Sécuriser RDP : 7 conseils pour protéger le Bureau à distance

1. Mettre en place une authentification forte

Pour sécuriser RDP (Remote Desktop Protocol), une authentification forte est votre première ligne de défense, et la plus importante. Des mots de passe faibles exposent votre connexion aux attaques automatisées qui tentent de deviner les identifiants. En renforçant l’authentification, vous réduisez nettement le risque d’intrusion.

Créer des mots de passe robustes et uniques

Votre mot de passe est la porte d’entrée de votre connexion RDP, et les mots de passe faibles sont des cibles de choix pour les attaques par force brute. Pour vous protéger, créez des mots de passe d’au moins 8 caractères qui mélangent majuscules, minuscules, chiffres et caractères spéciaux. Évitez les mots faciles à deviner, les informations personnelles et les combinaisons prévisibles.

Une approche efficace consiste à utiliser une phrase de passe, qui associe des mots aléatoires pour former un mot de passe à la fois sûr et facile à retenir. Par exemple, une phrase de passe comme « Coffee!Mountain$Dance92 » est robuste tout en restant facile à mémoriser. Tout aussi important : ne réutilisez jamais un mot de passe sur plusieurs comptes. Si un compte est compromis, les autres restent protégés grâce à des mots de passe uniques.

Gérer plusieurs mots de passe robustes peut vite devenir compliqué : pensez à utiliser un gestionnaire de mots de passe. Ces outils stockent vos identifiants en toute sécurité, génèrent des mots de passe complexes et simplifient la connexion. Avec un gestionnaire de mots de passe, vous conservez une sécurité solide sans avoir à retenir une multitude de mots de passe.

Une fois vos mots de passe sécurisés, il est temps d’ajouter une couche de protection supplémentaire avec l’authentification multifacteur.

Activer l’authentification multifacteur (MFA)

Des mots de passe robustes sont indispensables, mais les associer à l’authentification multifacteur (MFA) offre une défense encore plus solide. La MFA exige une seconde forme de vérification, ce qui complique considérablement la tâche des attaquants, même s’ils possèdent votre mot de passe. Selon Microsoft, la MFA peut bloquer plus de 99,9 % des attaques visant à compromettre un compte. [5]

Parmi les méthodes de MFA, on trouve les codes générés par une application mobile, les SMS, les appels téléphoniques, la biométrie et les jetons matériels. Pour plus de confort, privilégiez les méthodes qui limitent la saisie manuelle, comme la vérification par appel téléphonique ou les notifications d’application. Par exemple, si vous utilisez la MFA de Microsoft Entra ID avec l’extension NPS, vous pouvez opter pour des appels automatiques ou des notifications push afin de simplifier le processus.

Ne pas mettre en place de MFA peut avoir de graves conséquences. Prenons l’exemple de l’attaque par rançongiciel (ransomware) subie par LabCorp : en juillet 2018, d’après CSO Online, une attaque par force brute sur RDP a permis de propager un rançongiciel sur 7 000 systèmes et 1 900 serveurs, avant que LabCorp ne le contienne en 50 minutes. [6] Cet exemple montre à quel point la MFA est essentielle pour prévenir des intrusions aussi rapides et dévastatrices.

Il existe plusieurs façons d’intégrer la MFA à votre configuration RDP. Vous pouvez utiliser Microsoft Entra ID avec l’extension NPS, des solutions de MFA tierces, une passerelle RDP avec MFA intégrée ou un VPN compatible avec la MFA. Au-delà de la sécurité, la MFA aide aussi les organisations à respecter des normes de conformité comme HIPAA, PCI DSS et le RGPD.

Pour renforcer encore votre dispositif de MFA, utilisez TLS 1.2 ou une version supérieure et activez l’authentification au niveau du réseau (NLA) pour un meilleur chiffrement. Des outils de journalisation et de surveillance vous aideront aussi à suivre les tentatives d’accès et à repérer toute activité suspecte.

