Erreur CredSSP sur le Bureau à distance : la fonctionnalité demandée n'est pas prise en charge

Le message « La fonction demandée n'est pas prise en charge » dans Bureau à distance Il est possible qu'un message d'erreur relatif au correctif de l'oracle de chiffrement CredSSP s'affiche. Dans ce cas, il convient de vérifier les mises à jour et les politiques de sécurité du client et de la machine distante.

Certains guides recommandent de modifier directement AllowEncryptionOracle et attribuer la valeur 2Cette modification peut autoriser certaines connexions, mais elle active un mode appelé VulnérableAvant de l'utiliser, identifiez l'erreur et vérifiez si vous pouvez résoudre l'incompatibilité en mettant à jour les deux extrémités.

Comment identifier l'erreur CredSSP dans un bureau à distance

Microsoft documente un scénario dans lequel la connexion RDP affiche une erreur d'authentification, indique que la fonction demandée n'est pas prise en charge et ajoute une référence à Correction de l'oracle de chiffrement CredSSP.

CredSSP permet de déléguer les identifiants pour l'authentification à distance. Ses options de compatibilité permettent d'empêcher les connexions qui reposeraient sur des versions vulnérables du protocole.

Avant de modifier les paramètres, copiez l'intégralité du message et des codes affichés. Ces situations nécessitent des diagnostics différents :

Message ou symptôme	Ce que vous devriez vérifier
La fonction demandée n'est pas prise en charge et le message mentionne CredSSP.	Directive relative aux mises à jour et à la correction des oracles cryptographiques.
Le jeton transmis à la fonction est invalide, avec le code 0xC000000D.	L’impact spécifique du protocole RDP et de la protection de l’administrateur, s’ils correspondent à vos conditions.
Avertissement concernant l'identité ou le certificat de l'équipement.	Nom de la connexion, confiance et validité du certificat.
L'appareil ne répond pas ou la connexion expire.	Disponibilité de la destination, connectivité et règles d'accès.

La référence explicite à CredSSP est importante pour ce diagnostic. N’attribuez aucune erreur d’authentification à cette directive simplement parce qu’elle contient le mot « fonction ».

Informez le client et l'équipe à distance.

Pour le scénario d'incompatibilité documenté, Microsoft recommande Installez les mises à jour de CredSSP sur le client et le serveur.afin que la connexion puisse être établie de manière sécurisée.

Le client est l'ordinateur depuis lequel vous ouvrez la connexion. Le serveur ou hôte est l'ordinateur auquel vous essayez d'accéder.

1. Identifiez la version et la build de Windows des deux ordinateurs à l'aide de winver.
2. Consultez son historique des mises à jour.
3. Installez les mises à jour applicables à chaque version via Windows Update ou le système de gestion de votre organisation.
4. Effectuez les redémarrages demandés par l'installation.
5. Testez à nouveau la connexion avant de modifier la compatibilité CredSSP.

La vulnérabilité qui a conduit à ces options est identifiée comme suit : CVE-2018-0886Certaines instructions officielles incluent des correctifs historiques pour les systèmes plus anciens : ces identifiants ne doivent pas être automatiquement transférés vers une installation Windows 11 actuelle.

Si la mise à jour de la destination est impossible en raison du blocage du protocole RDP, utilisez un accès local ou une console d'administration disponible. Pour les machines virtuelles, consultez les options de récupération fournies par votre plateforme.

Que signifient les valeurs de AllowEncryptionOracle ?

La directive Correction de l'oracle de chiffrement, ou correction de l'oracle de chiffrement, contrôle la compatibilité avec les versions vulnérables de CredSSP.

Valeur	Mode	Comportement
0	Clients mis à jour de force.	Il empêche l'utilisation de versions non sécurisées et rejette les clients sans mises à jour.
1	Atténué.	Le client ne revient pas à une version non sécurisée, mais le serveur peut accepter les clients sans mise à jour.
2	Vulnérable.	Il assure la compatibilité avec les versions non sécurisées et accepte les clients sans mises à jour.

Ces valeurs ne représentent pas trois niveaux équivalents pour le dépannage d'une erreur. Elles modifient les conditions de sécurité et de compatibilité des connexions.

Avant d'exiger la mise à jour des clients en utilisant l'option la plus restrictive, vérifiez que tous les appareils qui doivent communiquer disposent des mises à jour correspondantes.

Comment consulter la directive sans la modifier

Sur les ordinateurs disposant de l'Éditeur de stratégie de groupe, vous pouvez consulter le paramètre à partir de ce chemin :

Configuration de l'ordinateur > Modèles d'administration > Système > Délégation d'informations d'identification > Correction de l'Oracle de chiffrement.

