Con este verificador de puertos puede comprobar puertos abiertos en su propia dirección IP o en cualquier servidor, probar la redirección de puertos y escanear hasta 30 puertos a la vez. Cada puerto aparece como abierto, cerrado o filtrado, con lo que eso significa, el tiempo, el banner del servicio y desde dónde se comprobó.
Comprobado por TCP desde el centro de datos de Cloudflare más cercano a usted, y desde nuestro propio servidor en Mumbai para el puerto 25 y los sitios en Cloudflare · IPv4 · no se guarda nada
Publicidad
¿Cómo comprobar si un puerto está abierto?
Ingrese la dirección IP o el nombre de host y el puerto, y seleccione Comprobar. El verificador de puertos abre una conexión TCP a ese puerto desde internet, como lo haría un visitante o el cliente de un juego, e informa lo que volvió: una conexión aceptada (abierto), un rechazo (cerrado) o nada en absoluto (filtrado).
¿Está probando la redirección de puertos? Su dirección IP pública ya está completada: inicie su servidor, compruebe su puerto y, si no está abierto, el resultado le dirá qué corregir. Para un servidor, escriba su nombre de host y elija un grupo predefinido para escanear los puertos habituales de una sola vez.
El veredictoEl estado del puerto en una línea, y lo que significa para el servidor o para la regla de redirección.El handshakeLo que envió nuestro verificador y lo que volvió: una conexión aceptada, un rechazo o silencio, con el tiempo.Desde dónde se comprobóEl centro de datos de Cloudflare más cercano a usted, o nuestro propio servidor para el puerto 25 y para los sitios en Cloudflare.Cada puerto de un escaneoCada puerto con su servicio, el banner que envió y su estado, con los riesgosos marcados.
Un test de redirección de puertos de un servidor de Minecraft: el estado, el handshake TCP que lo respalda y desde dónde se comprobó. Seleccione un número para ver qué muestra cada parte.
Abierto, cerrado o filtrado: ¿qué significa el resultado del test de puertos?
Una conexión TCP empieza con un handshake: nuestro verificador envía un SYN, y lo que vuelve decide el estado. Los verificadores de puertos que llaman "cerrado" a un tiempo de espera agotado ocultan justamente la diferencia que le indica dónde está el problema.
Cómo fue la comprobación
TCP 25565 · Minecraft Java
Cloudflareel más cercano a usted
SYN
SYN-ACK38 ms
203.0.113.7:25565 · su router
→SYNhacia 203.0.113.7:255650 ms
←SYN-ACKel puerto aceptó la conexión38 ms
→ACKconexión abierta38 ms
←…nada en 1,5 s: el servicio espera a que el cliente hable primero
→FINcerrada por nosotros
AbiertoSYN → SYN-ACK
Un programa escucha en el puerto y aceptó la conexión. Nada entre internet y el servidor la bloquea.
La redirección de puertos funciona. Si los jugadores aún no pueden entrar, revise la configuración del propio juego o la dirección que usan.
Cómo fue la comprobación
TCP 32400 · Plex
Cloudflareel más cercano a usted
SYN
RST41 ms
203.0.113.7:32400 · su router
→SYNhacia 203.0.113.7:324000 ms
←RSTrechazada: nada escucha, o un firewall ahí está configurado para rechazarla41 ms
CerradoSYN → RST
La dirección respondió y rechazó la conexión: nada escucha en el puerto, o un firewall ahí está configurado para rechazarla. En ambos casos, se puede llegar a la dirección en sí.
El router pasó la conexión (o respondió él mismo), pero ningún programa la tomó: inicie el servidor y revise la dirección local y el puerto de la regla.
Cómo fue la comprobación
TCP 25565 · Minecraft Java
Cloudflareel más cercano a usted
SYN
sin respuesta4,0 s
203.0.113.7:25565 · su router
→SYNhacia 203.0.113.7:255650 ms
←…ni SYN-ACK ni RST en 4,0 s4,0 s
FiltradoSYN → sin respuesta
Sin respuesta en 4 segundos. Un firewall descartó la conexión sin decir nada, o nada en el camino la redirige.
