Verificar porta aberta

Escolha uma porta e o nosso servidor tenta se conectar a ela no endereço de onde você está acessando. Você vai saber se a porta está aberta, fechada ou em silêncio, e o que cada resposta diz sobre o seu roteador.

Um endereço tem 65.535 portas

A sua conexão com a internet tem um endereço público, mais ou menos como o endereço de um prédio. Uma porta é uma entrada numerada desse prédio. Um programa que quer receber conexões fica atrás de uma dessas portas e espera. Um servidor web espera atrás da 443, um servidor de Minecraft atrás da 25565, a Área de Trabalho Remota do Windows atrás da 3389.

Em casa, o prédio tem um porteiro, e ele é o seu roteador. As conexões que você mesmo inicia saem, e as respostas delas voltam sem configuração nenhuma. Uma conexão que começa lá de fora é outra história. O roteador não tem ideia de para qual dos seus aparelhos ela é, então a descarta. Esse comportamento padrão é o que torna difícil atacar uma rede doméstica. É também o motivo de o seu amigo não conseguir entrar no servidor de jogo que roda no seu computador.

Um redirecionamento de porta é uma instrução permanente ao porteiro, algo como “tudo o que chegar para a porta 25565 vai para o computador 192.168.1.20”. Esta página bate na porta pelo lado de fora para dizer se essa instrução funciona.

Três respostas possíveis

Fazemos uma tentativa de conexão TCP e observamos o que volta. Nada é enviado pela conexão, e nós a fechamos na hora.

Resultado	O que aconteceu na rede	O que significa
Aberta	A conexão foi aceita.	Um programa está escutando e todos os firewalls do caminho deixam o tráfego passar.
Fechada	Uma recusa voltou em milissegundos.	O caminho está livre, mas não há programa atrás da porta. Inicie o programa ou corrija o número da porta dele.
Sem resposta	Quatro segundos de silêncio.	Um firewall ou o roteador descartou a tentativa. Para uma porta que ninguém abriu, esse é o estado normal e seguro.

Quando um redirecionamento não funciona, a diferença entre “fechada” e “sem resposta” é a sua melhor pista. Uma recusa prova que o roteador repassou a conexão, então o que ainda está errado está no aparelho. O silêncio aponta para a regra do roteador, ou para o provedor.

Por que só dá para testar o seu próprio endereço

Você não vai encontrar um campo de endereço nesta página. O teste sempre mira o endereço de onde veio o seu pedido, uma porta de cada vez.

Testar as portas de uma máquina é o primeiro passo da maioria das invasões. É por isso que quase todo contrato de hospedagem proíbe varrer endereços que você não administra, e é por isso que isso é ilegal em alguns países. Uma página pública que varresse qualquer endereço a pedido deixaria qualquer um dar esse passo escondido atrás do nosso servidor. Verificar a sua própria porta não tem problema, já que a chave é sua.

Com uma VPN ou um proxy corporativo ligado, “o seu endereço” é o endereço do servidor da VPN. Desligue antes de testar um redirecionamento de porta de casa.

Quando a porta continua em silêncio

Passe por estes pontos em ordem, de fora para dentro.

Endereço compartilhado no provedor. Abra a página de status do roteador e leia o endereço WAN. Se ele for diferente do endereço mostrado acima, ou começar com 100.64 a 100.127, 10. ou 192.168., o seu provedor coloca muitos clientes atrás de um só endereço (CGNAT). Nenhuma regra no seu roteador vai ajudar. Peça um endereço público, ou use IPv6 ou um serviço de túnel.
A regra de redirecionamento. Porta externa, porta interna, protocolo TCP e o endereço local do aparelho certo. Dê a esse aparelho um endereço local fixo, senão a regra vai apontar para o nada depois da próxima reinicialização.
Dois roteadores em sequência. Se um modem-roteador do provedor fica na frente do seu próprio roteador, você precisa do redirecionamento nos dois, ou do primeiro em modo bridge.
O firewall do aparelho. Windows, macOS e a maioria dos sistemas Linux bloqueiam conexões de entrada até você liberar o programa.
O programa. Ele precisa estar rodando, nessa porta, e escutando em todas as interfaces (0.0.0.0) em vez de só em 127.0.0.1.

Alguns provedores bloqueiam algumas portas para todos os clientes residenciais, mais comumente a 25 (e-mail), a 80 e a 445. Se uma porta continua em silêncio enquanto as vizinhas abrem, provavelmente é isso que você está vendo.

Uma porta aberta recebe visitas

Scanners automáticos varrem toda a internet IPv4 várias vezes por dia. Eles encontram uma porta recém-aberta em poucas horas, e as primeiras tentativas de senha vêm logo depois. Abra só o que você usa e mantenha atualizado o programa por trás. Nunca exponha diretamente um banco de dados, o compartilhamento de arquivos do Windows (445), o Telnet (23) ou a Área de Trabalho Remota (3389). Acesse esses serviços por uma VPN.

Esta página testa só TCP. Serviços UDP como WireGuard ou a maioria dos chats de voz não podem ser verificados de fora, porque uma porta UDP aberta sem nada a dizer parece exatamente uma porta fechada.

Perguntas frequentes

Como saber se o meu redirecionamento de porta está funcionando?

Inicie o programa que deve receber as conexões e depois teste a porta dele aqui. “Aberta” significa que o redirecionamento funciona de ponta a ponta. “Fechada” significa que o roteador repassa corretamente, mas o programa não está escutando. “Sem resposta” significa que o roteador ou um firewall ainda está descartando o tráfego.

Por que a porta aparece como fechada se o meu servidor está rodando?

Normalmente é um programa escutando só em 127.0.0.1, um número de porta diferente nas configurações dele, um firewall no aparelho ou uma VPN que faz o teste bater em outro endereço. Teste a partir da mesma rede em que o servidor está, com a VPN desligada.

Posso verificar uma porta em outro endereço IP ou site?

Não. A página só testa o endereço de onde você está se conectando. Varrer máquinas que você não administra é abusivo, por isso não há campo de endereço. Para ver se um site público responde, use O site caiu?.

É perigoso ter portas abertas?

Uma porta só é tão segura quanto o programa por trás dela. Um servidor web atualizado na 443 não tem problema. Área de Trabalho Remota, um banco de dados ou uma câmera com senha padrão vão ser encontrados e atacados rapidamente. Feche o que você não usa.

O que é CGNAT e como ele bloqueia o redirecionamento de porta?

O seu provedor divide um endereço público entre muitos clientes, então as conexões de entrada param no equipamento dele e nunca chegam ao seu roteador. Dá para perceber por um endereço WAN no roteador diferente do seu endereço público. Só o provedor, o IPv6 ou um serviço de túnel conseguem contornar isso.

Este teste verifica portas UDP?

Não. O UDP não tem handshake de conexão, então uma porta em silêncio pode estar aberta ou fechada. Teste serviços UDP com o próprio cliente deles a partir de outra rede, um celular com dados móveis, por exemplo.