Como protejo a Área de Trabalho Remota em um VPS Windows?

Como altero a senha do Administrador em um VPS Windows?

Altere-a no primeiro login, porque a senha temporária foi exibida no seu painel. Você entra como Administrator via Remote Desktop na porta 3389; a senha temporária aparece no seu dashboard e você a altera no primeiro login.

Na janela da Área de Trabalho Remota, pressione Ctrl+Alt+End. Ele abre a tela Segurança do Windows do servidor, como Ctrl+Alt+Del em um PC local. Selecione Alterar uma senha. Em um prompt, qualquer um dos comandos abaixo funciona.

Use uma senha aleatória de 16 caracteres ou mais, guardada em um gerenciador de senhas. A página de políticas da Microsoft define o mínimo em 8 caracteres; um servidor exposto à internet merece mais. Ninguém da nossa equipe vai pedir o número da sua conta ou sua senha de Administrador, por e-mail ou em um chat.

# Prompts twice for the new password; nothing appears on screen
net user Administrator *

# PowerShell equivalent
$Password = Read-Host -AsSecureString
Set-LocalUser -Name "Administrator" -Password $Password

Como instalo as atualizações do Windows no Windows Server 2022 e 2025?

Use o SConfig, a ferramenta de Configuração do Servidor da Microsoft, que também roda em servidores com Desktop Experience. Abra o PowerShell como administrador e digite SConfig.

• Instalar agora: opção 6 (Install updates), depois 1 para todas as atualizações de qualidade e, em seguida, A para instalar todas elas.
• Instalar automaticamente: opção 5 (Update setting), depois A. O Windows passa a verificar e instalar atualizações todos os dias às 3:00 da manhã, horário do servidor. O padrão, D, apenas as baixa.

O Windows Server 2022 recebe atualizações de segurança até 14 de outubro de 2031, e o Windows Server 2025 até 14 de novembro de 2034.

O Windows Server 2012 R2 saiu do suporte estendido em 10 de outubro de 2023, e suas Atualizações de Segurança Estendidas pagas terminaram em 13 de outubro de 2026. A verificação da Onyxpane em 30 de outubro de 2026 ainda o encontrou à venda. O plano de 2 GB da Cloudzy e o "VPS Hosting 1" da 1Gbits rodam apenas Windows Server 2012 ou 2012 R2.

# PowerShell as administrator
SConfig
# 6 = Install updates  > 1 = all quality updates > A = install all
# 5 = Update setting   > A = automatic (checks and installs daily at 3:00 AM)

Como verifico se a Autenticação em Nível de Rede está ativada?

A Autenticação em Nível de Rede (NLA) faz o usuário entrar antes de o Windows criar a sessão remota. O Microsoft Learn recomenda mantê-la ativada na maioria dos ambientes. Os comandos abaixo mostram a configuração e a ativam se necessário.

Três outros caminhos chegam à mesma configuração:

• SConfig: opção 7, E, depois 1 (somente clientes com Autenticação em Nível de Rede).
• Propriedades do Sistema: execute sysdm.cpl, abra a aba Remoto e marque Permitir conexões apenas de computadores que executam Área de Trabalho Remota com Autenticação em Nível de Rede.
• Diretiva de Grupo: em gpedit.msc, ative Exigir autenticação de usuário para conexões remotas usando Autenticação em Nível de Rede. Ela fica em Configuração do Computador > Modelos Administrativos > Componentes do Windows > Serviços de Área de Trabalho Remota > Host da Sessão da Área de Trabalho Remota > Segurança.

Se um cliente antigo não conseguir se conectar depois, atualize o cliente em vez de desativar a NLA.

# 1 = NLA required, 0 = not required
$ts = Get-CimInstance -Namespace root/cimv2/TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-Tcp'"
$ts.UserAuthenticationRequired

# Turn it on if the line above printed 0
Invoke-CimMethod -InputObject $ts -MethodName SetUserAuthenticationRequired -Arguments @{ UserAuthenticationRequired = 1 }

Como defino uma política de bloqueio de conta que cubra o Administrator?

Defina um limite de 10 tentativas de entrada malsucedidas e ative Permitir bloqueio da conta Administrator. Sem essa segunda configuração, a política de bloqueio ignora o Administrator interno, o único nome de conta que todo atacante já conhece.

No Windows Server, a conta Administrator interna fica fora do limite de bloqueio de conta, a menos que Permitir bloqueio da conta Administrator esteja ativado.

1. Execute secpol.msc para abrir a Política de Segurança Local.
2. Vá em Configurações de Segurança > Políticas de Conta > Política de Bloqueio de Conta.
3. Defina Limite de bloqueio de conta como 10 tentativas de entrada inválidas, o valor sugerido pelas linhas de base de segurança do Windows.
4. Defina Duração do bloqueio de conta e Redefinir contador de bloqueio de conta após como 10 minutos. A duração deve ser pelo menos igual ao tempo de redefinição.
5. Defina Permitir bloqueio da conta Administrator como Habilitado. No Windows Server 2022, ela chegou com a atualização cumulativa de 11 de outubro de 2022.

Uma política de bloqueio tem um custo: qualquer pessoa que saiba o nome da conta pode bloqueá-la por 10 minutos. A etapa 5, a lista de permissões do firewall, elimina esse risco, porque estranhos não chegam mais à tela de entrada.

Como permito a Área de Trabalho Remota apenas a partir do meu endereço IP?

