Liste des ports TCP et UDP

Par La rédaction de Mon-Adresse-IP.net·Publié le 21 août 2026·

Près de 200 ports réseau classés par numéro, avec le protocole, le service correspondant et son usage réel. Chaque entrée indique ce que fait le service et s'il est raisonnable ou non de l'exposer sur Internet. Tapez un numéro ou un nom dans le champ de recherche pour filtrer la table instantanément.

À quoi sert un numéro de port

Une adresse IP désigne une machine ; elle ne dit rien du programme à qui remettre les données. C'est le rôle du numéro de port. L'image la plus juste est celle d'un immeuble : l'adresse IP correspond au numéro de la rue, le port au numéro d'appartement. Le facteur atteint le bon bâtiment grâce à l'adresse, mais sans numéro d'appartement le courrier reste dans le hall.

Concrètement, un serveur web, un serveur de messagerie et un serveur de fichiers peuvent cohabiter sur la même machine et donc sur la même adresse IP. Ce qui les distingue, c'est le port sur lequel chacun s'est mis à l'écoute : 443 pour le web, 993 pour la relève du courrier, 445 pour le partage de fichiers. Quand une donnée arrive, le système d'exploitation lit le numéro de port de destination dans l'en-tête TCP ou UDP et transmet le paquet au programme correspondant.

Une connexion n'est d'ailleurs pas identifiée par un port unique, mais par cinq éléments : le protocole (TCP ou UDP), l'adresse et le port de la source, l'adresse et le port de la destination. Cet ensemble s'appelle un quintuplet ; chacune des deux extrémités, c'est-à-dire le couple adresse + port d'un seul côté, forme ce qu'on appelle un socket. C'est ce qui permet à votre navigateur d'ouvrir dix connexions simultanées vers le même site : le port de destination reste 443, mais chaque connexion utilise un port source différent. Le vocabulaire du réseau est détaillé dans notre glossaire.

Ce mécanisme explique aussi le fonctionnement du partage de connexion : votre box réécrit les ports source de tous vos appareils pour les faire tenir derrière une seule adresse publique. C'est tout le principe du NAT, et la raison pour laquelle une connexion entrante non sollicitée n'aboutit nulle part tant qu'aucune redirection n'a été créée.

Les trois plages de ports

La RFC 6335, qui fixe les règles de gestion du registre de l'IANA, découpe les 65 536 numéros en trois plages aux usages bien distincts.

0 à 1023	Ports système (dits privilégiés ou well-known). Attribués par l'IANA après examen. Sous Linux et macOS, seul un processus disposant des droits d'administration (ou de la capacité CAP_NET_BIND_SERVICE) peut s'y mettre à l'écoute. Windows n'applique pas cette restriction.
1024 à 49151	Ports enregistrés (user ports). L'IANA les attribue sur simple demande motivée. On y trouve la plupart des applications modernes : 3306 pour MySQL, 5432 pour PostgreSQL, 8080 pour les serveurs d'applications. Aucun privilège particulier n'est requis pour les ouvrir.
49152 à 65535	Ports dynamiques ou éphémères (private ports). Jamais attribués par l'IANA. C'est dans cette plage que le système pioche automatiquement un port source lorsque vous ouvrez une connexion sortante.

Le détail de la plage éphémère varie selon les systèmes, et la valeur théorique n'est pas toujours celle qui est appliquée. Windows utilise bien 49152-65535 depuis Windows Vista ; Linux, lui, retient par défaut 32768-60999, ce que l'on vérifie avec sysctl net.ipv4.ip_local_port_range. Sous Windows, netsh int ipv4 show dynamicport tcp affiche la plage réellement en vigueur.

Cette réserve de ports source n'est pas illimitée, et c'est un point que l'on découvre souvent trop tard : un serveur très sollicité, ou un routeur qui partage une adresse publique entre des milliers d'abonnés comme dans le CGNAT, peut épuiser sa plage éphémère. Les nouvelles connexions échouent alors sans que rien ne soit tombé en panne.

Ports TCP ou UDP : quelle différence

TCP et UDP sont deux protocoles de transport qui numérotent leurs ports de la même façon, mais qui ne promettent pas la même chose. TCP établit une connexion, numérote les segments, retransmet ce qui s'est perdu et remet les données dans l'ordre. UDP se contente d'envoyer un datagramme : pas d'établissement de connexion, pas d'accusé de réception, pas de réordonnancement.

Le choix dépend de ce qui coûte le plus cher : perdre une donnée ou attendre. Une page web, un courriel ou un transfert de fichier exigent l'intégrité : ce sera TCP. Un appel audio ou une partie en ligne préfèrent la fraîcheur : mieux vaut une syllabe manquante qu'un demi-seconde de retard, donc UDP. Certains services utilisent les deux : le DNS répond en UDP pour les requêtes courantes et bascule en TCP quand la réponse dépasse la taille utilisable en un datagramme, ou pour un transfert de zone.

