Port 3389 : changer le port RDP et sécuriser votre RDP

Publié 29 Oct 2026

Le RDP utilise le port 3389 en TCP et UDP. Changer le port RDP sous Windows, pourquoi cela ne calme que les bots, et ce qui protège vraiment un RDP loué.

Le port RDP par défaut est le port 3389, en TCP comme en UDP. Une passerelle RD Gateway fait passer l'accès public sur TCP 443 et UDP 3391, mais un RDP Windows loué chez un hébergeur en a rarement une : vous vous connectez directement au port 3389 de son IP publique. Ci-dessous : comment changer le port RDP, pourquoi cela ne fait que calmer les bots, et les dix minutes de réglages qui protègent vraiment le serveur.

Vérifié le 1er octobre 2026.

Quel port utilise RDP : le port 3389 en TCP et UDP, et 443 pour RD Gateway

La liste des ports des services Bureau à distance publiée par Microsoft :

Port	Protocole	Utilisé par
3389	TCP	La connexion Bureau à distance (par défaut)
3389	UDP	Le transport UDP de cette même connexion
443	TCP	RD Gateway (RDP dans HTTPS) et RD Web Access
3391	UDP	Le transport UDP de RD Gateway

L'IANA enregistre le 3389 en TCP comme en UDP sous le nom ms-wbt-server. Pour vérifier le numéro de port RDP sur lequel votre serveur écoute, lancez ceci dans un PowerShell ouvert en administrateur :

Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber

Changer le port RDP réduit le bruit, pas le risque

Le déplacer ne pose aucun problème, mais ce n'est pas une mesure de sécurité. Les outils automatisés qui devinent les mots de passe visent le 3389 parce que c'est le port par défaut : un serveur sur ce port enregistre donc un flot continu d'échecs de connexion. Déplacez-le et l'essentiel de ce bruit disparaît, si bien que les vraies tentatives ressortent.

Cela ne cache pas le serveur : un scan des 65 535 ports trouve vite le nouveau. Changez-le pour avoir des journaux plus calmes, puis appliquez quand même la sécurisation décrite plus bas.

Comment changer le port RDP sous Windows

La procédure de Microsoft tient en une valeur de registre et une règle de pare-feu. Ouvrez d'abord le pare-feu, sinon le redémarrage vous laisse à la porte. Choisissez un port libre en dessous de 49152 : Windows réserve la plage 49152 à 65535 à ses propres connexions sortantes.

$port = 47213

# 1. Open the new port first, TCP and UDP
New-NetFirewallRule -DisplayName "RDP custom TCP" -Direction Inbound -Protocol TCP -LocalPort $port -Action Allow
New-NetFirewallRule -DisplayName "RDP custom UDP" -Direction Inbound -Protocol UDP -LocalPort $port -Action Allow

# 2. Point Remote Desktop at it
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber -Value $port

# 3. Restart to apply
Restart-Computer

Si votre hébergeur gère un pare-feu dans son panneau de contrôle, ouvrez-y aussi le port. Connectez-vous en ajoutant le port après l'adresse, par exemple 203.0.113.10:47213, et une fois que cela fonctionne, fermez les anciennes règles avec Disable-NetFirewallRule -DisplayGroup "Remote Desktop". Vous préférez l'Éditeur du Registre ? Modifiez PortNumber sous la même clé RDP-Tcp, en base décimale, puis redémarrez.

Le risque d'exposer RDP à Internet

Un RDP exposé est une porte d'entrée bien connue. Le guide #StopRansomware de la CISA indique que les attaquants entrent souvent par des services d'accès à distance exposés et mal sécurisés, et déconseille tout simplement d'exposer RDP sur le Web. Là où RDP est nécessaire, il demande de fermer les ports RDP inutilisés, de verrouiller les comptes après plusieurs échecs, d'exiger l'authentification multifacteur et de journaliser les tentatives de connexion. Dans le KB5020282 (2022), Microsoft range les attaques par force brute parmi les trois principales façons d'attaquer une machine Windows, et note que jusqu'à ses mises à jour d'octobre 2022, le compte Administrateur intégré ne pouvait pas être verrouillé : son mot de passe pouvait donc être deviné via RDP sans aucune limite.

