Secure Boot 2026 : vérifiez les certificats et planifiez les mises à jour en toute sécurité

Conclusion courte : Les certificats de démarrage sécurisé de 2011 expirent en 2026. Selon Microsoft, cela ne signifie pas qu'un PC ne démarrera plus automatiquement à la date limite : les mises à jour régulières de Windows peuvent également continuer à s'exécuter. Cependant, sans les certificats les plus récents, les futures mises à jour de la protection au démarrage anticipé pourraient manquer. Par conséquent, vérifiez l’état, tenez compte du micrologiciel UEFI et de BitLocker et déployez les modifications de manière contrôlée.

Qu'est-ce qui changera en 2026

Secure Boot vérifie les signatures numériques dans le micrologiciel UEFI des composants chargés avant Windows. Cela inclut les programmes de démarrage et les pilotes UEFI. Les entrées de confiance se trouvent dans des bases de données de micrologiciels telles que DB, DBX et KEK. Le renouvellement affecte cette chaîne de confiance ; il ne s'agit pas d'une mise à jour de fonctionnalités Windows ordinaire.

Microsoft répertorie les certificats 2011 comme expirant. Le Microsoft Corporation KEK CA 2011 est daté du 24 juin 2026, le Microsoft UEFI CA est daté du 27 juin 2026 et le Microsoft Windows Production PCA est daté du 19 octobre 2026. Les nouveaux certificats datent de 2023. Lequel de ces certificats dont un appareil a besoin dépend de son utilisation et du micrologiciel ; Pour les chargeurs de démarrage tiers et les ROM en option, des zones de confiance UEFI distinctes sont pertinentes.

La classification est importante : un certificat expiré ne désactive pas le démarrage sécurisé à tous les niveaux. Microsoft affirme que les appareils concernés peuvent continuer à démarrer et recevoir les mises à jour Windows normales. Cependant, de nouvelles mesures de protection pour les gestionnaires de démarrage, les listes noires ou d'autres composants de démarrage précoce pourraient manquer à l'avenir. Il s'agit d'un problème de sécurité et de maintenance, aucune raison de modifier les paramètres du BIOS sans vérifier l'appareil.

Que dois-je vérifier en premier ?

1. Notes Windows et OEM : Installez les mises à jour Windows régulièrement prises en charge et consultez la page d'assistance du fabricant de l'appareil ou de la carte mère pour connaître le modèle exact et la version UEFI.
2. Messages d'état  : Microsoft mentionne les ID d'événement 1801 et 1795 et la valeur d'état UEFICA2023Status comme indices possibles. Ce sont des signaux de diagnostic et doivent être évalués dans le contexte de la documentation Microsoft.
3. Configuration du démarrage sécurisé : Vérifiez si le démarrage sécurisé est réellement actif sur l'appareil et s'il existe des cas particuliers tels que des systèmes de démarrage alternatifs, un démarrage réseau ou des cartes d'extension plus anciennes.
4. BitLocker et récupération : Microsoft cite les requêtes de récupération BitLocker inattendues comme un problème possible avec un micrologiciel incompatible ou obsolète. Par conséquent, préparez le chemin de récupération prévu avant d’apporter des modifications au micrologiciel ou au certificat.

Avantages et limites de la mise à jour

• Avantage : Les données de confiance UEFI mises à jour maintiennent la protection précoce des composants de démarrage comme prévu.
• Avantage : Une procédure contrôlée permet de voir quels modèles d'appareils sont déjà mis à jour et lesquels nécessitent le support OEM.
• Limit: La procédure dépend de l'appareil, de la version du firmware et de la gestion. Une intervention générale dans le registre ne constitue pas un remplacement sûr des instructions du fabricant.
• Limit: Des problèmes de micrologiciel peuvent survenir avec des appareils plus anciens ou spécialement configurés. Microsoft recommande de vérifier d'abord le micrologiciel et de tester les modifications avec différents appareils et configurations BitLocker.

Recommandation pour les utilisateurs privés et les équipes informatiques

Utilisateurs privés : Gardez Windows à jour, consultez la page d'assistance du fabricant de l'appareil pour obtenir des informations sur le micrologiciel et ne désactivez pas aveuglément le démarrage sécurisé si des erreurs sont signalées. Si des événements indiquent un problème ou si BitLocker Recovery apparaît, contactez le fabricant de l'appareil ou un support technique qualifié avec le modèle et la version UEFI.

IT Équipes : Capturez le fabricant, le modèle, le micrologiciel et l'état de BitLocker. Utilisez les canaux de gestion pris en charge par Microsoft tels que Intune, la stratégie de groupe, le CSP ou les politiques de registre documentées et configurez un petit groupe pilote avec plusieurs OEM et niveaux de micrologiciel. Vérifiez ensuite le statut et ensuite seulement la large distribution. Des instructions distinctes s'appliquent parfois aux serveurs ; la planification client décrite ici ne doit pas être transférée sans contrôle.

Pour en savoir plus sur la planification de la compatibilité Windows, consultez également notre article déjà publié Windows 10 après la fin du support : Vérifier ou changer de PC ?.

Sources associées

• Support Microsoft : certificats de démarrage sécurisé et mises à jour de l'autorité de certification - Dates, signification et impact des certificats.
• Microsoft Learn : Mettre à jour les certificats sur les appareils Windows - indicateurs d'état, vérification et pilotage du firmware.
• Microsoft Learn : Démarrage sécurisé pour les fabricants d'appareils - Chaîne de confiance UEFI, DB/DBX et KEK.

Vidéo approfondie : de MicrosoftAsk Microsoft Anything : Secure Boot - février 2026 (canal Windows At Work). La vidéo est une session de questions et réponses plus longue pour les responsables informatiques et est donc uniquement liée en tant que source originale, non intégrée. Le titre et la chaîne ont été vérifiés via YouTube oEmbed le 19 octobre 2026.

Vérifié le 19 octobre 2026. Auteur : TechDesk PE Digital.Networks. Cette orientation ne remplace aucune instruction du fabricant relative à l'appareil.