Servidor FTP: como funciona, modos e segurança

Entenda como a conexão FTP acontece, por que a listagem trava no modo passivo e quando usar FTPS ou SFTP no lugar do FTP puro.

Por Redação Eleven Host · @robson.direitodigital · Atualizado em 17 de outubro de 2026 · 9 min de leitura

Um servidor FTP é um programa que recebe conexões de clientes pela rede para enviar e baixar arquivos. Ele usa uma conexão de controle, na porta 21, para os comandos e abre outra conexão para os dados. Sem proteção extra, senha e arquivos viajam em texto aberto.

Este guia explica como a conexão acontece, por que ela trava em alguns firewalls e se ainda vale usar, com exemplos do dia a dia de quem mantém um site, um sistema ou uma integração com parceiros.

O que é um servidor FTP

FTP significa File Transfer Protocol, ou protocolo de transferência de arquivos. Ele existe para mover arquivos entre dois computadores: o cliente, que pede, e o servidor, que guarda as pastas e responde.

O servidor FTP é só um programa rodando numa máquina que fica ligada e acessível pela rede. Esse programa cuida de três tarefas: conferir quem está entrando, mostrar as pastas que aquela conta pode ver e enviar ou receber os arquivos pedidos.

O cliente pode ser um programa com janelas, em que você arrasta e solta arquivos, ou um comando digitado no terminal. Os dois falam o mesmo protocolo, então um não precisa saber qual programa o outro usa.

Como a conexão funciona, passo a passo

1. O cliente conecta no endereço do servidor, na porta 21 por padrão. Essa é a conexão de controle.
2. O servidor pede usuário e senha, e o cliente envia.
3. Com a conta autenticada, o cliente manda comandos pela conexão de controle: listar pastas, entrar numa pasta, enviar, baixar, renomear ou apagar. O que cada conta pode fazer depende das permissões definidas no servidor.
4. Para cada listagem ou transferência, abre-se uma segunda conexão, a de dados. O arquivo em si passa por ela, e ela fecha quando a transferência acaba.

Guarde essa ideia das duas conexões. Essa separação explica os bloqueios de FTP em firewall, porque o protocolo precisa de mais de uma porta aberta e de um acordo sobre quem inicia a segunda conexão.

Modo ativo e modo passivo

O acordo sobre a conexão de dados tem dois formatos.

Modo ativo

No modo ativo, o cliente diz ao servidor em qual porta dele está esperando, e o servidor abre a conexão de dados de volta até o cliente. O problema é que o firewall ou o roteador do cliente pode bloquear conexões iniciadas de fora para dentro. A transferência então não começa.

Modo passivo

No modo passivo, o servidor informa uma porta e o cliente é quem abre as duas conexões. Isso combina com redes protegidas por firewall e por NAT, que é o caso de escritórios e de casas. Em troca, o servidor precisa ter uma faixa de portas reservadas para os dados, e essa faixa precisa estar liberada no firewall dele.

Se o servidor está atrás de NAT, ele também precisa anunciar o endereço público correto. Quando anuncia o endereço interno, o cliente tenta conectar num endereço que não alcança.

Exemplo prático: o login funciona, mas a listagem dá erro

Você configura o programa de transferência, digita usuário e senha, e a conexão é aceita. Na hora de mostrar as pastas, ele fica parado e depois exibe um erro de tempo esgotado. Isso indica que a conexão de controle passou e a de dados foi barrada.

Verifique, nesta ordem:

• se o cliente está em modo passivo, que é a escolha mais compatível com redes protegidas;
• se a faixa de portas passivas definida no servidor está liberada no firewall do servidor;
• se o servidor, atrás de NAT, anuncia o endereço público e não o interno;
• se algum equipamento no caminho (firewall do escritório, antivírus de rede) está interferindo no tráfego do FTP.

Procure por "passive mode", "PASV" ou "faixa de portas passivas" na documentação do software que você usa.

O ponto fraco do FTP original: nenhuma criptografia

O FTP foi criado numa época em que a rede era outra. No formato original, usuário, senha, comandos e arquivos viajam em texto aberto. Quem consegue observar o tráfego no caminho, por exemplo numa rede Wi-Fi pública ou em um equipamento comprometido, consegue ler tudo.

Por isso, FTP puro não deve carregar dados sensíveis: contratos, planilhas com dados de clientes, notas fiscais, senhas de banco de dados dentro de arquivos de configuração. Uma senha de FTP enviada em texto aberto também deixa de ser segredo se você a reutiliza em outros serviços.

As alternativas com criptografia

FTPS

FTPS é o FTP com uma camada TLS, a mesma tecnologia que protege sites com HTTPS. Ele mantém a lógica de duas conexões e, portanto, os mesmos cuidados com modo passivo e faixa de portas. Há duas variações:

• FTPS explícito: o cliente conecta na porta 21 e pede a proteção com o comando AUTH TLS antes de enviar a senha;
• FTPS implícito: a conexão já nasce criptografada, normalmente na porta 990.

Na configuração do cliente, escolha a variação que o servidor oferece. Se a escolha estiver errada, a conexão falha logo no início.

SFTP

SFTP é outro protocolo, que roda dentro do SSH, normalmente na porta 22. Ele não é FTP com TLS: é um serviço diferente, com criptografia desde o primeiro byte e uma conexão única, sem faixa de portas passivas para configurar. Para uma comparação detalhada, procure na base de conhecimento o artigo "SFTP ou FTP: qual escolher e quando usar o FTPS".

