# Como protejo a Área de Trabalho Remota em um VPS Windows?

> Como protejo o RDP em um VPS Windows? 7 passos: senha, atualizações, NLA, bloqueio, IPs permitidos, porta. Onyxpane a partir de US$ 6,74, sem KYC, cripto.

- URL: https://onyxpane.com/pt/how-to-secure-rdp/
- Última atualização: 2026-10-30
- Editor: Onyxpane (https://onyxpane.com)

Sete passos para Windows Server 2022 e 2025, cada um com os nomes de menu e comandos PowerShell documentados pelo Microsoft Learn, consultados em 30 de outubro de 2026.

**Resposta rápida — Como protejo a Área de Trabalho Remota em um VPS Windows?**

Para proteger a Área de Trabalho Remota em um VPS Windows, altere a senha do Administrador, instale atualizações, mantenha a Autenticação em Nível de Rede ativada e defina uma política de bloqueio. Depois, permita a Área de Trabalho Remota apenas a partir do seu próprio IP no Windows Defender Firewall. Alterar a porta 3389 é opcional e esconde pouco. **Onyxpane** VPS Windows a partir de US$ 6,74 por 30 dias. Sem KYC, pagamento em cripto.

## Do que preciso antes de começar?

| Atributo | Valor |
| --- | --- |
| Servidor | Windows Server 2022 e Windows Server 2025, edição Standard, em inglês. Nada de Windows 10 ou 11 desktop |
| Acesso | Você entra como Administrator via Remote Desktop na porta 3389; a senha temporária aparece no seu dashboard e você a altera no primeiro login |
| Ferramentas | PowerShell executado como administrador, SConfig, Política de Segurança Local (`secpol.msc`) e Windows Defender Firewall com Segurança Avançada (`wf.msc`) |
| Seu endereço IP | O endereço IPv4 público da sua conexão residencial ou do escritório |
| Se você se trancar para fora | Uma pessoa responde aos e-mails de suporte em até 12 horas, sete dias por semana, incluindo ajuda com conexões de Área de Trabalho Remota, reinstalações e regras do Windows Firewall |

## Como protejo a Área de Trabalho Remota, passo a passo?

Sete passos, nesta ordem, em um VPS Windows Server 2022 ou 2025 recém-instalado. Os comandos estão abaixo.

1. **Altere a senha do Administrador** — Pressione Ctrl+Alt+End na janela da Área de Trabalho Remota e selecione Alterar uma senha, ou execute net user Administrator * como administrador.
2. **Instale as atualizações do Windows** — Execute SConfig no PowerShell, digite 6, depois 1 para todas as atualizações de qualidade e A para instalá-las. Reinicie quando solicitado.
3. **Mantenha a Autenticação em Nível de Rede ativada** — No SConfig, digite 7, E e depois 1 para aceitar apenas clientes que usam Autenticação em Nível de Rede.
4. **Defina uma política de bloqueio de conta** — Em secpol.msc, abra Políticas de Conta > Política de Bloqueio de Conta. Defina o limite para 10 e ative Permitir bloqueio da conta Administrador.
5. **Permita a Área de Trabalho Remota apenas a partir do seu IP** — Execute Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress YOUR_IP no PowerShell como administrador e depois teste uma nova conexão.
6. **Opcional: altere a porta** — Defina PortNumber na chave de registro RDP-Tcp, permita a nova porta no firewall, reinicie e conecte-se a IP:port.
7. **Verifique as tentativas de login com falha** — Leia o Event ID 4625 no log de Segurança alguns dias depois. Após o passo 5, as falhas vindas de estranhos param.

## Como altero a senha do Administrador em um VPS Windows?

Altere-a no primeiro login, porque a senha temporária foi exibida no seu painel. Você entra como Administrator via Remote Desktop na porta 3389; a senha temporária aparece no seu dashboard e você a altera no primeiro login.

Na janela da Área de Trabalho Remota, pressione **Ctrl+Alt+End**. Ele abre a tela **Segurança do Windows** do servidor, como Ctrl+Alt+Del em um PC local. Selecione **Alterar uma senha**. Em um prompt, qualquer um dos comandos abaixo funciona.

Use uma senha aleatória de 16 caracteres ou mais, guardada em um gerenciador de senhas. A página de políticas da Microsoft define o mínimo em 8 caracteres; um servidor exposto à internet merece mais. Ninguém da nossa equipe vai pedir o número da sua conta ou sua senha de Administrador, por e-mail ou em um chat.

