Disattivare copia e incolla nel Desktop remoto di Windows

Se vuoi impedire copia e incolla in Desktop remoto di Windows, la strada giusta dipende da dove vuoi applicare il blocco: sul client, sul server o su entrambi. In ambienti aziendali la scelta più pulita è una policy di gruppo; su macchine isolate puoi intervenire anche con criteri locali o con una modifica mirata del registro. Il punto non è solo “spegnere il redirect” negli appunti: devi capire se vuoi fermare solo testo e file via clipboard, oppure anche stampanti, unità, porte COM e altri canali di reindirizzamento.

Prima di toccare la configurazione, conviene distinguere il comportamento atteso da quello osservato. L’obiettivo tipico è: dentro una sessione RDP l’utente può lavorare normalmente, ma non può trasferire contenuti dal desktop remoto al computer locale o viceversa tramite copia e incolla. Se il blocco è efficace, il comando di incolla non trasferisce testo, immagini o file tra le due sessioni e il processo rdpclip.exe non deve più fungere da ponte per la clipboard condivisa.

Quale livello vuoi bloccare

Il reindirizzamento della clipboard in RDP è gestito dal componente client/server di Desktop remoto, non da una singola app. Per questo, la soluzione più affidabile è agire su policy o impostazioni RDP, non su trucchi “a valle”. In pratica hai tre scenari comuni:

• Solo clipboard: blocchi copia e incolla tra host locale e sessione remota, ma lasci attivi altri redirect.
• Clipboard più file e periferiche: utile quando vuoi limitare anche unità e stampanti.
• Blocco contestuale: consentito in alcuni gruppi e vietato in altri, tipico di ambienti con più OU o profili RDS.

Se il requisito è di sicurezza e non di semplice comodità, conviene valutare anche l’impatto operativo: il blocco della clipboard rompe flussi di lavoro legittimi, come il copia/incolla di password temporanee, codici OTP, frammenti di configurazione o output diagnostici. In alcune organizzazioni il divieto totale è troppo rigido e si preferisce una soluzione più selettiva, per esempio limitata a sessioni amministrative o a determinati gruppi di utenti.

Disattivare copia e incolla con Criteri di gruppo

La modalità consigliata, quando hai un dominio Active Directory o almeno criteri locali ben gestiti, è la Group Policy. È la soluzione più leggibile, più facile da verificare e soprattutto più semplice da revocare. Il criterio da cercare è quello che impedisce il reindirizzamento degli appunti nella sessione di Desktop remoto.

1. Apri gpedit.msc sul server o sul client interessato, oppure modifica la GPO da Group Policy Management se lavori in dominio.
2. Vai in Configurazione computer → Modelli amministrativi → Componenti di Windows → Servizi Desktop remoto → Host sessione Desktop remoto → Reindirizzamento dispositivo e risorse.
3. Apri il criterio Non consentire reindirizzamento degli appunti e impostalo su Attivato.
4. Se vuoi un blocco più ampio, valuta anche Non consentire reindirizzamento di unità, Non consentire reindirizzamento stampanti e gli altri criteri della stessa sezione.
5. Applica la policy e aggiorna i criteri con gpupdate /force.

Per verificare che la policy sia stata recepita, controlla il risultato con gpresult /h C:\Temp\gpresult.html e apri il report generato. Nel report cerca il criterio relativo al reindirizzamento degli appunti: se compare come Enabled o Attivato, la configurazione è stata applicata sul sistema giusto. Se non compare, il problema di solito è uno di questi: la GPO non è linkata all’OU corretta, un filtro di sicurezza la esclude, oppure un criterio locale sta avendo precedenza inattesa.

Questa strada ha un blast radius preciso: riguarda gli utenti e i computer che ricevono quella policy. Il rollback è semplice: riporti il criterio su Non configurato o Disattivato, aggiorni i criteri e la clipboard torna disponibile dopo la nuova apertura della sessione o il refresh della policy, a seconda del contesto.

Bloccare la clipboard via Registro di sistema

Se non hai un dominio o vuoi una modifica locale, puoi intervenire sul registro. È una soluzione valida, ma meno elegante della policy e più facile da dimenticare. Funziona soprattutto quando devi irrigidire una singola macchina RDP o un server dedicato.

Il valore da usare è in genere nel ramo delle impostazioni di terminal services. Prima di toccare il registro, fai un backup della chiave interessata. Il rischio operativo è limitato, ma sempre presente: un errore di percorso o di valore può farti credere di aver disattivato la clipboard mentre in realtà non è cambiato nulla.

reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" /v fDisableClip /t REG_DWORD /d 1 /f

Il comando sopra crea o aggiorna il valore che disabilita il reindirizzamento degli appunti. Dopo l’esecuzione, chiudi e riapri le sessioni RDP interessate. Se vuoi verificare la presenza del valore, puoi leggere la chiave con:

reg query "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" /v fDisableClip

L’output atteso è un REG_DWORD impostato a 0x1. Se il valore non c’è, la query restituirà “not found” e il blocco non sarà attivo. In rollback, basta rimuovere il valore o riportarlo a 0:

reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" /v fDisableClip /t REG_DWORD /d 0 /f

Se preferisci rimuovere del tutto la personalizzazione, puoi cancellare il valore. Fallo solo se hai già verificato che non dipenda da esso qualche altra restrizione RDP nella stessa macchina.

