Référence Ports & Protocoles

Un référentiel des ports et protocoles non sécurisés et de leurs alternatives modernes.

Réseau
Références & Portails
Gratuit

Transport

Type de service

Référentiel des ports

137 entrées, tri : port, croissant.

Trier par

Ports et protocoles réseau à risque, avec leur niveau de risque et leur alternative sécurisée
Port(s)	Service	Risque	Alternative sécurisée
7TCP/UDPSystème	EchoServices historiquesService de test sans usage légitime ; en UDP, il sert à la réflexion de trafic (boucles avec Chargen).	Vulnérable	Désactiver le service
9TCP/UDPSystème	DiscardServices historiquesService de test inutile en production. Le Wake-on-LAN vise souvent 9/UDP sans avoir besoin d’un service à l’écoute.	Vulnérable	Désactiver le service
11TCP/UDPSystème	Systat (utilisateurs actifs)Services historiquesListe les utilisateurs connectés : fuite d’informations utile à la reconnaissance.	Vulnérable	Désactiver le service
13TCP/UDPSystème	DaytimeServices historiquesRenvoie l’heure en texte : sans intérêt aujourd’hui et utilisable pour la réflexion en UDP.	Vulnérable	Désactiver le service
17TCP/UDPSystème	QOTD (citation du jour)Services historiquesService de test, vecteur de réflexion et d’amplification en UDP.	Vulnérable	Désactiver le service
19TCP/UDPSystème	ChargenServices historiquesGénère un flux continu de caractères : vecteur classique d’amplification DDoS en UDP.	Vulnérable	Désactiver le service
20, 21TCPSystème	FTPFichiers et impressionIdentifiants et fichiers en clair (21 : commandes, 20 : données en mode actif) ; vérifier l’accès anonyme.	Non chiffré	SFTP (sur SSH) ou FTPSPorts 22 (SFTP), 21 ou 990 (FTPS)
22TCPSystème	SSH version 1Accès distant et administrationProtocole SSH-1 cassé (attaque par insertion, faiblesse CRC-32) ; retiré d’OpenSSH depuis la version 7.6.	Vulnérable	SSH version 2 uniquement, clés Ed25519 ou ECDSAPorts 22
22TCPSystème	SSH version 2Accès distant et administrationCible permanente de force brute : authentification par clé, pas de connexion root, exposition limitée (VPN, bastion).	Acceptable	—
23TCPSystème	TelnetAccès distant et administrationIdentifiants et sessions en clair ; port massivement scanné par les botnets d’objets connectés (Mirai).	Vulnérable	SSHPorts 22
25TCPSystème	SMTP (relais entre serveurs)Messagerie électroniqueSTARTTLS y reste opportuniste : sans MTA-STS ni DANE, un attaquant peut forcer le clair. Les ports 587 et 465 servent à la soumission par les clients, pas au relais.	Non chiffré	STARTTLS imposé par MTA-STS (RFC 8461) ou DANE (RFC 7672)Ports 25
37TCP/UDPSystème	Time Protocol (RFC 868)Services historiquesHeure non authentifiée et peu précise : remplacé par NTP.	Vulnérable	NTP, avec NTS si possiblePorts 123/UDP, 4460/TCP (NTS-KE)
49TCPSystème	TACACS+ sans TLSAnnuaire et authentificationLe corps des paquets n’est qu’obscurci par MD5 avec une clé partagée (RFC 8907) ; l’ancien TACACS (49/UDP) circule entièrement en clair.	À durcir	TACACS+ sur TLS 1.3 (RFC 9887)Ports 300
53TCP/UDPSystème	DNSServices réseauRequêtes lisibles et falsifiables ; un résolveur ouvert sert à l’amplification DDoS.	Non chiffré	DNS sur TLS (DoT) ou HTTPS (DoH) côté clients, DNSSEC pour l’intégritéPorts 853 (DoT), 443 (DoH)
67, 68UDPSystème	DHCPv4Services réseauAucune authentification : serveur pirate, épuisement du pool, fuite d’informations. DHCPv6 (546, 547) n’est pas mieux protégé en pratique.	À durcir	DHCP snooping sur les commutateurs, segmentation, détection des serveurs DHCP pirates
69UDPSystème	TFTPFichiers et impressionNi authentification ni chiffrement : fichiers de configuration (téléphones IP, équipements réseau) lisibles par tous.	Vulnérable	HTTPS (iPXE, provisionnement) ou SFTPPorts 443, 22
70TCPSystème	GopherServices historiquesProtocole des années 1990 sans chiffrement : sa présence signale un service oublié.	Vulnérable	Désactiver le service
79TCPSystème	FingerServices historiquesRévèle les comptes et leurs habitudes de connexion : énumération d’utilisateurs.	Vulnérable	Désactiver le service
80TCPSystème	HTTPWeb et APIAcceptable seulement pour rediriger vers HTTPS et pour les défis ACME HTTP-01.	Non chiffré	HTTPS (TLS 1.2 ou 1.3) avec redirection et HSTSPorts 443
81, 3000, 3001, 8000, 8008, 8080, 8081, 8880, 8888TCPSystème, Enregistré	HTTP sur ports alternatifsWeb et APIProxys, consoles d’administration et serveurs de développement (Node.js, Grafana sur 3000) souvent exposés par erreur.	Non chiffré	HTTPS derrière un reverse proxy, consoles non exposéesPorts 443
