portas TCP e UDP
Todo serviço de rede escuta em uma porta, um número de 0 a 65535 que separa o tráfego dentro do mesmo endereço IP. Esse intervalo inteiro é dividido em três faixas pela IANA, e saber em qual faixa um número cai já diz boa parte do que esperar dele.
A mesma porta 443 também carrega HTTP/3 sobre QUIC, que roda sobre UDP em vez de TCP, então "porta 443" já não implica um único protocolo de transporte.
Faixa bem conhecida (abaixo de 1024), então em servidores Unix escutar nessa porta exige privilégio de root ou uma capability equivalente.
Alternativa segura registrada para o mesmo serviço é a porta 587, pensada para submissão de e-mail por clientes em vez de retransmissão servidor a servidor.
Decisão deliberada: port scanner sem autorização é vetor de abuso e tem implicação legal em vários países. Preferimos uma referência clara e segura.
TCP faz um handshake antes de enviar dados e garante entrega e ordem dos pacotes. UDP envia direto, sem handshake e sem garantia de ordem, o que custa menos overhead mas exige que a aplicação lide com perda de pacote sozinha.
Porque essa faixa é reservada pela IANA como "bem conhecida" e historicamente associada a serviços de sistema; o kernel Unix bloqueia processos sem privilégio de escutar nela por padrão.
Sim, são espaços de numeração independentes. A porta 53 é o exemplo clássico: DNS usa UDP/53 para consultas normais e TCP/53 para transferências de zona e respostas grandes.
Porque SMTP na porta 25 sem restrição virou vetor comum de spam vindo de máquinas comprometidas; muitos provedores bloqueiam a saída nessa porta para clientes residenciais e recomendam a 587, que exige autenticação, para envio de e-mail.
Canal de dados do FTP (modo ativo). Tráfego sem criptografia, prefira SFTP (22) ou FTPS (990).
Canal de controle do FTP. Sem criptografia. Prefira SFTP (22) ou FTPS (990).
SSH para shell remota e SFTP para transferência de arquivos com criptografia ponta a ponta.
Shell remota legada sem criptografia. Substituído por SSH (22).
Envio de e-mail entre servidores. Suporta STARTTLS. Bloqueado por muitos ISPs para clientes finais.
Resolução de nomes. UDP para queries normais, TCP para zone transfers e respostas grandes. DoT (853) e DoH (443) cifram.
Servidor DHCP escuta requisições de clientes nesta porta.
Cliente DHCP recebe respostas do servidor nesta porta.
Transferência simples sem autenticação. Comum em PXE boot e equipamentos de rede.
HTTP em texto claro. Em produção use sempre HTTPS (443).
Autenticação Kerberos (KDC). Base de Active Directory.
Recebimento de e-mail (legado). Sem criptografia. Use POP3S (995).
Usenet / newsgroups. Pouco usado hoje. Versão segura: NNTPS (563).
Sincronização de relógio. Frequentemente abusado em ataques de amplificação.
Mapeador de endpoints DCE/RPC da Microsoft. Nunca exponha à internet.
Resolução de nomes NetBIOS. Vetor histórico de worms (Sasser/Conficker).
SMB sobre NetBIOS. Substituído por SMB direto na 445.
Acesso a e-mail. Texto claro. Use IMAPS (993).
Gerenciamento de equipamentos de rede. Versões 1/2c sem criptografia. SNMPv3 cifra.
Recebimento de traps/alertas SNMP.
Protocolo de roteamento da internet pública. Sessões TCP entre ASes.
IRC tradicional. Versão TLS: 6697.
Diretório (Active Directory, OpenLDAP). Use LDAPS (636) ou StartTLS.
Web cifrada (TLS 1.2/1.3). Também usada por HTTP/3 sobre QUIC (UDP 443).
Compartilhamento de arquivos Windows direto sobre TCP. Vetor de WannaCry, bloqueie no perímetro.
Submissão de e-mail com TLS implícito. Alternativa moderna ao 587 com STARTTLS.
Logs centralizados. Sem criptografia; use TLS syslog (6514) para tráfego sensível.
Submissão autenticada de e-mail por clientes. STARTTLS obrigatório em provedores modernos.
Impressão (CUPS). Frequentemente exposta sem necessidade.
LDAP cifrado com TLS implícito.
Consultas DNS cifradas com TLS.
Sincronização rsync sem criptografia. Prefira rsync sobre SSH.
Canal de dados do FTPS implícito.
FTPS com TLS implícito. SFTP (22) costuma ser mais simples de operar.
Acesso IMAP cifrado.
POP3 cifrado.
Proxy SOCKS4/5. Usado por Tor e clientes de proxy genéricos.
OpenVPN, geralmente UDP. Pode rodar em TCP em redes restritivas.
SQL Server. Não exponha à internet pública.
Listener Oracle. Manter atrás de firewall.
VPN PPTP, considerada insegura. Use OpenVPN, IKEv2 ou WireGuard.
Autenticação AAA. Use RADSEC para tráfego cifrado.
Contabilização RADIUS.
Broker MQTT sem TLS. Use MQTTS (8883) em produção.
Compartilhamento de arquivos Unix. NFSv4 suporta Kerberos para autenticação.
API Docker sem TLS, equivalente a acesso root remoto. NUNCA exponha à internet.
API Docker com TLS mutual obrigatório.
Padrão informal de servidores Node em desenvolvimento (Next.js, Express).
Banco MySQL/MariaDB. TLS opcional; manter privado.
Desktop remoto Windows. Sempre atrás de VPN ou gateway.
Travessia de NAT para WebRTC e VoIP.
Padrão de Phoenix Framework em desenvolvimento.
Painel local do túnel ngrok.
Padrão de servidor de desenvolvimento Flask. No macOS conflita com AirPlay.
Sinalização VoIP em texto claro. SIP-TLS na 5061.
Sinalização VoIP com TLS.
Padrão do Vite (React/Vue/Svelte).
Mensageria XMPP. Suporta StartTLS.
Federação XMPP entre servidores.
Descoberta zero-config (.local).
Banco PostgreSQL. TLS configurável; manter privado.
Brokers AMQP (RabbitMQ). TLS na 5671.
Cliente VNC via HTTP.
Tela remota VNC (protocolo RFB). Tunelar por SSH em redes não confiáveis.
WinRM em HTTP. Use HTTPS (5986).
WinRM cifrado.
Cache/key-value Redis. NUNCA exponha sem auth, vetor frequente de mineração.
API server Kubernetes com mTLS obrigatório.
Faixa alternativa de IRC.
IRC cifrado.
Servidores HTTP de desenvolvimento (Django, http.server).
HTTP alternativo. Comum em proxies, dashboards e Tomcat.
HTTPS alternativo, comum em painéis admin.
MQTT cifrado.
PHP-FPM e várias ferramentas de dev.
Endpoint de métricas Prometheus.
Broker Kafka. TLS/SASL configuráveis.
API HTTP do Elasticsearch/OpenSearch. Manter privado.
Cache em memória. UDP é vetor de amplificação, use TCP e firewall.
Servidor Minecraft Java.
Servidores baseados em Source (CS:GO, TF2, etc).
Banco MongoDB. Não exponha sem auth.
VPN WireGuard. Porta padrão recomendada pela documentação oficial.
Tudo roda localmente no seu navegador a partir de um catálogo embarcado. Esta ferramenta não conecta a IPs nem portas, não é scanner.