Главная/Установка/SSL для RDP

SSL-сертификат для RDP: как заменить самоподписанный в Windows

SSL-сертификат для RDP убирает предупреждение о непроверенном удалённом компьютере: по умолчанию Windows защищает подключение самоподписанным сертификатом, а его можно заменить доверенным на имя сервера. Для этого сертификат импортируют в хранилище компьютера и привязывают к слушателю RDP по отпечатку.

4 мин чтенияДанные проверены 19 октября 2026

Ответ за 30 секунд

Windows защищает RDP самоподписанным сертификатом, поэтому клиент предупреждает о непроверенном сервере. Предупреждение исчезает, когда сертификат выпущен на имя сервера, лежит в хранилище компьютера и привязан к RDP по отпечатку.

Let's Encrypt подходит для имени вроде rdp.example.com бесплатно, платный AlphaSSL стоит 1 000 ₽ за 6 месяцев, выпуск 30 минут (Таймвеб, на 19 октября 2026).

Как проверить, что RDP использует новый сертификат

01 · 1 мин

Почему RDP предупреждает о сертификате при подключении#

Служба удалённых рабочих столов при первом запуске создаёт сертификат на имя самого компьютера и подписывает его сама. Канал шифруется, но подлинность сервера никто не подтверждает, поэтому клиент спрашивает, продолжать ли подключение. Привыкнуть нажимать «да» опасно: подмену сервера по такому предупреждению не отличить.

ВариантПредупреждениеКому подходит
Самоподписанный по умолчаниюЕстьОдин сервер для себя
Сертификат публичного центра на доменНетСервер с именем в интернете
Сертификат внутреннего центра (AD CS)Нет на компьютерах доменаПарк серверов в организации

Общая схема, почему устройство не доверяет неизвестному издателю: сертификат не доверен.

02 · 1 мин

Какой сертификат подходит для RDP#

Клиент сравнивает имя, которое вы вводите в окне подключения, с именами в сертификате. Значит, подключаться нужно по rdp.example.com, а не по адресу, и это же имя должно стоять в сертификате. Сертификат на сам IP-адрес получить сложнее: SSL для IP-адреса.

  • Имя сервера направлено на его публичный адрес A-записью. Если сервер только во внутренней сети, берите внутренний центр сертификации.
  • Назначение сертификата: проверка подлинности сервера. У обычного сертификата для сайта оно есть.
  • Закрытый ключ существует на сервере. Если сертификат выпущен на другом компьютере, нужен файл .pfx вместе с ключом: форматы сертификатов.

Бесплатный Let's Encrypt для такого имени подходит. На Windows его выпускают ACME-клиентом, например win-acme. Платный вариант нужен ради гарантийной выплаты или нужного срока.

03 · 1 мин

Как заменить сертификат RDP в Windows по шагам#

  1. Импортируйте сертификат в хранилище «Личное» учётной записи компьютера. Без этого команда привязки вернёт ошибку.
  2. Скопируйте отпечаток нужного сертификата.
  3. Дайте учётной записи NETWORK SERVICE право чтения закрытого ключа: в certlm.msc откройте «Все задачи», «Управление закрытыми ключами». Служба RDP работает от этой записи.
  4. Привяжите сертификат к слушателю RDP командой ниже.
$pw = Read-Host "Пароль от pfx" -AsSecureString
Import-PfxCertificate -FilePath C:\certs\rdp.pfx -CertStoreLocation Cert:\LocalMachine\My -Password $pw

Get-ChildItem Cert:\LocalMachine\My | Format-Table Subject, Thumbprint, NotAfter

# Windows 11 и Windows Server 2025
Get-WmiObject -class "Win32_TSGeneralSetting" -Namespace root\cimv2\terminalservices | Set-WmiInstance -Arguments @{SSLCertificateSHA1Hash="ОТПЕЧАТОК"}

# Windows Server 2012 и старше, командная строка
wmic /namespace:\\root\cimv2\TerminalServices PATH Win32_TSGeneralSetting Set SSLCertificateSHA1Hash="ОТПЕЧАТОК"

Отпечаток вводите без пробелов. Если клиент всё ещё видит старый сертификат, перезапустите службу удалённых рабочих столов: текущие сеансы при этом оборвутся. Сервер входит в домен? Тогда сертификат можно раздавать групповой политикой «Server authentication certificate template» в параметрах узла сеансов удалённых рабочих столов. Установка сертификата в другом сервере Windows: сертификат в IIS.