88TCP/UDPSystème	Kerberos avec DES ou RC4Annuaire et authentificationRC4 facilite le Kerberoasting et l’AS-REP roasting : surveiller les tickets chiffrés en 0x17 (événement 4769).	À durcir	AES uniquement (RC4 et DES désactivés), blindage FAST, mots de passe longs pour les comptes de servicePorts 88
102TCPSystème	Siemens S7comm (ISO-TSAP, RFC 1006)Industriel (ICS/OT) et IoTLes automates S7-300 et S7-400 (cibles de Stuxnet) acceptent lecture, écriture et arrêt sans authentification forte : ne jamais les exposer.	Vulnérable	Zones et conduits (IEC 62443), communication PG/PC sécurisée par TLS sur S7-1500 récentsPorts 102 (TLS)
109TCPSystème	POP2Messagerie électroniqueAncêtre de POP3 abandonné ; identifiants en clair.	Vulnérable	IMAPS ou POP3SPorts 993, 995
110TCPSystème	POP3Messagerie électroniqueIdentifiants et messages en clair ; STARTTLS (STLS) non imposé peut être retiré par un attaquant.	Non chiffré	POP3S (TLS implicite)Ports 995
111TCP/UDPSystème	Portmapper (rpcbind, ONC RPC)Services réseauListe les services RPC de l’hôte et sert à l’amplification DDoS en UDP.	Non chiffré	Filtrer et réserver aux clients NFS ; NFSv4 n’en a pas besoinPorts 2049 (NFSv4)
113TCPSystème	IdentServices historiquesRévèle le compte propriétaire des connexions ; encore demandé par certains serveurs IRC.	Vulnérable	Désactiver le service
119TCPSystème	NNTP (Usenet)Messages, chat et VoIPIdentifiants et articles en clair.	Non chiffré	NNTPSPorts 563
123UDPSystème	NTP sans NTSServices réseauHeure falsifiable sans authentification ; la commande monlist a servi à des amplifications massives.CVE-2013-5211	Non chiffré	NTS (RFC 8915), requêtes de supervision (monlist) désactivéesPorts 123/UDP, 4460/TCP (NTS-KE)
135TCP/UDPSystème	MS-RPC (Endpoint Mapper, DCOM)Accès distant et administrationOriente vers les services RPC de la plage dynamique 49152-65535 ; le chiffrement dépend du niveau d’authentification de chaque interface. Jamais exposé à Internet (ver Blaster).CVE-2003-0352	À durcir	Filtrage depuis l’extérieur, plage dynamique restreinte, intégrité et confidentialité RPC exigées
137-138/UDP, 139/TCPTCP/UDPSystème	NetBIOS (noms, datagrammes, session)Services réseauL’empoisonnement NBT-NS (Responder) capture des empreintes NTLM ; fuite des noms d’hôtes et de domaine.	Vulnérable	NetBIOS sur TCP/IP désactivé ; SMB 3 directement sur 445Ports 445
143TCPSystème	IMAPMessagerie électroniqueIdentifiants et messages en clair sans STARTTLS imposé ; la RFC 8314 préfère le TLS implicite.	Non chiffré	IMAPS (TLS implicite)Ports 993
161, 162UDPSystème	SNMP v1 et v2cServices réseauChaînes de communauté en clair (souvent « public » ou « private ») : lecture, voire modification de la configuration ; amplification DDoS.	Vulnérable	SNMPv3 en mode authPriv (SHA-2, AES)Ports 161, 162
177UDPSystème	XDMCPAccès distant et administrationSessions graphiques X11 en clair, sans authentification forte.	Vulnérable	Redirection X11 dans SSH ou bureau distant chiffréPorts 22
323TCPSystème	RPKI-RTR (RPKI vers routeur) sur TCP nuServices réseauLes données de validation d’origine BGP peuvent être altérées en transit : limiter au réseau d’administration.	Non chiffré	RPKI-RTR sur SSH ou TLS (RFC 6810)Ports 22 (SSH), 324 (TLS)
389TCPSystème	LDAPAnnuaire et authentificationLes liaisons simples transmettent le mot de passe en clair ; sans signature, le relais NTLM vers LDAP est possible.	Non chiffré	LDAPS ou StartTLS ; signature LDAP et liaison de canal (Active Directory)Ports 636, 389 + StartTLS
389UDPSystème	CLDAP (LDAP sans connexion)Annuaire et authentificationGrosse réponse à une petite requête : vecteur d’amplification DDoS courant quand un contrôleur de domaine est exposé.	Vulnérable	389/UDP bloqué en périphérie, réservé aux clients du domaine
411, 412TCP/UDPSystème	Direct Connect (partage pair à pair)Fichiers et impressionPartage pair à pair en clair, rarement légitime en entreprise.	Non chiffré	Bloquer ; partage de fichiers d’entreprise sur HTTPS ou SFTPPorts 443, 22
427TCP/UDPSystème	SLP (Service Location Protocol)Services réseauExploité par le rançongiciel ESXiArgs et pour une amplification DDoS massive (CVE-2023-29552).CVE-2021-21974	Vulnérable	Désactiver SLP (service slpd sur VMware ESXi) et filtrer 427
