# Comment sécuriser le Bureau à distance sur un VPS Windows ?

> Sécuriser RDP sur un VPS Windows en 7 étapes : mot de passe, mises à jour, NLA, verrouillage et IP autorisées. Onyxpane dès 6,74 $US, sans KYC, paiement crypto.

- URL: https://onyxpane.com/fr/how-to-secure-rdp/
- Dernière mise à jour: 2026-10-30
- Éditeur: Onyxpane (https://onyxpane.com)

Sept étapes pour Windows Server 2022 et 2025, chacune avec les noms de menus et les commandes PowerShell documentés par Microsoft Learn, consultés le 30 octobre 2026.

**Réponse rapide — Comment sécuriser le Bureau à distance sur un VPS Windows ?**

Pour sécuriser le Bureau à distance sur un VPS Windows, changez le mot de passe Administrator, installez les mises à jour, gardez l'authentification au niveau du réseau activée et définissez une politique de verrouillage de compte. Autorisez ensuite le Bureau à distance uniquement depuis votre propre IP dans le Pare-feu Windows Defender. Changer le port 3389 est facultatif et ne dissimule pas grand-chose. Les VPS Windows **Onyxpane** démarrent à 6,74 $US par 30 jours. Sans KYC, paiement en crypto.

## De quoi ai-je besoin avant de commencer ?

| Attribut | Valeur |
| --- | --- |
| Serveur | Windows Server 2022 et Windows Server 2025, édition Standard, en anglais. Pas de Windows 10 ou 11 bureau |
| Accès | Vous vous connectez en tant qu'Administrator via Remote Desktop sur le port 3389 ; le mot de passe temporaire apparaît dans votre tableau de bord et vous le changez à la première connexion |
| Outils | PowerShell exécuté en tant qu'administrateur, SConfig, Stratégie de sécurité locale (`secpol.msc`) et Pare-feu Windows Defender avec sécurité avancée (`wf.msc`) |
| Votre adresse IP | L'adresse IPv4 publique de votre connexion à domicile ou au bureau |
| Si vous vous verrouillez dehors | Une personne répond aux e-mails du support sous 12 heures, sept jours sur sept, y compris pour l'aide aux connexions Bureau à distance, les réinstallations et les règles du Pare-feu Windows |

## Comment sécuriser le Bureau à distance, étape par étape ?

Sept étapes, dans cet ordre, sur un VPS Windows Server 2022 ou 2025 neuf. Les commandes suivent ci-dessous.

1. **Changer le mot de passe Administrator** — Appuyez sur Ctrl+Alt+Fin dans la fenêtre Bureau à distance et sélectionnez Changer un mot de passe, ou exécutez net user Administrator * en tant qu'administrateur.
2. **Installer les mises à jour Windows** — Exécutez SConfig dans PowerShell, tapez 6, puis 1 pour toutes les mises à jour de qualité et A pour les installer. Redémarrez lorsque demandé.
3. **Garder l'authentification au niveau du réseau activée** — Dans SConfig, tapez 7, E, puis 1 pour n'accepter que les clients qui utilisent l'authentification au niveau du réseau.
4. **Définir une politique de verrouillage de compte** — Dans secpol.msc, ouvrez Stratégies de compte > Stratégie de verrouillage du compte. Réglez le seuil à 10 et activez Autoriser le verrouillage du compte Administrator.
5. **Autoriser le Bureau à distance uniquement depuis votre IP** — Exécutez Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress YOUR_IP dans PowerShell en tant qu'administrateur, puis testez une nouvelle connexion.
6. **Facultatif : changer le port** — Définissez PortNumber sous la clé de registre RDP-Tcp, autorisez le nouveau port dans le pare-feu, redémarrez et connectez-vous à IP:port.
7. **Vérifier les connexions échouées** — Consultez l'Event ID 4625 dans le journal de sécurité quelques jours plus tard. Après l'étape 5, les échecs venant d'inconnus cessent.

