Erro CredSSP na Área de Trabalho Remota: O recurso solicitado não é compatível.

A mensagem Na Área de Trabalho Remota, aparece a mensagem "A função solicitada não é compatível". Pode aparecer acompanhado de uma referência à correção do oráculo de criptografia CredSSP. Nesse caso, você deve revisar as atualizações e as políticas de segurança tanto do cliente quanto da máquina remota.

Alguns guias recomendam modificar diretamente AllowEncryptionOracle e atribuir o valor 2Essa alteração pode permitir certas conexões, mas ativa um modo chamado VulnerávelAntes de usar, identifique o erro e verifique se consegue resolver a incompatibilidade atualizando ambas as partes.

Como identificar o erro CredSSP na Área de Trabalho Remota

A Microsoft documenta um cenário em que a conexão RDP exibe um erro de autenticação, indica que a função solicitada não é suportada e adiciona uma referência a Remediação do oráculo de criptografia CredSSP.

O CredSSP permite delegar credenciais para autenticação remota. Suas opções de compatibilidade podem impedir conexões que dependeriam de versões vulneráveis ​​do protocolo.

Antes de alterar qualquer configuração, copie toda a mensagem e quaisquer códigos que apareçam. Essas situações exigem diagnósticos diferentes:

Mensagem ou sintoma	O que você deve verificar
A função solicitada não é suportada e o aviso menciona o CredSSP.	Diretiva de Atualizações e Correções do Oráculo Criptográfico.
O token passado para a função é inválido, com o código 0xC000000D.	O impacto específico do RDP e da Proteção de Administrador, caso corresponda às suas condições.
Aviso sobre a identidade ou certificação do equipamento.	Nome da conexão, nível de confiança e validade do certificado.
O dispositivo não está respondendo ou a conexão expira.	Disponibilidade do destino, conectividade e regras de acesso.

A referência explícita ao CredSSP é importante para este diagnóstico. Não atribua nenhum erro de autenticação a essa diretiva simplesmente porque ela contém a palavra "function".

Atualize o cliente e a equipe remota.

Para o cenário de incompatibilidade documentado, a Microsoft recomenda: Instale as atualizações do CredSSP tanto no cliente quanto no servidor.para que a conexão possa ser estabelecida com segurança.

O cliente é o computador a partir do qual você inicia a conexão. O servidor ou host é o computador ao qual você está tentando acessar.

1. Identifique a versão e a compilação do Windows em ambos os computadores usando winver.
2. Verifique o histórico de atualizações.
3. Instale as atualizações aplicáveis ​​a cada versão através do Windows Update ou do sistema de gerenciamento da sua organização.
4. Conclua as reinicializações solicitadas pela instalação.
5. Teste a conexão novamente antes de modificar a compatibilidade com o CredSSP.

A vulnerabilidade que levou a essas opções foi identificada como CVE-2018-0886Algumas instruções oficiais incluem patches históricos para sistemas mais antigos: esses identificadores não devem ser transferidos automaticamente para uma instalação atual do Windows 11.

Se não for possível atualizar o destino porque o RDP está bloqueado, use o acesso local ou um console de gerenciamento disponível. Para máquinas virtuais, consulte as opções de recuperação fornecidas pela sua plataforma.

O que significam os valores de AllowEncryptionOracle?

A diretiva Remediação de Oráculo de Criptografia, ou correção do oráculo de criptografia, controla a compatibilidade com versões vulneráveis ​​do CredSSP.

Valor	Modo	Comportamento
0	Clientes atualizados à força.	Isso impede o uso de versões inseguras e rejeita clientes sem atualizações.
1	Mitigado.	O cliente não retorna a uma versão insegura, mas o servidor pode aceitar clientes sem atualizar.
2	Vulnerável.	Permite compatibilidade com versões inseguras e aceita clientes sem atualizações.

Esses valores não representam três níveis equivalentes para a resolução de problemas. Eles alteram as condições de segurança e compatibilidade das conexões.

Antes de exigir clientes atualizados usando a opção mais restritiva, verifique se todos os dispositivos que precisam se comunicar possuem as atualizações correspondentes.

Como consultar a diretiva sem a modificar.

Em computadores que possuem o Editor de Política de Grupo, você pode revisar a configuração a partir deste caminho:

Configuração do computador > Modelos administrativos > Sistema > Delegação de credenciais > Criptografia Oracle Fix.

