- L'error 0xC000000D és causat per la funció de protecció d'administrador en versions recents de Windows 11 després d'instal·lar actualitzacions específiques.
- Afecta principalment usuaris sense privilegis d'administrador que intenten connectar equips gestionats per Intune o GPO.
- La solució temporal consisteix a canviar el mode d'aprovació d'administrador al mode heretat (Legacy) i reiniciar el sistema.
Si de sobte t'has topat que l'Escriptori remot de Windows 11 ha decidit deixar de funcionar i et llança el maleït error 0xC000000D , no et desesperis. Aquesta fallada, que sol venir acompanyada del missatge indicant que el token passat a la funció no és vàlid , s'ha tornat un maldecap per a molts, especialment després d'algunes actualitzacions recents del sistema que han mogut algunes peces de seguretat.
El més curiós és que, en la majoria dels casos, no té res a veure que hagis posat malament la contrasenya o que el teu encaminador estigui fent coses rares. Es tracta d'un conflicte tècnic intern relacionat amb la gestió de permisos i la protecció de comptes, que afecta sobretot entorns corporatius o equips gestionats professionalment, encara que també pot aparèixer en configuracions domèstiques si s'han tocat certs ajustaments.
El culpable: La protecció d'administrador
El problema principal sorgeix a causa d'una funció anomenada Protecció d'administrador . Aquesta eina de seguretat està dissenyada perquè, fins i tot si utilitzes un compte amb privilegis elevats, Windows us obligui a treballar com un usuari estàndard. Només quan necessites fer alguna cosa «seriosa», com instal·lar programari o tocar el registre, el sistema et demana verificar la teva identitat mitjançant Windows Hello per generar un token temporal. És una mesura genial per frenar el codi maliciós (malware), però ha resultat tenir un efecte secundari bastant molest amb el RDP.
Aquest error es dispara quan s'ajunten tres factors específics: l'equip al qual intentes entrar utilitza Windows 11 (versions 24H2, 25H2 o 26H2) , té instal·lada l'actualització KB5124010 o posteriors , i la protecció d'administrador està encesa. El detall clau és que l'error només passa si qui intenta connectar no té permisos d'administrador a l'equip remot. Si ets l'administrador, el més probable és que entris sense problemes.
Per a les empreses que utilitzen Microsoft Intune o directives de grup (GPO) , el risc és més gran, ja que les línies base de seguretat de Microsoft solen activar aquesta protecció per defecte. Per això, molts usuaris shan vist fora dels seus PCs sense haver canviat absolutament res, simplement per aplicar els pegats de seguretat recomanats.
Com solucionar l'error 0xC000000D pas a pas
Mentre Microsoft llança un pegat definitiu, l'única sortida és aplicar un rodeig tècnic per desactivar la funció conflictiva. Si gestioneu els equips de la vostra oficina, teniu dos camins depenent de la vostra eina d'administració:
- Via Directives de Grup (GPO): Heu de navegar fins a Configuració de l'ordinador > Configuració del Windows > Configuració de seguretat > Directives locals > Opcions de seguretat. Allí, cerca l'opció Configure type of Admin Approval Mode i canvia-la a Legacy Admin Approval Mode (Default). Si ho fas en un PC solt, pots fer servir l'ordre secpol.msc.
- Via Microsoft Intune: Al catàleg de configuració, has de restablir el paràmetre User Account Control Type Of Admin Approval Mode dins de les opcions de seguretat de polítiques locals.
És fonamental que recordeu reiniciar l'equip després de fer el canvi, ja que si no, el sistema seguirà ignorant la modificació. Tingues en compte que, en fer això, l'equip perd aquesta capa extra de seguretat, per la qual cosa l'ideal és aplicar-ho només als hosts que reben connexions d'usuaris comuns i tornar-ho a activar quan surti l'actualització oficial.
Altres causes possibles de fallades a l'Escriptori Remot
Si l'error no és exactament el 0xC000000D o si la volta anterior no t'ha servit, pot ser que estiguis davant d'un problema de connectivitat més clàssic. Primer, assegureu-vos que l'equip remot té l' RDP habilitat a Configuració > Sistema > Escriptori Remot. De vegades, desactivar temporalment l' autenticació a nivell de xarxa (NLA) ajuda a diagnosticar si el problema és de credencials.
Un altre escenari molt comú a empreses és la duplicitat d'identificador de seguretat (SID) . Això passa quan es creen màquines a partir d'una imatge clonada sense passar el procés de Sysprep amb l'opció /generalize . Si dos PC tenen el mateix SID, el sistema d'autenticació Kerberos es torna boig i bloqueja la connexió. La solució aquí és executar sysprep.exe a C:\Windows\System32\Sysprep, marcar la casella de generalitzar i reiniciar, encara que això implica tornar a unir la màquina al domini.
També val la pena fer una ullada al Firewall de Windows oa l'antivirus de tercers. Si sospiteu que el port 3389 està bloquejat, podeu utilitzar l'eina psping per comprovar si l'equip remot respon. Si veieu un 100% de pèrdua, és molt probable que hi hagi una regla de tallafocs impedint el pas del trànsit.
Verificacions tècniques avançades
Per als que volen anar al gra amb el registre o la consola, hi ha comprovacions ràpides. A l'Editor del Registre, revisa la clau fDenyTSConnections a HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server. Si el valor és 1, el RDP està apagat; canvia'l a 0 per habilitar-lo . Així mateix, verifica que els serveis TermService (Serveis d'Escriptori remot) i UmRdpService estiguin en execució.
En casos extrems, el problema podria estar al certificat autosignat de RDP . Si el certificat està corrupte, podeu suprimir-lo des de la consola de certificats (MMC) a la carpeta Remote Desktop i reiniciar el servei perquè Windows en generi un de nou automàticament . No oblideu també revisar que la carpeta MachineKeys tingui els permisos correctes perquè el sistema pugui escriure aquests certificats.
Per resoldre aquest bloqueig, és primordial identificar si la fallada ve per la nova protecció d'administrador de Windows 11, que requereix tornar al mode d'aprovació heretat, o si es tracta d'un problema de xarxa, certificats o SIDs duplicats per clonatge d'imatges. Mentre que l'error 0xC000000D es mitiga ajustant les directives de control de comptes d'usuari, les fallades generals de connexió se solucionen revisant el port 3389, habilitant el servei al registre i assegurant que el tallafoc no estigui bloquejant l'accés.