443TCPSystème	HTTPS avec SSL 3.0, TLS 1.0 ou 1.1Web et APISSL 3.0 (POODLE), TLS 1.0 et TLS 1.1 sont dépréciés (RFC 8996).	À durcir	TLS 1.2 ou 1.3, suites modernes, HSTSPorts 443
445TCPSystème	SMBv1 (CIFS)Fichiers et impressionExploité par EternalBlue (WannaCry, NotPetya) : désactiver SMBv1 sur tous les postes et serveurs.CVE-2017-0144	Vulnérable	SMB 3.1.1 avec signature et chiffrementPorts 445
445TCPSystème	SMB 2 et 3Fichiers et impressionNe jamais exposer à Internet ; sans signature, le relais NTLM permet de rejouer une authentification.	À durcir	Signature SMB exigée, chiffrement SMB 3, SMB sur QUIC pour l’accès distantPorts 445, 443/UDP (SMB sur QUIC)
465TCPSystème	SMTPS (soumission sur TLS implicite)Messagerie électroniqueLa RFC 8314 recommande le TLS implicite pour la soumission : 465 est préférable à 587 avec STARTTLS.	Acceptable	—
500, 4500UDPSystème, Enregistré	IKEv1 (mode agressif, clé prépartagée)Services réseauEn mode agressif, l’empreinte de la clé prépartagée s’obtient sans authentification (ike-scan) puis se casse hors ligne.CVE-2002-1623	Vulnérable	IKEv2 avec PFS, AES-GCM et authentification par certificatPorts 500, 4500
502TCPSystème	Modbus/TCPIndustriel (ICS/OT) et IoTAucune authentification : tout client du réseau peut lire et écrire registres et bobines.	Non chiffré	Modbus/TCP Security (TLS), segmentation et pare-feu industrielPorts 802 (Modbus/TCP Security)
512, 513, 514TCPSystème	rexec, rlogin, rshAccès distant et administrationConfiance fondée sur l’adresse source (.rhosts) et mots de passe en clair. Le port 514/UDP est celui de syslog.	Vulnérable	SSHPorts 22
514UDPSystème	SyslogServices réseauJournaux lisibles et falsifiables en transit ; 514/TCP est souvent utilisé par convention, mais l’IANA l’attribue à rsh.	Non chiffré	Syslog sur TLS (RFC 5425)Ports 6514
515TCPSystème	LPD / LPR (impression)Fichiers et impressionTravaux d’impression en clair, sans authentification.	Non chiffré	IPP sur TLS (IPPS)Ports 631
520UDPSystème	RIP (v1, ou v2 sans authentification)Services réseauInjection de routes possible sans authentification. OSPF utilise le protocole IP 89 (pas un port) et IS-IS ne passe pas par IP.	Vulnérable	RIPv2 avec authentification HMAC-SHA (RFC 4822), ou OSPF et IS-IS authentifiésPorts 520
548TCPSystème	AFP (Apple Filing Protocol)Fichiers et impressionApple privilégie SMB et a déprécié AFP ; trafic non chiffré.	Non chiffré	SMB 3 chiffréPorts 445
554TCPSystème	RTSP (flux vidéo)Messages, chat et VoIPCaméras IP souvent exposées : flux et identifiants (authentification Basic) en clair.	Non chiffré	RTSPS (RTSP sur TLS) et SRTPPorts 322
563TCPSystème	NNTPSMessages, chat et VoIPVérifier TLS 1.2 ou 1.3 et la validité du certificat.	Acceptable	—
587TCPSystème	Soumission SMTP avec STARTTLSMessagerie électroniqueSi STARTTLS n’est pas obligatoire, une attaque par rétrogradation (STRIPTLS) expose les identifiants.	À durcir	STARTTLS imposé avant l’authentification, ou TLS implicite sur 465 (RFC 8314)Ports 587, 465
623UDPSystème	IPMI (RMCP, RMCP+)Accès distant et administrationIPMI 2.0 livre l’empreinte du mot de passe avant authentification (RAKP) ; le « cipher 0 » contourne l’authentification.CVE-2013-4786	Vulnérable	Redfish sur HTTPS, contrôleur BMC sur réseau d’administration isoléPorts 443
631TCP/UDPSystème	IPP (impression) sans TLSFichiers et impressioncups-browsed (631/UDP) a permis une exécution de code à distance en 2024 : le désactiver s’il est inutile.CVE-2024-47176	Non chiffré	IPPS (IPP sur TLS)Ports 631 (TLS)
636, 3269TCPSystème, Enregistré	LDAPS et catalogue global sur TLSAnnuaire et authentificationVérifier le certificat présenté et désactiver TLS 1.0 et 1.1.	Acceptable	—
860, 3260TCPSystème, Enregistré	iSCSIFichiers et impressionBlocs de disque en clair ; CHAP repose sur MD5 et ne chiffre rien.	Non chiffré	CHAP mutuel et IPsec, réseau de stockage isoléPorts 3260 (IPsec)
873TCPSystème	rsync (démon)Fichiers et impressionLes modules anonymes exposent souvent des sauvegardes entières.	Non chiffré	rsync sur SSHPorts 22
902, 903TCPSystème	VMware ESXi (authd, console distante)Accès distant et administrationAccès aux consoles des machines virtuelles : à réserver au réseau d’administration.	À durcir	TLS 1.2 ou plus, accès limité au réseau d’administrationPorts 902, 903
989, 990TCPSystème	FTPS (TLS implicite)Fichiers et impressionVérifier TLS 1.2 ou 1.3 ; le FTPS explicite passe par le port 21 avec AUTH TLS.	Acceptable	—
