Une fois en place sur un ordinateur, Portmaster affiche en temps réel chaque connexion, associée au processus qui l’a émise, puis vous laisse décider application par application : bloquer ou autoriser la connexion. Dans ce tutoriel, je vous propose de découvrir Portmaster, un pare-feu open source compatible Windows et Linux. Quelles sont ses fonctionnalités ? Comment l’utiliser ? Réponse dans cet article.
Portmaster en bref
À quels serveurs se connecte votre ordinateur ? Quelles sont les applications les plus bavardes ? Comment bloquer la télémétrie de Windows ou de Linux ? L’application Portmaster répond à elles seules à ces différentes questions. En effet, ce pare-feu applicatif open source intercepte l’intégralité du trafic réseau de la machine, associe chaque connexion au processus qui en est à l’origine, et applique des règles définies globalement ou par application. Il embarque également un résolveur DNS et des listes de blocage pour les publicités, la télémétrie et les domaines malveillants.
Les fonctions de pare-feu, de supervision et de DNS sont entièrement gratuites. Seuls l’historique réseau, les statistiques de bande passante et le réseau d’anonymisation SPN relèvent des offres payantes proposées par l’éditeur Safing.io.
Qu’est-ce que Portmaster ?
Un pare-feu applicatif
Un pare-feu applicatif désigne souvent un WAF, c’est-à-dire un pare-feu chargé de protéger une application web exposée (et surtout, qui bosse au niveau application). Portmaster n’est pas de ce type. Pour autant, Portmaster est un pare-feu applicatif au niveau du poste (dans le même style que Little Snitch sur macOS) Sa logique n’est pas “quel port autoriser ?” mais plutôt “quelle application a le droit de parler, et à qui ?”. C’est une subtilité intéressante, puisque la règle ne porte plus sur un couple adresse et port, mais sur un ensemble de trois éléments : un exécutable, une destination et une décision.
Avec Portmaster, vous ouvrez une vue continue où chaque ligne porte déjà le nom du binaire, le domaine résolu, le pays de destination, l’ASN du destinataire et surtout le traitement appliqué (utilisé, bloqué, etc.).
Qu’est-ce qu’un ASN ? L’Autonomous System Number identifie l’entité qui opère un bloc d’adresses IP sur Internet, typiquement un hébergeur, un opérateur ou une grande plateforme. C’est ce qui permet de savoir si une connexion part plutôt vers Amazon, Microsoft, ou un autre acteur.
L’éditeur de Portmaster
Portmaster est né chez Safing, une société autrichienne fondée par des passionnés de vie privée. Le projet a été rendu public en 2020, la version 1.0 est sortie fin 2022, et la version 2 en juillet 2025. C’est un projet actif et maintenu, notamment parce qu’il y a un business model associé à cet outil avec la commercialisation de versions premium (avec plus de fonctionnalités).
En décembre 2024, Safing a été racheté par IVPN, un fournisseur de VPN. Ce rachat semble plutôt sain, puisque Safing avait d’abord remarqué des contributions arrivant sur son dépôt avant de découvrir qu’elles venaient d’IVPN. Les deux fondateurs de Safing ont depuis pris un rôle de conseil et l’équipe d’IVPN assure la maintenance, les correctifs et les nouveaux développements. Le modèle open source a été conservé, donc le code est disponible sur GitHub (sous licence GPL 3.0).
Les trois briques fonctionnelles
Le service principal de Portmaster est découpé en modules, avec notamment :
Privacy Filter : le moteur de décision qui évalue chaque connexion et chaque requête DNS.
Secure DNS : le résolveur local qui chiffre les requêtes et applique le filtrage en amont de la résolution.
SPN (Safing Privacy Network) : le réseau d’anonymisation optionnel et payant, indisponible avec la version gratuite.
Les deux premiers sont gratuits et suffisent largement pour l’usage qui nous intéresse ici.
Portmaster est disponible pour Windows et Linux, mais pas pour macOS. Sur un poste de travail où il est installé, comment va-t-il s’intégrer au système pour analyser les flux réseau ?
Portmaster installe un pilote en mode noyau qui s’insère dans la pile réseau, entre les couches 2 et 3 du modèle OSI, via la plateforme de filtrage Windows. Le pilote voit donc la couche IP et tout ce qui se trouve au-dessus.