2. Maintenir vos logiciels RDP à jour

Utiliser un logiciel obsolète, c’est comme laisser votre porte d’entrée déverrouillée : les attaquants savent exactement où trouver les points faibles. Quand votre logiciel RDP n’est pas à jour, vous offrez pour ainsi dire aux cybercriminels une feuille de route pour exploiter ses failles. Il est donc crucial de maintenir vos logiciels à jour avec les derniers correctifs de sécurité, car les attaquants sont toujours à l’affût de nouvelles vulnérabilités à exploiter.

Les risques liés à un logiciel RDP obsolète sont bien réels. Prenons la vulnérabilité CVE-2022-21893, découverte en janvier 2022. Selon Threatpost, cette faille permettait à un attaquant sans privilèges élevés d’accéder aux systèmes de fichiers des autres utilisateurs connectés. [8] Elle ouvrait la porte à des fuites de données du presse-papiers et du système de fichiers, susceptibles d’entraîner des atteintes à la vie privée, des déplacements non autorisés au sein des réseaux ou une élévation de privilèges. Ce n’est qu’un exemple parmi d’autres, mais il montre bien que suivre les mises à jour n’a rien de facultatif : c’est indispensable.

Au-delà de la correction des vulnérabilités, les mises à jour permettent aussi à vos logiciels de prendre en charge les protocoles de chiffrement modernes. Sans ces mises à jour, même une connexion apparemment sûre peut se retrouver dangereusement exposée.

Activer les mises à jour automatiques

Le moyen le plus simple de rester protégé ? Activer les mises à jour automatiques. Les correctifs sont alors appliqués dès leur publication, ce qui réduit au minimum la fenêtre de vulnérabilité. La procédure varie selon le client RDP utilisé, mais l’objectif reste le même : des logiciels sécurisés, en permanence.

Avec le client Microsoft Remote Desktop (version MSI), vous pouvez rechercher les mises à jour manuellement : ouvrez l’application Remote Desktop, cliquez sur les trois points en haut à droite, puis sélectionnez « About ». Le client recherche alors les mises à jour ; si une mise à jour est disponible, il suffit de cliquer sur « Install update » pour l’installer.

Les administrateurs peuvent affiner le comportement des mises à jour dans le Registre. La valeur de Registre AutomaticUpdates, située sous la clé HKLM\Software\Microsoft\MSRDC\Policies, permet de choisir la façon dont les mises à jour sont gérées :

• Valeur 0 : désactive complètement les mises à jour automatiques et les notifications.
• Valeur 1 : active les notifications, mais l’installation des mises à jour nécessite une action de l’utilisateur.
• Valeur 2 (par défaut) : pour les installations par utilisateur, les mises à jour s’appliquent silencieusement en arrière-plan quand le client est fermé ; lorsqu’il est ouvert, seules des notifications s’affichent. Les installations par machine ne reçoivent que des notifications. [2]

L’application Microsoft Remote Desktop du Microsoft Store n’est plus prise en charge : son support a pris fin en septembre 2025, et elle ne peut plus être téléchargée ni installée. Pour les connexions à Azure Virtual Desktop et à Windows 365, Microsoft la remplace par Windows App. Les connexions aux services Bureau à distance (Remote Desktop Services) et aux PC distants ne sont pas concernées par ce changement. Microsoft a également cessé de prendre en charge le client MSI pour les environnements de cloud public le 27 mars 2026. [1]

L’un des avantages de la fonction RDP intégrée à Windows est qu’elle est mise à jour avec le reste du système, via les mises à jour Windows habituelles. Vous bénéficiez ainsi d’une sécurité supplémentaire sans effort particulier.

Vérifier les clients RDP tiers

Si vous utilisez des clients RDP tiers, les mêmes règles s’appliquent : assurez-vous qu’ils sont à jour et toujours pris en charge. Contrairement aux logiciels RDP natifs, beaucoup de clients tiers ne se mettent pas à jour automatiquement : vous devez donc vérifier vous-même que vous utilisez la dernière version. Un logiciel obsolète ou qui n’est plus pris en charge ne reçoit pas de correctifs de sécurité, et ses vulnérabilités connues restent exploitables indéfiniment.

Lorsque vous choisissez des clients RDP tiers, privilégiez ceux qui respectent les normes de sécurité actuelles. Vérifiez notamment la prise en charge des protocoles de chiffrement récents et de l’authentification au niveau du réseau (NLA). Les clients anciens ou peu maintenus sont souvent dépourvus de ces protections essentielles, ce qui met votre système en danger.