Em um computador gerenciado, verifique também qual GPO ou perfil de gerenciamento define o valor. Uma configuração local pode estar sujeita a políticas organizacionais.

Para verificar o valor do Registro sem alterá-lo, abra um console e execute:

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle

Se o valor existir, anote o resultado e compare-o com a política aplicada. Se não aparecer, verifique a configuração e o comportamento reais dessa versão do Windows antes de criar uma entrada manualmente.

A consulta anterior não modifica a configuração. Seu objetivo é detectar, por exemplo, se uma exceção antiga permanece definida no modo Vulnerável.

Por que AllowEncryptionOracle=2 não deveria ser o array permanente?

A Microsoft documenta o Modo Vulnerável como uma solução temporária para certos cenários de incompatibilidade. Ela também alerta que ele permite conexões inseguras e expõe o computador remoto a ataques.

O simples fato de uma conexão funcionar após definir o valor para 2 não significa que a vulnerabilidade tenha sido corrigida. A verificação de compatibilidade foi flexibilizada.

Caso uma organização precise aplicar essa exceção, ela deve primeiro documentar a configuração anterior, limitar seu escopo e se preparar para atualizar o equipamento. Em seguida, deve remover a exceção e verificar se o RDP está funcionando de acordo com a política de proteção pretendida.

Você pode verificar os cenários e suas condições no Documentação oficial da Microsoft sobre o erro CredSSP.

Quando verificar a conectividade e as configurações do RDP

Se a mensagem não corresponder ao erro CredSSP ou se o destino não responder, verifique primeiro se o computador está ligado, conectado e se a Área de Trabalho Remota está ativada.

No Windows 11, a opção está localizada em Configurações > Sistema > Área de Trabalho RemotaAs edições domésticas não podem funcionar como host para o serviço RDP integrado, embora possam se conectar como clientes a outros computadores compatíveis.

Habilitar a Assistência Remota é uma configuração diferente e não substitui a ativação da Área de Trabalho Remota.

Para uma conexão RDP direta usando a porta usual, você pode verificar a conectividade TCP a partir do PowerShell:

Test-NetConnection -ComputerName "PC-OFICINA" -Port 3389

Substitui PC-OFICINA pelo nome ou endereço de destino e utiliza a porta real, caso esta tenha sido alterada.

TcpTestSucceeded: True Indica que uma conexão TCP com essa porta foi estabelecida com sucesso. Isso não confirma se as credenciais estão corretas ou se a autenticação RDP será concluída.

Se estiver usando um gateway RDS, verifique o roteamento e os requisitos específicos dessa implementação. Revise as regras de firewall para o acesso pretendido, evitando habilitar indiscriminadamente perfis de rede ou expor a porta à internet.

Como verificar se as credenciais salvas estão incorretas

Se a mensagem indicar que a conta ou a senha está incorreta, verifique qual identidade o cliente está usando. Uma credencial antiga ainda pode estar associada ao nome ou endereço do computador remoto.

1. Abra o Gerente de Credenciais do mecanismo de busca do Windows.
2. Digitar Credenciais do Windows.
3. Localize a entrada correspondente ao destino afetado.
4. Se precisar substituir e você tiver as credenciais atuais, exclua apenas essa entrada.
5. Reconecte e insira a conta correta.

Verifique também se você precisa de uma conta de computador local ou de uma conta de domínio. Renomeie os usuários usando netplwiz Este não é o procedimento para corrigir uma senha salva no cliente.

Esta verificação está relacionada a problemas de identidade. Ela não substitui a atualização do CredSSP quando o aviso identifica essa incompatibilidade.

O que verificar antes de considerar o problema resolvido

Após atualizar os sistemas e revisar as políticas, inicie uma nova sessão com o usuário que estava enfrentando o problema. Verifique se é possível autenticar sem gerar uma exceção desnecessária no modo Vulnerável.

Se o problema persistir, reúna a mensagem completa, a versão de ambos os sistemas, quaisquer atualizações instaladas e as configurações aplicadas. Se aparecer um aviso específico do certificado, revise esse certificado seguindo os procedimentos da sua implementação.

Modificar certificados, reduzir a resolução ou atualizar drivers de rede não deve fazer parte de uma sequência automática para cada erro de autenticação. O próximo passo deve abordar o sintoma persistente.