El caso típico de una regla de redirección que falta, un puerto bloqueado en el firewall del dispositivo, CGNAT o un proveedor que bloquea el puerto.
Inaccesible significa que la red informó que no hay ruta hacia la dirección. Sin comprobar significa que esta vez nuestro segundo servidor no pudo hacer la comprobación; nunca se cuenta como cerrado.
Publicidad
¿Cómo comprobar si la redirección de puertos funciona?
Después de abrir puertos en el router, compruébelo desde fuera de su red, con el servidor en marcha: abierto en su IP pública y en el puerto redirigido significa que la regla, el firewall y el servidor funcionan. Una comprobación desde dentro de su propia red puede fallar aunque todo esté bien, porque muchos routers no devuelven el tráfico hacia sí mismos.
1
Inicie el servidor
El servidor del juego, Plex o la cámara deben estar en marcha: un puerto en el que nada escucha está cerrado, aunque la regla sea perfecta.
2
Anote la dirección local del dispositivo
Búsquela en la configuración de red del dispositivo (por ejemplo 192.168.1.20) y resérvela en el router, para que no cambie.
3
Agregue la regla de redirección
En el router: el puerto externo, el protocolo TCP (o TCP y UDP), la dirección local del dispositivo y su puerto.
4
Permítalo en el firewall del dispositivo
Windows pregunta la primera vez que se inicia un servidor; si no, agregue una regla de entrada para el puerto.
5
Compruebe su IP pública desde aquí
Seleccione Comprobar con su IP ya completada. Abierto significa que funciona desde cualquier lugar de internet.
El camino que sigue una conexión y dónde se puede detener
3Su dispositivo192.168.1.20Servidor en el puerto 25565
1CGNAT o un puerto bloqueado por el proveedorse ve como filtrado
2Sin regla, dirección local equivocada, doble NATse ve como filtrado, a veces cerrado
3Firewall, servidor detenido o escuchando en 127.0.0.1se ve como cerrado o filtrado
¿Por qué el puerto sigue cerrado después de abrir puertos en el router?
Busque la línea que coincide con lo que ve. El estado es la pista: cerrado significa que la conexión llegó a algo que la rechazó; filtrado, que se perdió en el camino.
Elija lo que ve
CerradoCerrado, y el servidor está en marcha
Causa probable
El servidor escucha solo en 127.0.0.1, o la regla apunta a otra dirección local o a otro puerto.
Qué hacer
Configure el servidor para que escuche en 0.0.0.0 (todas las direcciones) y compare la regla con la dirección actual del dispositivo.
CerradoCerrado, con el servidor apagado
Causa probable
Nada escucha: el router redirige la conexión y el dispositivo la rechaza.
Qué hacer
Inicie el servidor y compruebe de nuevo.
FiltradoFiltrado, con la regla creada
Causa probable
El firewall del dispositivo descarta la conexión, o la regla es solo para UDP.
Qué hacer
Permita el puerto en el firewall (en Windows, con una regla de entrada) y configure la regla como TCP o ambos.
FiltradoFiltrado, y la dirección WAN del router empieza por 100.64–100.127
Causa probable
CGNAT: su proveedor comparte una dirección pública entre varios clientes, así que no se puede llegar a su router.
Qué hacer
Pida una dirección IPv4 pública, o use IPv6 o un servicio de túnel.
FiltradoFiltrado, y la dirección WAN del router es 192.168.x.x o 10.x.x.x
Causa probable
Doble NAT: un segundo router (a menudo el módem del proveedor) está delante del suyo.
Qué hacer
Redirija el puerto también en ese equipo, o póngalo en modo puente (bridge).
FiltradoFiltrado solo en el 25, el 80 o el 445
Causa probable
Su proveedor bloquea el puerto en las conexiones domésticas.
Qué hacer
Redirija otro puerto externo (8080, 2525) al mismo servidor.
