REDHEBERG

Chargement..

Cause : bruteforce RDP
Bots automatisés
10 échecs → 10 min
Valeur recommandée par Microsoft
1 commande
Depuis la console noVNC
Support 7j/7
Ticket ou Discord
Diagnostic

Êtes-vous concerné ?

Si vous reconnaissez ce message en vous connectant au Bureau à distance, ce tutoriel est fait pour vous.

  • VPS sous Windows Server 2025

    Ou une version récente de Windows Server à jour : le verrouillage du compte Administrateur est arrivé avec les mises à jour Microsoft d'octobre 2022.

  • Votre mot de passe est correct

    Et pourtant la connexion RDP échoue, parfois après plusieurs jours sans problème.

  • Le serveur répond

    Vos services (sites, jeux, applications) tournent toujours : seule la connexion au Bureau à distance est refusée.

Pourquoi ça arrive ?

Tout serveur exposé sur Internet reçoit des tentatives de connexion automatiques. Windows applique une stratégie de verrouillage, y compris au compte Administrateur : c'est une protection… qui finit par vous bloquer vous aussi.

1
Des bots scannent

le port RDP 3389

2
Ils testent

« Administrateur » + mots de passe

3
10 échecs

en 10 minutes

4
Compte verrouillé

pour les connexions réseau (RDP)

5
Vous êtes bloqué

et les bots recommencent

La clé de la solution : d'après Microsoft (KB5020282), ce verrouillage ne concerne que les connexions réseau comme le RDP. La connexion en console reste autorisée, et la console noVNC de votre espace client est justement une connexion locale.

Tutoriel vidéo

La solution en vidéo

Moins d'une minute, sans son si vous préférez : toutes les étapes sont écrites à l'écran.

Chapitres

Vous préférez lire ? Tutoriel écrit ↓
Méthode recommandée · 2 minutes

Débloquer votre VPS pas à pas

La méthode la plus rapide : passer par la console de votre espace client, qui n'est pas concernée par le verrouillage.

Ouvrez votre espace client

Connectez-vous à votre espace client RedHeberg, puis ouvrez la fiche de votre VPS Windows.

Espace clientMes servicesVotre VPS Windows

Lancez la console noVNC

Cliquez sur Console (noVNC). Une fenêtre s'ouvre et affiche l'écran de votre serveur, comme si vous étiez devant.

La console est une connexion locale : le verrouillage déclenché par les bots ne la bloque pas.

Connectez-vous à Windows

Cliquez sur le bouton Ctrl+Alt+Suppr de la barre noVNC (le raccourci Ctrl+Alt+Suppr du clavier serait intercepté par votre propre ordinateur), puis saisissez le mot de passe de votre compte Administrateur.

Désactivez le seuil de verrouillage

Faites un clic droit sur le bouton Démarrer puis choisissez Terminal (administrateur) ou Invite de commandes (admin). Tapez :

Invite de commandes · admin
C:\> net accounts /lockoutthreshold:0
La commande s'est terminée correctement.

Le chiffre 0 signifie qu'aucun nombre d'échecs ne verrouillera plus le compte.

Vérifiez, puis reconnectez-vous en RDP

Contrôlez que la modification est bien prise en compte :

Vérification
C:\> net accounts
…
Seuil de verrouillage :                 Jamais
# Windows en anglais : Lockout threshold: Never
…

Fermez la console et relancez votre Connexion Bureau à distance : vous retrouvez l'accès à votre serveur.

Le compte reste refusé ? Le verrouillage en cours peut persister jusqu'à son expiration (10 minutes par défaut). Dans la console, ouvrez lusrmgr.msc › Utilisateurs › Administrateur et décochez « Le compte est verrouillé », ou patientez quelques minutes.
Autres méthodes

Vous préférez l'interface graphique ?

Mêmes réglages, autres chemins. Toutes ces manipulations se font depuis la console noVNC tant que le RDP est bloqué.

Via la Stratégie de sécurité locale (secpol.msc)VPS seul
  1. Appuyez sur Win+R, tapez secpol.msc et validez.
  2. Ouvrez Paramètres de sécurité › Stratégies de comptes › Stratégie de verrouillage du compte.
  3. Double-cliquez sur Seuil de verrouillage du compte et indiquez 0 pour le désactiver (ou une valeur plus élevée pour simplement l'assouplir).
  4. Option : passez Autoriser le verrouillage du compte Administrateur sur Désactivé pour exempter uniquement le compte Administrateur intégré.
Serveur contrôleur de domaine (Active Directory / GPO)Domaine AD

Sur un domaine, la règle vient de la Default Domain Policy et s'applique à tous les comptes du domaine.

