Porta RDP 3389: como mudar e proteger o seu RDP
Publicado 29 Oct 2026
A porta RDP é a 3389, em TCP e UDP. Como mudar a porta RDP no Windows, por que isso só reduz o ruído dos bots e o que de fato protege um RDP alugado.
A porta RDP padrão é a 3389, em TCP e em UDP. Um RD Gateway leva o lado público para TCP 443 e UDP 3391, mas um RDP Windows alugado de um provedor de hospedagem raramente tem um: você se conecta direto à porta 3389 no IP público dele. A seguir: como mudar a porta RDP, por que isso só silencia os bots e os dez minutos de configuração que de fato protegem o servidor.
Verificado em 1º de outubro de 2026.
Qual porta o RDP usa: TCP e UDP 3389, e 443 para o RD Gateway
A lista de portas dos Serviços de Área de Trabalho Remota da Microsoft:
| Porta | Protocolo | Usada por |
|---|---|---|
| 3389 | TCP | A conexão de Área de Trabalho Remota (padrão) |
| 3389 | UDP | O transporte UDP dessa mesma conexão |
| 443 | TCP | RD Gateway (RDP dentro de HTTPS) e RD Web Access |
| 3391 | UDP | O transporte UDP do RD Gateway |
A IANA registra a 3389 em TCP e em UDP como ms-wbt-server. Para conferir o número da porta RDP em que o seu servidor escuta, rode isto no PowerShell como administrador:
Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber
Mudar a porta RDP reduz o ruído, não o risco
Mudar a porta não tem problema, mas não é uma medida de segurança. Os robôs que tentam adivinhar senhas miram a 3389 porque ela é a padrão, então um servidor nessa porta registra um fluxo constante de logons com falha. Mude a porta e a maior parte desse ruído some, e as tentativas de verdade se destacam.
Isso não esconde o servidor: uma varredura das 65.535 portas encontra a nova em pouco tempo. Mude a porta para ter logs mais limpos e, mesmo assim, faça a blindagem descrita abaixo.
Como mudar a porta RDP no Windows
O procedimento da Microsoft é um valor no registro mais uma regra de firewall. Abra o firewall primeiro, senão a reinicialização deixa você do lado de fora. Escolha uma porta livre abaixo de 49152: o Windows reserva a faixa de 49152 a 65535 para as próprias conexões de saída.
$port = 47213
# 1. Open the new port first, TCP and UDP
New-NetFirewallRule -DisplayName "RDP custom TCP" -Direction Inbound -Protocol TCP -LocalPort $port -Action Allow
New-NetFirewallRule -DisplayName "RDP custom UDP" -Direction Inbound -Protocol UDP -LocalPort $port -Action Allow
# 2. Point Remote Desktop at it
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber -Value $port
# 3. Restart to apply
Restart-Computer
Se o seu provedor tem um firewall no painel de controle, abra a porta lá também. Conecte-se informando a porta depois do endereço, por exemplo 203.0.113.10:47213, e, quando funcionar, feche as regras antigas com Disable-NetFirewallRule -DisplayGroup "Remote Desktop". Prefere o Editor do Registro? Edite PortNumber na mesma chave RDP-Tcp, em Decimal, e reinicie.
O risco de expor o RDP à internet
RDP exposto é um caminho de invasão mais do que conhecido. O #StopRansomware Guide da CISA diz que os atacantes muitas vezes entram por serviços remotos expostos e mal protegidos e recomenda simplesmente não expor o RDP à web. Onde o RDP é necessário, o guia pede o fechamento das portas RDP que não estão em uso, bloqueio de contas, autenticação multifator e registro das tentativas de login. No KB5020282 (2022), a Microsoft coloca a força bruta entre as três principais formas de ataque a máquinas Windows e observa que, até as atualizações de outubro de 2022, o Administrator interno não podia ser bloqueado, então dava para tentar adivinhar a senha dele por RDP sem limite.
Os bugs dos Serviços de Área de Trabalho Remota pioram o quadro. O BlueKeep (CVE-2019-0708), corrigido em maio de 2019, permitia que um atacante executasse código antes do login no Windows XP, no 7 e no Server 2003 a 2008 R2. A Microsoft observou que a Autenticação no Nível da Rede (NLA) só mitigava o problema em parte: ela barrava worms, mas não um atacante com credenciais válidas.
RDP exposto com NLA, bloqueio de conta, uma frase-senha longa e patches em dia é defensável. RDP que só responde a você é melhor.