AbiertoAbierto aquí, pero falla desde dentro de su red
Causa probable
Su router no admite NAT loopback (hairpinning), así que un dispositivo de dentro no puede llegar a su dirección pública.
Qué hacer
Dentro de su red, conéctese a la dirección local del dispositivo; desde internet el puerto se ve abierto.
¿Estoy detrás de CGNAT o de doble NAT?
Compare dos direcciones: la dirección WAN de la página de estado de su router y la dirección pública que ve un sitio web (su IP, arriba). Si son la misma, su router está conectado directamente a internet y la redirección de puertos puede funcionar.
Si la dirección del router está en 100.64.0.0/10, su proveedor usa NAT de nivel de operador (CGNAT): muchos clientes comparten una dirección pública y ningún puerto de ella le pertenece. Si es una dirección privada, hay otro router delante del suyo (doble NAT). La comprobación que aparece bajo el resultado de un puerto compara las dos por usted.
Dirección WAN del router
Qué significa
Qué hacer
Igual a su IP pública
Una dirección pública: internet llega a su router.
La redirección de puertos puede funcionar: revise la regla, el firewall y el servidor.
100.64.0.0 – 100.127.255.255
CGNAT: espacio de direcciones compartido para proveedores (RFC 6598).
Pida una dirección IPv4 pública, o use IPv6 o un túnel.
10.x, 172.16–31.x, 192.168.x
Doble NAT: una dirección privada (RFC 1918) detrás de otro router.
Redirija también en el primer router, o póngalo en modo puente (bridge).
Otra dirección pública
El tráfico sale a través de otro equipo o de una VPN.
Averigüe qué hay delante del router; desactive la VPN.
Dónde se detiene una conexión desde internet
InternetSu proveedorSu routerSu dispositivo
Dirección pública
Internet
—sin NAT
✓WAN 203.0.113.7
192.168.1.20
Llega a su router: decide su regla de redirección.
CGNAT
Internet
✕203.0.113.7compartida por muchos clientes
WAN 100.64.12.5
192.168.1.20
Se detiene en su proveedor: la dirección compartida no es suya para redirigir.
Doble NAT
Internet
✕203.0.113.7el router del proveedor
WAN 192.168.0.2
192.168.1.20
Se detiene en el primer router, salvo que también redirija el puerto.
¿Qué puertos bloquean los proveedores de internet?
Muchos proveedores de internet domésticos bloquean algunos puertos, sobre todo para frenar el spam y los gusanos, y algunos no le dan ninguna conexión IPv4 entrante. La lista de abajo sale de la documentación de cada proveedor (o de su regulador); otros bloquean puertos sin publicarlo, así que vale la pena consultar por un puerto que aparece filtrado solo en su conexión.
El 25 y el 445, de salida. Su IPv4 es CGNAT sin conexiones entrantes, y sus propios routers no pueden redirigir puertos; una IPv4 pública solo viene con los planes Priority.
La IPv4 por defecto puede ser compartida, con solo una parte de sus puertos; pida una IPv4 fija full-stack en el área de abonados de la Freebox para tener todos los puertos.
De salida. DigitalOcean bloquea los tres; Hetzner bloquea el 25 y el 465 y los desbloquea a pedido después del primer mes pagado.
El puerto 25 es el que los proveedores y las nubes bloquean con más frecuencia, para el correo saliente: envíe el correo por el puerto 587 (o 465) con su proveedor de correo.
Puertos comunes y para qué se usan
Los números de puerto del 0 al 1023 son los puertos de sistema conocidos, del 1024 al 49151 están registrados para servicios, y del 49152 al 65535 se reservan para conexiones temporales. Estos son los que más se comprueban.