## Comment changer le mot de passe Administrator sur un VPS Windows ?

Changez-le à votre première connexion, car le mot de passe temporaire a été affiché dans votre tableau de bord. Vous vous connectez en tant qu'Administrator via Remote Desktop sur le port 3389 ; le mot de passe temporaire apparaît dans votre tableau de bord et vous le changez à la première connexion.

Dans la fenêtre Bureau à distance, appuyez sur **Ctrl+Alt+Fin**. Cela ouvre l'écran **Sécurité Windows** du serveur, comme Ctrl+Alt+Suppr sur un PC local. Sélectionnez **Changer un mot de passe**. Depuis une invite de commandes, l'une ou l'autre des commandes ci-dessous fonctionne.

Utilisez un mot de passe aléatoire de 16 caractères ou plus, conservé dans un gestionnaire de mots de passe. La page de stratégie de Microsoft fixe le minimum à 8 caractères ; un serveur exposé à internet mérite mieux. Aucun membre de notre équipe ne vous demandera jamais votre numéro de compte ni votre mot de passe Administrateur, que ce soit par e-mail ou dans un chat.

*Changer le mot de passe Administrator (exécuter en tant qu'administrateur)*

```powershell
# Prompts twice for the new password; nothing appears on screen
net user Administrator *

# PowerShell equivalent
$Password = Read-Host -AsSecureString
Set-LocalUser -Name "Administrator" -Password $Password
```

## Comment installer les mises à jour Windows sur Windows Server 2022 et 2025 ?

Utilisez SConfig, l'outil Server Configuration de Microsoft, qui fonctionne aussi sur les serveurs avec Desktop Experience. Ouvrez PowerShell en administrateur et tapez `SConfig`.

- **Installer maintenant :** option `6` (**Install updates**), puis `1` pour toutes les mises à jour qualité, puis `A` pour toutes les installer.
- **Installer automatiquement :** option `5` (**Update setting**), puis `A`. Windows vérifie alors les mises à jour et les installe chaque jour à 3:00, heure du serveur. La valeur par défaut, `D`, ne fait que les télécharger.

Windows Server 2022 reçoit les mises à jour de sécurité jusqu'au 14 octobre 2031, et Windows Server 2025 jusqu'au 14 novembre 2034.

**Windows Server 2012 R2 est sorti du support étendu le 10 octobre 2023, et ses Extended Security Updates payantes ont pris fin le 13 octobre 2026.** La vérification du Onyxpane du 30 octobre 2026 le trouvait encore en vente. L'offre 2 GB de Cloudzy et la « VPS Hosting 1 » de 1Gbits ne font tourner que Windows Server 2012 ou 2012 R2.

*Mises à jour Windows avec SConfig*

```powershell
# PowerShell as administrator
SConfig
# 6 = Install updates  > 1 = all quality updates > A = install all
# 5 = Update setting   > A = automatic (checks and installs daily at 3:00 AM)
```

## Comment vérifier que Network Level Authentication est activée ?

Network Level Authentication (NLA) oblige l'utilisateur à s'authentifier avant que Windows ne crée la session distante. Microsoft Learn recommande de la laisser activée dans la plupart des environnements. Les commandes ci-dessous affichent le paramètre et l'activent si nécessaire.

Trois autres chemins mènent au même paramètre :

- **SConfig :** option `7`, `E`, puis `1` (clients avec Network Level Authentication uniquement).
- **Propriétés système :** lancez `sysdm.cpl`, ouvrez l'onglet **Bureau à distance** et cochez **Autoriser les connexions uniquement à partir d'ordinateurs exécutant le Bureau à distance avec authentification au niveau du réseau**.
- **Stratégie de groupe :** dans `gpedit.msc`, activez **Exiger l'authentification de l'utilisateur pour les connexions à distance à l'aide de l'authentification au niveau du réseau**. Elle se trouve sous **Configuration ordinateur** > **Modèles d'administration** > **Composants Windows** > **Services Bureau à distance** > **Hôte de session Bureau à distance** > **Sécurité**.

Si un ancien client ne peut plus se connecter ensuite, mettez le client à jour plutôt que de désactiver NLA.

