Howto 12.03.2026 8 min di lettura

Configurare l'accesso non presidiato — passo dopo passo

Come configurare WinDesk Accesso non presidiato su Windows, macOS e Linux — host come servizio, token hardware, accesso sicuro senza conferma utente.

Cos’è l’accesso non presidiato

In modalità presidiata qualcuno al dispositivo target deve autorizzare esplicitamente la connessione — comunicare ID sessione + PIN. In modalità non presidiata il WinDesk Host gira come servizio permanente in background, e puoi connetterti in qualsiasi momento senza approvazione.

Casi d’uso:

Manutenzione server fuori orario d’ufficio
Fornitore IT con dispositivi clienti in gestione
Edge device, setup Pi, build machine
Mac di famiglia che supporti spesso da remoto per i genitori

Prerequisiti

Abbonamento WinDesk Pro (CHF 29.90/mese) — Free + Light non hanno accesso non presidiato
Diritti amministratore sul dispositivo target (per installazione del servizio)
Accesso internet al dispositivo target
5 minuti per dispositivo

Setup su Windows

1. Installare WinDesk Host come utente Pro (disinstalla
   automaticamente un'eventuale variante Free)
2. Al primo avvio: login con account Pro
3. Nella finestra Host: « Attiva accesso non presidiato »
4. Confermare il dialogo UAC — installa il servizio Windows
5. Verificare nel portale web app.windesk.ch:
   Dispositivi → nuova riga con hostname + « online »
6. Opzionale: assegnare il dispositivo a un gruppo, aggiungere una nota

Memorizzazione del token: cifrato TPM 2.0 sotto C:\ProgramData\WinDesk\. Binding hardware all’ID Endorsement-Key del TPM. Copiare su un’altra macchina è inutile.

Setup su macOS Apple Silicon

1. Trascinare WinDesk Host.app dal DMG in /Applications
2. Primo avvio: OK notarizzazione Apple, niente dramma Gatekeeper
3. Autorizzare registrazione schermo + accessibilità (il wizard guida)
4. Login con account Pro nella finestra Host
5. « Attiva accesso non presidiato » — installa l'agente launchd come
   ~/Library/LaunchAgents/ch.windesk.host.plist
6. Il token è cifrato con la Secure Enclave (Apple Silicon)

Su Apple Silicon: token legato all’hardware via Secure Enclave. Copiare su un altro Mac → invalido.

Setup su Linux (Ubuntu/Debian)

1. sudo apt install ./WinDesk\ Host_0.5.0_amd64.deb
   (lo script postinst configura la regola udev per /dev/uinput)
2. systemctl --user enable --now windesk-host.service
3. windesk-host setup --pro --account=tua@email.ch
   (interattivo: passkey o password)
4. Verificare nel portale: Dispositivi → hostname → online

Su Linux con TPM 2.0: binding tpm2-tools per il token. Senza TPM (es. Pi 4): fallback libsecret/keyring. Pi 5 non ha TPM, stesso fallback.

Setup su Raspberry Pi (Pi 4/5)

1. sudo apt install ./WinDesk\ Host_0.5.0_arm64.deb
2. systemctl --user enable --now windesk-host.service
3. windesk-host setup
4. Se il Pi deve girare senza display: flag --headless

I setup Pi headless sono un caso d’uso esplicito per maker e laboratori didattici.

Accesso dal client

Nel portale client a sinistra: Dispositivi. Vedi tutti gli host con stato online. Doppio clic → la connessione viene stabilita. Niente ID sessione, niente PIN necessario — il token legato all’hardware autentica il dispositivo.

Configurazione sicurezza

Di default l’accesso non presidiato è:

✅ Cifrato AES-256-GCM
✅ Audit trail attivo (tutte le connessioni tracciate)
✅ Token che ruota automaticamente ogni 90 giorni
✅ In caso di cambio hardware: token invalidato

Nel portale puoi configurare in più:

IP whitelist (consentito solo dalla tua rete d’ufficio)
Ruoli tecnici autorizzati per host (Admin / Supporter / Sola lettura)
Notifica e-mail a ogni connessione (anti-scam)
Registrazione sessione forzata per conformità

Emergenza: token compromesso

Se sospetti che un host sia compromesso:

Nel portale: Dispositivi → [Nome host] → Blocca
Il token viene immediatamente invalidato; le sessioni attive vengono interrotte
Sull’host: riavvia WinDesk Host + nuovo pairing

Problemi frequenti

« L’host non appare online » nonostante il servizio sia attivo. Domanda firewall: traffico UDP in uscita verso *.windesk.ch:443 deve essere consentito. Più, eventualmente, verso il range IP del relay TURN svizzero.

« Il token diventa invalido dopo riavvio ». Su Windows: un reset Bitlocker-Recovery ha forse invalidato lo stato TPM. Soluzione: nuovo pairing.

« Più host con lo stesso nome ». Se hai reinstallato un host, il vecchio rimane spesso nel portale. Eliminare manualmente.

Avviare WinDesk Pro · Funzionalità Pro in dettaglio · Per problemi setup: support@windesk.ch.