Puerto
Servicio
Transporte
Qué es
Si está abierto a todos
21
FTP
TCP
Transferencia de archivos, contraseñas en texto plano
Restringir
22
SSH
TCP
Inicios de sesión por shell seguro y transferencias de archivos SFTP
Restringir
23
Telnet
TCP
Inicio de sesión remoto antiguo, contraseñas en texto plano
Riesgo alto
25
SMTP
TCP
Correo entre servidores
Normal
53
DNS
TCP y UDP
Consultas DNS
Normal
80
HTTP
TCP
Sitios web por HTTP sin cifrar
Normal
110
POP3
TCP
Descarga de correo (POP3)
Normal
143
IMAP
TCP
Carpetas de correo (IMAP)
Normal
443
HTTPS
TCP y UDP
Sitios web por HTTPS
Normal
445
SMB
TCP
Archivos compartidos de Windows (SMB)
Riesgo alto
587
SMTP submission
TCP
Envío de correo desde una app (submission)
Normal
993
IMAPS
TCP
IMAP sobre TLS
Normal
3306
MySQL
TCP
Bases de datos MySQL y MariaDB
Riesgo alto
3389
RDP
TCP y UDP
Escritorio remoto de Windows
Riesgo alto
5432
PostgreSQL
TCP
Bases de datos PostgreSQL
Riesgo alto
5900
VNC
TCP
Pantalla remota VNC
Riesgo alto
6379
Redis
TCP
Bases de datos Redis
Riesgo alto
8080
HTTP alt
TCP
Servidores web y proxies en un puerto alternativo
Normal
8443
HTTPS alt
TCP
HTTPS en un puerto alternativo
Normal
25565
Minecraft Java
TCP
Servidores de Minecraft Java Edition
Normal
19132
Minecraft Bedrock
TCP y UDP
Servidores de Minecraft Bedrock Edition
Normal
32400
Plex
TCP
Plex Media Server
Normal
27017
MongoDB
TCP
Bases de datos MongoDB
Riesgo alto
51820
WireGuard
UDP
VPN WireGuard
Normal
Publicidad
¿Qué puertos abiertos son un riesgo de seguridad?
Un puerto abierto solo es un riesgo cuando el servicio que hay detrás no debería estar expuesto a todos. Los puertos web y de correo están pensados para estar abiertos; los de inicio de sesión, bases de datos y archivos compartidos, no. Estos son los niveles que marca este verificador.
Riesgo alto si está abierto a todos
Riesgo alto
23Telnet
135Windows RPC
137NetBIOS name
138NetBIOS datagram
139NetBIOS session
445SMB
1433MS SQL
1521Oracle DB
2323Telnet (alt)
2375Docker API
2379etcd
3306MySQL
3389RDP
5432PostgreSQL
5900VNC
5984CouchDB
6379Redis
9200Elasticsearch
10250Kubelet API
11211Memcached
27017MongoDB
Se atacan a toda hora y son una vía de entrada común a las redes: Escritorio remoto, archivos compartidos SMB, Telnet, VNC, bases de datos y la API de Docker. Ciérrelos a internet o permita solo sus propias direcciones.
Restrinja cuando pueda
Restringir
21FTP
22SSH
69TFTP
161SNMP
554RTSP
1080SOCKS proxy
1883MQTT
1900SSDP / UPnP
2082cPanel
2083cPanel SSL
2086WHM
2087WHM SSL
2376Docker API (TLS)
3000Dev server / Grafana
3128Squid proxy
5000AirPlay / Flask
5985WinRM
5986WinRM (HTTPS)
6443Kubernetes API
8000HTTP alt / Hikvision
9000Reolink / HTTP alt
10000Webmin
25575Minecraft RCON
28016Rust RCON
37777Dahua
Están bien si quiere ejecutarlos, pero es mejor limitarlos a sus direcciones o a una VPN: SSH, FTP, paneles de administración, proxies, MQTT y servidores de desarrollo.
Pensados para estar abiertos
Normal
25SMTP
53DNS
80HTTP
110POP3
143IMAP
443HTTPS
587SMTP submission
993IMAPS
8080HTTP alt
8443HTTPS alt
25565Minecraft Java
19132Minecraft Bedrock
32400Plex
Web (80, 443), servidores de correo (25, 587, 993) y servidores de juegos en sus propios puertos: que estén abiertos es normal cuando usted ejecuta el servicio.