Les failles des services Bureau à distance s'y ajoutent. BlueKeep (CVE-2019-0708), corrigée en mai 2019, permettait à un attaquant d'exécuter du code sans s'authentifier sur Windows XP, 7 et Server 2003 à 2008 R2. Microsoft a précisé que l'authentification au niveau du réseau (NLA) n'atténuait la faille qu'en partie : elle arrêtait les vers, pas un attaquant muni d'identifiants valides.

Un RDP exposé avec NLA, un verrouillage de compte, une longue phrase de passe et des correctifs à jour reste défendable. Un RDP qui ne répond qu'à vous, c'est mieux.

Sécuriser un RDP loué en dix minutes

Gardez l'authentification au niveau du réseau activée

Avec l'authentification au niveau du réseau (NLA) de RDP, le client doit s'authentifier avant que Windows ne crée une session, ce qui met les failles exploitables avant authentification, comme BlueKeep, hors de portée de quiconque n'a pas le mot de passe. Vérifiez-la, et activez-la si besoin :

$ts = Get-CimInstance -Namespace root\cimv2\TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-Tcp'"
$ts.UserAuthenticationRequired   # 1 means NLA is on
Invoke-CimMethod -InputObject $ts -MethodName SetUserAuthenticationRequired -Arguments @{UserAuthenticationRequired = 1}

Vérifiez la stratégie de verrouillage des comptes (elle est peut-être désactivée)

La documentation de référence de Microsoft sur cette stratégie indique 0 (jamais de verrouillage) comme valeur par défaut d'un serveur autonome, et exempte le compte Administrateur intégré. Le KB5020282 n'a changé cela que pour Windows 11 22H2 et pour les nouvelles machines qui avaient reçu les mises à jour d'octobre 2022 avant leur première configuration : 10 tentatives échouées en 10 minutes verrouillent le compte pendant 10 minutes, Administrateur compris. Une machine mise à jour après sa configuration garde les anciennes valeurs par défaut. Vérifiez l'image de votre hébergeur avec net accounts. Si « Seuil de verrouillage » (Lockout threshold) indique Jamais (Never) :

net accounts /lockoutthreshold:10 /lockoutduration:10 /lockoutwindow:10

Activez ensuite Autoriser le verrouillage du compte Administrateur (Allow Administrator account lockout) dans secpol.msc, sous Stratégies de comptes > Stratégie de verrouillage du compte. Le verrouillage ne bloque que les connexions réseau comme RDP ; la console fonctionne toujours.

Renommez le compte administrateur et utilisez une longue phrase de passe

Les outils qui devinent les mots de passe essaient d'abord Administrator, et un compte renommé empêche aussi des inconnus de vous bloquer l'accès avec votre propre nom d'utilisateur :

Rename-LocalUser -Name "Administrator" -NewName "pick-something-unguessable"

Si le panneau de votre hébergeur permet de réinitialiser le mot de passe, vérifiez qu'il retrouve toujours le compte renommé. Votre hébergeur a généré le premier mot de passe et vous l'a probablement envoyé par e-mail : remplacez-le dès la première connexion (Ctrl+Alt+Fin dans la session, puis Modifier un mot de passe). Le guide de la CISA demande de changer les noms d'utilisateur et mots de passe d'administration par défaut, et d'utiliser des mots de passe uniques d'au moins 15 caractères ; visez au moins autant ici.