*Vérifier et activer NLA (PowerShell en administrateur)*

```powershell
# 1 = NLA required, 0 = not required
$ts = Get-CimInstance -Namespace root/cimv2/TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-Tcp'"
$ts.UserAuthenticationRequired

# Turn it on if the line above printed 0
Invoke-CimMethod -InputObject $ts -MethodName SetUserAuthenticationRequired -Arguments @{ UserAuthenticationRequired = 1 }
```

## Comment définir une politique de verrouillage de compte qui couvre Administrator ?

Définissez un seuil de 10 échecs de connexion et activez **Allow Administrator account lockout**. Sans ce second paramètre, la politique de verrouillage ignore le compte Administrator intégré, le seul nom de compte que tout attaquant connaît déjà.

**Sur Windows Server, le compte Administrator intégré est exclu du seuil de verrouillage de compte à moins que Allow Administrator account lockout soit activé.**

1. Lancez `secpol.msc` pour ouvrir **Stratégie de sécurité locale**.
2. Allez dans **Paramètres de sécurité** > **Stratégies de compte** > **Stratégie de verrouillage du compte**.
3. Réglez **Seuil de verrouillage du compte** sur `10` tentatives de connexion invalides, la valeur suggérée par les baselines de sécurité Windows.
4. Réglez **Durée de verrouillage du compte** et **Réinitialiser le compteur de verrouillage du compte après** sur `10` minutes. La durée doit être au moins aussi longue que le délai de réinitialisation.
5. Réglez **Allow Administrator account lockout** sur **Activé**. Sur Windows Server 2022, il est arrivé avec la mise à jour cumulative du 11 octobre 2022.

Une politique de verrouillage a un coût : quiconque connaît le nom du compte peut le verrouiller pendant 10 minutes. L'étape 5, la liste d'autorisation du pare-feu, élimine ce risque, car les inconnus n'atteignent plus l'écran de connexion.

## Comment autoriser le Bureau à distance uniquement depuis mon adresse IP ?

Limitez les règles de pare-feu **Bureau à distance** intégrées à votre propre adresse IP publique. Windows crée ces règles quand le Bureau à distance est activé, pour TCP et pour UDP. Après la modification, le serveur rejette les tentatives de connexion de toutes les autres adresses.

**Un port Bureau à distance ouvert à tout Internet invite à la devinette de mot de passe ; une liste d'autorisation avec votre propre IP l'arrête avant l'écran de connexion.**

Vérifiez d'abord votre IP publique. Gardez cette session ouverte et testez depuis une seconde fenêtre Bureau à distance. Si votre IP domestique change souvent, autorisez la plage de votre fournisseur au format CIDR, par exemple `203.0.113.0/24`, ou ajoutez une seconde adresse.

À la souris : lancez `wf.msc` et sélectionnez **Règles de trafic entrant**. Ouvrez chaque règle du groupe **Bureau à distance**, allez dans l'onglet **Portée**, et ajoutez votre adresse sous **Adresse IP distante** > **Ces adresses IP**. Si une autre règle entrante ouvre aussi le port 3389, limitez-la ou désactivez-la également.

Si vous vous verrouillez dehors, écrivez au support avant toute autre chose : Une personne répond aux e-mails du support sous 12 heures, sept jours sur sept, y compris pour l'aide aux connexions Bureau à distance, les réinstallations et les règles du Pare-feu Windows. Le redémarrage, la réinstallation et la suppression se demandent depuis votre tableau de bord et sont effectués par l'équipe ; une réinstallation efface le disque et s'accompagne d'un nouveau mot de passe Administrator.

*Autoriser le Bureau à distance depuis une seule adresse (PowerShell en administrateur)*

```powershell
# Replace 198.51.100.7 with your own public IPv4 address
Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 198.51.100.7

# Several addresses or a whole range also work:
# -RemoteAddress 198.51.100.7, 203.0.113.0/24

# Check the result
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Get-NetFirewallAddressFilter
```

## Dois-je changer le port du Bureau à distance, 3389 ?

C'est facultatif, et ce n'est pas un contrôle de sécurité à lui seul. Un nouveau port cache le serveur aux scans visant uniquement le port 3389 ; un scan de tous les ports le trouve quand même. La liste d'autorisation de l'étape 5 fait bien plus.