992TCPSystème	Telnet sur TLS (telnets)Accès distant et administrationRare : chiffré, mais conserve le modèle d’authentification de Telnet.	À durcir	SSHPorts 22
993TCPSystème	IMAPSMessagerie électroniqueTLS implicite recommandé par la RFC 8314 ; vérifier TLS 1.2 ou 1.3.	Acceptable	—
994TCPSystème	IRCS (port historique)Messages, chat et VoIPPort historique peu utilisé ; les serveurs IRC sur TLS écoutent sur 6697.	À durcir	IRC sur TLS (RFC 7194)Ports 6697
995TCPSystème	POP3SMessagerie électroniqueTLS implicite recommandé par la RFC 8314 ; vérifier TLS 1.2 ou 1.3.	Acceptable	—
1080TCPEnregistré	SOCKSServices réseauUn proxy SOCKS ouvert relaie le trafic des attaquants et contourne le filtrage.	Non chiffré	Tunnel SSH ou proxy HTTPS authentifiéPorts 22, 443
1099TCPEnregistré	Java RMI (registre)Conteneurs, cloud et supervisionLa désérialisation d’objets Java non fiables mène souvent à une exécution de code (ysoserial).	Vulnérable	Écoute locale, filtrage, JMX sur TLS avec authentification
1433TCPEnregistré	Microsoft SQL ServerBases de données et cachesCible de force brute sur le compte sa ; xp_cmdshell transforme un accès en exécution de commandes.	Non chiffré	Chiffrement imposé (TDS 8.0, Encrypt=Strict), authentification WindowsPorts 1433 (TLS)
1434UDPEnregistré	SQL Server BrowserBases de données et cachesRévèle instances, versions et ports ; réflexion possible en UDP.	À durcir	Désactiver si les ports sont fixes, filtrer depuis l’extérieur
1494, 2598TCP/UDPEnregistré	Citrix ICA et CGP sans TLSAccès distant et administrationSessions de bureau distant : à publier uniquement derrière Citrix Gateway.	Non chiffré	Citrix Gateway (HDX sur TLS)Ports 443
1521, 2483TCPEnregistré	Oracle Database (listener TNS)Bases de données et cachesListener exposé : énumération des SID et empoisonnement TNS sur les versions non corrigées.CVE-2012-1675	Non chiffré	Chiffrement natif Oracle (NNE) ou TCPSPorts 2484 (TCPS)
1701UDPEnregistré	L2TP sans IPsecServices réseauL2TP n’apporte aucun chiffrement : il doit être encapsulé dans IPsec.	Non chiffré	L2TP sur IPsec, ou IKEv2 et WireGuard natifsPorts 500, 4500, 51820
1723TCPEnregistré	PPTPServices réseauMS-CHAPv2 se casse hors ligne ; le tunnel utilise aussi GRE (protocole IP 47).	Vulnérable	IKEv2/IPsec, WireGuard ou OpenVPNPorts 500, 4500, 51820, 1194
1812, 1813UDPEnregistré	RADIUS (authentification, comptabilité)Annuaire et authentificationProtection fondée sur MD5 ; l’attaque BlastRADIUS forge des réponses. Anciens ports : 1645 et 1646.CVE-2024-3596	Non chiffré	RadSec (RADIUS sur TLS, RFC 6614), attribut Message-Authenticator exigéPorts 2083
1883TCPEnregistré	MQTTIndustriel (ICS/OT) et IoTBrokers souvent ouverts sans authentification : mesures et commandes lisibles et modifiables.	Non chiffré	MQTT sur TLS avec authentificationPorts 8883
1900UDPEnregistré	SSDP / UPnPServices réseauVecteur d’amplification DDoS ; UPnP exposé permet d’ouvrir des redirections de ports (CallStranger).CVE-2020-12695	Vulnérable	UPnP désactivé sur les équipements exposés, 1900/UDP filtré
2049TCP/UDPEnregistré	NFS v2 et v3Fichiers et impressionAUTH_SYS fait confiance à l’UID déclaré par le client : un poste compromis lit les fichiers des autres.	Non chiffré	NFSv4 avec Kerberos (sec=krb5p) ou NFS sur TLS (RFC 9289)Ports 2049
2375TCPEnregistré	API Docker sans TLSConteneurs, cloud et supervisionAPI sans authentification : un accès équivaut à root sur l’hôte (minage de cryptomonnaie, évasion de conteneur).	Vulnérable	API Docker sur TLS avec authentification mutuelle (mTLS)Ports 2376
2379, 2380TCPEnregistré	etcd sans TLSConteneurs, cloud et supervisionStocke les secrets Kubernetes : un accès en lecture donne les clés du cluster.	Non chiffré	TLS et authentification mutuelle des clients et des pairsPorts 2379, 2380 (TLS)
2404TCPEnregistré	IEC 60870-5-104Industriel (ICS/OT) et IoTTélécommande de postes électriques sans authentification, utilisée par le maliciel Industroyer.	Non chiffré	IEC 62351-3 (TLS), segmentationPorts 19998 (IEC-104 sécurisé)
3128TCPEnregistré	Proxy HTTP (Squid)Services réseauUn proxy ouvert relaie trafic malveillant et contournements de filtrage.	Non chiffré	Authentification forte et filtrage des clients, proxy HTTPSPorts 443
3268TCPEnregistré	Catalogue global Active Directory (LDAP)Annuaire et authentificationMêmes risques que LDAP en clair, sur l’ensemble de la forêt.	Non chiffré	Catalogue global sur TLSPorts 3269
