Porte delle telecamere IP decodificate: HTTP, HTTPS, RTSP, RTMP e a cosa servono
La mappa delle porte
Le telecamere IP sono dispositivi di rete. Comunicano tramite porte TCP/IP standard. Sapere quale porta fa cosa è essenziale per accesso remoto, integrazione VMS, streaming e regole del firewall.
| Porta | Protocollo | Funzione | Nota di sicurezza |
|---|---|---|---|
| 80 | HTTP | Accesso Web UI (config, live view tramite plugin browser/HTML5). Default sulla maggior parte delle telecamere. | Insicuro. Credenziali e video in chiaro. Disabilita o blocca l'accesso WAN. |
| 443 | HTTPS | Web UI cifrato. TLS/SSL. Preferito per tutta la gestione. | Usa certificato valido (Let's Encrypt via DDNS) o self-signed con cert pinning. |
| 554 | RTSP | Real Time Streaming Protocol. Flusso pull primario per VMS (Blue Iris, Milestone, Genetec, Synology, Frigate, Home Assistant), NVR, ffmpeg, VLC. rtsp://ip:554/stream1 | Spesso non cifrato (RTSP). Usa RTSPS (porta 322) o VPN/Tailscale per remoto. |
| 1935 | RTMP | Real-Time Messaging Protocol. Push-stream a YouTube, Twitch, Restream, SRS, MediaMTX. La telecamera agisce come encoder. | Solo in uscita. Nessuna auth sulla stream key nell'URL. Usa VPN se interno. |
| 8080 / 8000 / 8888 | HTTP Alt | Porte Web UI alternative se 80/443 in conflitto. | Stessi rischi di 80/443. |
| 37777 / 34567 / 8000 | Proprietario (Dahua / Hikvision / HiSilicon) | Porte SDK/API native per client proprietari (SmartPSS, iVMS-4200), discovery dispositivo, download playback. | Blocca al firewall. Mai esporre WAN. Usa VPN. |
| 21 / 22 | FTP / SFTP | Push snapshot/clip su server FTP su movimento/allarme. | Preferisci SFTP (22). FTP (21) invia credenziali in chiaro. |
| 53 | DNS | La telecamera risolve nomi host NTP, DDNS, VMS. | Solo interno. |
| 123 | NTP | Sincronizzazione oraria. Critico per integrità timestamp e correlazione log. | Consenti in uscita a pool.ntp.org o NTP locale. |
| 161 / 162 | SNMP | Monitoraggio (PRTG, Zabbix, LibreNMS) — salute, CPU, temp, storage. | Solo v3 (auth+priv). Blocca WAN. |
| 8443 / 9443 | HTTPS Alt / ONVIF | Servizio dispositivo ONVIF spesso su 80/443 o 8443. Discovery (WS-Discovery) usa UDP 3702. | Sicuro. |
Checklist di hardening sicurezza
- Cambia le credenziali di default (admin/admin, admin/123456).
- Disabilita Porta 80 (HTTP) completamente. Forza 443.
- Disabilita UPnP / NAT-PMP / P2P (EZView, Hik-Connect, ecc.) sulla telecamera e sul router. Questi praticano buchi automaticamente.
- Isola su VLAN: Telecamere su VLAN IoT dedicata. Nessun accesso internet. VMS/NVR sulla stessa VLAN o instradato con ACL.
- Accesso remoto = VPN / Tailscale / ZeroTier solo. Mai inoltrare porte 554, 80, 443, 37777 a WAN.
- Aggiornamenti firmware: Controlla fornitore trimestralmente. Applica tramite rete locale.
Trovare le porte esatte della tua telecamera
nmap -sS -p- 192.168.x.x (scansiona tutte le porte TCP). Controlla Network → Port in Web UI. Leggi il doc API / CGI / SDK del produttore (spesso nascosto sul sito di supporto).