Bureau à distance Windows en PME : accéder à son PC sans exposer RDP

Votre logiciel métier fonctionne sur un PC resté au bureau, mais vous devez l’utiliser depuis votre domicile ou un autre site. Le Bureau à distance Windows peut répondre à ce besoin : vous pilotez le poste et ses applications depuis un appareil client. Pour une PME à Genève, l’enjeu est de rendre ce parcours utilisable tout en maîtrisant qui peut entrer, depuis quel appareil et vers quelle machine.

La méthode à retenir : préparer le poste, passer par un VPN d’entreprise ou une passerelle adaptée, activer l’authentification multifacteur (MFA) au point d’entrée, puis tester les accès autorisés et refusés. Une redirection directe du service RDP sur Internet ne doit pas devenir le raccourci choisi pour terminer l’installation.

Sommaire

Vérifier que le Bureau à distance répond au besoin

Le Bureau à distance Windows utilise le protocole RDP (Remote Desktop Protocol) pour interagir avec un ordinateur distant. Il ne déplace pas automatiquement votre logiciel dans le cloud et ne rend pas le PC indépendant de son alimentation ou du réseau du bureau. Si tous vos outils sont déjà accessibles dans un navigateur, vérifiez d’abord si un accès direct à ces services suffit.

Précisez aussi l’objectif : travailler dans votre environnement habituel ou aider un collaborateur devant son écran. Une intervention d’assistance demande un outil et une procédure appropriés ; elle ne justifie pas d’activer RDP sur tous les postes.

Enfin, un PC individuel et une plateforme de sessions partagées sont deux projets différents. Si plusieurs collaborateurs doivent travailler simultanément dans des sessions distinctes, faites dimensionner une solution prévue pour cet usage. Les hôtes de session RDS sous Windows Server nécessitent des licences d’accès client RDS par utilisateur ou par appareil, à examiner avec les autres licences du serveur et des applications.

Préparer le PC, le compte et l’appareil client

Commencez par l’édition de Windows sur le PC auquel vous voulez accéder. Windows 11 Professionnel, Entreprise et Éducation peuvent recevoir des connexions RDP ; l’édition Famille ne peut pas servir d’hôte natif. En revanche, un PC Windows Famille peut être utilisé comme appareil client. Microsoft détaille ces conditions d’activation du Bureau à distance.

Avant toute ouverture d’accès, relevez les éléments suivants :

• Machine cible : nom du PC, utilisateur habituel, applications indispensables et emplacement réel des documents.
• Disponibilité : alimentation, connexion au réseau et réglage de veille compatible avec les plages d’utilisation. Un écran éteint n’implique pas forcément un PC en veille ; testez le comportement réel.
• Identité : compte nominatif autorisé, méthode de connexion connue et droits nécessaires au travail, sans droits administrateur par défaut.
• État des appareils : système encore maintenu, correctifs, protection et verrouillage, côté client comme côté bureau.
• Licences métier : autorisation d’usage à distance et compatibilité des périphériques nécessaires, à confirmer auprès de l’éditeur concerné.

Le poste utilisé à domicile compte autant que celui du bureau. Un ordinateur personnel partagé avec d’autres personnes ne devient pas un appareil professionnel maîtrisé parce qu’il ouvre une session distante. Définissez les appareils autorisés et leur protection avec les responsables concernés ; notre guide pour sécuriser les accès et les appareils en télétravail aide à cadrer ce préalable.

Choisir un chemin protégé jusqu’au PC

RDP fournit l’accès au bureau ; le VPN ou la passerelle organise le chemin pour l’atteindre depuis l’extérieur. Pour distinguer ce trajet des autres protections, consultez les usages et limites d’un VPN d’entreprise. Deux approches sont notamment possibles :

La documentation Microsoft sur RD Gateway distingue bien l’authentification de l’utilisateur et l’autorisation d’atteindre une ressource. Installer une passerelle ne suffit donc pas : ses règles doivent correspondre à vos utilisateurs et à vos PC.

Appliquer le MFA au véritable point d’entrée

L’OFCS recommande de sécuriser les accès distants avec des mesures techniques et organisationnelles, dont l’authentification à deux facteurs. Faites préciser où elle intervient dans votre parcours : VPN ou passerelle. Le MFA déjà utilisé pour la messagerie Microsoft 365 ne s’applique pas automatiquement à une connexion RDP indépendante.

Avec RD Gateway, une intégration Microsoft Entra MFA via NPS est possible. Elle demande notamment une infrastructure adaptée et des identités Active Directory synchronisées avec Entra ID. Les méthodes acceptées doivent être vérifiées avec le client utilisé. L’extension NPS (serveur de stratégies réseau) demande une licence MFA éligible, notamment Entra ID P1 ou P2 : cette protection n’est pas une fonction automatiquement incluse dans le simple interrupteur « Bureau à distance » de Windows.

À écarter : une règle de la box ou du pare-feu qui renvoie directement les connexions RDP d’Internet vers le PC. Changer le numéro de port ou ajouter un mot de passe plus long ne remplace pas l’architecture d’accès, le MFA et le filtrage.

Configurer les droits et les échanges de données

Une fois le chemin extérieur défini, un administrateur peut activer la fonction sous Windows 11 dans Paramètres > Système > Bureau à distance, puis noter le nom du PC. La procédure Microsoft de configuration et de connexion décrit cette étape locale ; elle ne valide pas les règles de sécurité du réseau.