  1. Ouvrez la Gestion des stratégies de groupe : gpmc.msc.
  2. Clic droit sur Default Domain Policy (ou la GPO concernée) › Modifier.
  3. Allez dans Configuration ordinateur › Stratégies › Paramètres Windows › Paramètres de sécurité › Stratégies de comptes › Stratégie de verrouillage du compte.
  4. Réglez Seuil de verrouillage du compte sur 0 (désactivé) ou augmentez-le, et ajustez si besoin la Durée de verrouillage.
  5. Appliquez immédiatement la stratégie :
cmd
C:\> gpupdate /force

Modifier la GPO ne débloque pas les comptes déjà verrouillés. Pour les libérer immédiatement (PowerShell en administrateur) :

PowerShell
# Lister les comptes verrouillés
PS> Search-ADAccount -LockedOut
# Débloquer un compte
PS> Unlock-ADAccount -Identity "Nom_Utilisateur"

En graphique : dsa.msc › double-clic sur l'utilisateur › onglet Compte › cochez Déverrouiller le compte › Appliquer.

Important

Et maintenant, sécurisez votre accès RDP

Le seuil à 0 supprime une protection contre le bruteforce : les bots, eux, continuent d'essayer. Remplacez-la par ces trois réflexes, à faire depuis la console ou une session RDP ouverte.

Priorité 1

Un mot de passe long et unique

16 caractères minimum, jamais réutilisé ailleurs. C'est ce qui rend le bruteforce inutile, même sans verrouillage. Sur un Windows en anglais, le compte s'appelle Administrator.

cmd
C:\> net user Administrateur *
Priorité 2

Limiter le RDP à votre IP

Seules vos adresses peuvent alors joindre le Bureau à distance : les bots ne voient plus rien. Remplacez l'adresse d'exemple par la vôtre (Windows en anglais : groupe "Remote Desktop").

PowerShell admin
PS> Set-NetFirewallRule `
  -DisplayGroup "Bureau à distance" `
  -RemoteAddress 203.0.113.10
Recommandé

Changer le port RDP

La plupart des bots ne visent que le port 3389. Ouvrez d'abord le nouveau port dans le pare-feu, puis redémarrez le service.

PowerShell admin
PS> New-NetFirewallRule -DisplayName "RDP 3390" -Direction Inbound -Protocol TCP -LocalPort 3390 -Action Allow
PS> Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name PortNumber -Value 3390
PS> Restart-Service TermService -Force

Filet de sécurité : faites ces changements avec la console noVNC ouverte. En cas d'erreur (mauvaise IP, port non ouvert), vous gardez toujours un accès pour corriger. Pour vous connecter sur le nouveau port : votre-ip:3390 dans le champ « Ordinateur » de la Connexion Bureau à distance. Si vous combinez les deux réglages, limitez aussi la nouvelle règle à votre IP : Set-NetFirewallRule -DisplayName "RDP 3390" -RemoteAddress 203.0.113.10.

Questions fréquentes

Pourquoi ça arrive maintenant, alors que tout marchait ?
Les versions récentes de Windows appliquent une stratégie de verrouillage, y compris au compte Administrateur intégré (valeur recommandée par Microsoft : 10 échecs en 10 minutes, blocage de 10 minutes). Il suffit qu'une vague de bots cible votre adresse IP pour que le seuil soit atteint, parfois plusieurs jours après la mise en service.
Mon serveur a-t-il été piraté ?
Non : un verrouillage signifie au contraire que les tentatives ont échoué. Pour voir leur origine, ouvrez l'Observateur d'événements (eventvwr.msc) › Journaux Windows › Sécurité : les événements 4625 sont les échecs de connexion, 4740 les verrouillages.
Mettre le seuil à 0, est-ce dangereux ?
C'est sans risque à condition de compenser : mot de passe long et unique, et idéalement RDP limité à votre IP ou déplacé sur un autre port (voir la section Sécuriser). Si vous préférez garder une protection, vous pouvez aussi simplement relever le seuil, par exemple net accounts /lockoutthreshold:30.
Je n'arrive pas à utiliser la console noVNC
Vérifiez que votre navigateur autorise les fenêtres pop-up pour l'espace client, puis utilisez le bouton Ctrl+Alt+Suppr de la barre noVNC. Si ça ne fonctionne toujours pas, ouvrez un ticket ou écrivez-nous sur Discord : notre équipe intervient 7j/7.
Windows Server 2022 ou 2019 sont-ils concernés ?
Ils peuvent l'être : la possibilité de verrouiller le compte Administrateur intégré a été ajoutée par les mises à jour Microsoft d'octobre 2022 sur l'ensemble des versions supportées. La solution est identique.
Support 7j/7

Toujours bloqué ?
On s'en occupe.

Ouvrez un ticket depuis votre espace client ou rejoignez-nous sur Discord.

Ouvrir un ticket Discord