Come disattivare il Desktop remoto in Windows 11

Perché spegnere Desktop remoto non basta da solo

In Windows 11 la funzione Desktop remoto è utile quando serve amministrare una macchina senza passare da strumenti terzi, ma dal punto di vista della sicurezza è una superficie d’attacco che va lasciata attiva solo se serve davvero. Disattivarla significa chiudere l’accesso RDP in ingresso, ma non sempre equivale a mettere al sicuro tutto il contesto: se restano regole di firewall, account abilitati, gruppi con permessi e servizi di supporto configurati, il sistema può continuare a esporre elementi inutili o a creare confusione operativa quando si fa troubleshooting.

La decisione corretta è semplice: se la macchina non deve essere raggiungibile in remoto via RDP, il servizio va disabilitato, e subito dopo bisogna verificare che la porta 3389 non risponda più dall’esterno e che eventuali policy di rete o firewall non lascino eccezioni aperte. In ambienti aziendali la parte importante non è solo “spegnere il toggle”, ma capire se l’accesso remoto è gestito altrove, per esempio da VPN, bastion host, strumenti di remote management o policy di dominio.

Intervenire dal pannello Impostazioni: il percorso più rapido

Se stai lavorando su una singola postazione o su un PC non gestito da criteri centralizzati, il percorso più diretto è quello grafico. Apri Impostazioni, vai su Sistema, poi su Desktop remoto e disattiva l’interruttore. Windows mostra in genere un avviso di conferma: accettarlo significa togliere la possibilità di connessioni RDP in ingresso su quella macchina.

Subito dopo conviene fare una verifica pratica dal lato client, non fidarsi solo dello stato visivo dell’interruttore. Da un altro host nella stessa rete, un controllo rapido con una scansione della porta o un test di connessione RDP deve fallire. Se la macchina era raggiungibile prima, il comportamento atteso è un timeout o il rifiuto della connessione, non la comparsa della schermata di login di Windows.

Se vuoi controllare anche il dettaglio operativo, apri Pannello di controllo o le proprietà di sistema e verifica che la voce relativa alle connessioni remote non sia più abilitata. Su alcune installazioni il toggle delle Impostazioni è sufficiente, ma in presenza di configurazioni ibride il controllo delle proprietà di sistema aiuta a capire se esistono sovrascritture o politiche che riportano il servizio in stato attivo.

Disattivazione via Proprietà di sistema: utile quando vuoi vedere il quadro completo

Il percorso classico passa da Questo PC, Proprietà, Impostazioni di sistema avanzate, scheda Remoto. Qui trovi la sezione Desktop remoto con l’opzione per non consentire connessioni remote al computer. Questo metodo è utile perché mostra anche altre impostazioni correlate, ad esempio le opzioni di Assistenza remota, che spesso vengono confuse con RDP ma sono un’altra cosa.

La differenza pratica è importante: Desktop remoto serve per aprire una sessione amministrativa RDP; Assistenza remota è più orientata al supporto interattivo con consenso dell’utente. Se stai chiudendo la superficie d’attacco, ha senso rivedere entrambe le voci e lasciare attivo solo ciò che è davvero necessario. In un contesto domestico questo è un buon compromesso; in un contesto business, invece, la scelta va allineata alla policy di accesso remoto.

Se il computer è gestito da un account con privilegi limitati, potresti dover confermare con credenziali amministrative. È normale: modificare l’accessibilità remota tocca un’area sensibile e Windows la protegge apposta. Qui il controllo da fare non è solo che il toggle cambi stato, ma che la policy locale non venga poi ripristinata da un criterio di dominio o da uno script di configurazione.

Controllare il servizio e la porta: cosa verificare davvero dopo lo switch

Una disattivazione fatta bene si misura sul comportamento, non sull’interfaccia. Il primo controllo utile è la porta TCP 3389. Da un host di test, usa un check semplice sulla reachability della porta: se RDP è stato disattivato correttamente, la connessione non deve più andare a buon fine. Il secondo controllo riguarda il servizio di Desktop remoto e i log di sistema, per capire se la macchina continua a pubblicizzare la disponibilità del listener.

Se hai accesso al sistema locale, puoi verificare lo stato del servizio con PowerShell o con gli strumenti di Windows. In molte installazioni il servizio collegato a RDP non basta da solo a definire l’esposizione: il firewall può continuare a consentire il traffico, oppure una policy può riattivare la funzione al successivo refresh. Per questo conviene controllare sia la configurazione del servizio sia le regole di rete.

Un test minimo, rapido e reversibile è questo: disattiva la funzione, prova a connetterti da un altro PC della stessa rete e osserva il risultato. Se la connessione fallisce, ma la porta risulta ancora filtrata in modo permissivo dal firewall, allora hai chiuso il servizio ma non la regola. Se invece la porta è chiusa e il servizio non risulta attivo, sei nella condizione giusta.