3306TCPEnregistré	MySQL / MariaDBBases de données et cachesCible de force brute : ne jamais exposer à Internet.	Non chiffré	TLS imposé (require_secure_transport), comptes à privilèges limitésPorts 3306 (TLS)
3389TCP/UDPEnregistré	RDP exposé ou sans NLAAccès distant et administrationPremière porte d’entrée des rançongiciels (force brute, identifiants volés) ; BlueKeep visait RDP sans NLA.CVE-2019-0708	Vulnérable	NLA obligatoire, accès par passerelle Bureau à distance (HTTPS) ou VPN, MFAPorts 443 (passerelle RD)
3478TCP/UDPEnregistré	STUN / TURNMessages, chat et VoIPUn relais TURN ouvert peut servir de pivot vers le réseau interne.	Non chiffré	TURN sur TLS (turns) avec identifiants temporairesPorts 5349
3632TCPEnregistré	distccConteneurs, cloud et supervisionExécution de commandes à distance sur les démons non restreints.CVE-2004-2687	Vulnérable	Accès limité aux hôtes de compilation (--allow) ou tunnel SSH
3702UDPEnregistré	WS-DiscoveryServices réseauImprimantes et caméras exposées : vecteur d’amplification DDoS.	Vulnérable	Usage limité au réseau local, 3702/UDP filtré en périphérie
3799UDPEnregistré	RADIUS Dynamic Authorization (CoA, déconnexion)Annuaire et authentificationPermet de modifier ou de couper une session (RFC 5176) : n’accepter que les serveurs autorisés.	Non chiffré	RadSec (RADIUS sur TLS) ou IPsecPorts 2083
4443, 8443, 9043, 9443TCPEnregistré	HTTPS sur ports alternatifsWeb et APISouvent des consoles d’administration : vérifier TLS 1.2 ou 1.3, le certificat et l’exposition.	Acceptable	—
4786TCPEnregistré	Cisco Smart InstallServices réseauSans authentification : vol et remplacement de configuration, exécution de code.CVE-2018-0171	Vulnérable	Désactiver (no vstack)
4840TCPEnregistré	OPC UA (mode de sécurité None ou Sign)Industriel (ICS/OT) et IoTLa sécurité dépend de la politique choisie : en mode « None », les données circulent en clair.	À durcir	Mode SignAndEncrypt, certificats d’application gérésPorts 4840, 4843 (TLS)
5000TCPEnregistré	Interfaces web en HTTP (NAS, Flask, registre Docker)Web et APILe port 5001 porte souvent la version HTTPS (NAS Synology).	Non chiffré	HTTPS avec certificat validePorts 5001, 443
5060TCP/UDPEnregistré	SIPMessages, chat et VoIPScans massifs (SIPVicious) pour la fraude téléphonique ; signalisation et identifiants lisibles.	Non chiffré	SIP sur TLS (SIPS) et médias SRTPPorts 5061
5201TCP/UDPEnregistré	iPerf3Conteneurs, cloud et supervisionServeur de test oublié : permet de saturer un lien.	Non chiffré	Serveur lancé à la demande, sur réseau de test ou via SSHPorts 22
5222, 5223, 5269TCPEnregistré	XMPP (Jabber)Messages, chat et VoIP5222 : clients avec STARTTLS ; 5223 : TLS direct ; 5269 : serveur à serveur. STARTTLS facultatif permet le repli en clair.	À durcir	TLS 1.2 ou plus imposé (STARTTLS obligatoire ou TLS direct)Ports 5222, 5223
5353UDPEnregistré	mDNS (Bonjour, Avahi)Services réseauRévèle noms et services des appareils ; exposé à Internet, il sert à l’amplification.	Non chiffré	Usage limité au réseau local, 5353/UDP bloqué en périphérie
5355TCP/UDPEnregistré	LLMNRServices réseauEmpoisonnement par Responder : capture d’empreintes NTLMv2 sur le réseau local.	Vulnérable	LLMNR et NBT-NS désactivés (stratégie de groupe), DNS uniquementPorts 53
5432TCPEnregistré	PostgreSQLBases de données et cachesLe fichier pg_hba.conf décide qui se connecte : éviter la méthode « trust » et l’exposition à Internet.	Non chiffré	TLS imposé (hostssl) et scram-sha-256Ports 5432 (TLS)
5480TCPEnregistré	VMware VAMI (gestion d’appliance)Accès distant et administrationInterface d’administration de vCenter et des appliances : ne jamais l’exposer.	À durcir	TLS 1.2 ou plus, accès réservé au réseau d’administrationPorts 5480
5555TCPEnregistré	Android Debug Bridge (ADB sur TCP)Accès distant et administrationShell sans authentification sur des boîtiers TV et objets connectés : botnets de minage (ADB.Miner).	Vulnérable	Débogage réseau désactivé ; ADB par USB ou appairage sans fil local
5601TCPEnregistré	KibanaConteneurs, cloud et supervisionInstance ouverte : accès aux journaux et aux index Elasticsearch.	Non chiffré	HTTPS et authentification (sécurité Elastic active par défaut depuis la version 8)Ports 5601 (TLS)
5672TCPEnregistré	AMQP (RabbitMQ)Messages, chat et VoIPMessages et identifiants en clair ; supprimer le compte guest.	Non chiffré	AMQPS (AMQP sur TLS)Ports 5671
