Quais portas abrir para diferentes serviços
O mundo da infraestrutura de rede é mais simples do que parece. Se imaginarmos um servidor como um prédio, as portas são como as entradas pelas quais os dados passam. Algumas servem para que usuários acessem aplicativos web, outras — para troca de e-mails ou sincronização de sistemas. Mas quanto mais portas abertas, maior o risco de alguém indesejado espiar lá dentro.
Portas abertas por si só não são um problema — a vulnerabilidade surge quando atrás delas há aplicativos desatualizados ou mal protegidos. Se os serviços funcionam em uma rede interna com acesso restrito, portas abertas podem ser aceitáveis. O importante não é simplesmente fechar tudo, mas entender a função de cada porta, separar serviços internos de externos e proteger onde realmente importa.
Não existe uma receita universal de “abra apenas o essencial” — cada serviço exige suas próprias regras. Em alguns casos, é aceitável permitir acesso amplo; em outros, é necessário restringir IPs, criptografar o tráfego e monitorar conexões cuidadosamente.
Neste artigo reunimos os principais serviços e suas portas padrão, além de recomendações de segurança para cada caso. No final, você encontrará uma tabela prática, comandos básicos para gerenciamento de portas e orientações para facilitar a configuração por meio de um painel de nuvem.
O que é uma porta e por que isso importa
Uma porta é um ponto de entrada para o tráfego de rede, uma espécie de identificador do serviço que roda no servidor. Quando você abre um site, envia um e-mail ou acessa uma máquina remotamente, sua solicitação não chega “ao servidor” de forma genérica — ela entra em uma porta específica, onde é processada pelo aplicativo correto.
Cada serviço “ouve” um número de porta definido. A web geralmente usa 80 (HTTP) ou 443 (HTTPS), SSH usa 22, SMTP usa 25. Se uma porta necessária estiver fechada, o serviço simplesmente não existe para o mundo externo. Se portas desnecessárias estiverem abertas, é como deixar uma porta destrancada.
Por isso, a segurança dos servidores começa com uma configuração cuidadosa de portas. Quanto menos pontos de entrada, menor a superfície de ataque. E para as portas que precisam permanecer abertas, é essencial aplicar camadas extras de proteção: filtros de acesso, criptografia e monitoramento.
A seguir, veremos os serviços mais comuns, as portas a que estão vinculados e recomendações práticas de segurança. Depois, apresentaremos ferramentas e dicas para gerenciar portas de forma segura e eficiente.
Princípios básicos de configuração segura de portas
Antes de falar dos serviços em si, vale revisar os princípios que ajudam a manter a rede protegida. Seja na nuvem ou em servidores dedicados, as regras são universais.
- Minimizar a superfície de ataque
Abra apenas as portas realmente necessárias para o funcionamento dos serviços. Todo o resto deve permanecer fechado por padrão. - Restringir o acesso
Se o serviço for usado apenas por administradores, restrinja o acesso por IP ou VPN. Por exemplo, SSH não precisa ficar disponível para todos — apenas para endereços confiáveis. - Usar criptografia
Muitos protocolos possuem versões seguras (HTTP → HTTPS, POP3 → POP3S, IMAP → IMAPS). Tráfego criptografado protege dados contra interceptação. - Monitorar e registrar
Mesmo com boas regras, não existe segurança absoluta. Logs de conexões e ferramentas de monitoramento ajudam a detectar tentativas suspeitas de acesso, varreduras ou ataques de força bruta. - Utilizar portas não padrão (quando fizer sentido)
Embora a “segurança por obscuridade” não seja uma proteção completa, mover alguns serviços para portas não padrão pode reduzir o volume de ataques automatizados.
Serviços e portas mais comuns
Alguns serviços estão praticamente sempre presentes em uma infraestrutura — como sites, ferramentas de administração remota ou gateways de e-mail. Sua popularidade os torna essenciais, mas também alvos frequentes de ataque.
Abaixo, um resumo dos principais serviços e pontos de atenção para protegê-los.
Serviços Web — HTTP e HTTPS (80/443)
A web é a principal porta de entrada para usuários. A porta 80 é usada para HTTP sem criptografia e 443 para HTTPS. O ideal é que todo o tráfego real passe por HTTPS, com redirecionamento automático do 80 para o 443. Isso garante a segurança e integridade dos dados.
Para reforçar a segurança, use certificados confiáveis (como Let’s Encrypt) e habilite HSTS (HTTP Strict Transport Security) para impedir conexões não criptografadas.
SSH — Acesso remoto (22)
A porta 22 é usada para acesso remoto seguro via SSH. É uma das portas mais atacadas, com bots automatizados tentando adivinhar logins e senhas.
Recomendações:
- restringir acesso por IP ou VPN;
- usar autenticação por chave em vez de senha;
- mudar a porta padrão, se necessário;
- configurar fail2ban para bloquear tentativas repetidas.
DNS — Resolução de nomes (53)
A porta 53 serve para consultas DNS. Se o servidor não for um resolvedor público, essa porta não deve estar aberta para a internet. Restringir consultas à rede interna é a prática mais segura. Em servidores públicos, implemente mecanismos de defesa contra DDoS, como rate limiting.
Serviços de e-mail — SMTP, IMAP, POP3 (25/465/587/993/995)
Portas de e-mail são alvo comum de ataques — de spam a invasões de contas.
- 25 (SMTP): envio de e-mails, geralmente com restrições de IP.
- 465 e 587: envio seguro (SMTPS e submission).
- 993 (IMAPS) e 995 (POP3S): protocolos seguros para recebimento.
Todos devem usar protocolos criptografados e exigir autenticação. O acesso externo precisa ser rigidamente controlado.
