Outil gratuit
Ce port répond-il vraiment ?
On ouvre une connexion vers le port, on note ce qui revient, on referme. Rien n'est envoyé, aucune bannière n'est lue. Trois réponses sont possibles — et la troisième est celle que personne n'explique.
La distinction que personne n'explique
Une façade, trois sortes de fenêtres
Une fenêtre allumée, on voit le service. Une fenêtre éteinte, on voit la pièce vide — et c'est déjà un renseignement. Une fenêtre derrière un volet, on ne sait même plus s'il y a une pièce. Posez le pare-feu et regardez ce qui change : aucune fenêtre ne se ferme.
Cliquez une fenêtre pour voir ce que la machine a répondu.
- Réponse
- refus explicite
- Délai
- quelques millisecondes
Le refus est une réponse : l'hôte existe, il est joignable, le réseau va jusqu'à lui. Seul ce port n'est pas servi. Quand on cherche une panne, c'est le résultat qui fait avancer — il désigne le service.
- Ouvert : la connexion est acceptée.
- Fermé : la machine refuse, explicitement.
- Filtré : rien ne revient.
Ce que le silence coûte
Huit réponses, toutes immédiates. Qu'elle accepte ou qu'elle refuse, la machine répond : le contrôle entier tient dans un battement de cils.
Configuration d'exemple. Aucune machine réelle n'est représentée, et les huit ports affichés sont un sous-ensemble des quatorze que l'outil accepte.
Le périmètre, dit d'avance
Cet outil peut-il balayer tous les ports d'une machine ?
Non
Et ce n'est pas une version bridée en attendant mieux. Un vérificateur de ports ouvert sur 1-65535 depuis un formulaire public, sans authentification et sans trace, n'est pas un outil de diagnostic : c'est de la reconnaissance avant attaque, mise à disposition de tout le monde. Nous avons donc arrêté une liste de quatorze ports de SERVICE — ceux dont la panne se raconte au téléphone — et nous nous y tenons.
Ce qu'il fait à la place
Quatorze ports, choisis
Le web, la messagerie, les noms, l'accès distant et deux bases de données. Ils couvrent les pannes réelles d'un parc de sites, et ils ne permettent pas de dresser la carte d'une machine.
Six par contrôle
Le plafond est dans le moteur, pas seulement dans l'écran. Il suffit pour répondre à une question ; il ne suffit pas pour ratisser.
Aucune adresse interne
Un nom qui mène au réseau privé du serveur est refusé avant toute sonde. Sans ce filtre, un formulaire public devient un relais vers les machines de celui qui l'héberge.
Lire le résultat
Quatre lignes possibles, et ce qu'elles valent
Un contrôle de port ne rend pas « oui » ou « non ». Il rend ce que la machine a répondu — ou le fait qu'elle n'ait rien répondu du tout, ce qui n'est pas la même information.
- Ouvert
- La connexion a été acceptée en quelques millisecondes : un service écoute, et il accepte les connexions venues de n'importe où. Le temps affiché est celui de l'établissement de la connexion, pas celui du service : un port qui s'ouvre vite peut servir une application lente.
- Fermé
- La machine a répondu pour refuser, immédiatement. C'est une bonne nouvelle déguisée : l'hôte existe, il est joignable, le réseau fonctionne jusqu'à lui. Seul ce port n'est pas servi. Quand on cherche pourquoi un service ne répond pas, « fermé » désigne le service ; « filtré » désigne le chemin.
- Filtré
- Rien n'est revenu avant l'échéance. Un équipement a écarté le paquet sans répondre — pare-feu de la machine, filtrage de l'hébergeur, règle de l'opérateur. On n'apprend rien sur le service : ni qu'il tourne, ni qu'il est arrêté. C'est le seul état qui ne conclut pas.
- Ouvert là où il ne devrait pas l'être
- Une base de données ou un transfert de fichiers en clair joignables depuis l'internet entier ne sont pas un diagnostic, c'est un constat. MySQL et PostgreSQL se restreignent au réseau privé du serveur ; un transfert de fichiers se remplace par sa version chiffrée. La page le signale sous le résultat.
Les lectures fautives
Quatre façons de mal lire un port qui ne répond pas
L'erreur n'est presque jamais dans la mesure. Elle est dans le raccourci qu'on fait ensuite, et c'est toujours le même : confondre « on n'a rien reçu » avec « il n'y a rien ».
Traiter « filtré » comme « fermé »
Ce qui la provoque : Les deux ressemblent à un échec à l'écran, et beaucoup d'outils les affichent de la même couleur. Ils désignent pourtant deux endroits différents : un refus vient de la machine, un silence vient de ce qui est entre elle et vous.