5900-5903TCPEnregistré	VNC (RFB)Accès distant et administrationPort 5900 plus le numéro d’écran ; l’authentification VNC classique limite le mot de passe à 8 caractères.	Non chiffré	VNC dans un tunnel SSH ou VPN, ou VeNCrypt (TLS)Ports 22, 443
5938TCP/UDPEnregistré	TeamViewerAccès distant et administrationChiffré, mais très utilisé par les escroqueries au support et les rançongiciels : surveiller les installations imprévues.	À durcir	Seul l’outil d’accès distant approuvé, avec MFA et journalisationPorts 443
5984TCPEnregistré	Apache CouchDBBases de données et cachesAvant la version 3, une installation sans administrateur était ouverte à tous ; élévation de privilèges puis exécution de code.CVE-2017-12635	Non chiffré	HTTPS, compte administrateur dédié, accès restreintPorts 6984
5985TCPEnregistré	WinRM sur HTTPAccès distant et administrationAvec Kerberos ou NTLM, le contenu est chiffré au niveau message, mais l’authentification Basic passe en clair ; port de mouvement latéral (PowerShell Remoting).	À durcir	WinRM sur HTTPSPorts 5986
6000-6063TCPEnregistré	X11Accès distant et administrationUn serveur X ouvert permet de capturer l’écran et les frappes clavier.	Non chiffré	Redirection X11 dans SSHPorts 22
6379TCPEnregistré	RedisBases de données et cachesSans authentification par défaut : instances exposées détournées pour écrire des clés SSH ou des tâches cron.	Non chiffré	TLS (tls-port), mot de passe ou ACL, écoute localePorts 6380 (usage courant)
6443TCPEnregistré	API Kubernetes (kube-apiserver)Conteneurs, cloud et supervisionTLS et authentification par défaut : désactiver l’accès anonyme, appliquer RBAC et ne pas l’exposer à Internet.	Acceptable	—
6514TCPEnregistré	Syslog sur TLSServices réseauVérifier l’authentification des émetteurs par certificat.	Acceptable	—
6665-6669TCPEnregistré	IRCMessages, chat et VoIPMessages en clair ; ports historiques des canaux de commande de botnets.	Non chiffré	IRC sur TLS (RFC 7194)Ports 6697
7001, 7002TCPEnregistré	Oracle WebLogic (HTTP, T3)Web et APIConsole et protocole T3 exposés : nombreuses exécutions de code à distance.CVE-2020-14882	Non chiffré	HTTPS sur 7002, protocole T3 filtré, correctifs à jourPorts 7002
7070TCPEnregistré	AnyDeskAccès distant et administrationChiffré, mais détourné pour la persistance et l’exfiltration : autoriser uniquement les outils approuvés.	À durcir	Seul l’outil d’accès distant approuvé, avec MFA et journalisationPorts 443
7199, 9042, 9160TCPEnregistré	Apache Cassandra (JMX, CQL, Thrift)Bases de données et caches7199 : JMX ; 9042 : CQL ; 9160 : Thrift (retiré de Cassandra 4.0).	Non chiffré	Chiffrement client et inter-nœuds, authentification, JMX en localPorts mêmes ports (TLS)
8009TCPEnregistré	AJP (Apache JServ Protocol, Tomcat)Web et APIGhostcat : lecture des fichiers de l’application, voire exécution de code.CVE-2020-1938	Vulnérable	Connecteur AJP désactivé, ou lié à localhost avec un secret (secretRequired)
8088, 9864, 9870, 50070, 50075TCPEnregistré, Dynamique	Interfaces web Hadoop (YARN, HDFS)Conteneurs, cloud et supervisionHadoop 3 : 9870 et 9864 ; Hadoop 2 : 50070 et 50075. L’API YARN ouverte (8088) permet de lancer des tâches arbitraires.	Non chiffré	HTTPS, Kerberos (SPNEGO), accès restreintPorts 8090, 9865, 9871, 50470, 50475
8125UDPEnregistré	StatsDConteneurs, cloud et supervisionMétriques injectables sans authentification.	Non chiffré	Écoute locale ou tunnel chiffré (VPN)
8545, 8546TCPEnregistré	JSON-RPC Ethereum (HTTP, WebSocket)Conteneurs, cloud et supervisionNœuds exposés avec un compte déverrouillé : vol de fonds automatisé.	Non chiffré	Écoute locale, HTTPS ou WSS authentifié derrière un proxyPorts 443
8554TCPEnregistré	RTSP sur port alternatifMessages, chat et VoIPPort alternatif enregistré à l’IANA (rtsp-alt), utilisé par de nombreux serveurs de flux.	Non chiffré	RTSPS (RTSP sur TLS)Ports 322
8883TCPEnregistré	MQTT sur TLSIndustriel (ICS/OT) et IoTVérifier l’authentification des clients (certificat ou identifiants).	Acceptable	—
9000, 9001TCPEnregistré	Services applicatifs en HTTP (SonarQube, Portainer, MinIO, PHP-FPM)Conteneurs, cloud et supervisionPHP-FPM (FastCGI sur 9000) exposé permet d’exécuter du code PHP arbitraire.	Non chiffré	HTTPS derrière un reverse proxy, PHP-FPM en localPorts 443