Sur un ordinateur géré, vérifiez également quelle stratégie de groupe ou quel profil de gestion définit la valeur. Une configuration locale peut être soumise aux politiques de l'organisation.

Pour vérifier la valeur du Registre sans la modifier, ouvrez une console et exécutez :

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle

Si la valeur existe, notez le résultat et comparez-le à la stratégie appliquée. Si elle n'apparaît pas, consultez la configuration et le comportement réels de cette version de Windows avant de créer manuellement une entrée.

La requête précédente ne modifie pas la configuration. Son but est de détecter, par exemple, si une ancienne exception reste définie en mode vulnérable.

Pourquoi AllowEncryptionOracle=2 ne devrait pas être le tableau permanent

Microsoft décrit le mode vulnérable comme une solution temporaire à certains problèmes d'incompatibilité. L'entreprise avertit également qu'il autorise les connexions non sécurisées et expose l'ordinateur distant à des attaques.

Le fait qu'une connexion fonctionne après avoir défini la valeur à 2 ne signifie pas que la vulnérabilité a été corrigée. Le contrôle de compatibilité a été allégé.

Si une organisation doit appliquer cette exception, elle doit d'abord documenter la configuration précédente, en limiter la portée et se préparer à la mise à jour du matériel. Ensuite, elle doit supprimer l'exception et vérifier que le protocole RDP fonctionne conformément à la politique de protection prévue.

Vous pouvez consulter les scénarios et leurs conditions dans le Documentation officielle de Microsoft sur l'erreur CredSSP.

Quand vérifier la connectivité et les paramètres RDP

Si le message ne correspond pas à l'erreur CredSSP ou si la destination ne répond pas du tout, vérifiez d'abord que l'ordinateur est allumé, connecté et que le Bureau à distance est activé.

Sous Windows 11, l'option se trouve dans Paramètres > Système > Bureau à distanceLes éditions familiales ne peuvent pas servir d'hôte pour le service RDP intégré, bien qu'elles puissent se connecter en tant que clients à d'autres ordinateurs compatibles.

L'activation de l'assistance à distance est un paramètre différent et ne remplace pas l'activation du bureau à distance.

Pour une connexion RDP directe utilisant le port habituel, vous pouvez vérifier la connectivité TCP depuis PowerShell :

Test-NetConnection -ComputerName "PC-OFICINA" -Port 3389

Remplace PC-OFICINA par le nom ou l'adresse de destination et utilise son port réel s'il a changé.

TcpTestSucceeded: True indique qu'une connexion TCP à ce port a été établie avec succès. Cela ne confirme pas que les informations d'identification sont correctes ni que l'authentification RDP sera effectuée.

Si vous utilisez une passerelle RDS, vérifiez le routage et les exigences spécifiques de cette implémentation. Examinez les règles de pare-feu pour l'accès prévu, en évitant d'activer des profils réseau sans discernement ou d'exposer le port à Internet.

Comment vérifier si les identifiants enregistrés sont incorrects ?

Si le message indique que le compte ou le mot de passe est incorrect, vérifiez l'identité utilisée par le client. Il est possible qu'une ancienne authentification soit encore associée au nom ou à l'adresse de l'ordinateur distant.

1. Ouvrez le Gestionnaire d'identifiants du moteur de recherche Windows.
2. Entrer Informations d'identification Windows.
3. Repérez l'entrée correspondant à la destination concernée.
4. Si vous devez la remplacer et que vous disposez des informations d'identification actuelles, supprimez uniquement cette entrée.
5. Reconnectez-vous et saisissez le compte correct.

Vérifiez également si vous avez besoin d'un compte d'utilisateur local ou d'un compte de domaine. Renommez les utilisateurs à l'aide de netplwiz Il ne s'agit pas de la procédure pour corriger un mot de passe enregistré sur le client.

Ce contrôle concerne les problèmes d'identité. Il ne remplace pas la mise à jour de CredSSP lorsque l'avertissement signale cette incompatibilité.

Que vérifier avant de considérer le problème comme résolu ?

Après la mise à jour des systèmes et la vérification des politiques, ouvrez une nouvelle session avec l'utilisateur rencontrant le problème. Assurez-vous de pouvoir vous authentifier sans maintenir d'exception inutile en mode vulnérable.

Si le problème persiste, veuillez rassembler le message d'erreur complet, la version des deux systèmes, les mises à jour installées et les paramètres appliqués. Si un avertissement relatif à un certificat apparaît, examinez ce certificat en suivant les procédures de votre implémentation.

La modification des certificats, la réduction de la résolution ou la mise à jour des pilotes réseau ne doivent pas constituer une procédure automatique pour chaque erreur d'authentification. L'étape suivante doit s'attaquer au problème persistant.