Si vous le changez quand même, suivez l'ordre de Microsoft :

1. Définissez le nouveau `PortNumber` sous `HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp`.
2. Ajoutez des règles de pare-feu entrantes pour le nouveau port, TCP et UDP, limitées à votre IP.
3. Redémarrez le serveur, puis connectez-vous à `IP:port`, par exemple `198.51.100.20:3390`.
4. Une fois le nouveau port fonctionnel, désactivez les anciennes règles **Bureau à distance**.

Les détails de connexion du Onyxpane supposent le port 3389, alors notez votre nouveau port quelque part de sûr. Choisissez un port qu'aucun autre programme du serveur n'utilise.

*Déplacer le Bureau à distance vers le port 3390 (PowerShell en administrateur)*

```powershell
# Microsoft Learn steps, with -RemoteAddress added and -Profile Any
# (Microsoft's example uses -Profile Public)
$portValue = 3390
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'PortNumber' -Value $portValue
New-NetFirewallRule -DisplayName 'RDPPORTLatest-TCP-In' -Profile Any -Direction Inbound -Action Allow -Protocol TCP -LocalPort $portValue -RemoteAddress 198.51.100.7
New-NetFirewallRule -DisplayName 'RDPPORTLatest-UDP-In' -Profile Any -Direction Inbound -Action Allow -Protocol UDP -LocalPort $portValue -RemoteAddress 198.51.100.7
Restart-Computer

# Only after you have connected on the new port:
Disable-NetFirewallRule -DisplayGroup "Remote Desktop"
```

## Comment voir les échecs de connexion au Bureau à distance ?

Windows enregistre chaque échec de connexion dans le journal Sécurité sous l'Event ID 4625, « An account failed to log on », quand l'audit des connexions est activé. L'événement indique le compte et l'adresse réseau d'où vient la tentative. Après l'étape 5, les échecs venant d'inconnus devraient cesser.

Ce journal est écrit dans votre propre serveur, et c'est vous qui décidez de le conserver, de l'exporter ou de l'effacer.

*Échecs de connexion (exécuter en administrateur)*

```powershell
# Is failure auditing on for logons?
auditpol /get /subcategory:"Logon"

# Turn it on if needed
auditpol /set /subcategory:"Logon" /failure:enable

# The 20 latest failed sign-ins
Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4625 } -MaxEvents 20
```

## De quoi s'occupe Onyxpane, et quel est mon rôle ?

Onyxpane fournit un Windows Server frais, et tout ce qu'il contient est à vous d'exploiter.

- **Réseau :** Le port sortant 25 (SMTP) est fermé sur chaque serveur pour empêcher le spam, et il le reste. Les ports 465 et 587 vers les fournisseurs de messagerie restent ouverts. Aucune protection DDoS n'est promise au-delà de ce que fait par défaut le réseau du datacenter.
- **Sauvegardes :** Aucune sauvegarde automatique n'est incluse : gardez vos propres copies de tout ce qui compte.
- **Données :** Aucun journal : nous ne conservons aucun journal de connexion, aucun journal de trafic et aucune adresse IP de visiteurs ou de clients, ni sur le site web, ni dans le tableau de bord, ni sur le serveur. DMCA ignoré : nous ne donnons pas suite aux notifications DMCA ni aux autres notifications de droits d'auteur étrangères. Nous ne répondons qu'à la loi panaméenne et aux ordonnances des tribunaux panaméens.

Selon la vérification du Onyxpane du 30 octobre 2026, 9 des 40 hôtes Windows sont livrés avec un Windows d'essai, d'évaluation ou en bring-your-own-license. The Windows Server license is included in the price: no extra license fee. Chaque offre est détaillée sur [combien coûte un RDP Windows chez Onyxpane](https://onyxpane.com/fr/pricing/ "Onyxpane plans and prices").