¿Se puede comprobar un puerto UDP en línea?
No de forma fiable. UDP no tiene handshake: un puerto UDP cerrado puede responder con un error o no decir nada, y uno abierto no dice nada hasta que recibe un mensaje en su propio protocolo. Ante el silencio, un verificador solo puede informar "abierto o filtrado", y por eso esta herramienta comprueba TCP y lo dice.
Los servicios que solo usan UDP, como WireGuard (normalmente el 51820), la voz de TeamSpeak (9987) y la mayor parte del tráfico de juegos, pueden estar funcionando mientras todos los verificadores TCP los muestran cerrados. Pruébelos con el propio juego o la app desde fuera de su red, o compruebe que la regla de redirección incluya UDP.
Solo UDP, marcados en un escaneo:
69TFTP
123NTP
137NetBIOS name
138NetBIOS datagram
161SNMP
500IPsec IKE
514Syslog
1194OpenVPN
1434SQL Browser
1900SSDP / UPnP
4500IPsec NAT-T
5353mDNS / Bonjour
8211Palworld
9987TeamSpeak voice
28015Rust
37778Dahua (UDP)
51820WireGuard
Qué vuelve: TCP y UDP
TCPUDPAbiertoSYN →← SYN-ACKdatagrama →… sin respuestaCerradoSYN →← RSTdatagrama →← error ICMP o nadaFiltradoSYN →… sin respuestadatagrama →… sin respuesta
En UDP, abierto y filtrado se quedan en silencio: un verificador solo puede decir «abierto o filtrado».
Cómo ver los puertos abiertos en su propia computadora
Un verificador en línea ve lo que ve internet. Para ver qué está escuchando en la propia computadora, o para probar un puerto desde dentro de su red, use los comandos que trae su sistema.
Para saber
Windows (PowerShell)
macOS
Linux
Qué está escuchando
Get-NetTCPConnection -State Listen
lsof -nP -iTCP -sTCP:LISTEN
ss -ltnp
Qué programa usa un puerto
netstat -ano | findstr :25565
lsof -nP -i :25565
ss -ltnp 'sport = :25565'
Probar un puerto en otro host
Test-NetConnection example.com -Port 443
nc -vz example.com 443
nc -vz example.com 443
En Linux, ss necesita sudo para mostrar los programas de otros usuarios; en Windows, netstat -ano da el ID del proceso, y la pestaña Detalles del Administrador de tareas indica cuál es.
API del verificador de puertos
Gratuita, con CORS para navegadores: GET para un puerto, o POST para hasta 30, y cada resultado se lee como una línea de NDJSON en cuanto llega. Las respuestas conservan los campos de nuestra API anterior y añaden desde dónde se comprobó cada puerto y por qué obtuvo su estado.
Preguntas frecuentes sobre el verificador de puertos
¿Qué hace un verificador de puertos?
Un verificador de puertos, o test de puertos, intenta abrir una conexión a un puerto de una dirección desde internet y le dice qué pasó: la conexión se aceptó (abierto), se rechazó (cerrado) o no recibió respuesta (filtrado). Es la forma más rápida de probar la redirección de puertos de un servidor de juegos o multimedia, o de ver qué servicios de su servidor están al alcance de cualquiera.
¿Mi puerto está abierto si el verificador dice filtrado?
No: filtrado significa que nada respondió en 4 segundos, así que desde internet no se puede llegar a un programa en ese puerto. A diferencia de cerrado, cuando la dirección rechazó activamente la conexión, filtrado significa que un firewall la descartó o que nada en el camino la redirige. En la redirección de puertos, eso suele apuntar a la regla, al firewall del dispositivo, a CGNAT o a un puerto que bloquea su proveedor.
¿Por qué no funciona la redirección de puertos?
Lo más común es que el servidor no esté en marcha o escuche solo en 127.0.0.1, que la regla apunte a una dirección local antigua o que el firewall del dispositivo descarte la conexión. Si la dirección WAN del router empieza por 100.64 a 100.127, está detrás de CGNAT, y si es privada, detrás de doble NAT. Compruebe su IP pública aquí: el estado le indica cuál de estos casos es.