9090TCPEnregistré	PrometheusConteneurs, cloud et supervisionMétriques et cibles visibles sans authentification : cartographie de l’infrastructure.	Non chiffré	TLS et authentification (web.config.file) ou reverse proxyPorts 9090 (TLS)
9092TCPEnregistré	Apache Kafka (écouteur PLAINTEXT)Messages, chat et VoIPMessages et identifiants SASL/PLAIN en clair.	Non chiffré	Écouteur SASL_SSL ou SSLPorts 9093 (usage courant)
9100TCPEnregistré	Impression directe (JetDirect, RAW, PJL)Fichiers et impressionTravaux et commandes PJL acceptés sans authentification. Attention : 9100 est aussi le port de node_exporter (Prometheus).	Non chiffré	IPPS et filtrage des imprimantesPorts 631
9200, 9300TCPEnregistré	Elasticsearch (REST, transport)Bases de données et cachesClusters ouverts à l’origine de nombreuses fuites de données.	Non chiffré	Sécurité Elastic : TLS et authentification (par défaut depuis la version 8)Ports mêmes ports (TLS)
9418TCPEnregistré	Protocole git:// (git daemon)Conteneurs, cloud et supervisionNi chiffrement ni authentification : le contenu peut être modifié en transit.	Non chiffré	Git sur SSH ou HTTPSPorts 22, 443
9600TCPEnregistré	API de supervision LogstashConteneurs, cloud et supervisionExpose la configuration des pipelines et l’état du nœud.	Non chiffré	Écoute locale (par défaut) ou HTTPS avec authentificationPorts 9600 (TLS)
10000-20000, 16384-32767UDPEnregistré	RTP (médias VoIP)Messages, chat et VoIPPas de port fixe : plages négociées par SDP (10000-20000 pour Asterisk, 16384-32767 pour Cisco). Appels écoutables en clair.	Non chiffré	SRTP, avec signalisation SIP sur TLSPorts mêmes plages (SRTP)
10250, 10255TCPEnregistré	API kubeletConteneurs, cloud et supervision10250 exécute des commandes dans les pods si l’accès anonyme est autorisé ; 10255 (lecture seule, HTTP, sans authentification) doit rester fermé.	À durcir	Accès anonyme désactivé, autorisation Webhook, port 10255 ferméPorts 10250
11211TCP/UDPEnregistré	MemcachedBases de données et cachesEn UDP, amplification record lors des attaques de 2018 ; UDP désactivé par défaut depuis la version 1.5.6.CVE-2018-1000115	Non chiffré	Écoute locale, UDP désactivé, SASLPorts 11211
15672TCPEnregistré	Console de gestion RabbitMQMessages, chat et VoIPLe compte guest n’est accepté qu’en local depuis la version 3.3 : vérifier les autres comptes.	Non chiffré	HTTPSPorts 15671
20000TCP/UDPEnregistré	DNP3Industriel (ICS/OT) et IoTProtocole de téléconduite (eau, énergie) sans authentification native.	Non chiffré	DNP3 Secure Authentication (IEEE 1815) ou TLS (IEC 62351-3)Ports 19999 (DNP3 sécurisé)
21115-21119TCP/UDPEnregistré	RustDesk (serveur auto-hébergé)Accès distant et administration21115 à 21117 : identification et relais (21116 aussi en UDP) ; 21118 et 21119 : clients web. Détourné par des escroqueries au support.	À durcir	Seul l’outil approuvé, serveur et clés maîtrisés
27017-27019TCPEnregistré	MongoDBBases de données et cachesAvant la version 3.6, écoute sur toutes les interfaces sans authentification : vagues de rançons sur les bases exposées.	Non chiffré	TLS imposé, authentification SCRAM, bindIp limitéPorts mêmes ports (TLS)
28017TCPEnregistré	Interface HTTP de MongoDBBases de données et cachesInterface d’état historique, sans authentification.	Vulnérable	Désactiver (supprimée depuis MongoDB 3.6)
30000-32767TCP/UDPEnregistré	Services Kubernetes NodePortConteneurs, cloud et supervisionPlage par défaut : chaque service NodePort est ouvert sur tous les nœuds, souvent en HTTP sans authentification.	À durcir	Ingress ou LoadBalancer avec TLS, NetworkPolicy, filtrage des nœudsPorts 443 (Ingress)
44818TCP/UDPEnregistré	EtherNet/IP (CIP)Industriel (ICS/OT) et IoTMessagerie explicite sur 44818, échanges d’entrées-sorties sur 2222/UDP ; commandes d’automates sans authentification.	Non chiffré	CIP Security (TLS, DTLS), segmentationPorts 2221 (EtherNet/IP sur TLS)
47808UDPEnregistré	BACnet/IPIndustriel (ICS/OT) et IoTGestion technique du bâtiment (chauffage, ventilation, accès) pilotable sans authentification.	Non chiffré	BACnet Secure Connect (BACnet/SC, TLS sur WebSocket)Ports WSS (port configurable)
61613, 61616TCPDynamique	Apache ActiveMQ (STOMP, OpenWire)Messages, chat et VoIPOpenWire (61616) : exécution de code à distance exploitée par des rançongiciels.CVE-2023-46604	Non chiffré	Connecteurs TLS (ssl://) avec authentification, versions corrigéesPorts 61617 (OpenWire TLS, usage courant)

