Порт HTTPS: как открыть и проверить 443 на сервере — инструкция для новичка

Какой порт использует HTTPS и почему именно 443

HTTPS (HyperText Transfer Protocol Secure) — это обычный HTTP, который передаёт данные внутри шифрованного канала TLS (Transport Layer Security). Благодаря шифрованию пароли и содержимое страниц нельзя прочитать по дороге. По умолчанию HTTPS работает на порту 443 по протоколу TCP (Transmission Control Protocol). Что такое сетевой протокол, объясняет материал о сетевых протоколах.

Порт — это число от 0 до 65 535. По нему сервер различает службы, которые работают на одном IP-адресе. Как устроены адреса, читайте в статье что такое IP-адрес. Номера закрепляет реестр IANA (Internet Assigned Numbers Authority): 443 отдан под HTTPS, а 80 — под обычный HTTP. Поэтому браузер и сервер находят друг друга без дополнительной настройки.

Для работы по HTTPS серверу нужен сертификат, о нём подробно рассказывает статья про сертификат безопасности для сайта. Пока порт стандартный, в адресе его не пишут: браузер подставляет номер сам. Вот как это выглядит на примере домена example.com:

• https://example.com — браузер обращается к порту 443/TCP;
• http://example.com — браузер обращается к порту 80/TCP;
• https://example.com:8443 — порт нестандартный, поэтому его указывают явно.

Как работает HTTPS на порту 443: от запроса до страницы

Когда вы вводите https://example.com, браузер сначала узнаёт IP-адрес сервера через DNS (Domain Name System), как в настройке DNS-записей домена. Затем он открывает соединение с этим адресом на порту 443/TCP. Обычный HTTP (HyperText Transfer Protocol) работает на порту 80/TCP и передаёт данные открытым текстом.

Дальше стороны согласуют версию TLS (Transport Layer Security). Рабочими считаются TLS 1.2 и TLS 1.3, а TLS 1.0 и 1.1 устарели. Сервер nginx предъявляет сертификат, а браузер проверяет, что он выдан для example.com и не просрочен. Сертификат Let’s Encrypt по умолчанию действует 90 дней, поэтому продление настраивают автоматическим: как получить такой сертификат, описано в материале про Let’s Encrypt, а как подключить его к серверу — в инструкции по установке сертификата. После этого весь трафик шифруется.

Если посетитель открывает http://example.com, nginx на порту 80 отвечает кодом 301 с адресом https://example.com, и браузер повторяет запрос на 443. HTTP/3 работает поверх QUIC и использует 443/UDP, поэтому этот порт открывают отдельно от 443/TCP.

Шифрование не делает соединение невидимым. Вот что при этом видит провайдер:

• IP-адрес сервера, время соединения и объём трафика;
• часто имя домена, потому что оно может попасть в DNS-запрос или в расширение SNI (Server Name Indication) при установке соединения;
• но не адреса страниц после домена, не содержимое, не данные форм и не пароли.

Как проверить и открыть порт 443 на VPS: пошаговая инструкция

Проверка порта 443 на виртуальном сервере (VPS) занимает 5–10 минут. В примере используются Ubuntu 24.04, веб-сервер nginx, домен example.com и файервол ufw (Uncomplicated Firewall). Если вы раньше не работали с сервером, сначала прочитайте как подготовить Linux для сервера.

Порт закрывают на двух уровнях: в файерволе самого сервера и в панели провайдера. Проверьте оба, иначе браузер по-прежнему покажет тайм-аут. Ответы на частые вопросы о тарифах и настройках собраны в разделе о VPS.

