Windows Server 2025 : verrouillage après 10 échecs

Un Windows Server 2025 tout neuf, avec une adresse publique, reçoit ses premiers essais de mot de passe sur le Bureau à distance en quelques minutes. Rien de nouveau. Ce qui change avec 2025, c'est la réaction : après 10 échecs, Windows verrouille désormais le compte, y compris le compte intégré Administrator. Les robots n'entrent pas, mais vous non plus.

Nous l'avons mesuré sur nos propres images, nous avons changé ce réglage sur toutes les images Windows que nous proposons, et nous avons gardé d'autres protections à la place. Voici ce que nous avons constaté, et comment vérifier ou modifier ce réglage sur votre serveur.

1. Ce que nous avons mesuré

Nous avons démarré un serveur neuf depuis chaque image et lu la stratégie dès la fin du premier démarrage de Windows (nos images sont en anglais, d'où les libellés) :

C:\> net accounts | findstr /c:"Lockout threshold"
Lockout threshold:                                    10

Cela vient d'un changement publié par Microsoft en octobre 2022 (KB5020282). Jusque-là, le compte Administrator intégré ne pouvait jamais être verrouillé. Une nouvelle stratégie, Allow Administrator account lockout, l'a rendu possible, avec des valeurs recommandées de 10/10/10 : dix échecs en dix minutes verrouillent le compte pendant dix minutes. Sur les nouvelles installations des versions récentes de Windows, ces réglages sont posés dès l'installation, et Windows Server 2025 en fait partie. Notre image 2019 ne les a pas.

2. Pourquoi ça gêne sur un serveur exposé à Internet

Le verrouillage compte les échecs par compte, pas par provenance. Sur un serveur dont le Bureau à distance est ouvert à tous, les échecs viennent de scanners qui essaient Administrator avec des listes de mots de passe courants, jour et nuit. Dix essais en dix minutes, c'est un après-midi calme. À chaque fois, le compte est verrouillé dix minutes, pour tout le monde.

De votre côté, le Bureau à distance répond que le compte a été verrouillé en raison d'un trop grand nombre de tentatives, alors que vous tapez le bon mot de passe. Pour un serveur de trading qui doit rester joignable, ou quand il faut intervenir tout de suite, c'est une panne dont vous n'êtes pas la cause.

3. Ce que nous avons changé

Toutes nos images Windows, MetaTrader compris, règlent maintenant le seuil à 0 (Never, jamais) au premier démarrage :

C:\> net accounts /lockoutthreshold:0
The command completed successfully.

C:\> net accounts | findstr /c:"Lockout threshold"
Lockout threshold:                                    Never

Retirer une protection n'est raisonnable que si autre chose fait son travail. Ici, deux choses le font :

• Le mot de passe. Celui que nous générons à la commande compte 16 lettres et chiffres tirés au hasard, soit environ 95 bits. Le deviner par le Bureau à distance n'est pas une attaque réaliste, avec ou sans verrouillage. Le verrouillage protège surtout les mots de passe faibles : si vous choisissez le vôtre, faites-le long.
• Qui peut joindre le Bureau à distance. La vraie solution, c'est d'empêcher les inconnus d'atteindre le port 3389. Un pare-feu cloud qui ne laisse passer que vos adresses supprime à la fois les essais et les verrouillages, et il est inclus avec chaque machine.

Les référentiels de sécurité comme CIS recommandent un seuil de 5 ou moins. Ce conseil vise un serveur dans le réseau d'une entreprise, où les échecs viennent d'utilisateurs qui se trompent de mot de passe. Sur un VPS exposé à Internet, il donne aux robots un interrupteur pour vous mettre dehors. Si vous tenez au verrouillage, restreignez d'abord le Bureau à distance, puis réactivez-le.

4. Vérifier et modifier le réglage

Dans une invite de commandes ou un PowerShell lancé en administrateur :

net accounts

Les trois lignes utiles sont Lockout threshold, Lockout duration et Lockout observation window. Pour désactiver le verrouillage :

net accounts /lockoutthreshold:0

Pour le garder, avec des valeurs adaptées à un serveur déjà restreint :

net accounts /lockoutthreshold:5 /lockoutduration:15 /lockoutwindow:15

Les mêmes réglages se trouvent dans secpol.msc, sous Account Policies > Account Lockout Policy, à côté de Allow Administrator account lockout. Si le serveur rejoint un domaine, la stratégie du domaine l'emporte sur les valeurs locales.

5. Déjà verrouillé ?

Le verrouillage ne s'applique qu'aux connexions réseau comme le Bureau à distance. La connexion sur la console reste possible pendant le verrouillage, la note de Microsoft le confirme. Ouvrez la console de votre serveur depuis l'espace client, connectez-vous en Administrator, puis attendez la fin du verrouillage ou levez-le à la main : lusrmgr.msc, Users, propriétés du compte, décochez Account is locked out.

Réglez ensuite la cause, sinon la prochaine vague d'essais le verrouillera de nouveau : règle de pare-feu, ou seuil à 0, comme plus haut.

6. Voir qui frappe à la porte

Les échecs de connexion sont l'événement 4625 du journal Sécurité, les verrouillages l'événement 4740. Pour compter les échecs de la dernière heure :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-1)} |
    Measure-Object

Sur un serveur dont le Bureau à distance est ouvert à tous, le compte est rarement à zéro, même quand personne ne connaît le serveur. Derrière un pare-feu qui n'admet que votre adresse, il y reste, et c'est le montage que nous recommandons. Pour restreindre le Bureau à distance depuis Windows plutôt que depuis la console (remplacez l'adresse par la vôtre) :

Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 203.0.113.10

MetaTrader ou un autre outil qui doit tourner jour et nuit ? Notre guide pour choisir un VPS de trading couvre le reste de la liste.