Quando ainda faz sentido usar FTP ou FTPS

Uma razão é a compatibilidade. Alguns sistemas antigos, equipamentos e integrações com parceiros só sabem enviar arquivos por FTP ou FTPS. Trocar o lado do parceiro pode não estar ao seu alcance.

Exemplo prático: integração legada

Uma loja recebe todo dia um arquivo de estoque de um fornecedor, e o sistema do fornecedor só envia por FTP. Você não controla esse sistema. O caminho prudente é oferecer o FTPS e pedir que o fornecedor o use, se o software dele permitir. Se ele só aceitar FTP puro, restrinja o que a conta pode fazer: uma pasta só, permissão apenas para enviar, senha exclusiva e nenhum arquivo sensível naquele caminho.

Exemplo prático: acesso pelo programa gráfico

Um designer precisa enviar imagens para o servidor da empresa. Com um cliente gráfico de transferência, ele cria uma conexão salva com endereço, porta, usuário e tipo de proteção. Se o servidor aceita SFTP, essa é a escolha mais simples, porque não depende de faixa de portas.

Exemplo prático: a linha de comando

No terminal, o comando sftp usuario@exemplo.com abre uma sessão SFTP. Dentro dela, ls lista, get arquivo.zip baixa e put arquivo.zip envia. Os nomes de usuário e de servidor aqui são de exemplo: troque pelos seus.

Em todos os casos, vale desligar o login anônimo, usar senhas fortes e dar a cada pessoa sua própria conta, com acesso só às pastas de que ela precisa. Para cuidados gerais de segurança, que também valem para o servidor, leia Segurança para sites: 10 medidas essenciais.

FTP, FTPS e SFTP no 11Cloud

O 11Cloud é um serviço de armazenamento de arquivos da Eleven Host. Segundo a página pública do serviço, o acesso pode ser feito pelo navegador e também por SFTP, FTP/FTPS e WebDAV, e as conexões criptografadas incluem HTTPS, SFTP e FTPS. A cobrança é por espaço, e a página lista um plano grátis de 25 GB e planos pagos de 100 GB, 500 GB, 1 TB e 2 TB, com valores de outubro de 2026 que você deve conferir antes de contratar.

A página também cita backup automático feito com rclone ou com um script seu, copiando e sincronizando pastas. Quem automatiza é você. Se quiser ver na prática como se conectar, leia Como Conectar na 11Cloud: Navegador, SFTP e WebDAV.

Detalhes que a página não informa, como faixa de portas do modo passivo ou histórico de versões dos arquivos, devem ser confirmados com a equipe antes de você montar um processo em cima deles.

Dúvidas sobre FTP, FTPS ou SFTP no 11Cloud? Tire com quem opera o serviço. Falar com a equipe sobre o 11Cloud

Montar o seu próprio servidor FTP ou SFTP

Outra opção é ter um servidor só seu. Numa VPS você instala o programa que preferir, define as contas, as pastas e as regras do firewall. A VPS é administrada por você: atualizações, usuários, firewall e cópias de segurança ficam sob sua responsabilidade.

Um roteiro enxuto para começar:

1. Decida o protocolo. Se ninguém exige FTP, comece pelo SFTP, que usa só a porta 22 e dispensa faixa de portas passivas.
2. Crie uma conta por pessoa ou por sistema, cada uma restrita à sua pasta.
3. Se precisar de FTPS, configure o certificado, a faixa de portas passivas e o endereço público no servidor.
4. No firewall, libere só as portas que você escolheu usar.
5. Teste de outra rede, por exemplo pelo celular, para confirmar que a listagem e o envio funcionam fora do seu escritório.
6. Planeje a cópia dos arquivos para outro lugar. O artigo O Que É Backup Off-Site? Guia Completo e Prático ajuda a pensar nisso.

Os planos de VPS da loja têm configurações e valores próprios, que mudam com o tempo. Confira os planos antes de decidir, pois um servidor de transferência de arquivos pequeno não é o mesmo que um servidor com muitos usuários simultâneos.

Precisa de um servidor para rodar seu FTP ou SFTP, administrado por você? Ver planos de VPS

Perguntas frequentes

Qual porta o servidor FTP usa?

A porta 21 é a padrão para a conexão de controle. Os dados passam por outra conexão, em porta definida pelo modo ativo ou passivo. No FTPS implícito, a porta padrão é a 990, e no SFTP é a 22.

FTP é seguro?

O FTP sem criptografia não é: usuário, senha e arquivos viajam em texto aberto. FTPS e SFTP protegem a conexão. Mesmo assim, a segurança depende também de senhas fortes e de permissões bem definidas.

Qual a diferença entre FTPS e SFTP?

FTPS é o FTP com TLS e mantém as duas conexões. SFTP é um protocolo baseado em SSH, com conexão única. O nome parecido confunde, mas os programas de servidor e as portas são diferentes.

Por que o FTP conecta mas não lista as pastas?

A conexão de controle funcionou e a de dados foi bloqueada. Teste o modo passivo, confira a faixa de portas passivas no firewall do servidor e, se há NAT, o endereço público anunciado.

Preciso de um servidor FTP para o meu site?

Depende de como você publica os arquivos. Se o seu fluxo de trabalho aceita SFTP, ele é mais simples de configurar, pois usa uma porta só. O FTP só é necessário quando algum sistema ou parceiro exige.