Ici, pas de module noyau propriétaire. Portmaster utilise iptables couplé à nfqueue pour intercepter les paquets, puis eBPF et le système de fichiers /proc pour identifier le processus propriétaire de chaque socket. Portmaster accepte tous les paquets, mais marque la connexion entière comme acceptée ou rejetée. Une fois le sort d’une connexion scellé, le noyau n’a plus besoin de remonter quoi que ce soit en espace utilisateur, ce qui reste bien plus économe que d’inspecter chaque paquet.
Installer Portmaster sur un ordinateur
Que ce soit sur Windows ou Linux, l’installation de Portmaster est relativement simple. Rendez-vous sur la page de téléchargement de Portmaster et récupérez l’installeur Windows ou Linux, selon votre système. Vous pourrez ensuite réaliser l’installation à partir du paquet téléchargé.
Sur Windows, il suffit de lancer l’exécutable téléchargé précédemment. Sur Linux, vous pouvez procéder directement via la ligne de commande pour télécharger et installer le paquet. Par exemple, sous Debian/Ubuntu, cela donnerait :
# Télécharger le paquet .deb depuis la page officielle (dernière version en date)
wget https://updates.safing.io/latest/linux_amd64/packages/Portmaster_2.2.1_amd64.deb
# Installer le paquet et ses dépendances
sudo apt install ./Portmaster_2.2.1_amd64.deb
Découverte de Portmaster
Au premier lancement, un assistant vous propose d’activer les listes de filtrage et le DNS sécurisé. Vous arrivez ensuite directement sur la vue Network Activity, qui constitue le cœur de l’outil. Je vous propose de découvrir rapidement l’interface de Portmaster, tout en sachant que ma vidéo offre un aperçu plus détaillé.
L’activité réseau
La vue Network Activity affiche en continu l’ensemble des connexions réseau de la machine, chacune rattachée à l’application qui en est à l’origine. Plutôt qu’une simple liste d’adresses IP, vous obtenez une lecture immédiate de l’activité du poste : quelle application se connecte, vers quel domaine, dans quel pays. Une barre de recherche et des menus déroulants permettent de filtrer ce flux selon de nombreux critères (application, pays, domaine, fournisseur ou portée réseau) et de regrouper les connexions. C’est bien fait, et cela permet de bien comprendre ce que fait la machine à l’instant t, et surtout, chaque échange sortant devient visible et actionnable.
Les deux images ci-dessous illustrent bien cette section de l’application. Le bandeau latéral gauche liste les applications actives (ici : Firefox, Network Manager, Systemd Timesyncd, Wget) avec, pour chacune, son nombre de connexions récentes et une barre verte indiquant la proportion de connexions autorisées. Le graphique retrace le volume de connexions dans le temps. En dessous, le flux liste les connexions en temps réel avec une pastille qui indique la décision appliquée : vert pour une connexion autorisée, rouge pour une connexion bloquée, comme ici la requête DNS de Firefox vers telemetry.mozilla.org.
Si l’on déplie une connexion, on a un vrai niveau de détail pour comprendre à quoi elle correspond ici. Ici, c’est une connexion sortante de wget vers updates.safing.io : on y retrouve la destination, le pays, l’ASN et son organisation (AS24940, Hetzner Online GmbH), le protocole, le chemin de l’exécutable, et la décision appliquée. Cet exemple représente la connexion visible lorsque la machine s’est connectée au site Safing.io pour que je télécharge le fichier .deb de l’application Portmaster.
Les réglages par applications
La section All Apps recense toutes les applications que Portmaster a vues émettre du trafic réseau depuis son installation. C’est le point d’entrée pour passer d’une vision globale à un réglage fin, application par application. Chaque application dispose de son propre profil, c’est-à-dire un espace regroupant son activité réseau, ses paramètres et ses détails. Toute règle ou tout verrou que vous y définissez surcharge la valeur globale par défaut pour cette seule application, ce qui permet par exemple d’autoriser largement le système tout en bridant un logiciel précis.
Ci-dessous, la première image montre la page avec toutes les applications, organisée en trois sections : les applications actives sur le réseau au moment présent, celles récemment modifiées, puis la liste complète des applications connues de Portmaster. Puis, la seconde image présente le profil de l’application wget : en tête, ses informations d’identification (chemin /usr/bin, binaire wget, nombre de connexions actives, historique réseau), puis les paramètres. D’un seul clic, il est possible d’activer l’option “Block Connections”, qui coupe tout le trafic de l’application. En dessous, les onglets Connections, Settings, Details et Insights donnent accès à l’activité réseau de l’application et à ses réglages, avec les mêmes filtres et le même graphique que la vue Network Activity, mais restreints à cette application.