Le geste qui corrige : Un port fermé, cherchez le service : il n'est pas démarré, ou il n'écoute pas sur cette interface. Un port filtré, cherchez le chemin : pare-feu du serveur, groupe de sécurité de l'hébergeur, règle de l'opérateur.
Conclure qu'un serveur est éteint parce que tout est filtré
Ce qui la provoque : Une machine correctement pare-feutée ne répond à rien de ce qu'elle n'a pas décidé de servir. C'est le résultat attendu, pas une panne.
Le geste qui corrige : Interrogez ce qu'elle publie plutôt que ce qu'elle tait : la zone DNS, la réponse en https, le certificat. Un serveur muet sur douze ports et parlant sur 443 est simplement bien réglé.
Contrôler le port 25 depuis chez soi et croire que le serveur le bloque
Ce qui la provoque : Beaucoup de fournisseurs d'accès grand public bloquent le port 25 sortant, pour ne pas servir de relais aux envois en masse. Le blocage est chez vous, pas en face.
Le geste qui corrige : Utilisez un contrôle depuis un réseau qui ne filtre pas — celui-ci sonde depuis un serveur, pas depuis votre connexion. Et pour envoyer depuis un logiciel de messagerie, c'est le port 587 qui sert, jamais le 25.
Croire qu'un port ouvert prouve que le service fonctionne
Ce qui la provoque : L'ouverture dit qu'un programme accepte les connexions sur ce numéro. Elle ne dit rien de ce qu'il fait ensuite : un serveur web peut accepter la connexion et répondre une erreur à chaque page.
Le geste qui corrige : Le port est la première marche, pas la réponse. Une fois qu'il est ouvert, la question devient celle du service — le certificat, l'authentification du courrier, le code de réponse de la page.
La liste, en entier
Les quatorze ports que cet outil accepte
Elle est fermée, et la voici en entier : il n'y a rien à deviner sur ce que l'outil sait faire. Chaque ligne dit à quoi le port sert, et ce que son silence signifie le plus souvent.
| Port | Service | À quoi il sert | Ce que son absence de réponse veut dire |
|---|---|---|---|
| 21 | FTP | Transfert de fichiers, en clair. | Rarement une panne : il est de moins en moins servi, au profit de sa version chiffrée. |
| 22 | SSH | Console distante et transfert chiffré. | Souvent filtré exprès, ou déplacé sur un autre numéro, ou réservé à quelques adresses. |
| 25 | SMTP | Réception du courrier entre serveurs. | Filtré, c'est presque toujours le réseau depuis lequel on interroge qui bloque, pas le serveur. |
| 53 | DNS | Résolution des noms de domaine. | Un serveur de noms qui ne répond pas en TCP reste parfois joignable en UDP : cet outil ne sonde que le TCP. |
| 80 | HTTP | Site web sans chiffrement. | Fermé alors que 443 répond : le site ne sert plus qu'en https, et la redirection depuis http n'existe pas. |
| 110 | POP3 | Relève du courrier, sans chiffrement. | Souvent coupé volontairement : les versions en clair sont peu à peu abandonnées. |
| 143 | IMAP | Consultation du courrier, sans chiffrement. | Même chose : la version chiffrée, sur 993, l'a remplacé. |
| 443 | HTTPS | Site web chiffré. | Un 443 muet, c'est le site entier qui est injoignable. C'est la ligne la plus grave du tableau. |
| 465 | SMTPS | Envoi de courrier chiffré, ancienne porte. | Fermé sans que 587 le soit : l'hébergeur a choisi la porte moderne, et c'est bien. |
| 587 | SMTP | Envoi de courrier depuis un logiciel de messagerie. | Fermé ou filtré, plus personne n'envoie de courrier depuis son logiciel. |
| 993 | IMAPS | Consultation du courrier, chiffrée. | Muet, la boîte ne se charge plus dans le logiciel de messagerie, alors que le site marche. |
| 995 | POP3S | Relève du courrier, chiffrée. | Même effet que 993, sur les configurations qui téléchargent le courrier au lieu de le consulter. |
| 3306 | MySQL | Base de données MySQL. | Fermé ou filtré est le bon résultat. C'est ouvert qui doit inquiéter. |
| 5432 | PostgreSQL | Base de données PostgreSQL. | Idem : une base de données joignable depuis l'internet entier n'a pas de bonne raison de l'être. |
Les deux dernières lignes sont dans la liste pour qu'on puisse vérifier qu'elles ne répondent PAS. C'est le seul cas où le résultat attendu est un refus.
Questions fréquentes
Ce qu'on nous demande sur les ports
Quelle différence entre un port fermé et un port filtré ?
Un port fermé répond. La machine renvoie un refus explicite, en quelques millisecondes : « personne n'écoute ici ». Un port filtré ne répond pas du tout — un pare-feu écarte le paquet en silence, et l'outil attend quatre secondes avant de renoncer. Fermé désigne le service, filtré désigne le chemin : ce ne sont pas deux façons de dire non, ce sont deux diagnostics différents.