Proteja um RDP alugado em dez minutos
Mantenha a Autenticação no Nível da Rede ativada
Com a autenticação no nível da rede do RDP, o cliente precisa se autenticar antes de o Windows criar uma sessão, o que mantém bugs pré-login como o BlueKeep longe de quem não tem a senha. Confira e ative, se for preciso:
$ts = Get-CimInstance -Namespace root\cimv2\TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-Tcp'"
$ts.UserAuthenticationRequired # 1 means NLA is on
Invoke-CimMethod -InputObject $ts -MethodName SetUserAuthenticationRequired -Arguments @{UserAuthenticationRequired = 1}
Confira a política de bloqueio de conta (ela pode estar desligada)
A referência da política da Microsoft dá 0, nunca bloquear, como padrão em servidores autônomos, e isenta o Administrator interno. O KB5020282 mudou isso só no Windows 11 22H2 e em máquinas novas que já tinham as atualizações de outubro de 2022 antes da primeira configuração: 10 tentativas com falha em 10 minutos bloqueiam a conta por 10 minutos, Administrator incluído. Uma máquina atualizada depois da configuração mantém os padrões antigos. Confira a imagem do seu provedor com net accounts. Se "Lockout threshold" mostrar Never:
net accounts /lockoutthreshold:10 /lockoutduration:10 /lockoutwindow:10
Depois ative Allow Administrator account lockout no secpol.msc, em Account Policies > Account Lockout Policy. O bloqueio só barra logons pela rede, como o RDP; o console continua funcionando.
Renomeie a conta de administrador e use uma frase-senha longa
Quem tenta adivinhar senhas começa por Administrator, e uma conta renomeada também impede que estranhos bloqueiem você usando o seu próprio nome de usuário:
Rename-LocalUser -Name "Administrator" -NewName "pick-something-unguessable"
Se o painel do seu provedor permite redefinir a senha, confira se ele ainda encontra a conta renomeada. Foi o provedor que gerou a primeira senha, e provavelmente a mandou por e-mail, então troque-a no primeiro login (Ctrl+Alt+End na sessão e depois Change a password). O guia da CISA pede que os nomes de usuário e as senhas padrão de administrador sejam trocados e que as senhas sejam únicas, com pelo menos 15 caracteres; use no mínimo isso aqui.
Libere só o seu IP, ou passe por um túnel WireGuard ou SSH
A melhor segurança para RDP é uma porta que só responde a você. Com um endereço fixo, restrinja as regras padrão, ou as suas regras personalizadas se você mudou a porta:
Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 198.51.100.7
# after a port change:
Set-NetFirewallRule -DisplayName "RDP custom TCP","RDP custom UDP" -RemoteAddress 198.51.100.7
Endereços residenciais mudam, e uma VPN não resolve isso. A Mullvad e a IVPN aceitam Monero e mantêm o seu IP residencial fora dos logs do provedor, mas todo mundo num servidor VPN compartilha o mesmo endereço de saída, o que dá uma lista de permissões ruim. Duas formas de ter um endereço só seu:
- WireGuard num VPS Linux pequeno. Rode o seu próprio servidor WireGuard numa máquina barata da baia de VPS e libere o RDP só a partir do IP dele.
- Um túnel SSH. O OpenSSH Server é um recurso opcional a partir do Windows Server 2019 e já vem instalado no Windows Server 2025; inicie o serviço
sshde defina a inicialização como automática. Coloque a sua chave pública emC:\ProgramData\ssh\administrators_authorized_keys, com leitura permitida só para Administrators e SYSTEM, como mostra o guia de chaves da Microsoft, definaPasswordAuthentication noemC:\ProgramData\ssh\sshd_confige reinicie osshd. Abra o túnel (troque 3389 pela sua porta personalizada, se você a mudou):
ssh -N -L 13389:127.0.0.1:3389 [email protected]
Aponte a Conexão de Área de Trabalho Remota para 127.0.0.1:13389 e, quando funcionar, desative as regras de firewall do Remote Desktop. O RDP sai da internet; a porta 22 continua nela e só aceita chaves.
Desligue o redirecionamento de área de transferência e de unidades de que você não precisa
Um servidor comprometido alcança qualquer área de transferência e qualquer disco que você redirecione para ele. Na Conexão de Área de Trabalho Remota, abra Mostrar Opções > Recursos Locais, desmarque Área de transferência e, em Mais, desmarque Unidades. Para impor isso no servidor, ative Do not allow Clipboard redirection e Do not allow drive redirection no gpedit.msc, em Administrative Templates > Windows Components > Remote Desktop Services > Remote Desktop Session Host > Device and Resource Redirection.
Aplique os patches e depois leia os eventos de logon com falha
Rode o Windows Update e deixe as atualizações automáticas ligadas. Confira a versão: as Atualizações de Segurança Estendidas pagas do Windows Server 2012 e 2012 R2 terminaram em outubro de 2026 (ciclo de vida da Microsoft), e o Windows 10 chegou ao fim do suporte em 14 de outubro de 2025. Peça o Server 2022 ou 2025, ou o Windows 11.