¿Es un escáner de puertos en línea como Nmap?
Es un escáner de puertos en línea más ligero y seguro: comprueba hasta 30 puertos TCP por vez con una conexión normal, como se conecta cualquier cliente, y lee el banner del servicio. Nmap puede escanear miles de puertos, UDP y sistemas operativos, pero hay que instalarlo y tener permiso para escanear. Use este para su propia IP y sus servidores.
¿Cómo comprobar puertos abiertos en mi red?
Desde internet solo se puede llegar a los puertos que su router redirige, o que abre mediante UPnP. Compruebe su IP pública aquí con el grupo Comunes para verlos desde fuera. Para ver qué está escuchando en la propia computadora, ejecute Get-NetTCPConnection -State Listen en PowerShell, lsof en una Mac o ss -ltnp en Linux.
¿Es seguro tener puertos abiertos?
Un puerto abierto es seguro cuando el servicio que hay detrás está pensado para ser público y se mantiene actualizado, como un sitio web en el 443 o un servidor de juegos. Es riesgoso cuando expone un inicio de sesión o una base de datos: Escritorio remoto (3389), SMB (445), Telnet, VNC, MySQL, Redis o la API de Docker. Este verificador los marca cuando los encuentra abiertos.
¿Por qué el puerto 25 se comprueba desde otro servidor?
Cloudflare Workers, donde funciona este verificador, no puede abrir conexiones al puerto 25. Por eso el puerto 25 se comprueba desde nuestro propio servidor en Mumbai, y el resultado lo indica. Muchos proveedores domésticos y nubes también bloquean el puerto 25 de salida, y por eso las apps de correo envían por el 587.
¿Por qué un sitio en Cloudflare muestra abiertos los puertos 8080 y 8443?
Porque la dirección es de Cloudflare, no del servidor del sitio web: el perímetro de Cloudflare acepta conexiones en 13 puertos web (80, 443, 8080, 8443, 2052, 2053 y otros) para cada sitio al que hace de proxy, y descarta el resto. Un test de puertos de un sitio así prueba Cloudflare. Al servidor que hay detrás solo se llega a través de Cloudflare, o de Spectrum para otros puertos.
¿Se pueden comprobar puertos IPv6?
Todavía no: hoy ni Cloudflare Workers ni nuestro segundo servidor pueden llegar a direcciones IPv6, así que una dirección IPv6 se rechaza en lugar de presentarse como cerrada. Con IPv6 no hay NAT, así que no hace falta redirigir puertos, pero el firewall del router suele bloquear las conexiones desde fuera hasta que usted permite el puerto para ese dispositivo.
¿Cómo saber si un puerto está en uso en mi computadora?
En Windows, ejecute netstat -ano | findstr :PUERTO en una terminal: el último número es el ID del proceso, y la pestaña Detalles del Administrador de tareas indica cuál es. En una Mac, ejecute lsof -nP -i :PUERTO; en Linux, ss -ltnp. Que un puerto esté en uso localmente no significa que se pueda llegar a él desde internet: para eso, compruébelo aquí.
¿Qué puertos usa Minecraft?
Los servidores de Minecraft Java Edition escuchan por defecto en el puerto TCP 25565, que este verificador puede probar. Bedrock Edition usa el puerto 19132: los servidores actuales aceptan ahí un handshake TCP y juegan por UDP, y los antiguos usan solo UDP, así que redirija el 19132 como TCP y UDP y pruebe entrando desde fuera de su red. Ambos puertos se pueden cambiar en la configuración del servidor.
¿Este test de puertos abiertos es gratis y es legal usarlo?
Es gratis y sin cuenta: 60 puertos por minuto por red, y no se guarda nada sobre sus comprobaciones. Comprobar su propia IP, su router y sus servidores está bien. Escanear sistemas que usted no posee ni administra puede incumplir sus términos o la ley del lugar donde vive, así que compruebe solo lo que tiene permiso para probar.