*Alterar a senha do Administrador (executar como administrador)*

```powershell
# Prompts twice for the new password; nothing appears on screen
net user Administrator *

# PowerShell equivalent
$Password = Read-Host -AsSecureString
Set-LocalUser -Name "Administrator" -Password $Password
```

## Como instalo as atualizações do Windows no Windows Server 2022 e 2025?

Use o SConfig, a ferramenta de Configuração do Servidor da Microsoft, que também roda em servidores com Desktop Experience. Abra o PowerShell como administrador e digite `SConfig`.

- **Instalar agora:** opção `6` (**Install updates**), depois `1` para todas as atualizações de qualidade e, em seguida, `A` para instalar todas elas.
- **Instalar automaticamente:** opção `5` (**Update setting**), depois `A`. O Windows passa a verificar e instalar atualizações todos os dias às 3:00 da manhã, horário do servidor. O padrão, `D`, apenas as baixa.

O Windows Server 2022 recebe atualizações de segurança até 14 de outubro de 2031, e o Windows Server 2025 até 14 de novembro de 2034.

**O Windows Server 2012 R2 saiu do suporte estendido em 10 de outubro de 2023, e suas Atualizações de Segurança Estendidas pagas terminaram em 13 de outubro de 2026.** A verificação da Onyxpane em 30 de outubro de 2026 ainda o encontrou à venda. O plano de 2 GB da Cloudzy e o "VPS Hosting 1" da 1Gbits rodam apenas Windows Server 2012 ou 2012 R2.

*Atualizações do Windows com o SConfig*

```powershell
# PowerShell as administrator
SConfig
# 6 = Install updates  > 1 = all quality updates > A = install all
# 5 = Update setting   > A = automatic (checks and installs daily at 3:00 AM)
```

## Como verifico se a Autenticação em Nível de Rede está ativada?

A Autenticação em Nível de Rede (NLA) faz o usuário entrar antes de o Windows criar a sessão remota. O Microsoft Learn recomenda mantê-la ativada na maioria dos ambientes. Os comandos abaixo mostram a configuração e a ativam se necessário.

Três outros caminhos chegam à mesma configuração:

- **SConfig:** opção `7`, `E`, depois `1` (somente clientes com Autenticação em Nível de Rede).
- **Propriedades do Sistema:** execute `sysdm.cpl`, abra a aba **Remoto** e marque **Permitir conexões apenas de computadores que executam Área de Trabalho Remota com Autenticação em Nível de Rede**.
- **Diretiva de Grupo:** em `gpedit.msc`, ative **Exigir autenticação de usuário para conexões remotas usando Autenticação em Nível de Rede**. Ela fica em **Configuração do Computador** > **Modelos Administrativos** > **Componentes do Windows** > **Serviços de Área de Trabalho Remota** > **Host da Sessão da Área de Trabalho Remota** > **Segurança**.

Se um cliente antigo não conseguir se conectar depois, atualize o cliente em vez de desativar a NLA.

*Verificar e ativar a NLA (PowerShell como administrador)*

```powershell
# 1 = NLA required, 0 = not required
$ts = Get-CimInstance -Namespace root/cimv2/TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-Tcp'"
$ts.UserAuthenticationRequired

# Turn it on if the line above printed 0
Invoke-CimMethod -InputObject $ts -MethodName SetUserAuthenticationRequired -Arguments @{ UserAuthenticationRequired = 1 }
```

## Como defino uma política de bloqueio de conta que cubra o Administrator?

Defina um limite de 10 tentativas de entrada malsucedidas e ative **Permitir bloqueio da conta Administrator**. Sem essa segunda configuração, a política de bloqueio ignora o Administrator interno, o único nome de conta que todo atacante já conhece.

**No Windows Server, a conta Administrator interna fica fora do limite de bloqueio de conta, a menos que Permitir bloqueio da conta Administrator esteja ativado.**

1. Execute `secpol.msc` para abrir a **Política de Segurança Local**.
2. Vá em **Configurações de Segurança** > **Políticas de Conta** > **Política de Bloqueio de Conta**.
3. Defina **Limite de bloqueio de conta** como `10` tentativas de entrada inválidas, o valor sugerido pelas linhas de base de segurança do Windows.
4. Defina **Duração do bloqueio de conta** e **Redefinir contador de bloqueio de conta após** como `10` minutos. A duração deve ser pelo menos igual ao tempo de redefinição.
5. Defina **Permitir bloqueio da conta Administrator** como **Habilitado**. No Windows Server 2022, ela chegou com a atualização cumulativa de 11 de outubro de 2022.