Pour réduire votre exposition, limitez le nombre de clients RDP utilisés dans votre environnement. Adopter un client unique et bien maintenu simplifie la gestion des mises à jour et réduit les vecteurs d’attaque potentiels. Si des vulnérabilités sont découvertes dans des clients tiers, corrigez en priorité celles pour lesquelles il existe un exploit public. Elles sont particulièrement dangereuses, car les attaquants disposent déjà des outils pour les exploiter.

3. Contrôler l’accès réseau avec des règles de pare-feu

Configurer votre pare-feu pour bloquer les connexions RDP non autorisées est une étape essentielle de la sécurisation de votre réseau. Une configuration de pare-feu solide constitue une couche de défense indispensable pour protéger les services RDP. D’après les données de réponse à incident de Sophos, RDP a été exploité dans 90 % des attaques traitées par l’éditeur en 2023.

Les entreprises devraient cesser d’exposer RDP sur l’Internet public pour réduire le risque d’être prises pour cible par des cybercriminels.

– Ryan Gregory, Coalition

Un pare-feu peut limiter l’accès aux ports d’écoute du Bureau à distance, comme le port TCP 3389 par défaut. Avec une configuration correcte, vous bloquez le trafic externe non autorisé tout en permettant aux utilisateurs approuvés de se connecter à votre réseau.

N’autoriser que les adresses IP de confiance

Restreindre l’accès RDP à certaines adresses IP ou à certains segments réseau réduit considérablement votre surface d’attaque. Voici comment procéder dans le pare-feu Windows :

• Ouvrez Windows Security (Sécurité Windows) et allez dans Firewall and Network Protection > Advanced Settings (Pare-feu et protection du réseau > Paramètres avancés).
• Repérez la règle « Remote Desktop – User Mode (TCP-In) » et modifiez-la pour n’autoriser que les adresses IP approuvées.

Pour savoir quelles adresses IP externes doivent avoir accès, utilisez un outil qui affiche votre adresse IP publique.

Il est essentiel de revoir et de mettre à jour régulièrement votre liste d’adresses IP de confiance, car les configurations réseau évoluent avec le temps. Exposer les ports RDP à l’ensemble d’Internet n’est jamais une bonne idée. Ce filtrage par adresse IP, associé à une surveillance attentive, constitue une base solide pour votre dispositif de sécurité.

Changer le port RDP par défaut

Changer le port RDP par défaut (3389) est un autre moyen efficace de renforcer la sécurité. Cela ne remplace pas les autres mesures de sécurité, mais peut réduire l’exposition aux attaques par scan automatisé. Les experts recommandent de choisir un port entre 49152 et 65535 pour éviter les conflits avec d’autres services.

Voici comment changer le port RDP :

Avec l’Éditeur du Registre

1. Ouvrez Registry Editor (l’Éditeur du Registre).

2. Accédez à la clé :

   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp

3. Repérez la valeur PortNumber, double-cliquez dessus, choisissez Decimal et saisissez votre nouveau numéro de port.

4. Cliquez sur OK, puis redémarrez le service Remote Desktop Services (ou l’ordinateur) pour appliquer la modification.

Avec PowerShell

• Vérifiez le port actuel avec :

  Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -name "PortNumber"

• Modifiez le port avec :

  Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -name "PortNumber" -Value <new_port>

• Ajoutez des règles de pare-feu pour le nouveau port :

  New-NetFirewallRule -DisplayName "RDP New Port TCP" -Profile Public -Direction Inbound -Action Allow -Protocol TCP -LocalPort <new_port>  
  New-NetFirewallRule -DisplayName "RDP New Port UDP" -Profile Public -Direction Inbound -Action Allow -Protocol UDP -LocalPort <new_port>  

Une fois le port modifié, créez une règle de trafic entrant correspondante dans le pare-feu Windows. Testez le nouveau port en vous connectant à une adresse de la forme IP_address:new_port (par exemple 192.168.1.1:50123), puis vérifiez qu’il est actif avec cette commande :

netstat -an | find "<new_port>"

Ajouter une couche de protection avec la NAT

La traduction d’adresses réseau (NAT) est une autre option pour sécuriser votre configuration RDP. Avec la NAT, vous pouvez faire correspondre un port externe à votre port RDP interne, ce qui ajoute un niveau de dissimulation et complique la tâche des attaquants qui cherchent à localiser votre connexion. Associée aux règles de pare-feu, cette approche renforce votre stratégie globale de sécurité RDP.