Инструмент · 1 мин

Как проверить, что RDP использует новый сертификат#

Подключитесь по имени сервера: окно предупреждения не появится, а в свойствах сертификата будет ваш издатель. Привязанный отпечаток читается так:

Get-WmiObject -class "Win32_TSGeneralSetting" -Namespace root\cimv2\terminalservices | Select-Object SSLCertificateSHA1Hash

Сертификат шифрует канал, но пароль от подбора не защищает. Ограничьте порт 3389 в файрволе списком нужных адресов и оставьте включённой проверку подлинности на уровне сети (NLA).

Чек-лист ниже собирает шаги в одну последовательность.

Чек-лист: RDP с доверенным сертификатом

Отмечайте пункты по мере готовности, чек-лист подскажет следующий шаг

05 · 1 мин

Вопросы о сертификате для RDP#

Почему RDP ругается на сертификат при подключении?

Сервер отдаёт самоподписанный сертификат на имя компьютера, а клиент не знает издателя. Шифрование работает, но подлинность сервера не подтверждена. Убирается заменой сертификата на выпущенный доверенным центром.

Можно ли использовать Let's Encrypt для сертификата RDP?

Да, если у сервера есть доменное имя. Срок сертификата 90 дней, после каждого продления меняется отпечаток, поэтому привязку нужно обновлять командой или скриптом после выпуска.

Как убрать предупреждение RDP без покупки сертификата?

Выпустите сертификат внутренним центром сертификации и раздайте корневой на компьютеры, либо добавьте самоподписанный сертификат сервера в доверенные на каждом клиенте. Второй путь работает, но на каждый сервер его придётся повторять: самоподписанный сертификат.

Нужен ли сертификат RDP внутри локальной сети?

Шифрование есть и с сертификатом по умолчанию. Доверенный сертификат нужен, чтобы клиент мог убедиться, что подключается к настоящему серверу, а не к подставному.

Почему этому можно верить

Как мы проверяли

Документация и провайдерыКоманды выпуска и установки сверены с документацией, дата указана.
Всё можно повторитьКоманды certbot и openssl описаны так, что их повторит любой читатель.
Независимый справочникНе связан с центрами сертификации и честно говорит, когда хватает бесплатного SSL.

Источники цифр на этой странице: SSL-сертификаты Таймвеб, timeweb.com/ru/services/domains/ssl, проверено 19 октября 2026; Let's Encrypt: документация, letsencrypt.org/docs, проверено 19 октября 2026; Microsoft Learn: Remote Desktop listener certificate configurations, learn.microsoft.com/en-us/troubleshoot/windows-server/remote/remote-desktop-listener-certificate-configurations, проверено 19 октября 2026.

SBРедакция SSLBase · обновлено 19 октября 2026

Подключите SSL к сайту

От бесплатного Let's Encrypt до платных сертификатов GlobalSign с гарантийной выплатой и установкой под ключ. Любой можно вернуть за 7 дней.

  • Бесплатный Let's Encrypt на домен
  • Платные от 1 000 ₽ за 6 месяцев
  • Wildcard на все поддомены
  • 7 дней на возврат
Проверка

Что посмотреть дальше

Самоподписанный сертификатПочему клиент ему не верит Сертификат в IISПривязка на Windows Server Форматы сертификатовpfx, pem, crt, key SSL для IP-адресаКогда нет имени