Uma política de bloqueio tem um custo: qualquer pessoa que saiba o nome da conta pode bloqueá-la por 10 minutos. A etapa 5, a lista de permissões do firewall, elimina esse risco, porque estranhos não chegam mais à tela de entrada.

## Como permito a Área de Trabalho Remota apenas a partir do meu endereço IP?

Limite as regras de firewall internas da **Área de Trabalho Remota** ao seu próprio endereço IP público. O Windows cria essas regras quando a Área de Trabalho Remota é ativada, para TCP e para UDP. Depois da alteração, o servidor descarta tentativas de conexão de todos os outros endereços.

**Uma porta da Área de Trabalho Remota aberta para toda a internet convida à adivinhação de senha; uma lista de permissões com o seu próprio IP a impede antes da tela de entrada.**

Verifique primeiro o seu IP público. Mantenha esta sessão aberta e teste a partir de uma segunda janela de Área de Trabalho Remota. Se o seu IP residencial muda com frequência, permita a faixa do seu provedor em formato CIDR, como `203.0.113.0/24`, ou adicione um segundo endereço.

Com o mouse: execute `wf.msc` e selecione **Regras de Entrada**. Abra cada regra do grupo **Área de Trabalho Remota**, vá à aba **Escopo** e adicione o seu endereço em **Endereço IP remoto** > **Estes endereços IP**. Se outra regra de entrada também abrir a porta 3389, restrinja-a ou desative-a também.

Se você se bloquear, escreva para o suporte antes de qualquer coisa: Uma pessoa responde aos e-mails de suporte em até 12 horas, sete dias por semana, incluindo ajuda com conexões de Área de Trabalho Remota, reinstalações e regras do Windows Firewall. Reiniciar, reinstalar e excluir são solicitados pelo seu dashboard e executados pela equipe; uma reinstalação apaga o disco e vem com uma nova senha do Administrator.

*Permitir a Área de Trabalho Remota a partir de um endereço (PowerShell como administrador)*

```powershell
# Replace 198.51.100.7 with your own public IPv4 address
Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 198.51.100.7

# Several addresses or a whole range also work:
# -RemoteAddress 198.51.100.7, 203.0.113.0/24

# Check the result
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Get-NetFirewallAddressFilter
```

## Devo mudar a porta da Área de Trabalho Remota de 3389?

É opcional, e não é um controle de segurança por si só. Uma nova porta esconde o servidor de varreduras voltadas apenas à porta 3389; uma varredura de todas as portas ainda o encontra. A lista de permissões da etapa 5 faz muito mais.

Se você mudar mesmo assim, siga a ordem da Microsoft:

1. Defina a nova `PortNumber` em `HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp`.
2. Adicione regras de firewall de entrada para a nova porta, TCP e UDP, limitadas ao seu IP.
3. Reinicie o servidor e conecte-se a `IP:port`, por exemplo `198.51.100.20:3390`.
4. Depois que a nova porta funcionar, desative as antigas regras da **Área de Trabalho Remota**.

Os detalhes de conexão da Onyxpane assumem a porta 3389, então anote a sua nova porta em algum lugar seguro. Escolha uma porta que nenhum outro programa do servidor use.

*Mover a Área de Trabalho Remota para a porta 3390 (PowerShell como administrador)*

```powershell
# Microsoft Learn steps, with -RemoteAddress added and -Profile Any
# (Microsoft's example uses -Profile Public)
$portValue = 3390
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'PortNumber' -Value $portValue
New-NetFirewallRule -DisplayName 'RDPPORTLatest-TCP-In' -Profile Any -Direction Inbound -Action Allow -Protocol TCP -LocalPort $portValue -RemoteAddress 198.51.100.7
New-NetFirewallRule -DisplayName 'RDPPORTLatest-UDP-In' -Profile Any -Direction Inbound -Action Allow -Protocol UDP -LocalPort $portValue -RemoteAddress 198.51.100.7
Restart-Computer

# Only after you have connected on the new port:
Disable-NetFirewallRule -DisplayGroup "Remote Desktop"
```

## Como vejo tentativas de entrada malsucedidas na Área de Trabalho Remota?

O Windows registra cada tentativa de entrada malsucedida no log de Segurança como Event ID 4625, "Falha na entrada de uma conta", quando a auditoria de logon está ativada. O evento informa a conta e o endereço de rede de onde veio a tentativa. Depois da etapa 5, as falhas de estranhos devem parar.

Este log é gravado dentro do seu próprio servidor, e você decide se quer mantê-lo, exportá-lo ou limpá-lo.