Limite as regras de firewall internas da Área de Trabalho Remota ao seu próprio endereço IP público. O Windows cria essas regras quando a Área de Trabalho Remota é ativada, para TCP e para UDP. Depois da alteração, o servidor descarta tentativas de conexão de todos os outros endereços.

Uma porta da Área de Trabalho Remota aberta para toda a internet convida à adivinhação de senha; uma lista de permissões com o seu próprio IP a impede antes da tela de entrada.

Verifique primeiro o seu IP público. Mantenha esta sessão aberta e teste a partir de uma segunda janela de Área de Trabalho Remota. Se o seu IP residencial muda com frequência, permita a faixa do seu provedor em formato CIDR, como 203.0.113.0/24, ou adicione um segundo endereço.

Com o mouse: execute wf.msc e selecione Regras de Entrada. Abra cada regra do grupo Área de Trabalho Remota, vá à aba Escopo e adicione o seu endereço em Endereço IP remoto > Estes endereços IP. Se outra regra de entrada também abrir a porta 3389, restrinja-a ou desative-a também.

Se você se bloquear, escreva para o suporte antes de qualquer coisa: Uma pessoa responde aos e-mails de suporte em até 12 horas, sete dias por semana, incluindo ajuda com conexões de Área de Trabalho Remota, reinstalações e regras do Windows Firewall. Reiniciar, reinstalar e excluir são solicitados pelo seu dashboard e executados pela equipe; uma reinstalação apaga o disco e vem com uma nova senha do Administrator.

# Replace 198.51.100.7 with your own public IPv4 address
Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 198.51.100.7

# Several addresses or a whole range also work:
# -RemoteAddress 198.51.100.7, 203.0.113.0/24

# Check the result
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Get-NetFirewallAddressFilter

Devo mudar a porta da Área de Trabalho Remota de 3389?

É opcional, e não é um controle de segurança por si só. Uma nova porta esconde o servidor de varreduras voltadas apenas à porta 3389; uma varredura de todas as portas ainda o encontra. A lista de permissões da etapa 5 faz muito mais.

Se você mudar mesmo assim, siga a ordem da Microsoft:

1. Defina a nova PortNumber em HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp.
2. Adicione regras de firewall de entrada para a nova porta, TCP e UDP, limitadas ao seu IP.
3. Reinicie o servidor e conecte-se a IP:port, por exemplo 198.51.100.20:3390.
4. Depois que a nova porta funcionar, desative as antigas regras da Área de Trabalho Remota.

Os detalhes de conexão da Onyxpane assumem a porta 3389, então anote a sua nova porta em algum lugar seguro. Escolha uma porta que nenhum outro programa do servidor use.

# Microsoft Learn steps, with -RemoteAddress added and -Profile Any
# (Microsoft's example uses -Profile Public)
$portValue = 3390
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'PortNumber' -Value $portValue
New-NetFirewallRule -DisplayName 'RDPPORTLatest-TCP-In' -Profile Any -Direction Inbound -Action Allow -Protocol TCP -LocalPort $portValue -RemoteAddress 198.51.100.7
New-NetFirewallRule -DisplayName 'RDPPORTLatest-UDP-In' -Profile Any -Direction Inbound -Action Allow -Protocol UDP -LocalPort $portValue -RemoteAddress 198.51.100.7
Restart-Computer

# Only after you have connected on the new port:
Disable-NetFirewallRule -DisplayGroup "Remote Desktop"

Como vejo tentativas de entrada malsucedidas na Área de Trabalho Remota?

O Windows registra cada tentativa de entrada malsucedida no log de Segurança como Event ID 4625, "Falha na entrada de uma conta", quando a auditoria de logon está ativada. O evento informa a conta e o endereço de rede de onde veio a tentativa. Depois da etapa 5, as falhas de estranhos devem parar.

Este log é gravado dentro do seu próprio servidor, e você decide se quer mantê-lo, exportá-lo ou limpá-lo.

# Is failure auditing on for logons?
auditpol /get /subcategory:"Logon"

# Turn it on if needed
auditpol /set /subcategory:"Logon" /failure:enable

# The 20 latest failed sign-ins
Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4625 } -MaxEvents 20

O que a Onyxpane cuida, e qual é o meu trabalho?

A Onyxpane entrega um Windows Server novo, e tudo dentro dele é seu para administrar.

• Rede: A porta de saída 25 (SMTP) fica fechada em todo servidor para conter spam, e continua fechada. As portas 465 e 587 para provedores de e-mail continuam abertas. Nenhuma proteção DDoS é prometida além do que a rede do datacenter faz por padrão.
• Backups: Nenhum backup automático está incluído: mantenha suas próprias cópias de tudo o que for importante.
• Dados: Sem logs: não mantemos logs de conexão, logs de tráfego nem endereços IP de visitantes ou clientes, no site, no dashboard ou no servidor. DMCA ignorado: não agimos com base em notificações de DMCA ou outras notificações de direitos autorais estrangeiras. Respondemos apenas à lei panamenha e a ordens de tribunais panamenhos.

Segundo a verificação da Onyxpane em 30 de outubro de 2026, 9 de 40 hosts Windows vêm com Windows de avaliação, trial ou bring-your-own-license. The Windows Server license is included in the price: no extra license fee. Todos os planos estão em quanto custa um RDP Windows na Onyxpane.

Para o panorama geral, leia é seguro usar um RDP Windows comprado. Para se conectar pela primeira vez, veja como me conecto a um RDP Windows a partir do Windows. Traders que rodam o MetaTrader sem parar também devem ler qual é o melhor RDP Windows ou VPS para trading de forex.