Chaque PC Windows compatible Secure Boot que vous avez utilisé au cours de la dernière décennie s’est appuyé sur le même ensemble de certificats cryptographiques pour garantir la sécurité de son processus de démarrage. Ces certificats ont été délivrés par Microsoft en 2011 et permettent à votre ordinateur de vérifier que le logiciel chargé avant le démarrage de Windows est légitime et n’a pas été falsifié. Ils sont intégrés au micrologiciel de votre carte mère et la plupart des gens n’ont jamais eu de raison d’y penser. C’est sur le point de changer.
Le 24 juin 2026, le premier de ces certificats expire, et si votre PC n’est pas mis à jour à temps, il ne s’arrêtera pas soudainement de démarrer et il recevra même toujours des mises à jour régulières, mais il perdra la possibilité de recevoir de futures mises à jour de sécurité pour certaines des parties les plus sensibles du processus de démarrage de Windows. Microsoft a commencé à déployer des remplacements via Windows Update, mais il ne s’agit pas d’un simple correctif. Cela nécessite une coordination entre Microsoft, le fabricant de votre PC et, dans certains cas, vous. Microsoft lui-même a qualifié cela de l’un des plus grands efforts coordonnés de maintenance de la sécurité dans l’écosystème Windows, et ayant traité des problèmes de démarrage sécurisé dans le passé, je peux vous dire que ce n’est pas une exagération.
La chaîne de confiance de Secure Boot repose sur des certificats qui n’ont jamais été censés durer éternellement
Les certificats ne fonctionnent jamais
Pour comprendre pourquoi cela est important, vous devez comprendre comment Secure Boot fonctionne réellement sous le capot. Il ne s’agit pas d’une bascule dans les paramètres de votre BIOS, même si c’est là que la plupart des gens le rencontrent pour la première fois. Secure Boot est une chaîne de confiance, une hiérarchie de certificats cryptographiques stockés dans le micrologiciel UEFI de votre carte mère qui valide chaque logiciel exécuté avant le chargement de votre système d’exploitation. Si un maillon de cette chaîne est rompu ou expire, la capacité du système tout entier à se protéger se dégrade.
Au sommet de cette chaîne se trouve la clé de plate-forme, ou PK. Celui-ci appartient au fabricant de votre PC, qu’il s’agisse de Dell, Lenovo, HP, ASUS ou de celui qui a construit la carte. Le PK est la racine de la confiance et autorise les modifications de tout ce qui se trouve en dessous. Sous le PK se trouve la clé d’échange de clés, ou KEK. Le certificat KEK de Microsoft donne à Windows le pouvoir de mettre à jour la couche suivante : la base de données de signatures, connue sous le nom de base de données, et la base de données de signatures interdites, le DBX.
La base de données contient les certificats auxquels votre PC fait confiance pour signer les chargeurs de démarrage, les pilotes et les composants du micrologiciel. Considérez-le comme la liste des invités pour votre processus de démarrage. Le DBX est la liste de blocage contenant les signatures de logiciels malveillants connus qui ne devraient jamais être autorisés à s’exécuter au démarrage. Lorsque votre PC démarre, Secure Boot vérifie tout par rapport à ces bases de données. Si un chargeur de démarrage est signé par un certificat dans la base de données, il s’exécute. Si cela correspond à quelque chose dans le DBX, il est bloqué. Cela se produit avant même le chargement de Windows, ce qui le rend si efficace en tant que mécanisme de sécurité et si dangereux en cas de problème.
Voici le problème : trois des certificats de cette chaîne expirent. Le Microsoft Corporation KEK CA 2011 et le Microsoft UEFI CA 2011 expirent tous deux en juin 2026. Le Microsoft Windows Production PCA 2011, qui signe le chargeur de démarrage Windows lui-même, expire en octobre 2026. Une fois qu’ils expirent, votre PC ne peut plus les utiliser pour valider de nouvelles mises à jour et il ne peut pas appliquer de nouvelles mesures d’atténuation de sécurité au processus de démarrage. Vous êtes effectivement figé dans le temps, exécutant toutes les protections dont vous disposiez à la date d’expiration, sans aucun moyen d’en ajouter de nouvelles.
Les certificats de remplacement divisent les choses pour une raison
C’est plus sûr ainsi
Les certificats de remplacement pour 2023 ne constituent pas un échange un pour un. Microsoft a en fait restructuré le fonctionnement des certificats, et il vaut la peine de comprendre pourquoi. L’UEFI CA 2011 d’origine de Microsoft Corporation signait tout, y compris les chargeurs de démarrage tiers, les ROM en option pour les cartes d’extension telles que les cartes graphiques et les adaptateurs réseau, ainsi que divers composants du micrologiciel. Il s’agissait d’une large subvention de confiance, et cela signifiait que la compromission d’une partie de l’écosystème pourrait avoir des répercussions extérieures d’une manière difficile à prévoir.