Bancos de dados — MySQL, PostgreSQL (3306/5432)
Portas 3306 (MySQL) e 5432 (PostgreSQL) costumam ficar abertas por descuido. Normalmente, o acesso ao banco ocorre apenas internamente.
O ideal é bloquear completamente essas portas na internet e usar VPN, TLS ou túnel SSH quando for necessário acesso remoto.
Tabela de portas e recomendações de segurança
| Serviço / Protocolo | Porta(s) | Função | Recomendações de segurança |
|---|---|---|---|
| HTTP / HTTPS | 80 / 443 | Acesso web (sites, painéis, API) | Usar HTTPS, redirecionar 80→443, habilitar HSTS, usar certificados SSL confiáveis |
| SSH | 22 | Acesso remoto ao servidor | Restringir IP ou VPN, usar chaves, alterar porta padrão se necessário, habilitar fail2ban |
| DNS | 53 | Resolução de nomes de domínio | Restringir à rede local, evitar exposição pública, habilitar proteção DDoS e rate limiting |
| SMTP / SMTPS | 25 / 465 / 587 | Envio de e-mails | Ativar TLS, restringir IP, autenticação obrigatória |
| IMAPS / POP3S | 993 / 995 | Recebimento de e-mails | Usar apenas portas seguras, controlar acesso externo |
| MySQL | 3306 | Banco de dados | Acesso somente interno, VPN ou túnel, TLS |
| PostgreSQL | 5432 | Banco de dados | Bloquear acesso externo, usar VPN/TLS quando necessário |
| RDP | 3389 | Área de trabalho remota (Windows) | Restringir IP ou VPN, MFA obrigatório, monitorar sessões |
| FTP / FTPS | 21 / 990 | Transferência de arquivos | Preferir SFTP, usar TLS e filtragem de IP |
| NTP | 123 | Sincronização de horário | Restringir fontes de requisição, monitorar ataques DDoS |
Essa tabela não cobre todas as portas existentes, mas fornece uma base sólida para os cenários mais comuns. Se o serviço não for usado, feche a porta. Se for necessário, proteja e monitore.
Como gerenciar portas na prática
Saber quais portas abrir é metade do trabalho. A outra metade é configurá-las corretamente e manter o controle. Seja qual for o sistema operacional ou provedor, os princípios são os mesmos: abrir apenas o necessário, fechar o que sobra e monitorar tudo.
Firewall local
A forma mais comum é usar firewalls integrados para criar regras de permissão ou bloqueio.
Linux (UFW):
sudo ufw allow 443/tcp # Permitir HTTPS
sudo ufw deny 3306/tcp # Bloquear MySQL
sudo ufw status verboseCentOS / RHEL (firewalld):
sudo firewall-cmd --add-port=22/tcp --permanent
sudo firewall-cmd --remove-port=3306/tcp --permanent
sudo firewall-cmd --reloadWindows (PowerShell):
New-NetFirewallRule -DisplayName "Allow HTTPS" -Direction Inbound -LocalPort 443 -Protocol TCP -Action Allow
Remove-NetFirewallRule -DisplayName "Block MySQL"Portas e nuvem: por que é mais fácil gerenciar na infraestrutura cloud
Na infraestrutura tradicional, gerenciar portas costuma ser trabalhoso: configurar firewalls manualmente, acompanhar acessos e garantir que nada fique aberto por engano. Na nuvem, esse processo é muito mais simples.
Fornecedores modernos oferecem painéis e APIs que permitem ajustar regras de acesso em poucos cliques. Isso é essencial em ambientes dinâmicos, onde recursos sobem e descem conforme a carga — e as regras de segurança devem acompanhar.
Na plataforma Serverspace, por exemplo, você pode:
- gerenciar listas de portas permitidas via painel web ou API no nível do roteador;
- restringir acesso por IP ou sub-rede;
- aplicar templates prontos para configurações típicas (web, banco de dados).
Esse modelo aumenta a segurança e reduz a chance de erro humano, além de economizar tempo dos administradores.
Conclusão: segurança começa pelo básico
Ataques raramente começam com explorações sofisticadas — geralmente, começam com uma simples varredura de portas abertas e esquecidas. É por isso que o gerenciamento correto de portas não é detalhe técnico: é base da segurança.
Princípios-chave:
- abrir apenas o necessário;
- proteger com criptografia, filtros de IP e VPN;
- evitar expor serviços diretamente;
- registrar e monitorar atividade;
- usar mecanismos de segurança em nuvem, como WAF, para reduzir riscos.
Uma estratégia clara para portas abertas não exige grandes investimentos — apenas atenção e disciplina. E com soluções em nuvem como Serverspace, proteger sua infraestrutura se torna ainda mais simples.
FAQ
- 1. Quais portas abrir primeiro?
Depende do uso. Para sites: 80 e 443; para acesso remoto: 22; para e-mails: 25/465/587 e portas seguras IMAP/POP3. O resto, apenas se necessário. - 2. Usar portas não padrão melhora a segurança?
Não substitui medidas reais de proteção, mas ajuda a reduzir ataques automatizados. - 3. Como proteger SSH contra invasões?
Restringir IP, usar autenticação por chave, configurar fail2ban e alterar a porta padrão se desejado. - 4. Por que não deixar bancos de dados expostos?
Bancos não são feitos para acesso direto pela internet. Portas abertas são alvos comuns. Use redes internas ou VPN. - 5. Como verificar quais portas estão abertas?
No Linux: sudo netstat -tulnp ou sudo ss -tulnp. No Windows: netstat -an. Também é possível usar scanners como Nmap.