PowerShell e CLI: quando serve una chiusura più controllata

In ambienti dove devi ripetere l’operazione su più macchine, o vuoi documentare il change in modo preciso, PowerShell è più affidabile del click manuale. La chiusura di Desktop remoto passa dalla chiave di registro che controlla l’abilitazione della funzionalità. L’operazione va fatta con attenzione: prima si legge lo stato, poi si modifica, poi si verifica e infine si aggiorna il firewall se necessario.

Il valore da controllare è quello che abilita le connessioni Remote Desktop. Se è impostato per consentire l’accesso, va portato a stato disabilitato. Dopo il cambio, è buona pratica controllare anche le regole in ingresso del firewall associate a RDP, perché una regola lasciata attiva non è un rischio immediato se il servizio non ascolta, ma è comunque rumore operativo e un possibile punto di errore in caso di future riattivazioni.

Esempio di controllo locale:

reg query "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections

Se il valore indica che le connessioni sono consentite, la macchina è ancora esposta via RDP. Dopo la modifica, il controllo va ripetuto e il risultato deve riflettere la disattivazione. In parallelo, verifica le regole del firewall con:

netsh advfirewall firewall show rule name="Remote Desktop"

Se il contesto lo richiede, puoi anche disabilitare la regola in ingresso per Desktop remoto invece di cancellarla. È la scelta più prudente, perché ti lascia un rollback semplice: riabilitare la regola è più sicuro che ricrearla a mano, soprattutto se esistono eccezioni personalizzate o scope di rete limitati.

Disattivare solo l’accesso remoto, non la macchina

Un errore comune è confondere la disattivazione di Desktop remoto con la disattivazione dell’intero sistema di accesso remoto. Windows 11 può continuare a offrire altri canali di amministrazione, come supporto remoto tramite software terzi, VPN aziendali, gestione endpoint o accesso tramite strumenti cloud. Spegnere RDP non tocca questi canali, e spesso è proprio quello che si vuole: ridurre l’esposizione senza rompere la gestione remota legittima.

Se il computer è in rete aziendale, la vera domanda è: chi deve entrare, da dove e con quale metodo? Se la risposta è “solo da VPN e solo tramite jump host”, allora RDP diretto sul client non ha senso. Se invece il supporto IT usa RDP per manutenzione, la chiusura va coordinata con un’alternativa già pronta, altrimenti si crea un buco operativo che poi qualcuno aggira riaprendo tutto in fretta.

Per questo, oltre alla disattivazione tecnica, ha senso fare un controllo minimo di esposizione: macchina raggiungibile solo dalla rete interna? porta 3389 filtrata dal firewall locale? eventuale NAT o port forwarding rimosso sul router? In un ambiente domestico il rischio maggiore è quasi sempre un port forwarding lasciato aperto; in azienda, invece, la criticità è più spesso una policy che non viene applicata in modo uniforme.

Se Desktop remoto torna attivo da solo

Quando la funzione si riaccende dopo il riavvio o dopo un aggiornamento, la causa di solito non è misteriosa: c’è una policy, uno script di provisioning o una gestione centralizzata che la ripristina. In quel caso il problema non è “come spegnerlo”, ma “chi lo sta riaccendendo”. Il controllo va fatto nei criteri locali, nei criteri di dominio e negli strumenti di gestione endpoint.

Il punto pratico è questo: se dopo una modifica manuale lo stato cambia ma non persiste, cerca una sorgente di configurazione che abbia priorità superiore. Può essere un GPO, un profilo MDM, un’automazione di hardening o un software di remote support. In questi casi la correzione stabile non è sul singolo PC ma sul template o sul criterio che governa il parco macchine.

Per chiudere il cerchio, confronta lo stato osservato con quello atteso dopo un refresh dei criteri. Se il toggle torna su “attivo”, la verifica da fare è nei log di applicazione criteri e nella console di gestione centralizzata. Se non hai accesso a quei sistemi, il gap non si colma a tentativi: serve chi può vedere la sorgente della policy.

Rollback pulito se hai disattivato per errore

La chiusura di Desktop remoto è reversibile, quindi va trattata come un change semplice ma documentato. Se ti accorgi che il PC deve tornare raggiungibile, riattiva la funzione dal medesimo percorso usato per spegnerla e verifica subito la connettività da un host autorizzato. Non lasciare la macchina in uno stato “forse attivo”: o è accessibile e testata, o è chiusa e verificata.

Se hai modificato anche il firewall, il rollback consiste nel ripristinare la regola RDP o nel riabilitarne l’eccezione precedente. Se invece hai toccato criteri centralizzati, il rollback deve passare dallo stesso sistema che ha imposto la disattivazione. È il modo più pulito per evitare configurazioni divergenti tra ciò che vedi localmente e ciò che il sistema applica davvero.

Assunzione: il lettore ha accesso amministrativo alla macchina Windows 11 e vuole disattivare Desktop remoto senza interrompere altri strumenti di gestione remota eventualmente presenti.