N'autorisez que votre IP, ou passez par un tunnel WireGuard ou SSH

La meilleure sécurité RDP, c'est un port qui ne répond qu'à vous. Avec une adresse fixe, restreignez les règles intégrées, ou vos règles personnalisées si vous avez changé de port :

Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 198.51.100.7
# after a port change:
Set-NetFirewallRule -DisplayName "RDP custom TCP","RDP custom UDP" -RemoteAddress 198.51.100.7

L'adresse IP d'une connexion à domicile change, et un VPN n'y remédie pas. Mullvad et IVPN acceptent tous deux Monero et gardent l'IP de votre domicile hors des journaux de l'hébergeur, mais tous les utilisateurs d'un serveur VPN partagent son adresse de sortie, ce qui la rend peu adaptée à une liste d'autorisation. Deux façons d'obtenir une adresse à vous :

WireGuard sur un petit VPS Linux. Montez votre propre serveur WireGuard sur une machine bon marché de la baie VPS, puis n'autorisez RDP que depuis son IP.
Un tunnel SSH. OpenSSH Server est une fonctionnalité facultative à partir de Windows Server 2019 et est préinstallé sur Windows Server 2025 ; démarrez le service sshd et passez-le en Automatique. Placez votre clé publique dans C:\ProgramData\ssh\administrators_authorized_keys, lisible uniquement par les Administrateurs et SYSTEM, comme le montre le guide des clés de Microsoft, indiquez PasswordAuthentication no dans C:\ProgramData\ssh\sshd_config et redémarrez sshd. Ouvrez le tunnel (remplacez 3389 par votre port personnalisé si vous l'avez changé) :

ssh -N -L 13389:127.0.0.1:3389 [email protected]

Dans Connexion Bureau à distance, connectez-vous à 127.0.0.1:13389, et une fois que cela fonctionne, désactivez les règles de pare-feu Bureau à distance. RDP n'est plus exposé sur Internet ; le port 22 l'est, et il n'accepte que des clés.

Désactivez la redirection du presse-papiers et des lecteurs dont vous n'avez pas besoin

Un serveur compromis peut accéder au presse-papiers et à tous les disques que vous lui redirigez. Dans Connexion Bureau à distance, ouvrez Afficher les options > Ressources locales, décochez Presse-papiers, puis, sous Plus..., décochez Lecteurs. Pour l'imposer côté serveur, activez Ne pas autoriser la redirection du Presse-papiers et Ne pas autoriser la redirection de lecteur (Do not allow Clipboard redirection, Do not allow drive redirection) dans gpedit.msc, sous Modèles d'administration > Composants Windows > Services Bureau à distance > Hôte de session Bureau à distance > Redirection de périphérique et de ressource.

Appliquez les correctifs, puis consultez les échecs de connexion

Lancez Windows Update et laissez les mises à jour automatiques activées. Vérifiez la version : les mises à jour de sécurité étendues (Extended Security Updates) payantes de Windows Server 2012 et 2012 R2 ont pris fin en octobre 2026 (cycle de vie Microsoft), et Windows 10 a atteint sa fin de support le 14 octobre 2025. Demandez Server 2022 ou 2025, ou Windows 11.

Un échec de connexion correspond à l'événement 4625 ; une ouverture de session Bureau à distance réussie est un 4624 avec le type d'ouverture de session 10, RemoteInteractive. Cette commande liste les dix adresses à l'origine du plus grand nombre d'échecs :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 2000 |
  ForEach-Object { (([xml]$_.ToXml()).Event.EventData.Data | Where-Object Name -eq 'IpAddress').'#text' } |
  Group-Object | Sort-Object Count -Descending | Select-Object -First 10 Count, Name

Rien ne s'affiche ? auditpol /set /subcategory:"Logon" /failure:enable active l'audit des échecs. Les échecs venant d'inconnus sont le bruit de fond d'un port ouvert. Un 4624 de type 10 depuis une adresse que vous ne connaissez pas, c'est un incident.