Выполняйте шаги по порядку и сверяйте результат каждого с ожидаемым:

1. Подключитесь по SSH (Secure Shell) на порт 22: ssh user@IP-сервера. Из Windows удобно работать через PuTTY. Ожидаемый результат: приглашение командной строки сервера.
2. Проверьте, слушает ли сервер порт: sudo ss -tlnp | grep :443. Должна появиться строка с nginx и состоянием LISTEN. Пустой вывод означает, что nginx не слушает 443.
3. Посмотрите состояние файервола: sudo ufw status. Ожидаемо: Status: active и список правил. Если 443 в нём нет, переходите к шагу 4.
4. Откройте порт: sudo ufw allow 443/tcp. Для HTTP/3 добавьте sudo ufw allow 443/udp. Ожидаемо: сообщение Rule added, а повторный sudo ufw status показывает 443/tcp как ALLOW.
5. Откройте панель провайдера и в группе безопасности разрешите входящие 443/TCP (и 443/UDP для HTTP/3). Правила обычно применяются в течение 1–2 минут.
6. Выпустите сертификат: sudo certbot --nginx -d example.com. Подробности о выдаче и продлении есть в материале про сертификат Let’s Encrypt. Он действует 90 дней, поэтому проверьте автопродление: sudo certbot renew --dry-run.
7. Проверьте сайт снаружи, со своего компьютера: curl -vI https://example.com. В выводе должны быть строки рукопожатия TLS и код 200. Затем выполните curl -I http://example.com: порт 80/TCP должен остаться открытым и вернуть 301 с заголовком Location: https://example.com/.

Какие порты работают рядом с 443: таблица значений

Открывайте наружу только те порты, которые нужны вашему сервису. Для сайта на nginx это обычно 80/TCP и 443/TCP. Всего портов 65 535, и каждый лишний открытый порт даёт сканерам и перебору паролей ещё одну точку входа. Текущие правила проверяйте командой sudo ufw status.

SSH (Secure Shell) и RDP (Remote Desktop Protocol) дают полный доступ к серверу, поэтому ограничьте их своим IP-адресом: sudo ufw allow from 203.0.113.10 to any port 22 proto tcp. Как настроить удалённый стол, читайте в материале как подключиться по RDP. Про почтовый порт подробно рассказано в статье как работает порт 25, а порты игровых серверов разобраны в материале какой порт использует Minecraft.

Можно ли использовать другой порт для HTTPS: 8443 и нестандартные номера

Да, HTTPS работает на любом из 65 535 портов, а не только на 443. Нестандартный порт нужен, когда 443 уже занят другим сервисом, когда на одном сервере работает несколько приложений или когда панель управления должна жить отдельно от сайта. Чаще всего для этого выбирают 8443.

В адресе такой порт указывают явно: https://example.com:8443. Без номера браузер обратится к 443. Порт нужно открыть в файерволе командой sudo ufw allow 8443/tcp и проверить правило через sudo ufw status. О пробросе портов подробнее рассказано в материале как пробросить порты.

У нестандартного порта есть минусы:

• адрес длиннее, и посетители часто забывают дописать :8443;
• часть корпоративных сетей пропускает наружу только 80 и 443, и сайт там не откроется;
• каждый лишний открытый порт — ещё одна точка для атак.

Надёжнее оставить один порт 443 и поставить перед приложениями обратный прокси на nginx. Он разведёт запросы по домену, а сами приложения будут слушать внутренние порты, закрытые снаружи. В кластерах такую роль выполняет ingress — его настройку разбирает статья настройте Kubernetes Ingress.

Частые ошибки с портом HTTPS и как их исправить

Почти все проблемы с портом 443 сводятся к пяти: тайм-аут, отказ в соединении (connection refused), предупреждение о сертификате, смешанное содержимое и неработающий HTTP/3. У каждой своя причина и своё решение.

Проверяйте их по порядку, от сети к странице. На диагностику обычно уходит 5–10 минут.

Тайм-аут: порт закрыт

Браузер долго ждёт и сообщает, что сайт не отвечает. Файервол ufw (Uncomplicated Firewall) или провайдер отбрасывает пакеты на 443/TCP. Выполните sudo ufw allow 443/tcp, затем sudo ufw status. За Cloudflare такой тайм-аут превращается в ошибку 522, её разбирает статья про ошибку 522. Если порт открыт, а сервер всё равно не отвечает, исключите перегрузку: узнайте, как выглядит DDoS-атака.

Connection refused: nginx не слушает 443

Порт доступен, но на нём нет программы, которая принимает соединения. В блоке server добавьте listen 443 ssl;, проверьте конфигурацию командой sudo nginx -t и перезагрузите службу: sudo systemctl reload nginx. Убедитесь, что порт слушается: ss -tlnp | grep :443.