Pour une vue d'ensemble, lisez [est-il sûr d'utiliser un RDP Windows acheté](https://onyxpane.com/fr/is-rdp-safe/ "What a host can see, and what a hacked RDP is"). Pour vous connecter la première fois, voir [comment me connecter à un RDP Windows depuis Windows](https://onyxpane.com/fr/how-to-connect-to-rdp/ "Remote Desktop Connection and Windows App, step by step"). Les traders qui font tourner MetaTrader en continu devraient aussi lire [quel est le meilleur RDP Windows ou VPS pour le trading forex](https://onyxpane.com/fr/best-rdp-for-forex-trading/ "Windows VPS for MT4 and MT5 near London and New York").

## Sécuriser le Bureau à distance : FAQ

### Le RDP est-il sûr sur Internet ?

Oui, une fois NLA activée, le mot de passe solide et seul votre IP capable d'atteindre le port. Le port 3389 ouvert à tout le monde est une cible courante pour la devinette de mot de passe, et les étapes ci-dessus ferment cette porte.

### Changer le port RDP suffit-il à le sécuriser ?

Non. Un nouveau port ne cache le serveur que des scans visant le port 3389. Restreindre la règle de pare-feu à votre propre IP, étape 5, fait bien plus.

### Puis-je ajouter l'authentification à deux facteurs au Bureau à distance ?

La voie documentée par Microsoft est Remote Desktop Gateway avec l'extension NPS pour l'authentification multifacteur Microsoft Entra. Elle nécessite un tenant Microsoft Entra ID et un serveur passerelle, donc elle convient davantage aux entreprises qu'à un seul VPS. Pour un serveur unique, la liste d'autorisation IP apporte l'essentiel du bénéfice.

### Que se passe-t-il si je me verrouille dehors ?

Un verrouillage avec les paramètres ci-dessus se termine tout seul au bout de 10 minutes. Une erreur de pare-feu, non, alors écrivez d'abord au support : Une personne répond aux e-mails du support sous 12 heures, sept jours sur sept, y compris pour l'aide aux connexions Bureau à distance, les réinstallations et les règles du Pare-feu Windows. Une réinstallation est le dernier recours, car elle efface le disque.

### Onyxpane peut-il voir mon mot de passe Administrator ?

Uniquement le mot de passe temporaire, et seulement jusqu'à ce que vous le changiez. Aucun membre de notre équipe ne vous demandera jamais votre numéro de compte ni votre mot de passe Administrateur, que ce soit par e-mail ou dans un chat.

**Partir d'un Windows Server frais** Windows Server 2022 ou 2025 avec accès Administrator complet, à partir de 6,74 $US par 30 jours, licence Windows incluse. Sans KYC, crypto uniquement. [Obtenir un RDP 4 à Amsterdam](https://onyxpane.com/app/checkout/?plan=rdp-4&location=nl-ams&lang=fr) · [Comparer toutes les offres](https://onyxpane.com/fr/pricing/ "Combien coûte un RDP Windows chez Onyxpane ?")

