Synchronisation horaire.	Désactiver les requêtes de contrôle obsolètes ; filtrer les sources.
853	TCP	DNS over TLS	Résolution DNS chiffrée entre client et résolveur.	Contrôler les résolveurs autorisés en entreprise.
9100	TCP	Impression directe (RAW/JetDirect)	Envoi de travaux d’impression.	Isoler les imprimantes dans un VLAN dédié.

Web

Port	Protocole	Service	Usage typique	Sécurité
80	TCP	HTTP	Web non chiffré ; souvent redirigé vers HTTPS.	Rediriger vers HTTPS ; ne pas y servir de contenu sensible.
443	TCP (UDP pour HTTP/3	HTTPS	Web chiffré ; HTTP/3 utilise QUIC sur UDP 443.	TLS 1.2 minimum, TLS 1.3 recommandé ; certificats à jour.
8080, 8443	TCP	HTTP / HTTPS alternatifs	Ports usuels de serveurs applicatifs et d’interfaces d’administration.	Convention seulement : vérifier le service réel ; ne pas exposer d’interface d’administration.

Annuaire et authentification

Port	Protocole	Service	Usage typique	Sécurité
88	TCP / UDP	Kerberos	Authentification (Active Directory).	Réservé au réseau interne ; horloges synchronisées.
135	TCP	RPC Endpoint Mapper (Microsoft)	Localisation des services RPC Windows.	Jamais exposé sur Internet.
389	TCP / UDP	LDAP	Annuaire.	Préférer LDAPS ou LDAP avec signature/chiffrement.
636	TCP	LDAPS	Annuaire chiffré par TLS.	Certificats valides sur les contrôleurs.
1812, 1813	UDP	RADIUS	Authentification et comptabilité (802.1X, VPN, Wi-Fi).	Secrets partagés forts ; RadSec (TLS) lorsque possible.

Partage de fichiers

Port	Protocole	Service	Usage typique	Sécurité
137-139	UDP / TCP	NetBIOS	Services hérités de nommage et de partage Windows.	À désactiver si inutile ; jamais exposé sur Internet.
445	TCP	SMB	Partages de fichiers et services Windows.	Jamais exposé sur Internet ; SMBv1 désactivé.
2049	TCP / UDP	NFS	Partage de fichiers en réseau (Unix/Linux).	Limiter aux clients autorisés ; réseau de stockage dédié.

Supervision

Port	Protocole	Service	Usage typique	Sécurité
161, 162	UDP	SNMP / traps SNMP	Supervision des équipements ; 162 reçoit les notifications.	SNMPv3 avec authentification et chiffrement ; ACL vers le serveur de supervision.
514	UDP	Syslog	Envoi de journaux vers un serveur central.	En clair et sans garantie : préférer TCP ou TLS (6514) pour les journaux sensibles.
6514	TCP	Syslog sur TLS	Transport chiffré et fiable des journaux.	Recommandé pour la centralisation des journaux.
57400	TCP	gNMI (valeur courante)	Télémétrie et configuration par gRPC ; le port dépend du constructeur.	TLS obligatoire en production ; réseau de gestion.

Routage

Port	Protocole	Service	Usage typique	Sécurité
179	TCP	BGP	Sessions entre routeurs BGP.	Filtrer aux seuls voisins ; authentification de session.

VPN

Port	Protocole	Service	Usage typique	Sécurité
500	UDP	IKE (IPsec)	Négociation des tunnels VPN IPsec.	IKEv2 et algorithmes robustes ; restreindre aux pairs connus pour les VPN site à site.
1194	UDP (ou TCP)	OpenVPN	Valeur par défaut d’OpenVPN (configurable).	Port configurable : il n’identifie pas à lui seul le service.
4500	UDP	IPsec NAT-T	Encapsulation IPsec lorsqu’un NAT est détecté.	Associé à UDP 500 pour les VPN IPsec.
51820	UDP	WireGuard	Valeur usuelle de WireGuard (configurable).	Port configurable.

Bases de données

Port	Protocole	Service	Usage typique	Sécurité
1433	TCP	Microsoft SQL Server	Base de données SQL Server (instance par défaut).	Jamais exposé sur Internet ; accès depuis les serveurs applicatifs uniquement.
3306	TCP	MySQL / MariaDB	Base de données.	Écoute locale ou réseau privé ; jamais exposé sur Internet.
5432	TCP	PostgreSQL	Base de données.	Réseau privé uniquement, authentification forte.

Voix et vidéo

Port	Protocole	Service	Usage typique	Sécurité
5060, 5061	UDP / TCP	SIP / SIP sur TLS	Signalisation de la téléphonie sur IP.	Exposition à la fraude téléphonique : filtrer et chiffrer (5061).

Plages de ports

La RFC 6335 décrit trois plages : les ports système (0 à 1023), les ports utilisateur ou « enregistrés » (1024 à 49151) et les ports dynamiques ou privés (49152 à 65535). Les systèmes d'exploitation choisissent les ports sources éphémères dans une plage dynamique dont les bornes varient selon l'OS et sa configuration.

Bonnes pratiques

N'exposez que les ports strictement nécessaires et filtrez par source lorsque c'est possible.
Préférez les variantes chiffrées (HTTPS, SSH, SMTP avec STARTTLS ou TLS implicite, LDAPS) aux protocoles en clair.
Changer un port par défaut réduit le bruit des balayages automatisés mais ne constitue pas une mesure de sécurité suffisante.
Vérifiez ce qui écoute réellement sur vos serveurs avec ss -tulpn (Linux) ou Get-NetTCPConnection -State Listen (Windows).

Pour comprendre la différence entre TCP et UDP, consultez TCP et UDP : différences, cas d'utilisation et diagnostic et Ports réseau et protocoles courants.