4. Utiliser un VPN pour sécuriser l’accès à distance

Un VPN crée un tunnel chiffré entre votre appareil et le réseau, de sorte que toute donnée interceptée reste illisible. Établir une connexion VPN avant d’ouvrir votre session RDP ajoute une couche de protection contre d’éventuelles cyberattaques. Voici comment mettre en place un accès VPN pour votre connexion Bureau à distance.

Configurer un accès VPN pour RDP

Choisir votre solution VPN

Deux grandes options s’offrent à vous pour mettre en place un accès VPN. Un service VPN professionnel, comme les solutions hébergées d’OpenVPN, relie vos appareils et votre serveur au sein d’un même réseau privé, avec un minimum de configuration. Les applications VPN grand public comme TunnelBear et Proton VPN sont un tout autre produit : elles font transiter votre navigation par les serveurs du fournisseur et ne vous offrent aucune connexion privée à votre propre serveur. Elles ne permettent donc pas de protéger RDP de cette manière.

Héberger votre propre serveur VPN

Si vous voulez mieux maîtriser votre sécurité, héberger votre propre serveur VPN est une excellente option. En gérant vous-même votre serveur, vous pouvez personnaliser les paramètres de chiffrement, contrôler l’accès des utilisateurs et appliquer des mesures de sécurité sur mesure. Pour commencer, utilisez un serveur Linux avec un accès root, par exemple un VPS Linux ; notre guide WireGuard décrit toute la procédure. La mise en place comprend généralement les étapes suivantes :

• Se connecter au VPS en SSH.
• Installer un logiciel serveur VPN comme OpenVPN.
• Configurer l’accès pour vos appareils.

Lors de la mise en place du serveur, choisissez un emplacement proche de votre région cible pour de meilleures performances. Utilisez toujours un chiffrement fort, comme AES 256 bits, pour protéger vos données.

Les réglages de sécurité essentiels

Une fois votre VPN opérationnel, prenez ces mesures importantes pour renforcer sa sécurité :

• Activez l’authentification à deux facteurs (2FA) pour toutes les sessions VPN.
• Limitez l’accès au VPN aux seuls appareils autorisés.
• Adaptez vos règles de pare-feu pour qu’elles fonctionnent correctement avec le VPN tout en bloquant les accès non autorisés.
• Utilisez des outils comme Fail2Ban, désactivez la connexion root et surveillez régulièrement les journaux pour repérer toute activité inhabituelle.
• Changez les ports par défaut pour que les attaquants aient plus de mal à localiser votre serveur VPN.

Se connecter via votre VPN

5. Mettre en place une passerelle RDP

Une passerelle RDP sert de point de contrôle essentiel et ajoute une couche de sécurité à votre réseau. Elle encadre strictement tout accès externe à vos systèmes internes : elle authentifie les utilisateurs et chiffre le trafic avant d’accorder l’accès à des ressources précises.

Comment une passerelle RDP renforce la sécurité

Une passerelle RDP fait passer le trafic Bureau à distance par HTTPS sur le port 443, au lieu du port RDP standard 3389. En encapsulant RDP dans HTTPS, elle protège les données sensibles contre les attaques de l’homme du milieu tout en gardant votre réseau interne à l’abri. Les utilisateurs ne peuvent accéder qu’aux ressources autorisées, ce qui réduit nettement les risques de faille.

La passerelle des services Bureau à distance (RD Gateway) encapsule le protocole RDP (Remote Desktop Protocol) dans RPC, lui-même encapsulé dans HTTP sur une connexion SSL (Secure Sockets Layer). – Microsoft

Autre avantage majeur : l’authentification et l’audit centralisés. La passerelle journalise et surveille chaque tentative de connexion, ce qui facilite le suivi de l’activité des utilisateurs et la détection des comportements inhabituels. Pour une sécurité maximale, il est essentiel de bien configurer les stratégies de la passerelle.

