- L'errore 0xC000000D è causato dalla funzionalità di protezione dell'amministratore presente nelle versioni recenti di Windows 11, dopo l'installazione di specifici aggiornamenti.
- Il problema riguarda principalmente gli utenti senza privilegi di amministratore che tentano di connettersi a computer gestiti tramite Intune o Criteri di gruppo (GPO).
- La soluzione temporanea consiste nel modificare la modalità di approvazione dell'amministratore in modalità Legacy e riavviare il sistema.
Se all'improvviso Windows 11 Remote Desktop ha smesso di funzionare e restituisce il temuto errore 0xC000000D , non disperate. Questo errore, solitamente accompagnato da un messaggio che indica che il token passato alla funzione non è valido , è diventato un vero grattacapo per molti, soprattutto dopo alcuni recenti aggiornamenti di sistema che hanno modificato alcune funzionalità di sicurezza.
La cosa più strana è che, nella maggior parte dei casi, non ha nulla a che fare con l'inserimento di una password errata o con un malfunzionamento del router. Si tratta di un conflitto tecnico interno relativo alla gestione dei permessi e alla protezione dell'account, che interessa principalmente gli ambienti aziendali o i sistemi gestiti professionalmente, sebbene possa verificarsi anche in ambito domestico se sono state modificate determinate impostazioni.
Il colpevole: Protezione amministratore
Il problema principale deriva da una funzionalità chiamata Protezione amministratore . Questo strumento di sicurezza è progettato in modo tale che, anche se si utilizza un account con privilegi elevati, Windows costringa l'utente a operare come utente standard. Solo quando è necessario eseguire operazioni "serie", come l'installazione di software o la modifica del registro di sistema, il sistema richiede di verificare l'identità tramite Windows Hello per generare un token temporaneo. Si tratta di un'ottima misura per contrastare il malware, ma si è rivelata avere un effetto collaterale piuttosto fastidioso con RDP.
Questo errore si verifica quando concorrono tre fattori specifici: il computer a cui si sta tentando di accedere esegue Windows 11 (versioni 24H2, 25H2 o 26H2) , ha installato l'aggiornamento KB5124010 o versioni successive e la protezione amministratore è abilitata. Il dettaglio fondamentale è che l'errore si verifica solo se la persona che tenta di connettersi non dispone dei privilegi di amministratore sul computer remoto. Se si è l'amministratore, molto probabilmente si riuscirà a connettersi senza problemi.
Per le aziende che utilizzano Microsoft Intune o gli Oggetti Criteri di gruppo (GPO) , il rischio è maggiore, poiché le impostazioni di sicurezza di Microsoft in genere abilitano questa protezione per impostazione predefinita. Pertanto, molti utenti si sono ritrovati bloccati fuori dai propri PC senza aver modificato nulla, semplicemente applicando le patch di sicurezza consigliate .
Come risolvere l'errore 0xC000000D passo dopo passo
In attesa che Microsoft rilasci una patch definitiva, l'unica soluzione è ricorrere a una soluzione alternativa tecnica per disabilitare la funzionalità problematica. Se gestisci i computer dell'ufficio, hai due opzioni a seconda dello strumento di amministrazione utilizzato:
- Tramite ordini di policy di gruppo (GPO): Devi andare su Configurazione computer > Impostazioni di Windows > Impostazioni di sicurezza > Criteri locali > Opzioni di sicurezza. Lì, cerca l'opzione Configura il tipo di modalità di approvazione amministrativa e cambiarlo in Modalità di approvazione amministrativa legacy (predefinita)Se lo stai facendo su un PC autonomo, puoi usare il comando secpol.msc.
- Tramite Microsoft Intune: Nel catalogo di configurazione, è necessario reimpostare il parametro Controllo dell'account utente Tipo di modalità di approvazione amministrativa nell'ambito delle opzioni di sicurezza delle policy locali.
È fondamentale ricordarsi di riavviare il computer dopo aver apportato la modifica, altrimenti il sistema continuerà a ignorarla. Tenete presente che in questo modo il computer perderà quel livello di sicurezza aggiuntivo, quindi idealmente dovreste applicarlo solo agli host che ricevono connessioni da utenti regolari e riattivarlo quando verrà rilasciato l'aggiornamento ufficiale.
Altre possibili cause di errori del Desktop remoto
Se l'errore non è esattamente 0xC000000D, o se i precedenti passaggi di risoluzione dei problemi non hanno funzionato, potresti trovarti di fronte a un problema di connettività più classico. Innanzitutto, assicurati che il computer remoto abbia il Protocollo Desktop remoto ( RDP) abilitato in Impostazioni > Sistema > Desktop remoto. A volte, disabilitare temporaneamente l'autenticazione a livello di rete (NLA) aiuta a diagnosticare se il problema è correlato alle credenziali.
Un altro scenario molto comune nelle aziende è quello degli identificatori di sicurezza (SID) duplicati . Ciò si verifica quando i computer vengono creati da un'immagine clonata senza eseguire il processo Sysprep con l'opzione /generalize . Se due PC hanno lo stesso SID, il sistema di autenticazione Kerberos non funziona correttamente e blocca la connessione. La soluzione in questo caso è eseguire sysprep.exe in C:\Windows\System32\Sysprep, selezionare la casella /generalize e riavviare il computer, anche se ciò richiederà la riaggiunta del computer al dominio.
Vale anche la pena controllare il firewall di Windows o il software antivirus di terze parti. Se sospetti che la porta 3389 sia bloccata, puoi utilizzare lo strumento psping per verificare se il computer remoto risponde. Se riscontri una perdita del 100%, è molto probabile che una regola del firewall stia bloccando il traffico.
Controlli tecnici avanzati
Per chi desidera andare subito al sodo con il registro di sistema o la console, esistono dei controlli rapidi. Nell'Editor del Registro di sistema, verificare la chiave fDenyTSConnections in HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server. Se il valore è 1, RDP è disabilitato; modificarlo in 0 per abilitarlo . Verificare inoltre che i servizi TermService (Servizi Desktop remoto) e UmRdpService siano in esecuzione.
In casi estremi, il problema potrebbe risiedere nel certificato autofirmato di RDP . Se il certificato è danneggiato, è possibile eliminarlo dalla Console Certificati (MMC) nella cartella Desktop remoto e riavviare il servizio in modo che Windows ne generi automaticamente uno nuovo . Assicurarsi inoltre che la cartella MachineKeys disponga delle autorizzazioni corrette affinché il sistema possa scrivere questi certificati.
Per risolvere questo problema, il primo passo consiste nell'identificare se la causa derivi dalla nuova protezione dell'amministratore di Windows 11, che richiede il ripristino della modalità di approvazione precedente, oppure se sia correlata a problemi di rete, certificati o SID duplicati dovuti alla clonazione dell'immagine. Mentre l'errore 0xC000000D può essere attenuato modificando i criteri di controllo dell'account utente, i problemi di connessione generici si risolvono controllando la porta 3389, abilitando il servizio nel registro di sistema e assicurandosi che il firewall non blocchi l'accesso.