TCPRiesgo bajo si se expone

Puerto 80 (HTTP): para qué sirve y cómo protegerlo

El puerto 80 TCP es el de HTTP, el protocolo de la web sin cifrar. Hoy casi todas las webs funcionan por HTTPS (443) y usan el 80 solo para redirigir a HTTPS y para que Let's Encrypt valide los certificados. Dejarlo abierto es normal; servir contenido real por él, no.

Qué es el puerto 80

Cuando escribes vapa.es sin https://, el navegador prueba primero el puerto 80. El servidor responde con un 301 hacia https://, y a partir de ahí el navegador recuerda (HSTS) que debe usar siempre HTTPS.

Certbot usa el desafío HTTP-01: Let's Encrypt pide un fichero en http://tudominio/.well-known/acme-challenge/. Si cierras el 80, la renovación automática falla, salvo que uses el desafío DNS-01.

¿Es peligroso tener abierto el puerto 80?

Riesgo bajo: Normal tenerlo abierto si el servicio está actualizado.

Normal en servidores web, siempre que redirija a HTTPS.

Cómo proteger el puerto 80

Redirige todo a HTTPS con 301.
Activa HSTS en el servidor HTTPS.
Deja accesible /.well-known/acme-challenge/ para las renovaciones.

Comandos y configuración

Comprobar si el puerto 80 está abierto

bash

sudo ss -tlnp | grep ':80 '
nc -zv 203.0.113.10 80
sudo nmap -p 80 203.0.113.10

nginx: redirección a HTTPS conservando Let's Encrypt

nginx

server {
    listen 80;
    server_name ejemplo.com www.ejemplo.com;
    location /.well-known/acme-challenge/ { root /var/www/certbot; }
    location / { return 301 https://ejemplo.com$request_uri; }
}

¿Qué proceso ocupa el puerto 80?

bash

sudo ss -tlnp | grep ':80 '
sudo lsof -i :80

También puedes comprobarlo desde fuera de tu red con nuestro escáner de puertos online.

Herramientas para comprobarlo

Preguntas frecuentes

¿Puedo cerrar el puerto 80 si uso HTTPS?

Puedes, pero los visitantes que escriban la dirección sin https:// no llegarán, y Let's Encrypt no podrá renovar con HTTP-01. Lo habitual es dejarlo abierto solo para redirigir.

¿Por qué mi operador bloquea el puerto 80?

Algunos operadores domésticos lo bloquean de entrada. Puedes servir en otro puerto, usar el desafío DNS de Let's Encrypt o publicar la web con Cloudflare Tunnel.

Puertos relacionados

Ver la lista de puertos