Les deux espaces de numérotation sont indépendants. Ouvrir le port 500 en UDP pour un tunnel IPsec n'ouvre rien en TCP, et inversement. C'est une source d'erreur classique dans les interfaces de box, qui proposent souvent un choix « TCP/UDP » par commodité alors qu'il s'agit bien de deux règles distinctes. Le sujet est développé dans notre comparatif des protocoles VPN, où WireGuard fonctionne exclusivement en UDP tandis qu'OpenVPN sait faire les deux.

Dernière précision utile : ICMP, le protocole du ping et du traceroute, n'a pas de ports du tout. Il se place au même niveau que TCP et UDP mais s'identifie par des types et des codes. Parler du « port du ping » n'a donc aucun sens, comme l'explique notre guide ping et traceroute.

La table des ports TCP et UDP

La table ci-dessous rassemble les ports que l'on rencontre réellement, du registre de l'IANA aux conventions installées par l'usage. Tapez un numéro (3306), un nom de service (mysql) ou un mot de la description pour filtrer ; les pastilles restreignent l'affichage à une famille d'usage.

Quels ports ne jamais exposer sur Internet

Une adresse IPv4 publique est scannée en permanence. Un service nouvellement exposé est découvert en quelques minutes, souvent avant même que vous ayez fini de le configurer. Certains ports ne devraient donc jamais franchir votre box, quelle que soit la précaution prise ; la bonne pratique consiste à y accéder par un VPN ou un tunnel SSH.

• 23 (Telnet) : identifiants transmis en clair. C'est le port par lequel les réseaux de machines infectées recrutent des objets connectés dont le mot de passe est resté d'usine.
• 445 et 139 (SMB) : le partage de fichiers Windows n'a jamais été conçu pour Internet. WannaCry et NotPetya se sont propagés par là. À bloquer aussi bien en entrée qu'en sortie.
• 3389 (RDP) : le bureau à distance est la porte d'entrée favorite des rançongiciels, qui testent des millions de mots de passe. Aucune configuration ne le rend raisonnablement exposable : placez-le derrière un VPN.
• 5900 (VNC) : souvent installé sans mot de passe, et sans chiffrement dans sa version historique. Des moteurs de recherche spécialisés indexent des milliers d'écrans laissés ouverts.
• 3306, 5432, 6379, 27017, 11211 : bases de données MySQL, PostgreSQL, Redis, MongoDB et cache memcached. Elles doivent écouter sur 127.0.0.1 ou sur un réseau privé. Une base exposée est aspirée, chiffrée puis rançonnée en quelques heures.
• 161 (SNMP v1 et v2c) : la chaîne de communauté circule en clair et vaut mot de passe. Un équipement interrogeable révèle sa topologie, ses interfaces et parfois sa configuration. Seul SNMPv3 est acceptable.
• 2375 (API Docker) : Sans TLS ni authentification, cette API permet de démarrer un conteneur privilégié : c'est un accès administrateur complet à la machine hôte, offert sans mot de passe.
• 554 et 81 (caméras) : les interfaces web et les flux RTSP des caméras de surveillance sont massivement indexés. Notre guide sur la sécurité des objets connectés explique comment les isoler dans un réseau séparé.

À ces cas s'ajoutent tous les services qui répondent en UDP à une petite requête par une grosse réponse : 19 (chargen), 111 (rpcbind), 123 (NTP mal configuré), 427 (SLP), 1900 (SSDP), 3702 (WS-Discovery) et 11211 (memcached). Exposés, ils permettent à un tiers d'usurper votre adresse et de transformer votre connexion en relais d'attaque, sans que vous soyez la cible.

Savoir quels ports sont ouverts sur sa machine

Avant de s'inquiéter de l'extérieur, commencez par l'intérieur : la question n'est pas seulement « quel port est ouvert », mais « quel programme écoute, et sur quelle interface ». Un service à l'écoute sur 127.0.0.1 n'est joignable que depuis la machine elle-même ; le même service sur 0.0.0.0 accepte les connexions de tout le réseau local.

Windows

netstat -ano | findstr LISTENING
# La dernière colonne est le PID : on identifie ensuite le programme
tasklist /FI "PID eq 4242"

# Équivalent PowerShell, plus lisible
Get-NetTCPConnection -State Listen | Sort-Object LocalPort

Linux

ss -tulpn
# -t TCP  -u UDP  -l ports en écoute  -p processus  -n numéros bruts

# Le nom du processus n'apparaît qu'avec les droits d'administration
sudo ss -tulpn | grep LISTEN

macOS

lsof -iTCP -sTCP:LISTEN -n -P
# -n et -P évitent la résolution des noms et des services : bien plus rapide

# Ports TCP en écoute (l'état LISTEN n'existe pas en UDP)
netstat -an | grep LISTEN

Ces commandes montrent ce qui écoute sur la machine, pas ce qui est réellement joignable depuis Internet. Entre les deux se trouvent votre pare-feu local, le pare-feu de la box et, chez de nombreux abonnés français, un partage d'adresse qui rend toute connexion entrante impossible. Pour raisonner sur les plages d'adresses de votre réseau local et savoir quelles machines sont concernées par une règle, notre calculateur de sous-réseau fait le travail.

Questions fréquentes