Dans les paramètres de chaque application, vous retrouvez plusieurs options pour plus ou moins limiter l’activité réseau d’une application :
Force Block Incoming Connections empêche l’application d’agir comme serveur. Cette option est activée par défaut et bloque les connexions entrantes.
Force Block Internet Access coupe l’accès à Internet tout en laissant le réseau local disponible.
Force Block LAN fait l’inverse et isole l’application du réseau local.
Force Block P2P/Direct Connections bloque les connexions établies directement vers une adresse IP sans résolution DNS préalable. Safing recommande de l’activer globalement puis d’accorder des exceptions.
Force Block Device-Local Connections interdit les communications sur la boucle locale.
Le Safing Privacy Network (SPN)
La page SPN présente le Safing Privacy Network, le réseau d’anonymisation optionnel et payant de Portmaster, inclus dans l’offre Pro. Positionné entre le VPN classique et Tor, le SPN applique un chiffrement en couches successives sur plusieurs relais, mais avec une particularité : il achemine chaque connexion individuellement et choisit un nœud de sortie proche de la destination. Cela signifie que vos différentes applications, et même vos différents onglets de navigateur, sortent sur Internet avec des adresses IP distinctes réparties à travers le monde. Ceci n’est pas disponible dans la version gratuite.
Les paramètres globaux
Une section dédiée regroupe l’intégralité des réglages de Portmaster, classés par catégories : Secure DNS, Privacy Filter, Network History, SPN et Core. Certains de ces paramètres configurent Portmaster lui-même, d’autres définissent le comportement par défaut appliqué à toutes les applications tant que celles-ci ne sont pas réglées différemment dans leur propre profil. Il y a d’ailleurs un mode “Prompt” : Portmaster vous demandera, pour chaque connexion réseau, si oui ou non elle doit être autorisée. C’est ce qui vous offre un contrôle complet, mais sur Windows, c’est un enfer : il y a énormément de demandes (donc un gros boulot de gestion au début). Les demandes peuvent provenir du système lui-même, mais aussi des applications installées (télémétries, vérification d’une mise à jour de façon automatique, etc.).
Pour la résolution DNS, les deux serveurs préconfigurés sont visibles dans la partie “Secure DNS”, en l’occurrence Cloudflare en DNS over TLS avec les adresses 1.1.1.2 et 1.0.0.2, c’est-à-dire la variante qui filtre déjà les domaines malveillants. Vous avez la main pour utiliser le serveur DNS de votre choix.
Bloquer les publicités et les traceurs
Dans les paramètres, on retrouve aussi les listes de filtrage organisées par catégories : Ads and Trackers avec ses sous-catégories (Ads, Analytics, Telemetry, Other), Malware, Deception ou encore les listes mixtes, chacune assortie d’une brève description de ce qu’elle bloque. C’est grâce à ces listes que vous pouvez bloquer les sites malveillants, les publicités, etc…. directement au niveau local sur votre machine.
Portmaster embarque un système de filtrage par listes qui opère au niveau DNS, avant même que la requête ne quitte la machine. Le principe est le même que celui d’un Pi-hole ou d’AdGuard Home, à ceci près que la protection est locale et suit donc le poste, y compris en mobilité sur un réseau Wi-Fi public.
Les listes sont sélectionnables par catégorie ou individuellement dans les paramètres. Elles sont agrégées et republiées par Safing sous forme de mises à jour incrémentales, ce qui permet d’avoir des listes à jour et maintenues. La liste des sources est publique : dépôt intel-data.
Vous pouvez aussi ajouter vos propres directives pour le blocage, et plus largement, créer des règles de blocage personnalisées au sein de votre firewall Portmaster. Ces règles au niveau du filtrage sortant vont venir s’ajouter à celles de Portmaster. Différents critères sont utilisables dans les règles : par adresse, par réseau, par portée (localhost, LAN, Internet), par domaine avec ses variantes (domaine exact, sous-domaines, préfixe ou suffixe générique, texte contenu), par pays sur code ISO à deux lettres, par numéro d’ASN, par liste de filtrage.