Ce que votre hébergeur peut voir, et ce qu'il ne voit pas

L'hébergeur fait tourner l'hyperviseur sous votre serveur :

Il peut ouvrir la console, réinitialiser le mot de passe, prendre un instantané du disque et lire tout ce que vous n'avez pas chiffré.
Il voit l'adresse depuis laquelle vous vous connectez (celle du VPN, si vous en utilisez un), à quel moment, et quel volume de données transite.
Il ne peut pas lire la session RDP qui circule sur le réseau, car elle est chiffrée. Avec l'hyperviseur, il en a rarement besoin.
Il sait ce que révèlent le bon de commande et votre paiement. Avec Monero et une inscription sans KYC, cela se résume à un e-mail ou un nom d'utilisateur.

Ne gardez rien sur une machine Windows louée que vous ne confieriez pas à la société qui la fait tourner.

Ce qu'il faut attendre d'un hébergeur RDP

Une console dans le panneau de contrôle, pour le jour où une règle de pare-feu ou un verrouillage tourne mal. Posez la question avant de commander.
Une image Windows à jour : Server 2022 ou 2025, ou Windows 11. Choisissez-la à la commande, même si des versions plus anciennes sont proposées.
Une protection DDoS et des droits administrateur complets, tous deux inclus.
Monero au paiement, et une inscription qui demande un e-mail ou un nom d'utilisateur, jamais une pièce d'identité.

Deux unités de notre baie RDP vendent du RDP Windows payable en Monero, par ordre alphabétique :

	MurmurHost	rdp.monster
RDP le moins cher	44 $ au mois sans engagement, ou 224,40 $ par an	8,99 $ par mois
Windows	Server 2019 et 2022, Windows 10 et 11	Server 2012 et 2022
Monero	Versé sur son propre portefeuille, crédité après 10 confirmations	Cité parmi ses moyens de paiement
Inscription	Ni nom, ni téléphone, ni pièce d'identité	E-mail uniquement, sans KYC
Inclus	Droits admin complets, protection DDoS de 10 Gbit/s	Droits admin complets, anti-DDoS, tous les ports ouverts sauf le 25 (option à 5 $ par mois)

Pour les VPS, les domaines et l'e-mail, voyez aussi les hébergeurs qui acceptent Monero.

FAQ

Le port 3389 est-il le port RDP ?

Oui. Bureau à distance écoute par défaut sur le 3389, enregistré auprès de l'IANA en TCP et en UDP. Un administrateur peut le déplacer en modifiant une seule valeur de registre.

Le port 3389 du Bureau à distance est-il en TCP ou en UDP ?

Les deux. TCP transporte la connexion et doit être ouvert ; l'UDP sur le même port est un transport supplémentaire que le client utilise quand il le peut. Si vous changez de port, ouvrez les deux.

RDP utilise-t-il le port 443 ?

Via une passerelle RD Gateway, oui : elle encapsule RDP dans HTTPS sur TCP 443 et ajoute UDP 3391. Un RDP loué classique n'a pas de passerelle et utilise le 3389.

RDP utilise-t-il le port 22 ?

Non, le port 22 est celui de SSH. Vous pouvez faire passer RDP dans un tunnel SSH sur le port 22, mais RDP lui-même écoute toujours sur le 3389.

Le port RDP 3389 est-il sûr ?

Le numéro de port ne change rien. RDP chiffre la session ; la sécurité vient de NLA, des correctifs, du verrouillage de compte, d'un mot de passe solide et du petit nombre d'adresses qui peuvent l'atteindre.

Peut-on exposer RDP à Internet sans danger ?

C'est la configuration la plus risquée : n'importe qui peut essayer des mots de passe et toute faille non corrigée est à portée. Si vous n'avez pas le choix, gardez NLA activé, réglez un verrouillage, utilisez une longue phrase de passe et appliquez les correctifs ; mieux encore, n'autorisez que votre adresse ou un tunnel.

En bref

Port 3389, TCP et UDP. Changez-le pour des journaux plus calmes, pas pour la sécurité. Ensuite : NLA activé, un verrouillage qui couvre aussi l'Administrateur, un compte renommé avec une longue phrase de passe, le port fermé à tous sauf vous, la redirection désactivée, les correctifs appliqués, et un coup d'œil chaque semaine à l'événement 4625. Dix minutes par serveur.