Conseils pour bien configurer la passerelle

Pour tirer le meilleur parti de votre passerelle RDP, vous devez définir des stratégies d’autorisation des connexions (CAP) et des stratégies d’autorisation d’accès aux ressources (RAP) :

• Stratégies CAP : elles définissent qui peut se connecter et comment. Elles précisent les groupes d’utilisateurs (et, si vous le souhaitez, les ordinateurs) autorisés à utiliser la passerelle, la méthode d’authentification (mot de passe ou carte à puce) et les périphériques locaux qui peuvent être redirigés. Le verrouillage des comptes après plusieurs échecs de connexion se règle à part, dans une stratégie de groupe, et la restriction des plages d’adresses IP sources se fait dans le pare-feu.
• Stratégies RAP : elles déterminent les ressources auxquelles les utilisateurs peuvent accéder une fois connectés. En appliquant le principe du moindre privilège, vous limitez l’accès de chaque utilisateur aux seules ressources dont il a besoin, ce qui réduit les dégâts possibles si un compte est compromis.

Autres mesures importantes :

• Activer la MFA : protéger l’accès à la passerelle par une authentification multifacteur renforce la sécurité.
• Utiliser des certificats SSL de confiance : procurez-vous des certificats auprès d’autorités de certification reconnues comme DigiCert, GlobalSign ou Let's Encrypt. Imposez TLS 1.2 ou une version supérieure, désactivez les algorithmes de chiffrement faibles et renouvelez régulièrement les certificats pour que les connexions restent sécurisées.
• Restreindre l’accès : une fois la passerelle déployée, limitez l’accès à des utilisateurs et à des systèmes précis. Veillez à ce que tous les services Bureau à distance n’acceptent que les connexions qui passent par la passerelle RD.
• Surveiller les journaux : journalisez toutes les tentatives de connexion et examinez-les régulièrement pour détecter les anomalies.

Le serveur de passerelle RD sert d’intermédiaire entre le client distant et l’hôte de session Bureau à distance (RDSH), et ajoute une couche de sécurité en authentifiant l’utilisateur et en chiffrant le trafic. – Limitless Technology

6. Ajouter le chiffrement et les tunnels

Pour protéger vos sessions RDP (Remote Desktop Protocol) contre l’interception ou la surveillance non autorisées, les technologies de chiffrement et de tunnel sont indispensables. En superposant les couches de chiffrement, vous créez un bouclier solide contre les écoutes clandestines et les attaques. Une étape clé consiste à renforcer les méthodes d’authentification, par exemple en activant l’authentification au niveau du réseau (NLA).

Activer l’authentification au niveau du réseau (NLA)

L’authentification au niveau du réseau (NLA, Network Level Authentication) ajoute une couche de protection en obligeant les utilisateurs à s’authentifier avant le début d’une session Bureau à distance. Les utilisateurs non autorisés n’atteignent donc même pas l’écran de connexion, ce qui en fait une barrière de sécurité essentielle.

La NLA aide à réduire les risques tels que les attaques par force brute, les tentatives de déni de service (DoS) et le vol d’identifiants pendant la connexion. Elle économise aussi les ressources, puisque les tentatives non autorisées ne consomment ni la mémoire ni le CPU du serveur. Pour les utilisateurs légitimes, la NLA prend en charge l’authentification unique NT (SSO), ce qui rend l’accès plus fluide.

Pour une sécurité maximale, activez toujours la NLA sur vos connexions RDP. Si des problèmes de compatibilité vous obligent à la désactiver, compensez par d’autres mesures de protection : des mots de passe robustes, des pare-feu bien configurés et des contrôles d’accès stricts.

Utiliser un tunnel SSH ou IPsec

Le tunnel SSH est un autre moyen efficace de sécuriser vos sessions RDP. En encapsulant votre trafic RDP dans un tunnel SSH chiffré, vous ajoutez une couche de sécurité pendant la transmission des données.

