Test de port ouvert

Une adresse a 65 535 portes

Votre connexion internet a une adresse publique, un peu comme l’adresse postale d’un immeuble. Un port est une porte numérotée de cet immeuble. Un programme qui veut recevoir des connexions se tient derrière l’une des portes et attend. Un serveur web attend derrière la 443, un serveur Minecraft derrière la 25565, le Bureau à distance de Windows derrière la 3389.

À la maison, l’immeuble a un portier et c’est votre routeur. Les connexions que vous lancez vous-même sortent et leurs réponses reviennent sans aucun réglage. Une connexion qui part de l’extérieur est une autre histoire. Le routeur ne sait pas pour lequel de vos appareils elle est prévue, alors il la jette. Cette règle par défaut explique pourquoi un réseau domestique est difficile à attaquer. Elle explique aussi pourquoi votre ami ne peut pas rejoindre le serveur de jeu qui tourne sur votre ordinateur.

Une redirection de port est une consigne permanente donnée au portier, quelque chose comme « tout ce qui arrive pour la porte 25565 va à l’ordinateur 192.168.1.20 ». Cette page frappe de l’extérieur pour vous dire si cette consigne fonctionne.

Trois réponses possibles

Nous faisons une seule tentative de connexion TCP et regardons ce qui revient. Rien n’est envoyé dans la connexion et nous la fermons aussitôt.

Quand une redirection ne fonctionne pas, la différence entre « fermé » et « pas de réponse » est votre meilleur indice. Un refus prouve que le routeur a transmis la connexion, donc ce qui reste cassé se trouve sur l’appareil. Le silence désigne la règle du routeur, ou le fournisseur.

Pourquoi vous ne pouvez tester que votre propre adresse

Vous ne trouverez aucun champ d’adresse sur cette page. Le test vise toujours l’adresse d’où vient votre requête, un port à la fois.

Essayer des ports sur une machine est la première étape de la plupart des intrusions. C’est pourquoi presque tous les contrats d’hébergement interdisent de scanner des adresses que vous ne gérez pas et pourquoi c’est illégal dans certains pays. Une page publique qui scannerait n’importe quelle adresse sur demande permettrait à n’importe qui de franchir cette étape en se cachant derrière notre serveur. Vérifier votre propre porte ne pose pas de problème, puisque vous en avez déjà la clé.

Quand le port reste muet

Passez ces points en revue dans l’ordre, de l’extérieur vers l’intérieur.

1. Adresse partagée chez le fournisseur. Ouvrez la page d’état du routeur et lisez son adresse WAN. Si elle diffère de l’adresse affichée plus haut, ou commence par 100.64 à 100.127, 10. ou 192.168., votre fournisseur met de nombreux clients derrière une seule adresse (CGNAT, carrier-grade NAT). Aucune règle de votre routeur n’y changera rien. Demandez une adresse publique, ou utilisez IPv6 ou un service de tunnel.
2. La règle de redirection. Port externe, port interne, protocole TCP et adresse locale du bon appareil. Donnez à cet appareil une adresse locale fixe, sinon la règle ne pointera sur rien après le prochain redémarrage.
3. Deux routeurs à la suite. Si une box du fournisseur est placée devant votre propre routeur, il faut la redirection sur les deux, ou bien la première en mode pont.
4. Le pare-feu de l’appareil. Windows, macOS et la plupart des systèmes Linux bloquent les connexions entrantes tant que vous n’autorisez pas le programme.
5. Le programme. Il doit tourner, sur ce port et écouter sur toutes les interfaces (0.0.0.0) et non seulement sur 127.0.0.1.

Certains fournisseurs bloquent quelques ports pour tous leurs clients résidentiels, le plus souvent le 25 (courrier), le 80 et le 445. Si un port reste muet alors que ses voisins s’ouvrent, c’est probablement ce que vous voyez.

Un port ouvert reçoit des visites

Des scanners automatiques balaient tout l’internet IPv4 plusieurs fois par jour. Ils trouvent un port nouvellement ouvert en quelques heures et les premiers essais de mots de passe suivent. N’ouvrez que ce que vous utilisez et gardez à jour le programme qui se trouve derrière. N’exposez jamais directement une base de données, le partage de fichiers Windows (445), Telnet (23) ou le Bureau à distance (3389). Passez par un VPN pour y accéder.

Cette page teste uniquement le TCP. Les services UDP comme WireGuard ou la plupart des discussions vocales ne peuvent pas être vérifiés de l’extérieur, parce qu’un port UDP ouvert qui n’a rien à dire ressemble exactement à un port fermé.