Référence des ports
Port 443 (TCP) – HTTPS
HTTPS — HTTP chiffré avec TLS, le protocole web sécurisé par défaut.
État par défaut
Ouvert sur quasiment tous les serveurs web publics. Presque toujours exposé à Internet pour servir des sites et API chiffrés.
Attaques courantes
- Exploitation de TLS et chiffrements faibles/obsolètes (SSLv3, TLS 1.0/1.1, RC4)
- Problèmes de certificat : expiré, auto-signé, non concordant, clés faibles
- Exploitation applicative (injection SQL, XSS, RCE) sur le canal chiffré
- DoS/DDoS et abus de renégociation TLS
Durcissement
- Désactiver SSLv3 et TLS 1.0/1.1 ; privilégier TLS 1.2/1.3 avec chiffrements forts
- Utiliser des certificats valides avec clés fortes et automatiser le renouvellement
- Activer HSTS et désactiver la renégociation/compression non sûres
- Maintenir OpenSSL et la pile web à jour (ex. Heartbleed)
- Placer un WAF en amont et surveiller la posture TLS en continu
Commande nmap
nmap -p443 --script ssl-enum-ciphers,ssl-cert,http-title,http-headers <target>Remplacez <target> par l’hôte ou la plage que vous êtes autorisé à scanner.
Qu'est-ce qui tourne sur le port 443 ?
Le port 443 est le port bien connu de HTTPS — HTTP sur TLS. Il transporte
les mêmes requêtes et réponses web que le port 80, mais à l'intérieur d'un
tunnel TLS chiffré et protégé en intégrité ; un navigateur visitant
https://example.com s'y connecte par défaut. C'est le port standard des sites
web sécurisés, des API REST/GraphQL et de la majeure partie du trafic
applicatif moderne.
Pourquoi c'est important pour la sécurité
TLS sur le 443 protège la confidentialité et l'intégrité en transit et permet aux clients d'authentifier le serveur via son certificat. Mais le chiffrement ne couvre que le canal : l'application web sous-jacente peut rester vulnérable, et une pile TLS mal configurée (vieux protocoles, chiffrements faibles, mauvais certificats) donne un faux sentiment de sécurité. Historiquement, des failles de la bibliothèque sous-jacente — comme le bug OpenSSL Heartbleed (CVE-2014-0160) — ont fait fuiter de la mémoire directement depuis le 443.
Comment il est attaqué
Les attaquants ciblent TLS faible ou obsolète (SSLv3, TLS 1.0/1.1, RC4) et les tentatives de downgrade pour casser ou lire le chiffrement. Les problèmes de certificat — expirés, auto-signés ou à clé faible — permettent l'usurpation et le MITM. La couche applicative reste exploitée (injection SQL, XSS, RCE), simplement sur TLS, et des bugs de bibliothèque comme Heartbleed ont fait fuiter clés privées et données de session. Les DDoS et l'abus de renégociation complètent les menaces.
Liste de durcissement
Désactivez SSLv3 et TLS 1.0/1.1, privilégiez TLS 1.2/1.3 avec des suites de chiffrement fortes, et désactivez la renégociation et la compression non sûres. Servez des certificats valides à clés fortes et automatisez le renouvellement. Activez HSTS, maintenez OpenSSL et la pile web à jour, et placez un WAF en amont. La commande nmap énumère les chiffrements pris en charge et inspecte le certificat afin de repérer un TLS faible sur les systèmes que vous êtes autorisé à tester.
Ports liés
Questions fréquentes
- Quelle est la différence entre le port 80 et le 443 ?
- Le port 80 est du HTTP en clair ; le port 443 est du HTTPS, le même protocole enveloppé dans le chiffrement TLS. Utilisez le 443 pour tout le trafic réel et le 80 uniquement pour rediriger vers lui.
- HTTPS sur le 443 rend-il mon site sécurisé ?
- TLS chiffre la connexion mais ne corrige pas les failles applicatives. Des chiffrements faibles, de mauvais certificats ou des vulnérabilités comme Heartbleed (CVE-2014-0160) peuvent encore exposer des données.