La nouvelle structure sépare ces responsabilités. Il existe le Microsoft Corporation KEK 2K CA 2023, qui remplace le KEK et autorise les mises à jour DB et DBX, le Windows UEFI CA 2023 pour la signature des composants du chargeur de démarrage Windows, puis il existe une ROM d’option Microsoft distincte UEFI CA 2023 spécifiquement pour les ROM d’options tierces et le micrologiciel de la carte d’extension. Cette séparation signifie que les systèmes qui n’ont pas besoin de faire confiance aux ROM d’options n’ont pas à le faire, ce qui constitue une véritable amélioration de la granularité du modèle de confiance de Secure Boot. C’est le genre de changement qui aurait dû se produire il y a des années, mais les certificats originaux ont d’abord dû expirer pour forcer la transition.
Si tout cela ressemble à de la peur, pensez à BlackLotus. Découvert en 2023, BlackLotus a été le premier bootkit UEFI à contourner le démarrage sécurisé sur les systèmes Windows 11 entièrement mis à jour. Il a exploité CVE-2022-21894, connu sous le nom de Baton Drop, et CVE-2023-24932, qui visaient à se protéger contre BlackLotus. Il s’agissait de vulnérabilités qui permettaient aux attaquants d’échanger un chargeur de démarrage moderne et sécurisé avec un chargeur plus ancien et vulnérable, toujours approuvé par les certificats du système. L’attaque a profité du fait que le DBX de Secure Boot n’avait pas été mis à jour pour révoquer ces anciens gestionnaires de démarrage, un échec qui remonte directement à la complexité de la gestion de la confiance basée sur les certificats au niveau du micrologiciel.
Une fois chargé, BlackLotus pourrait désactiver BitLocker, Hypervisor-Protected Code Integrity et Windows Defender, le tout avant même le démarrage du système d’exploitation. Il fonctionnait au niveau du micrologiciel, invisible pour les logiciels antivirus. Si vous vous êtes déjà demandé pourquoi la sécurité au niveau du démarrage est importante, voici exactement pourquoi. Un attaquant ayant accès à votre chaîne de démarrage peut effectivement posséder l’intégralité de votre système, et aucune protection des points de terminaison exécutée dans Windows ne peut rien y faire.
Depuis, Microsoft travaille à la révocation des gestionnaires de démarrage vulnérables, mais la mise à jour du DBX de Secure Boot pour bloquer ces anciens chargeurs de démarrage a été extrêmement lente, précisément parce qu’une erreur peut rendre un système impossible à démarrer, et Microsoft l’a même reconnu directement. HP, par exemple, présentait un bug de micrologiciel qui pouvait empêcher le démarrage complet des systèmes après l’application de certaines révocations de démarrage sécurisé, ce qui signifiait que Microsoft devait ajouter des vérifications spécifiques au périphérique avant de déployer les mesures d’atténuation.
Les certificats expirés aggravent la situation. Sans certificats mis à jour, votre PC ne peut pas recevoir les révocations nécessaires pour bloquer les exploits comme BlackLotus. Vous êtes coincé avec un processus de démarrage qui fait confiance à un logiciel qu’il ne devrait pas, et il n’existe aucun mécanisme pour le réparer après coup. Microsoft a explicitement noté que les certificats mis à jour en 2023 constituent la dernière mesure de sécurité visant à remédier à la vulnérabilité BlackLotus, ce qui en fait un correctif de sécurité qui a duré trois ans.
Tous les PC ne sont pas dans le même bateau
Les PC Copilot+ sont sécurisés
Les PC Copilot+ et la plupart des appareils fabriqués depuis 2024 sont déjà livrés avec les nouveaux certificats 2023 installés, et presque tous les appareils expédiés en 2025 les incluent également. Si vous avez acheté un nouveau PC au cours des deux dernières années, vous êtes probablement prêt. Pour tous les autres, c’est-à-dire la plupart des PC Windows utilisés activement aujourd’hui, la mise à jour doit avoir lieu.
Microsoft a commencé à déployer les nouveaux certificats via Windows Update régulier sur les systèmes pris en charge. Pour les utilisateurs à domicile sous Windows 11 avec des mises à jour gérées par Microsoft, cela devrait se produire automatiquement lors du cycle de mise à jour mensuel. Microsoft le déploie progressivement, en l’étendant en fonction des données de diagnostic des appareils pour garantir la sécurité des mises à jour avant de les diffuser plus largement. Dans les mois à venir, l’état de mise à jour des certificats apparaîtra également dans l’application de sécurité Windows, ce qui devrait faciliter le suivi par les consommateurs.
Mais pour les environnements d’entreprise, c’est plus complexe. Les administrateurs informatiques doivent activer au moins le niveau « requis » des données de diagnostic Windows afin que Microsoft puisse vérifier si un appareil est prêt pour la mise à jour. Il existe également une clé de registre à activer : le chemin est HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot, avec une valeur DWORD appelée “MicrosoftUpdateManagedOptIn” définie sur toute valeur non nulle. Au-delà de cela, Microsoft propose quatre méthodes de déploiement différentes : Intune, stratégie de groupe, clés de registre et API du système de configuration Windows, qui vous renseigne sur la diversité des environnements qu’ils tentent de prendre en charge. Il ne s’agit pas d’une solution en un clic pour quiconque gère une flotte d’appareils.