Peut-on scanner tous les ports d'un serveur avec cet outil ?
Non, et ce n'est pas une limite temporaire. Quatorze ports de service, six par contrôle, aucun champ où taper un numéro. Un formulaire public capable de balayer les 65 535 ports d'une machine est un outil de reconnaissance : il sert autant à préparer une attaque qu'à diagnostiquer. Pour auditer une machine dont vous avez la charge, cela se fait depuis un poste d'administration, avec l'accord écrit du propriétaire.
Pourquoi mes clients ne peuvent-ils plus envoyer leurs mails ?
Regardez le 587, puis le 465. C'est par là que passe l'envoi depuis un logiciel de messagerie, et un changement d'hébergement, un pare-feu ajouté ou un changement de réseau côté client suffisent à le couper. Le 25 n'est pas le bon endroit pour cette question : entre serveurs, il sert à la réception, et beaucoup de fournisseurs d'accès le bloquent en sortie.
Un port ouvert est-il dangereux ?
Cela dépend entièrement de ce qu'il y a derrière. Le 443 ouvert, c'est un site qui fonctionne. Le 3306 ouvert, c'est une base de données que n'importe qui peut essayer d'atteindre. La question n'est jamais « combien de ports sont ouverts » mais « est-ce que celui-là avait une raison de l'être ».
Pourquoi le contrôle est-il lent sur certaines machines ?
Parce qu'un silence se mesure en attendant. Un port ouvert ou fermé répond tout de suite ; un port filtré n'envoie rien, et il faut aller jusqu'au bout du délai — quatre secondes — pour pouvoir écrire « filtré ». Une machine bien pare-feutée est donc lente à contrôler, et c'est plutôt bon signe.
Le contrôle se fait-il depuis mon ordinateur ?
Non : depuis nos serveurs. C'est ce qui rend le résultat utile, parce que votre réseau filtre des choses dont vous n'avez pas connaissance — le port 25 sortant chez beaucoup de fournisseurs d'accès, le 22 dans bon nombre de réseaux d'entreprise. Ce que vous lisez ici est ce que voit l'internet, pas ce que voit votre bureau.
Les trois réponses
Le silence n'est pas un refus.
Un port fermé vous répond. Un port filtré ne vous répond pas — et c'est la seule des trois réponses dont on ne peut rien conclure.
- ouvertla connexion est acceptée
- ferméla machine refuse, et le dit
- filtrérien ne revient, on ignore pourquoi
Quand ça ne répond pas
Un port muet, dans l'ordre
Quatre gestes, du moins coûteux au plus coûteux. Les trois premiers se font sans rien demander à personne.
Regarder si le nom pointe encore au bon endroit
Avant d'accuser un pare-feu, vérifiez l'adresse à laquelle le nom mène aujourd'hui. Un enregistrement modifié la veille, une migration d'hébergement, un alias oublié : la sonde interroge alors une machine qui n'est plus la vôtre, et tout paraît filtré.Comparer avec un port qu'on sait servi
Contrôlez le 443 en même temps que le port qui vous inquiète. S'il répond, la machine est joignable et le réseau va jusqu'à elle : le problème est le service, ou une règle qui ne vise que lui. Si rien ne répond, le problème est en amont.Distinguer un refus d'un silence
Fermé, allez voir le service sur la machine : est-il démarré, écoute-t-il sur l'interface publique ou seulement en local. Filtré, allez voir le chemin : pare-feu de la machine, groupe de sécurité de l'hébergeur, règle de l'opérateur.Demander depuis quel réseau le test a été fait
Un client qui vous dit « chez moi ça ne marche pas » teste depuis son réseau, et son réseau filtre. Le 25 en sortie est bloqué chez beaucoup de fournisseurs d'accès grand public. Le contrôle de cette page part de nos serveurs : c'est ce que voit l'internet.
Après le contrôle
Un port se ferme un mardi, pas le jour où on le regarde
Cette page vous dit ce qui répond maintenant. Elle ne vous dira pas que le 587 a cessé de répondre pendant que vous travailliez sur autre chose.
Ce que ce contrôle vous donne
Une photographie, à la seconde où vous cliquez. Elle suffit à trancher une question posée — la messagerie du client part-elle encore, le site répond-il en https — et elle ne vaut plus rien le lendemain. C'est vrai de tous les contrôles ponctuels, et c'est bien de le savoir.
Ce que DomainVigil fait ensuite
Les mêmes sondes, en continu, sur les domaines que vous gérez pour vos clients — disponibilité, certificat, expiration du domaine, authentification du courrier, réputation. Vous êtes prévenu quand quelque chose change, pas le jour où le client s'en aperçoit avant vous.