CloudThat, partenaire d’AWS et de Microsoft, a publié un guide qui explique comment accéder à RDP par un tunnel SSH avec PuTTY. Sa procédure pas à pas consiste à :

• Renseigner dans PuTTY les informations de votre serveur SSH (par exemple nom d’hôte, port 22, type de connexion SSH).
• Mettre en place le tunnel pour rediriger un port local (par exemple 127.0.0.1:9999) vers le port RDP interne (localhost:3389).
• Garder la session SSH ouverte et se connecter en RDP à « localhost:9999 ».

Comme le dit Chrissy LeMaire, MVP SQL et PowerShell :

Si vous exposez des protocoles non sécurisés sur le Net, songez à les confier aux bras bienveillants de SSH.

Pour plus de sécurité, utilisez des ports SSH non standard et des redirections de ports internes personnalisées afin de rendre votre configuration moins prévisible. OpenSSH étant désormais intégré à Windows 10, cette méthode est encore plus simple à mettre en œuvre. Vous pouvez aussi la renforcer avec un bastion (ou serveur de rebond), qui sert de point de contrôle supplémentaire et régule l’accès aux ressources sensibles de votre réseau sécurisé. Cette stratégie de tunnels en couches renforce nettement la sécurité de vos connexions RDP.

7. Appliquer les principes Zero Trust

Pour sécuriser RDP aujourd’hui, il ne suffit pas de se reposer uniquement sur le chiffrement et le contrôle d’accès. Pour vraiment traiter les risques internes, une approche Zero Trust est indispensable. Ce modèle repose sur une règle simple mais puissante : « Never trust, always verify » (ne jamais faire confiance, toujours vérifier).

Le Zero Trust est particulièrement crucial pour les connexions RDP, car des identifiants compromis sont une porte d’entrée courante dans les systèmes distants. Contrairement aux modèles de sécurité traditionnels, qui reposent sur la protection du périmètre réseau, le Zero Trust exige que chaque utilisateur et chaque appareil prouve son identité, où qu’il se trouve.

Les principes fondamentaux du Zero Trust

Le Zero Trust renforce la sécurité RDP en s’appuyant sur trois principes fondamentaux :

En appliquant ces principes, vous pouvez nettement améliorer la posture de sécurité de vos accès RDP.

Exiger une vérification continue

Les configurations RDP traditionnelles n’authentifient les utilisateurs qu’au moment de la connexion. Le Zero Trust adopte une approche plus proactive en exigeant une authentification et une validation continues tout au long de la session. Ainsi, même pendant une session active, chaque action est surveillée et vérifiée.

Imaginez par exemple qu’un utilisateur qui travaille habituellement depuis New York se mette soudain à télécharger des fichiers sensibles depuis une adresse IP inconnue. Un système Zero Trust signalerait cette activité et demanderait une vérification supplémentaire, ce qui aide à repérer les menaces avant qu’elles ne s’aggravent.

N’accorder que l’accès strictement nécessaire

Autre pilier du Zero Trust : le principe du moindre privilège. Les utilisateurs et les applications ne doivent avoir accès qu’aux ressources dont ils ont absolument besoin pour remplir leur rôle. Comme le résume Hubert Brychczynski :

Le Zero Trust signifie que chaque personne au sein de l’organisation peut être un vecteur d’attaque potentiel, volontairement ou non.

Pour appliquer le moindre privilège :

• Limitez l’accès aux seules ressources nécessaires au rôle de chaque utilisateur.
• Supprimez les privilèges excessifs ou inutilisés.
• Réduisez au strict minimum le nombre de comptes à privilèges.
• Vérifiez que les autorisations NTFS et les autorisations de partage respectent le principe du moindre privilège.

Utilisez des outils comme Active Directory et les groupes Microsoft Entra ID pour gérer et contrôler les autorisations d’accès de manière centralisée. Limitez l’accès RDP à une liste préapprouvée d’adresses IP et de comptes utilisateurs. Empêchez en outre tout accès RDP direct depuis des réseaux externes en exigeant une connexion VPN préalable.

Pour mieux contenir les intrusions éventuelles, mettez en place la microsegmentation. Elle consiste à diviser votre infrastructure en segments plus petits, ce qui limite la capacité des attaquants à se déplacer latéralement dans le réseau. Associez-la à des règles de moindre privilège et à une surveillance continue de tout le trafic réseau pour garder de la visibilité et détecter les menaces au plus tôt.