*Tentativas de entrada malsucedidas (executar como administrador)*

```powershell
# Is failure auditing on for logons?
auditpol /get /subcategory:"Logon"

# Turn it on if needed
auditpol /set /subcategory:"Logon" /failure:enable

# The 20 latest failed sign-ins
Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4625 } -MaxEvents 20
```

## O que a Onyxpane cuida, e qual é o meu trabalho?

A Onyxpane entrega um Windows Server novo, e tudo dentro dele é seu para administrar.

- **Rede:** A porta de saída 25 (SMTP) fica fechada em todo servidor para conter spam, e continua fechada. As portas 465 e 587 para provedores de e-mail continuam abertas. Nenhuma proteção DDoS é prometida além do que a rede do datacenter faz por padrão.
- **Backups:** Nenhum backup automático está incluído: mantenha suas próprias cópias de tudo o que for importante.
- **Dados:** Sem logs: não mantemos logs de conexão, logs de tráfego nem endereços IP de visitantes ou clientes, no site, no dashboard ou no servidor. DMCA ignorado: não agimos com base em notificações de DMCA ou outras notificações de direitos autorais estrangeiras. Respondemos apenas à lei panamenha e a ordens de tribunais panamenhos.

Segundo a verificação da Onyxpane em 30 de outubro de 2026, 9 de 40 hosts Windows vêm com Windows de avaliação, trial ou bring-your-own-license. The Windows Server license is included in the price: no extra license fee. Todos os planos estão em [quanto custa um RDP Windows na Onyxpane](https://onyxpane.com/pt/pricing/ "Onyxpane plans and prices").

Para o panorama geral, leia [é seguro usar um RDP Windows comprado](https://onyxpane.com/pt/is-rdp-safe/ "What a host can see, and what a hacked RDP is"). Para se conectar pela primeira vez, veja [como me conecto a um RDP Windows a partir do Windows](https://onyxpane.com/pt/how-to-connect-to-rdp/ "Remote Desktop Connection and Windows App, step by step"). Traders que rodam o MetaTrader sem parar também devem ler [qual é o melhor RDP Windows ou VPS para trading de forex](https://onyxpane.com/pt/best-rdp-for-forex-trading/ "Windows VPS for MT4 and MT5 near London and New York").

## Protegendo a Área de Trabalho Remota: FAQ

### A RDP é segura pela internet?

Sim, desde que a NLA esteja ativada, a senha seja forte e só o seu IP alcance a porta. A porta 3389 aberta para todos é um alvo comum de adivinhação de senha, e as etapas acima fecham essa porta.

### Mudar a porta da RDP basta para protegê-la?

Não. Uma nova porta só esconde o servidor de varreduras voltadas à porta 3389. Restringir a regra de firewall ao seu próprio IP, etapa 5, faz muito mais.

### Posso adicionar autenticação de dois fatores à Área de Trabalho Remota?

A rota documentada pela Microsoft é o Gateway de Área de Trabalho Remota com a extensão NPS para autenticação multifator do Microsoft Entra. Ela exige um tenant do Microsoft Entra ID e um servidor de gateway, então serve mais para empresas do que para um único VPS. Para um único servidor, a lista de permissões por IP oferece a maior parte do benefício.

### O que acontece se eu me bloquear?

Um bloqueio com as configurações acima termina sozinho após 10 minutos. Um erro de firewall não termina, então escreva para o suporte primeiro: Uma pessoa responde aos e-mails de suporte em até 12 horas, sete dias por semana, incluindo ajuda com conexões de Área de Trabalho Remota, reinstalações e regras do Windows Firewall. Uma reinstalação é o último recurso, porque apaga o disco.

### A Onyxpane consegue ver minha senha de Administrator?

Somente a temporária, e só até você alterá-la. Ninguém da nossa equipe vai pedir o número da sua conta ou sua senha de Administrador, por e-mail ou em um chat.

**Comece com um Windows Server novo** Windows Server 2022 ou 2025 com acesso total de Administrator, a partir de US$ 6,74 por 30 dias, licença do Windows incluída. Sem KYC, somente cripto. [Obter RDP 4 em Amsterdã](https://onyxpane.com/app/checkout/?plan=rdp-4&location=nl-ams&lang=pt) · [Comparar todos os planos](https://onyxpane.com/pt/pricing/ "Quanto custa um RDP Windows na Onyxpane?")