Voici cependant le problème : la mise à jour de Microsoft ne suffit pas à elle seule. Le fabricant OEM de votre PC doit d’abord fournir une mise à jour du micrologiciel. Cette mise à jour du micrologiciel met à jour la clé de plate-forme et prépare l’environnement UEFI à accepter les nouveaux certificats. Sans cela, l’application de la mise à jour du certificat via Windows pourrait échouer ou, dans le pire des cas, provoquer des problèmes de démarrage. Microsoft a travaillé en étroite collaboration avec les OEM sur ce sujet, et beaucoup ont publié leurs propres pages de conseils, mais tous les OEM ne fournissent pas de mises à jour du micrologiciel pour les matériels plus anciens. Si votre PC a plus de cinq ou six ans, il y a de fortes chances que votre fabricant ait changé d’avis, et vous pourriez vous retrouver avec des certificats expirant et sans aucune voie à suivre.
Les utilisateurs de Windows 10 se trouvent dans une situation particulièrement difficile
Le glas de 10
Il existe un groupe particulièrement concerné par cette situation, et il est important : les utilisateurs de Windows 10. Microsoft a mis fin à la prise en charge de Windows 10 en octobre 2025, et les appareils exécutant des versions non prises en charge de Windows ne reçoivent pas du tout les mises à jour Windows. Cela signifie qu’ils ne recevront pas les nouveaux certificats Secure Boot. À moins que vous ne vous soyez inscrit aux mises à jour de sécurité étendues (qui ont leurs propres coûts et limites), votre ordinateur Windows 10 n’obtiendra tout simplement jamais les certificats 2023 par les canaux normaux.
La recommandation officielle de Microsoft est de passer à une version prise en charge de Windows, ce qui pour la plupart des gens signifie Windows 11. Mais ce n’est pas toujours une option. Les exigences matérielles de Windows 11, en particulier l’exigence TPM 2.0, ont bloqué des millions de PC par ailleurs parfaitement fonctionnels, même s’il existe des solutions de contournement. Vous disposez donc peut-être d’une machine trop ancienne pour Windows 11 mais qui exécute toujours Windows 10, et qui est désormais également trop ancienne pour obtenir des certificats de démarrage sécurisé mis à jour. Ces problèmes s’empilent les uns sur les autres et il n’existe pas de réponse claire pour ces utilisateurs.
Les systèmes concernés s’étendent également au-delà des ordinateurs de bureau et portables physiques. Les machines virtuelles exécutées sur VMware, Hyper-V et Azure sont toutes soumises à la même expiration de certificat. Microsoft a publié des conseils distincts pour Windows Server, Windows 365 et Azure Virtual Desktop, chacun avec ses propres considérations de déploiement. Si vous exécutez des machines virtuelles compatibles avec Secure Boot, et vous devriez l’être, celles-ci ont également besoin de la mise à jour du certificat.
Ce que vous devriez réellement faire maintenant
Si vous êtes un utilisateur domestique, assurez-vous que votre PC est configuré pour recevoir automatiquement les mises à jour Windows et que vous exécutez une version prise en charge de Windows. Vérifiez auprès du fabricant de votre PC les mises à jour disponibles du BIOS ou du micrologiciel et installez-les en premier. Après cela, laissez Windows Update faire son travail. Gardez un œil sur l’application de sécurité Windows pour connaître les notifications d’état des certificats à mesure que Microsoft les déploie.
Si vous gérez des appareils dans une entreprise, c’est beaucoup plus urgent. Microsoft recommande de consulter la page de destination du déploiement du certificat de démarrage sécurisé pour obtenir des conseils plus à jour. Commencez par vérifier la clé de registre « UEFICA2023Status » pour suivre les déploiements et appliquez les mises à jour du micrologiciel OEM sur tous vos appareils avant que la mise à jour du certificat Windows n’arrive. Microsoft organise également une session Ask Microsoft Anything le 12 mars spécifiquement sur le démarrage sécurisé, qui vaut la peine d’être présente si vous gérez de nombreux appareils.
Le délai n’est pas flexible. Le 27 juin 2026 correspond à l’expiration des premiers certificats, suivi de près par octobre 2026. Votre PC ne se bloquera pas à cette date, mais chaque jour qui suit sans certificats mis à jour est un jour où votre processus de démarrage est moins sécurisé qu’il ne devrait l’être. Microsoft a décrit cela comme une entrée dans un « état de sécurité dégradé » et, compte tenu de ce que BlackLotus a démontré, ce n’est pas un risque qui mérite d’être pris en compte. La chaîne de démarrage est le seul endroit où la sécurité doit fonctionner, car tout ce qui suit en dépend.
*️⃣ Lien source :
le premier de ces certificats expire , Secure Boot , une chaîne de confiance, la dernière mesure de sécurité , Windows 10 , même s’il existe des solutions de contournement,