Um logon com falha é o evento 4625; um login bem-sucedido pela Área de Trabalho Remota é o 4624 com tipo de logon 10, RemoteInteractive. Este comando lista os dez endereços com mais falhas:
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 2000 |
ForEach-Object { (([xml]$_.ToXml()).Event.EventData.Data | Where-Object Name -eq 'IpAddress').'#text' } |
Group-Object | Sort-Object Count -Descending | Select-Object -First 10 Count, Name
Veio vazio? auditpol /set /subcategory:"Logon" /failure:enable ativa a auditoria de falhas. Falhas vindas de estranhos são o ruído de fundo de uma porta aberta. Um 4624 tipo 10 vindo de um endereço que você não conhece é um incidente.
O que o seu provedor de hospedagem pode e não pode ver
O provedor administra o hipervisor que roda por baixo do seu servidor:
- Ele pode abrir o console, redefinir a senha, tirar um snapshot do disco e ler tudo o que você não criptografou.
- Ele vê o endereço de onde você se conecta (o da VPN, se você usa uma), quando e quantos dados trafegam.
- Ele não pode ler a sessão RDP em trânsito, que é criptografada. Com o hipervisor, raramente precisa.
- Ele sabe o que o formulário de pedido e o seu pagamento revelam. Com Monero e um cadastro sem KYC, isso se resume a um e-mail ou a um nome de usuário.
Não guarde numa máquina Windows alugada nada que você não entregaria à empresa que a administra.
O que procurar em um provedor de RDP
- Um console no painel de controle, para o dia em que uma regra de firewall ou um bloqueio der errado. Pergunte antes de contratar.
- Uma imagem Windows atual: Server 2022 ou 2025, ou Windows 11. Escolha uma delas no checkout, mesmo quando houver versões mais antigas à venda.
- Proteção contra DDoS e direitos totais de administrador, os dois incluídos.
- Monero no checkout, e um cadastro que peça um e-mail ou um nome de usuário, nunca um documento.
Duas unidades da nossa baia de RDP vendem RDP Windows por Monero, em ordem alfabética:
| MurmurHost | rdp.monster | |
|---|---|---|
| RDP mais barato | US$ 44 no plano mensal, ou US$ 224,40 por ano | US$ 8,99 por mês |
| Windows | Server 2019 e 2022, Windows 10 e 11 | Server 2012 e 2022 |
| Monero | Pago na carteira do próprio provedor, liberado após 10 confirmações | Listado entre as formas de pagamento |
| Cadastro | Sem nome, telefone ou documento | Só e-mail, sem KYC |
| Incluído | Admin total, proteção DDoS de 10 Gbps | Admin total, anti-DDoS, todas as portas abertas menos a 25 (opcional por US$ 5 por mês) |
Para VPS, domínios e e-mail também, veja os provedores de hospedagem que aceitam Monero.
Perguntas frequentes
A porta RDP é a 3389?
Sim. A Área de Trabalho Remota escuta na 3389 por padrão, registrada na IANA em TCP e UDP. Um administrador pode mudá-la com um único valor no registro.
A porta 3389 da Área de Trabalho Remota é TCP ou UDP?
Os dois. O TCP carrega a conexão e precisa estar aberto; o UDP na mesma porta é um transporte extra que o cliente usa quando pode. Ao mudar a porta, libere ambos.
O RDP usa a porta 443?
Com um RD Gateway, sim: ele encapsula o RDP em HTTPS na TCP 443 e acrescenta a UDP 3391. Um RDP alugado comum não tem gateway e usa a 3389.
O RDP usa a porta 22?
Não, a porta 22 é a do SSH. Dá para levar o RDP por um túnel SSH na porta 22, mas o RDP em si continua escutando na 3389.
A porta RDP 3389 é segura?
O número da porta não muda nada. O RDP criptografa a sessão; a segurança vem da NLA, dos patches, do bloqueio de conta, de uma senha forte e de quão poucos endereços conseguem alcançá-lo.
É seguro expor o RDP à internet?
É a configuração mais arriscada: qualquer um pode tentar senhas e qualquer bug sem patch fica ao alcance. Se não houver outro jeito, mantenha a NLA ativada, configure um bloqueio de conta, use uma frase-senha longa e aplique os patches; melhor ainda, libere só o seu endereço ou um túnel.
Resumo
Porta 3389, TCP e UDP. Mude a porta para ter logs mais limpos, não por segurança. Depois: NLA ativada, um bloqueio de conta que cubra o Administrator, uma conta renomeada com uma frase-senha longa, a porta fechada para todo mundo menos você, redirecionamento desligado, patches em dia e uma olhada semanal no evento 4625. Dez minutos por servidor.