Lire le référentiel

Niveaux de risque, plages IANA et sources.

Niveaux de risque

Obsolète ou vulnérable: À désactiver, remplacer ou bloquer en priorité.
Non chiffré: Données, et souvent identifiants, lisibles sur le réseau.
Configuration à durcir: Sûr seulement une fois correctement configuré ou restreint.
Acceptable: Chiffré : vérifier la version de TLS, le certificat et l’exposition.

Plages IANA (RFC 6335)

Système0-1023: Services standard attribués par l’IANA ; ports privilégiés sous Unix.
Enregistré1024-49151: Ports enregistrés auprès de l’IANA (User Ports) par des éditeurs et des projets.
Dynamique49152-65535: Jamais attribués : ports éphémères des connexions sortantes, aussi utilisés par MS-RPC.

Un numéro de port ne prouve pas le service : vérifiez la bannière ou l’empreinte (nmap -sV) avant de conclure.

Sources : registre IANA des ports et des services, RFC et avis des éditeurs cités dans les notes. Registre IANA Données revues en octobre 2026.

À propos

Référence Ports & Protocoles

Référentiel de plus de 130 ports et protocoles réseau à risque (en clair, obsolètes, vulnérables ou à durcir), des services historiques aux protocoles industriels (Modbus, S7, DNP3, BACnet). Chaque entrée indique le transport TCP ou UDP, la plage IANA, une note de risque, l'alternative sécurisée et ses ports, avec un lien vers la CVE emblématique quand elle existe. Pratique pour interpréter un scan Nmap, préparer un plan de durcissement ou justifier une fermeture de port lors d'un audit.

Ce que fait l’outil

Plus de 130 entrées : ports, transport TCP ou UDP, plage IANA, niveau de risque, note, alternative sécurisée et ses ports
Recherche par port, plage ou liste (1-1024, 22,80,443, 53/udp, format Nmap T: et U:) ou en texte libre
Filtres par niveau de risque, transport et type de service (dont ICS/OT), avec compteurs
Lien partageable de la vue (recherche, filtres, tri) et liens vers la base CVE
Copie des ports pour Nmap (-p), export CSV et JSON, favoris mémorisés

Questions fréquentes

Quels ports sont couverts ?

Le référentiel se concentre sur les protocoles qui posent problème en sécurité : services en clair (Telnet, FTP, HTTP, POP3, SNMPv1/v2c…), protocoles obsolètes ou vulnérables (SMBv1, LLMNR, Cisco Smart Install…), protocoles industriels (Modbus, S7, DNP3, IEC 104, BACnet), services souvent exposés par erreur (API Docker, kubelet, Redis, Elasticsearch) et services acceptables seulement avec un chiffrement correct. Ce n'est pas une copie exhaustive du registre IANA.

Comment utiliser cette référence avec Nmap ?

Collez les ports ouverts trouvés par votre scan dans la recherche, en liste (22,80,443) ou au format Nmap (T:22,U:161) : chaque entrée indique le niveau de risque et l'alternative sécurisée. À l'inverse, filtrez par risque ou par type de service, puis Exporter, Copier pour nmap fournit l'argument -p à rejouer. Un numéro de port ne prouve pas le service : confirmez-le avec nmap -sV.

Que signifient les niveaux de risque ?

Obsolète ou vulnérable : à désactiver, remplacer ou bloquer en priorité. Non chiffré : données, et souvent identifiants, lisibles sur le réseau. Configuration à durcir : sûr seulement une fois correctement configuré ou restreint. Acceptable : chiffré, à condition de vérifier la version de TLS, le certificat et l'exposition.

Que sont les plages de ports IANA ?

La RFC 6335 distingue les ports système (0 à 1023, services standard), les ports enregistrés (1024 à 49151) et les ports dynamiques ou privés (49152 à 65535), jamais attribués et utilisés comme ports éphémères. La recherche d'un port absent du référentiel affiche sa plage.