Resumo
As atualizações de segurança do Windows distribuídas em abril de 2025 passaram a exibir novos pop-ups de aviso sempre que o usuário inicia arquivos .rdp não assinados digitalmente. Esse comportamento afeta diretamente os arquivos gerados pelo TSplus Connection Client.
Uma correção definitiva foi implementada na versão beta do Connection Client. A solução consiste em assinar criptograficamente os arquivos .rdp gerados, utilizando um certificado confiável instalado localmente. Com isso, o Windows reconhece o arquivo como seguro e suprime os avisos.
Download da Versão Beta
O instalador beta está disponível no link abaixo. Ele incorpora todas as alterações descritas nesta página.
licenseapi.dl-files.com na porta 443 (HTTPS) para que o processo de assinatura e o download do certificado funcionem corretamente. Verifique regras de firewall e proxy antes de instalar.
O que Foi Alterado no Instalador
Esta versão beta introduz três mudanças no comportamento do instalador do Connection Client:
-
Instalação do certificado de assinatura RDP
O instalador passa a instalar automaticamente o novo certificado de assinatura TSplus no repositório de Autoridades de Certificação Raiz Confiáveis (Trusted Root CAs) da máquina, tornando-o reconhecido como confiável pelo Windows. -
Registro do thumbprint como editor de .rdp confiável
O thumbprint (impressão digital) do certificado é registrado no sistema como um editor de .rdp confiável. Esta operação exige privilégios de administrador e não pode ser realizada por um usuário padrão. -
Assinatura automática dos arquivos .rdp
Ao iniciar um arquivo.connectou uma conexão RemoteApp pelo portal web, o Connection Client agora assina digitalmente o arquivo.rdpgerado antes de enviá-lo ao cliente RDP nativo do Windows — eliminando o pop-up de aviso.
Modos de Instalação
O comportamento do instalador varia conforme o modo de instalação escolhido:
| Modo | Perfil | Cert. instalado automaticamente | Solicita elevação (UAC) | Tela "Configure Now" |
|---|---|---|---|---|
| Para Todos os Usuários For All Users |
Administrador | ✓ Sim | ✗ Não | ✗ Não aparece |
| Apenas para Mim For You Only |
Usuário Padrão | ✗ Não (automático) | ⚠ Sim | ⚠ Aparece |
Sobre a tela "Configure Now"
Quando o Connection Client é instalado no modo For You Only por um usuário padrão (sem privilégios de administrador), uma nova tela de configuração é exibida ao final da instalação com o botão "Configure Now".
Ao clicar, o UAC do Windows será acionado solicitando credenciais de administrador. Essa elevação é obrigatória, pois registrar o thumbprint de um certificado para assinatura de RDP não é possível como usuário comum.
Requisitos de Rede
O processo de assinatura e o download do certificado dependem de acesso externo ao servidor de licenças TSplus. Certifique-se de que os endpoints abaixo estão liberados:
| Finalidade | Endpoint | Porta |
|---|---|---|
| Assinatura remota do arquivo .rdp (primeira execução de cada .connect) | licenseapi.dl-files.com |
443 (HTTPS) |
| Download do certificado de assinatura pelo instalador | licenseapi.dl-files.com/cert/signer.crt |
443 (HTTPS) |
licenseapi.dl-files.com na porta 443, o certificado não será baixado e os arquivos .rdp não serão assinados — mantendo os pop-ups de aviso do Windows. Verifique regras de firewall, proxy e inspeção SSL antes de instalar.
Checklist de Teste Interno Antes de Distribuir
Valide todos os pontos abaixo em ambiente interno antes de publicar ou repassar o instalador a qualquer cliente:
- Instalar no modo For All Users (como administrador) e verificar se o certificado é instalado automaticamente no repositório Trusted Root CAs sem interação adicional.
- Instalar no modo For You Only (usuário padrão) e confirmar que a tela "Configure Now" aparece, que o UAC é acionado ao clicar no botão e que o certificado é devidamente instalado após a elevação.
- Após instalação, iniciar uma conexão via arquivo
.connectou pelo portal RemoteApp e confirmar que nenhum pop-up de aviso RDP é exibido pelo Windows. - Verificar as propriedades do arquivo
.rdpgerado e confirmar que está assinado digitalmente com o certificado TSplus. - Confirmar conectividade com
licenseapi.dl-files.com:443no ambiente de teste e que o download designer.crté bem-sucedido. - Executar os testes em máquinas com as atualizações de abril de 2025 já aplicadas, reproduzindo o cenário real dos ambientes afetados.
- Verificar no registro do Windows se o thumbprint foi corretamente registrado:
HKLM\SOFTWARE\Microsoft\Terminal Server Client\TrustedPublishers
Perguntas Frequentes
Por que é necessário instalar como Administrador?
O registro do thumbprint do certificado como editor de .rdp confiável escreve chaves no escopo do sistema (HKEY_LOCAL_MACHINE), o que exige privilégios elevados. Usuários padrão não têm permissão para realizar essa operação, por isso o UAC é solicitado.
O que acontece se eu não tiver acesso ao licenseapi.dl-files.com?
Sem acesso ao servidor de licenças na porta 443, duas coisas falham: o download do certificado pelo instalador e o processo de assinatura remota dos arquivos .rdp na primeira execução de cada novo .connect. Nesses casos, os arquivos permanecem não assinados e os pop-ups de aviso continuam sendo exibidos.
Preciso reinstalar em todas as estações dos clientes?
Sim. A correção é aplicada pelo componente Connection Client instalado localmente na estação. Apenas gerar um novo cliente pelo portal não é suficiente — é necessário desinstalar o Connection Client antigo e instalar a nova versão em cada estação afetada.
Quando posso distribuir para os clientes?
Somente após a validação interna completa de todos os itens do checklist e a confirmação da equipe técnica. O instalador provavelmente será publicado em canal oficial após os testes. Não distribua a versão beta diretamente a clientes.
Referências
- Instalador beta do Connection Client — Setup-ConnectionClient.exe (Build SC-30152)
- Certificado de assinatura RDP — licenseapi.dl-files.com/cert/signer.crt
- Autor da correção: Benjamin Verbeke
Em caso de dúvidas sobre a aplicação desta correção em seu ambiente, entre em contato com o suporte TSplus Brasil.