## Sources

1. [Raccourcis clavier des Services Bureau à distance](https://learn.microsoft.com/en-us/windows/win32/termserv/terminal-services-shortcut-keys) — Microsoft Learn (read 2026-10-30)
2. [net user](https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/net-user) — Microsoft Learn (read 2026-10-30)
3. [Set-LocalUser](https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.localaccounts/set-localuser?view=powershell-5.1) — Microsoft Learn (read 2026-10-30)
4. [Longueur minimale du mot de passe](https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-10/security/threat-protection/security-policy-settings/minimum-password-length) — Microsoft Learn (read 2026-10-30)
5. [Configurer une installation Server Core avec SConfig (mises à jour, Bureau à distance)](https://learn.microsoft.com/en-us/windows-server/administration/server-core/server-core-sconfig) — Microsoft Learn (read 2026-10-30)
6. [Cycle de vie de Windows Server 2022](https://learn.microsoft.com/en-us/lifecycle/products/windows-server-2022) — Microsoft Learn (read 2026-10-30)
7. [Cycle de vie de Windows Server 2025](https://learn.microsoft.com/en-us/lifecycle/products/windows-server-2025) — Microsoft Learn (read 2026-10-30)
8. [Cycle de vie de Windows Server 2012 R2](https://learn.microsoft.com/en-us/lifecycle/products/windows-server-2012-r2) — Microsoft Learn (read 2026-10-30)
9. [Activer le Bureau à distance sur votre PC (authentification au niveau du réseau)](https://learn.microsoft.com/en-us/windows-server/remote/remote-desktop-services/remotepc/remote-desktop-allow-access) — Microsoft Learn (read 2026-10-30)
10. [Classe Win32_TSGeneralSetting](https://learn.microsoft.com/en-us/windows/win32/termserv/win32-tsgeneralsetting) — Microsoft Learn (read 2026-10-30)
11. [CSP de stratégie RemoteDesktopServices (chemin de stratégie NLA)](https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp-remotedesktopservices) — Microsoft Learn (read 2026-10-30)
12. [Configurer les paramètres de stratégie de sécurité (secpol.msc)](https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-10/security/threat-protection/security-policy-settings/how-to-configure-security-policy-settings) — Microsoft Learn (read 2026-10-30)
13. [Seuil de verrouillage du compte](https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-10/security/threat-protection/security-policy-settings/account-lockout-threshold) — Microsoft Learn (read 2026-10-30)
14. [KB5020282 : verrouillage de compte disponible pour les administrateurs locaux intégrés](https://support.microsoft.com/en-us/topic/kb5020282-account-lockout-available-for-local-administrators-bce45c4d-f28d-43ad-b6fe-70156cb2dc00) — Microsoft Support (read 2026-10-30)
15. [CSP de stratégie DeviceLock (Allow Administrator account lockout)](https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp-devicelock) — Microsoft Learn (read 2026-10-30)
16. [Outils du pare-feu Windows (wf.msc, règles du Bureau à distance)](https://learn.microsoft.com/en-us/windows/security/operating-system-security/network-security/windows-firewall/tools) — Microsoft Learn (read 2026-10-30)
17. [Set-NetFirewallRule](https://learn.microsoft.com/en-us/powershell/module/netsecurity/set-netfirewallrule) — Microsoft Learn (read 2026-10-30)
18. [Changer le port d'écoute du Bureau à distance](https://learn.microsoft.com/en-us/windows-server/remote/remote-desktop-services/remotepc/change-listening-port) — Microsoft Learn (read 2026-10-30)
19. [New-NetFirewallRule](https://learn.microsoft.com/en-us/powershell/module/netsecurity/new-netfirewallrule) — Microsoft Learn (read 2026-10-30)
20. [4625(F) : échec de connexion d'un compte](https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-10/security/threat-protection/auditing/event-4625) — Microsoft Learn (read 2026-10-30)
21. [auditpol get](https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/auditpol-get) — Microsoft Learn (read 2026-10-30)
22. [auditpol set](https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/auditpol-set) — Microsoft Learn (read 2026-10-30)
23. [Intégrer RDG à l'authentification multifacteur Microsoft Entra via l'extension NPS](https://learn.microsoft.com/en-us/entra/identity/authentication/howto-mfa-nps-extension-rdg) — Microsoft Learn (read 2026-10-30)

---

Onyxpane: Onyxpane vend des VPS Windows Server avec un accès complet au Bureau à distance en tant qu'Administrateur à New York, Londres, Amsterdam et Francfort, payables en crypto sans KYC : pas de pièce d'identité, pas de selfie, pas de documents. La licence Windows est incluse. Le service est exploité par DomaineGoat LLC, une société enregistrée au Panama qui ignore les notifications DMCA, ne répond que devant la loi panaméenne et ne conserve aucun journal. Chaque offre coûte au moins 25 % de moins que l'offre comparable la moins chère parmi 17 hébergeurs Windows crypto sans KYC vérifiés le 30 octobre 2026.