Impostazioni del client RDP da controllare

Molti confondono il blocco lato server con quello lato client. In realtà, il comportamento finale dipende dalla combinazione dei due estremi della sessione. Se il server vieta la clipboard, il client non può aggirare il vincolo. Se invece il server la consente ma il client disabilita il reindirizzamento, la sessione non passerà comunque gli appunti.

Nel client Connessione Desktop remoto puoi intervenire dal profilo salvato oppure direttamente dalla finestra di configurazione:

1. Apri mstsc.
2. Vai su Mostra opzioni.
3. Apri la scheda Risorse locali.
4. Nella sezione Dispositivi e risorse locali, disattiva Appunti.
5. Salva il file .rdp se vuoi rendere permanente la scelta su quel profilo.

Questa impostazione è utile se vuoi un blocco per singolo utente senza imporre una policy globale. Il limite è evidente: non è una misura di controllo robusta se l’utente può modificare il profilo o aprire una nuova connessione con impostazioni diverse. Per quello, in ambiente gestito, la policy lato server resta la scelta più solida.

Se distribuisci file .rdp, puoi anche forzare il comportamento con il parametro della clipboard nel profilo. Il file è leggibile e facile da revisionare, quindi conviene versionarlo come qualsiasi altra configurazione operativa.

redirectclipboard:i:0

Quando il valore è 0, il client non reindirizza la clipboard. Se lo imposti a 1, la consenti. È una modifica piccola, ma va trattata come una configurazione a tutti gli effetti: documenta il perché, chi la mantiene e in quali casi va rimossa.

Controllare che il blocco funzioni davvero

La verifica non va fatta “a sensazione”. Devi testare il flusso reale da una macchina client che si collega al server target. Il test minimo è semplice: copia una stringa nel client locale, entra nella sessione RDP e prova a incollarla in Notepad o in una shell remota. Poi fai il percorso inverso, copiando dal desktop remoto verso il client locale.

Se il blocco è attivo, l’incolla non deve trasferire il contenuto tra i due ambienti. Attenzione però a non scambiare il comportamento della clipboard con eventuali strumenti applicativi che mantengono buffer propri: alcune applicazioni hanno un loro meccanismo di copia interno che non dipende da RDP e può confondere il test.

Un controllo utile è osservare il processo rdpclip.exe. Non è sempre un indicatore assoluto, ma se la policy è corretta e la sessione è stata riaperta, il canale di clipboard non deve funzionare come prima. Se invece il copia/incolla continua a passare, le cause più probabili sono:

• policy applicata alla GPO sbagliata;
• sessione RDP non riavviata dopo la modifica;
• impostazione client ancora abilitata su un profilo diverso;
• valore di registro scritto nel ramo errato.

Bloccare solo la clipboard o tutto il reindirizzamento

Qui sta il punto più delicato. Disattivare solo la clipboard è spesso sufficiente se vuoi limitare l’esfiltrazione rapida di testo e piccoli elementi. Ma in molti ambienti il rischio non è solo la clipboard: anche l’accesso a unità locali, stampanti e dispositivi può diventare un canale di fuga dati o un vettore di errore operativo.

Per questo, quando il contesto è amministrativo o di supporto a sistemi sensibili, spesso ha senso costruire un profilo RDP più restrittivo e non limitarsi al solo appunti. La regola pratica è questa: più il server è esposto a dati riservati, più il reindirizzamento va trattato come una superficie d’attacco, non come una comodità di interfaccia.

Detto questo, non ha senso irrigidire tutto se poi il team perde produttività senza un vero vantaggio. Se il tuo obiettivo è solo evitare il passaggio di password o di blocchi di configurazione tra local e remote, la clipboard disabilitata è già un compromesso spesso ragionevole. Se invece lavori in un contesto regolamentato, valuta una revisione più ampia delle impostazioni RDP e delle eccezioni consentite.

Quando il blocco non basta

Disattivare copia e incolla non impedisce automaticamente a un utente di trasferire informazioni con altri mezzi. Può usare file condivisi, upload web, screenshot, strumenti di chat, mail o semplicemente riscrivere i dati a mano. Quindi il blocco della clipboard è una misura utile, ma non va venduta come controllo completo della fuoriuscita dati.

Se ti serve un controllo più serio, devi ragionare su più livelli: autenticazione forte, segmentazione, logging delle sessioni, restrizioni sui redirect, auditing degli accessi e, dove serve, policy applicative. Il punto non è “vietare tutto”, ma rendere i canali di trasferimento coerenti con il rischio del servizio esposto.

In pratica: la clipboard è un pezzo del problema, non il problema intero. Però è uno dei primi canali che conviene chiudere quando vuoi ridurre il trasferimento involontario o non autorizzato di dati tra host locale e sessione remota.

Rollback pulito e manutenzione

Il rollback migliore è quello che riporti indietro senza ambiguità. Se hai usato una GPO, riporta il criterio su Non configurato o Disattivato e aggiorna i criteri. Se hai usato il registro, rimuovi il valore o imposta 0. Se hai modificato un file .rdp, ripristina la versione precedente dal controllo versioni o dal backup.

Prima di chiudere il cambiamento, annota tre cose: dove hai applicato il blocco, su quali utenti o server, e come lo verifichi in caso di contestazione. In un ambiente reale è la parte che evita i rimbalzi inutili tra help desk e amministrazione di sistema.

Assunzione operativa: il tuo obiettivo è bloccare la clipboard in una sessione RDP standard di Windows, con impatto controllato e rollback disponibile senza reinstallare nulla.