Предупреждение о сертификате

Браузер показывает предупреждение, если истёк срок или домен не совпадает с тем, что указан в сертификате. Сертификат Let’s Encrypt действует 90 дней, поэтому продление должно быть автоматическим. Запустите sudo certbot renew и проверьте, что в сертификате есть example.com. Подробнее о проверках читайте в материале про сертификат безопасности сайта.

Смешанное содержимое

Страница открыта по https://, но картинки, скрипты или стили подключены по http://. Браузер блокирует их или убирает значок замка. Откройте консоль разработчика (F12), найдите такие адреса и замените http:// на https:// или на относительные пути.

Закрыт 443/UDP: не работает HTTP/3

HTTP/3 работает поверх протокола QUIC и использует 443/UDP. Если порт закрыт, сайт всё равно открывается, но по HTTP/2. Выполните sudo ufw allow 443/udp или не включайте HTTP/3 в настройках nginx.

Начинайте с файервола и панели провайдера, затем проверяйте nginx, сертификат и ссылки на странице: так вы найдёте причину быстрее, чем перебором настроек.

Порт 443 за Cloudflare и обратным прокси: что меняется

При прямом подключении браузер идёт на IP-адрес вашего VPS, и порт 443/TCP принимает именно он. Через Cloudflare браузер сначала попадает на серверы сервиса, а оттуда запрос уходит к вам. Cloudflare принимает HTTPS на портах 443, 2053, 2083, 2087, 2096 и 8443, но на вашем сервере порт 443 всё равно должен быть открыт. Подключить домен помогает инструкция по настройке Cloudflare, а как устроен сервис, объясняет обзор возможностей Cloudflare.

Между Cloudflare и сервером действует свой режим шифрования. В режиме Flexible к серверу идёт обычный HTTP на порт 80, в Full — HTTPS на 443 с любым сертификатом, в Full (strict) — HTTPS на 443 с действительным сертификатом. Для рабочего сайта выбирайте Full (strict).

Обратный прокси устроен похоже: nginx принимает HTTPS на 443, а запрос передаёт приложению внутри сервера на порт 3000 (Node.js) или 8080. Эти внутренние порты наружу открывать не нужно. Запустить приложение поможет руководство по установке Node.js на VPS.

Ошибка 522 означает тайм-аут между Cloudflare и сервером. Проверьте по порядку:

• слушает ли nginx порт: ss -tlnp | grep :443;
• открыт ли порт: sudo ufw allow 443/tcp, затем sudo ufw status;
• не закрыт ли 443 в панели провайдера (правила применяются ещё 1–2 минуты);
• совпадает ли режим шифрования с настройками сертификата;
• отвечает ли приложение за прокси на 3000 или 8080.

Когда порт 443 открыть не получится или он не нужен

Не везде открытие порта 443 имеет смысл. Если сервер стоит дома за роутером, у провайдера серый IP-адрес (общий адрес для многих абонентов), то запрос из интернета до вашего компьютера не дойдёт, сколько бы правил вы ни добавили. Нужен белый IP, то есть уникальный публичный адрес, и проброс порта 443/TCP на роутере. Чем белый адрес отличается от серого, объясняет статья как отличить белый IP от серого, а порядок подключения описан в материале как получить белый IP у провайдера.

На общем хостинге веб-сервером управляет провайдер, поэтому команды ufw и правки конфигурации nginx вам недоступны. Порт 443 там уже открыт, а сертификат подключается в панели управления: обычно в разделе SSL/TLS достаточно выбрать домен и включить бесплатный сертификат. Если нужен полный контроль над портами и файерволом, переходите на VPS: ответы на частые вопросы собраны на странице выберите подходящий вариант VPS.

Внутренним сервисам, которые не нужны из интернета, публичный порт тоже не требуется. Что делать в каждом случае:

• сервис для локальной сети: оставьте порт закрытым снаружи и обращайтесь по внутреннему адресу;
• домашний сервер с файлами: прочитайте, как устроен домашний сервер для хранения данных;
• тестовая среда: закройте 443/TCP в файерволе и не публикуйте её в DNS.