Combien de sessions RDP sur un VPS Windows, et quand il faut des licences RDS

C'est le malentendu le plus coûteux sur un VPS Windows. La machine arrive avec le Bureau à distance actif, la connexion fonctionne, et on en conclut que plusieurs personnes pourront travailler dessus. Ce n'est pas le cas, et la limite n'est pas technique : elle est contractuelle.

La règle : Windows Server autorise deux sessions Bureau à distance simultanées, et uniquement à des fins d'administration. Pour que des utilisateurs s'en servent comme d'un poste de travail, il faut activer le rôle Bureau à distance et acheter des licences d'accès client RDS, qu'aucune offre VPS du marché ne comprend.

Deux sessions, et ce qu'on a le droit d'en faire

Le mode par défaut s'appelle l'administration à distance. Il donne deux connexions simultanées, plus une session console. Il est prévu pour administrer le serveur : installer un rôle, consulter un journal, redémarrer un service.

Ce que ce mode ne couvre pas, c'est l'usage comme bureau partagé. Si trois personnes doivent ouvrir une application métier sur la machine, ou si un poste sert de bureau distant à une équipe, vous sortez du cadre prévu, même si techniquement la troisième connexion échoue simplement avec un message.

La nuance compte parce qu'elle décide du budget. Deux sessions suffisent largement pour un serveur applicatif, un bot de trading ou un service qui tourne seul. Elles ne suffisent jamais pour du travail collaboratif.

Les licences RDS : ce que personne n'inclut

Au-delà des deux sessions d'administration, Microsoft impose des licences d'accès client Bureau à distance, les RDS CAL. Elles s'achètent par utilisateur ou par appareil, s'ajoutent à la licence Windows Server elle-même, et se traitent directement avec Microsoft ou un revendeur.

Aucun hébergeur VPS du marché français ne les fournit. UnioHost l'écrit noir sur blanc sur sa page produit : « Aucune licence d'accès client (CAL) ni licence RDS n'est fournie. » Les autres ne le mentionnent simplement pas, ce qui revient au même sur la facture.

Sur un VPS, la question se pose donc en deux temps : la licence Windows Server d'abord, les RDS CAL ensuite si l'usage le réclame. Nous avons détaillé le premier point dans un article dédié au coût réel d'une licence Windows Server sur un VPS.

Comment savoir si vous en avez besoin

La question à se poser n'est pas « combien de personnes ont le mot de passe », mais « combien de personnes ouvriront une session en même temps ».

Usage	Deux sessions suffisent ?
Application métier qui tourne seule, consultée ponctuellement	Oui
Bot de trading, automatisation, tâche planifiée	Oui
Serveur web ou base de données administré par une ou deux personnes	Oui
Poste de travail partagé par une équipe	Non
Logiciel métier ouvert simultanément par plusieurs salariés	Non
Formation ou démonstration à plusieurs participants	Non

Dans les trois premiers cas, un VPS Windows standard fait l'affaire et le sujet RDS ne se pose pas. Dans les trois derniers, il faut budgéter les licences avant de choisir un hébergeur, parce qu'elles pèseront plus lourd que la machine.

Ce que la limite n'empêche pas

Deux sessions ne veulent pas dire deux utilisateurs. Vous pouvez créer autant de comptes Windows que nécessaire sur la machine : la contrainte porte sur les connexions simultanées, pas sur les identités. Une équipe de cinq personnes qui se connectent à tour de rôle, jamais plus de deux à la fois, reste dans le cadre.

De même, un service exposé sur le réseau, un site web, une API, une base de données, ne consomme aucune session RDP. Seules les connexions en Bureau à distance comptent.

Vérifier qui occupe les sessions

Avant de conclure à une panne, regardez ce qui tourne. Depuis une invite de commande sur le serveur, qwinsta liste les sessions ouvertes, leur état et l'utilisateur qui les détient. Une session marquée « Déconnecté » occupe toujours une place : elle n'a pas été fermée, seulement abandonnée.

rwinsta suivi du numéro de session la ferme de force. C'est la manœuvre de dépannage quand les deux places sont prises par des sessions fantômes et que personne ne peut plus se connecter.

Le Gestionnaire des tâches, onglet Utilisateurs, donne la même information en version graphique, avec la possibilité de fermer une session d'un clic droit.

La session console, la porte de secours

Il existe une troisième voie d'accès, distincte des deux sessions d'administration : la session console. On l'obtient en lançant le client avec mstsc /admin, ou depuis la console d'urgence proposée par certains hébergeurs, qui passe par l'hyperviseur et non par le réseau de la machine.

Cette seconde option est la seule qui fonctionne encore quand le service Bureau à distance est planté, quand une règle de pare-feu vous a enfermé dehors, ou quand la machine ne répond plus sur le réseau. Vérifiez qu'elle existe chez votre hébergeur avant d'en avoir besoin : c'est la différence entre une erreur de pare-feu réparée en deux minutes et une réinstallation complète.

Déconnexion contre fermeture de session

C'est le piège pratique qui fait croire à une panne. Fermer la fenêtre du client RDP ne ferme pas la session : elle reste ouverte côté serveur, et elle continue d'occuper l'une des deux places. Au bout de deux fermetures de fenêtre, la troisième connexion est refusée alors que personne ne travaille.

Deux réflexes évitent le problème. Utiliser « Fermer la session » dans le menu Démarrer plutôt que la croix de la fenêtre. Et configurer, dans la stratégie de groupe, une déconnexion automatique des sessions inactives au bout d'un délai raisonnable.

Sécuriser l'accès, quel que soit le nombre de sessions

Un port 3389 exposé reçoit des tentatives de connexion automatisées dans les heures qui suivent la mise en ligne. Ce n'est pas propre à un hébergeur, c'est le fonctionnement normal des balayages. Trois mesures rendent la machine inintéressante : changer le port d'écoute, activer le verrouillage de compte après plusieurs échecs, et restreindre la règle de pare-feu entrante aux adresses depuis lesquelles vous vous connectez réellement.

Le détail de la procédure figure dans notre guide de sécurisation du RDP.

Questions fréquentes

Combien de connexions RDP simultanées un VPS Windows autorise-t-il ?

Deux, en mode administration à distance, plus la session console. C'est une limite de licence Windows Server, identique chez tous les hébergeurs.

Les licences RDS sont-elles incluses dans une offre VPS ?

Non, dans aucune offre du marché français. Elles s'achètent séparément auprès de Microsoft, par utilisateur ou par appareil, et s'ajoutent à la licence Windows Server.

Puis-je créer plus de deux comptes utilisateurs ?

Oui. La limite porte sur les sessions simultanées, pas sur le nombre de comptes. Cinq personnes qui se connectent à tour de rôle ne posent aucun problème.

Pourquoi ma troisième connexion est-elle refusée alors que personne n'est connecté ?

Parce que des sessions sont restées ouvertes. Fermer la fenêtre du client RDP ne ferme pas la session côté serveur. Utilisez « Fermer la session », ou configurez une déconnexion automatique des sessions inactives.

Un site web hébergé sur le VPS consomme-t-il une session RDP ?

Non. Seules les connexions en Bureau à distance comptent. Les services réseau, quel que soit leur nombre d'utilisateurs, n'en consomment aucune.