## Fontes

1. [Atalhos de teclado dos Serviços de Área de Trabalho Remota](https://learn.microsoft.com/en-us/windows/win32/termserv/terminal-services-shortcut-keys) — Microsoft Learn (read 2026-10-30)
2. [net user](https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/net-user) — Microsoft Learn (read 2026-10-30)
3. [Set-LocalUser](https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.localaccounts/set-localuser?view=powershell-5.1) — Microsoft Learn (read 2026-10-30)
4. [Comprimento mínimo da senha](https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-10/security/threat-protection/security-policy-settings/minimum-password-length) — Microsoft Learn (read 2026-10-30)
5. [Configurar uma instalação Server Core com o SConfig (atualizações, Área de Trabalho Remota)](https://learn.microsoft.com/en-us/windows-server/administration/server-core/server-core-sconfig) — Microsoft Learn (read 2026-10-30)
6. [Ciclo de vida do Windows Server 2022](https://learn.microsoft.com/en-us/lifecycle/products/windows-server-2022) — Microsoft Learn (read 2026-10-30)
7. [Ciclo de vida do Windows Server 2025](https://learn.microsoft.com/en-us/lifecycle/products/windows-server-2025) — Microsoft Learn (read 2026-10-30)
8. [Ciclo de vida do Windows Server 2012 R2](https://learn.microsoft.com/en-us/lifecycle/products/windows-server-2012-r2) — Microsoft Learn (read 2026-10-30)
9. [Ativar a Área de Trabalho Remota no seu PC (Network Level Authentication)](https://learn.microsoft.com/en-us/windows-server/remote/remote-desktop-services/remotepc/remote-desktop-allow-access) — Microsoft Learn (read 2026-10-30)
10. [classe Win32_TSGeneralSetting](https://learn.microsoft.com/en-us/windows/win32/termserv/win32-tsgeneralsetting) — Microsoft Learn (read 2026-10-30)
11. [RemoteDesktopServices Policy CSP (caminho da política NLA)](https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp-remotedesktopservices) — Microsoft Learn (read 2026-10-30)
12. [Configurar definições de política de segurança (secpol.msc)](https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-10/security/threat-protection/security-policy-settings/how-to-configure-security-policy-settings) — Microsoft Learn (read 2026-10-30)
13. [Limite de bloqueio de conta](https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-10/security/threat-protection/security-policy-settings/account-lockout-threshold) — Microsoft Learn (read 2026-10-30)
14. [KB5020282: bloqueio de conta disponível para administradores locais internos](https://support.microsoft.com/en-us/topic/kb5020282-account-lockout-available-for-local-administrators-bce45c4d-f28d-43ad-b6fe-70156cb2dc00) — Microsoft Support (read 2026-10-30)
15. [DeviceLock Policy CSP (Allow Administrator account lockout)](https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp-devicelock) — Microsoft Learn (read 2026-10-30)
16. [Ferramentas do Windows Firewall (wf.msc, regras de Área de Trabalho Remota)](https://learn.microsoft.com/en-us/windows/security/operating-system-security/network-security/windows-firewall/tools) — Microsoft Learn (read 2026-10-30)
17. [Set-NetFirewallRule](https://learn.microsoft.com/en-us/powershell/module/netsecurity/set-netfirewallrule) — Microsoft Learn (read 2026-10-30)
18. [Alterar a porta de escuta da Área de Trabalho Remota](https://learn.microsoft.com/en-us/windows-server/remote/remote-desktop-services/remotepc/change-listening-port) — Microsoft Learn (read 2026-10-30)
19. [New-NetFirewallRule](https://learn.microsoft.com/en-us/powershell/module/netsecurity/new-netfirewallrule) — Microsoft Learn (read 2026-10-30)
20. [4625(F): falha ao fazer logon em uma conta](https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-10/security/threat-protection/auditing/event-4625) — Microsoft Learn (read 2026-10-30)
21. [auditpol get](https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/auditpol-get) — Microsoft Learn (read 2026-10-30)
22. [auditpol set](https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/auditpol-set) — Microsoft Learn (read 2026-10-30)
23. [Integrar o RDG à extensão NPS de autenticação multifator do Microsoft Entra](https://learn.microsoft.com/en-us/entra/identity/authentication/howto-mfa-nps-extension-rdg) — Microsoft Learn (read 2026-10-30)

---

Onyxpane: A Onyxpane vende VPS Windows Server com acesso total de Administrador via Remote Desktop em Nova York, Londres, Amsterdã e Frankfurt, pago com cripto e sem KYC: sem documento de identidade, sem selfie, sem documentos. A licença do Windows está incluída. É operada pela DomaineGoat LLC, uma empresa registrada no Panamá que ignora avisos de DMCA, responde apenas à lei panamenha e não mantém logs. Todo plano custa pelo menos 25% menos que o plano comparável mais barato de 17 provedores de Windows com cripto e sem KYC verificados em 30 de outubro de 2026.