Limitez la liste des utilisateurs admis et examinez les comptes administrateurs qui disposent aussi de cet accès. Accordez le droit de connexion au poste nécessaire plutôt que de distribuer un compte administrateur commun. Le pare-feu du PC doit accepter les connexions depuis le chemin prévu, sans être désactivé pour faciliter un essai.

Conservez l’authentification au niveau du réseau (NLA) : elle demande une authentification avant l’établissement de la session distante. Microsoft la recommande dans sa documentation d’activation. NLA n’est pas un second facteur. Une erreur de connexion doit être diagnostiquée avant de réduire cette protection.

Choisir ce qui peut passer entre les deux appareils

Presse-papiers, lecteurs et imprimantes peuvent créer des échanges entre l’appareil client et la session distante. Choisissez les redirections utiles, puis faites appliquer les restrictions requises par les stratégies d’administration. L’affichage du bureau distant ne garantit donc pas que toutes les données restent au bureau.

Distribuez les profils de connexion par un canal interne connu. Un fichier .rdp reçu de manière inattendue peut désigner un autre ordinateur et demander le partage de ressources locales. Microsoft explique ces avertissements de sécurité et les risques des fichiers RDP. Vérifiez la destination et les ressources demandées ; ne contournez pas un avertissement de certificat sans contrôle du support.

Valider le fonctionnement depuis l’extérieur

La première connexion doit se tester depuis un réseau distinct de celui du bureau, par exemple un partage de connexion mobile autorisé. Utilisez un compte représentatif des utilisateurs, et un document de test sans données sensibles.

1. Contrôler le parcours réseau. Faites vérifier les règles du routeur et des pare-feu, en IPv4 comme en IPv6, ainsi que l’exposition depuis Internet par une personne autorisée. Le PC ne doit pas être joignable directement en RDP depuis Internet. Un simple échec de connexion ne suffit pas à prouver l’absence d’exposition.
2. Vérifier l’authentification. Lors d’une nouvelle authentification au point d’entrée, les contrôles MFA prévus doivent être effectivement imposés. Refusez une demande MFA que vous n’avez pas initiée et signalez-la.
3. Tester les limites. Avec un compte de test admis au point d’entrée mais sans droit de connexion à ce PC, vérifiez que l’accès est refusé. Contrôlez aussi qu’un utilisateur autorisé ne peut pas atteindre une autre machine hors de son périmètre.
4. Exécuter une tâche complète. Ouvrez le logiciel métier, modifiez puis relisez le document de test dans son emplacement attendu. Vérifiez le clavier, l’affichage et, si nécessaire, l’impression. Un bureau qui s’affiche ne valide pas ces usages.
5. Vérifier les transferts et la reconnexion. Confirmez les redirections permises ou bloquées. Après enregistrement du travail, interrompez puis rétablissez volontairement la connexion pour observer la reprise.
6. Retrouver les traces utiles. Le responsable désigné doit pouvoir identifier le compte, l’heure et le point d’entrée du test dans les journaux pertinents.

Consignez le résultat attendu, le résultat observé et les corrections restantes. Une validation utile répond à deux questions : la personne peut-elle travailler, et les personnes ou machines exclues restent-elles effectivement bloquées ?

Maintenir l’accès et préparer son retrait

Prévoyez le comportement après une mise à jour, une coupure ou une fermeture des locaux. Qui peut vérifier l’alimentation et la connexion du PC ? Comment obtenir de l’aide si le téléphone servant au MFA est perdu ? L’accès distant ne répare pas un ordinateur en panne et ne remplace ni les sauvegardes ni la préparation de la reprise.

En cas d’échec, relevez l’heure, le message exact et l’étape concernée : accès Internet, VPN ou passerelle, authentification Windows, puis application. Évitez les tentatives répétées et la désactivation du pare-feu. Notre méthode pour organiser le support informatique en télétravail précise les informations à transmettre et le rôle de l’assistance.

Au départ d’un collaborateur ou à la fin d’une mission, retirez les droits au point d’entrée et sur le poste ; traitez aussi les sessions déjà actives. Déconnecter une session RDP peut la laisser ouverte selon les délais configurés : fermer la fenêtre du client ne vaut donc pas fermeture de session. Organisez cette dernière après sauvegarde du travail, puis vérifiez qu’une nouvelle connexion est refusée.

Attribuez enfin un responsable aux mises à jour du PC, des clients et des passerelles, au renouvellement des certificats et au traitement des alertes. Rejouez les contrôles après un changement important de compte, de pare-feu ou d’outil d’accès.

Documentation officielle consultée le 28 octobre 2026, dont le guide de l’OFCS sur les accès distants. Périmètre : accès à un PC Windows 11 et principes de passerelle RDS. Les menus, méthodes d’authentification et droits de licence dépendent de l’édition, du client et de l’architecture retenus.

Préparer votre accès distant avec Pixel’IT

Un accès distant utile doit permettre une tâche réelle, limiter les ressources accessibles et rester administrable lorsque l’équipe évolue. Pour votre PME à Genève, Pixel’IT peut examiner les postes, les identités et le réseau, puis définir les réglages et le suivi adaptés dans un périmètre de sécurité informatique ou d’infogérance. Présentez-nous les applications et les PC auxquels votre équipe doit accéder pour préparer votre projet.