Conclusion
Ni Windows ni Linux ne proposent nativement une vue lisible de ce que chaque application envoie sur le réseau. La combinaison d’une supervision temps réel, d’une association fiable au processus et de la possibilité d’appliquer une décision sur chaque flux fait de Portmaster un outil très intéressant. Suite à son installation, j’ai d’ailleurs constaté que certaines applications ne fonctionnaient plus parce qu’elles ne parvenaient plus à contacter leurs serveurs. C’est le cas par exemple de DeepL à partir du moment où l’on a l’application en local, car la traduction est effectuée via le Cloud. J’ai également constaté que certaines applications, comme Malwarebytes, sont plus bavardes qu’on peut le penser. Et puis, la télémétrie, ce n’est pas que sur Windows : il y en a aussi sur Linux, en particulier avec certaines applications et certaines distributions (comme Ubuntu). Même si Windows est sans aucun doute le champion en la matière, c’est vraiment intéressant de voir ce que peut détecter Portmaster sur une machine.
Enfin, Portmaster est un bon outil pour renforcer la sécurité d’un poste de travail et améliorer sa vie privée, mais Portmaster ne remplace pas un antivirus. Il bloque la communication, pas l’exécution. Il complète un antivirus, il ne s’y substitue pas. C’est d’ailleurs une bonne illustration du principe de défense en profondeur, et sous Linux, il se marie bien avec un antivirus ClamAV.
Pour aller plus loin :
FAQ
Qu’est-ce que Portmaster ?
Portmaster est un pare-feu applicatif gratuit et open source, disponible pour Windows et Linux sous licence GPL-3.0. Il affiche en temps réel toutes les connexions réseau de la machine, associe chacune d’elles au processus qui en est à l’origine, et permet de définir des règles de blocage globales ou par application. Il intègre également un résolveur DNS et des listes de blocage de publicités, de traceurs et de domaines malveillants.
Portmaster est-il gratuit ?
Oui, dans sa formule Free. Le pare-feu, la supervision réseau, le filtrage des publicités et des traceurs ainsi que le DNS chiffré sont gratuits et sans limite de durée. Deux formules payantes existent : Portmaster Plus à 40 euros par an ajoute l’historique réseau, la visibilité sur la bande passante et les rapports hebdomadaires. Portmaster Pro à 80 euros par an y ajoute l’accès au réseau d’anonymisation SPN.
Portmaster est-il vraiment open source ?
Oui. Le code du service principal, de l’interface, du pilote noyau Windows et du SPN est publié sur GitHub sous licence GPL-3.0, dans le dépôt safing/portmaster.
Portmaster est-il disponible sur macOS ?
Non. Portmaster n’est disponible que pour Windows 64 bits et Linux 64 bits. Aucune version macOS n’existe, pas même en bêta. Safing invoque la dépréciation des extensions noyau classiques par Apple et les contraintes du framework Network Extension. Une version pour mobile n’est pas non plus disponible. Sur macOS, les alternatives les plus proches sont Little Snitch et LuLu.
Quelle est la différence entre Portmaster et le pare-feu Windows ?
Le pare-feu Windows Defender est capable de filtrer le trafic sortant par application, mais il ne propose aucune visualisation en temps réel des connexions et ne dit pas quel processus contacte quel domaine. Portmaster affiche ce flux en continu, indique le domaine, le pays et l’ASN de destination, précise la raison de chaque verdict, et ajoute un filtrage par listes. Les deux répondent donc à des besoins différents et peuvent coexister.
Qu’est-ce que le SPN de Portmaster ?
Le Safing Privacy Network est un réseau d’anonymisation payant, inclus dans l’offre Portmaster Pro. Il applique un chiffrement en couches successives sur plusieurs relais, à la manière de Tor, mais achemine chaque connexion individuellement et choisit un nœud de sortie proche de la destination. Résultat : plusieurs adresses IP publiques simultanées selon les applications et les destinations, avec un choix de l’algorithme de routage par application.
Comment bloquer l’accès Internet d’une application avec Portmaster ?
Ouvrez la page Apps, sélectionnez l’application concernée, puis activez le verrou Force Block Internet Access dans ses paramètres. L’application conserve alors l’accès au réseau local mais perd toute sortie vers Internet. Ce verrou est plus fort que les règles de filtrage : aucune règle ne pourra le contourner.
Peut-on bloquer les connexions vers un pays avec Portmaster ?
Oui. Les règles de filtrage acceptent un code pays sur deux lettres au format ISO 3166-1 alpha-2, par exemple CN, ainsi qu’un code de continent préfixé par C:, par exemple C:AS pour l’Asie. La correspondance repose sur la base de géolocalisation IP construite par Safing, qui fournit également le pays, l’ASN et l’organisation propriétaire de chaque adresse.
Cofondateur d’IT-Connect et Microsoft MVP “Cloud and Datacenter Management”. Mon obsession depuis près de 15 ans ? Rendre l’administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu’un métier, l’IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.