Port RDP 3389 : vérifier et changer le port du Bureau à distance

Par défaut, le Bureau à distance écoute sur le port TCP 3389. [1] Quand le réseau le permet, Windows peut aussi utiliser le port UDP 3389, pour un transport plus rapide. Ce guide explique comment vérifier le port qu’utilise votre serveur, comment changer le port RDP sans perdre l’accès et comment vous connecter au nouveau port. Les commandes fonctionnent sous Windows Server 2019, 2022 et 2025 et doivent être exécutées dans une fenêtre PowerShell ouverte en tant qu’administrateur.

À quoi sert le port 3389

C’est sur le port 3389 que le service Bureau à distance attend les connexions. Tous les clients, de Remote Desktop Connection (Connexion Bureau à distance) sous Windows à Windows App sur macOS et sur les téléphones, se connectent à ce port, sauf si vous leur en indiquez un autre.

Passer le Bureau à distance sur un autre port réduit les tentatives de connexion des robots qui scannent le port 3389 sur tout Internet. Ce n’est pas une protection en soi : quiconque scanne tous les ports peut quand même le trouver. Conservez un mot de passe robuste, l’authentification au niveau du réseau (NLA) et, si possible, une règle de pare-feu qui n’autorise que vos propres adresses.

Vérifier le port utilisé par le Bureau à distance

Relevez le port dans la valeur de registre que le Bureau à distance lit au démarrage : [1]

Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'PortNumber'

La ligne PortNumber indique le port, par exemple PortNumber : 3389.

Pour vérifier que le service écoute bien sur ce port :

Get-NetTCPConnection -State Listen -LocalPort 3389

Depuis votre propre ordinateur Windows, vérifiez que le port est joignable depuis Internet. Remplacez l’adresse par l’IP de votre serveur : [3]

Test-NetConnection -ComputerName 203.0.113.10 -Port 3389

TcpTestSucceeded : True signifie que le port est ouvert depuis l’endroit où vous vous trouvez.

Changer le port RDP

Get-NetTCPConnection -State Listen -LocalPort 3390 -ErrorAction SilentlyContinue

$port = 3390
New-NetFirewallRule -DisplayName "Remote Desktop (TCP $port)" -Direction Inbound -Protocol TCP -LocalPort $port -Action Allow
New-NetFirewallRule -DisplayName "Remote Desktop (UDP $port)" -Direction Inbound -Protocol UDP -LocalPort $port -Action Allow

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'PortNumber' -Value $port

Restart-Service -Name TermService -Force

Disable-NetFirewallRule -Group '@FirewallAPI.dll,-28752'

Si vous ne parvenez pas à vous connecter

• La règle est absente ou désactivée : Get-NetFirewallRule -DisplayName 'Remote Desktop (TCP*' doit afficher votre règle avec Enabled : True.
• Le service n’écoute pas sur le nouveau port : Get-NetTCPConnection -State Listen -LocalPort 3390 doit renvoyer une ligne.
• Votre propre réseau bloque le port : les réseaux d’entreprise et les réseaux publics n’autorisent souvent en sortie que les ports courants. Essayez depuis une autre connexion.
• Vous n’avez plus accès au serveur : contactez le support. En dernier recours, vous pouvez réinstaller le serveur depuis l’espace client : un système d’exploitation neuf est installé et les données du serveur sont effacées.

Sécuriser le Bureau à distance

• Utilisez un mot de passe long et unique pour le compte Administrator.
• Laissez l’authentification au niveau du réseau (NLA) activée, comme elle l’est par défaut.
• Si possible, n’autorisez le port que depuis vos propres adresses IP : Set-NetFirewallRule -DisplayName "Remote Desktop (TCP 3390)" -RemoteAddress 198.51.100.7.
• Installez régulièrement les mises à jour Windows.

D’autres mesures sont détaillées dans nos 7 conseils pour sécuriser votre connexion Bureau à distance.