Secure Boot Windows : certificats à jour avant 2026

Introduction : pourquoi c’est important

Secure Boot est l’une des protections les plus importantes de Windows au démarrage, garantissant que seuls des composants approuvés et signés numériquement s’exécutent avant le chargement de l’OS. Cette confiance est ancrée dans des certificats stockés dans le firmware UEFI — et Microsoft a confirmé que les certificats Secure Boot d’origine introduits en 2011 arrivent en fin de cycle de vie et commencent à expirer fin juin 2026. Pour les équipes IT, il s’agit d’un événement de maintenance de sécurité, limité dans le temps et à l’échelle de l’écosystème : si des appareils manquent l’actualisation des certificats, ils pourront continuer à démarrer, mais perdront la capacité de bénéficier de futures protections au niveau du boot.

Quoi de neuf

La « root of trust » Secure Boot est actualisée

• Les certificats Secure Boot de longue durée expirent à partir de fin juin 2026.
• De nouveaux certificats sont déployés sur les appareils Windows pris en charge via la cadence mensuelle normale des mises à jour Windows.
• Il s’agit d’un effort coordonné entre la maintenance Windows, le firmware OEM et les fournisseurs UEFI afin de minimiser les risques et les perturbations.

Large préparation des OEM (en particulier sur les appareils récents)

• De nombreux PC fabriqués depuis 2024 — et presque tous les appareils expédiés en 2025 — incluent déjà les certificats mis à jour.
• Pour un sous-ensemble plus restreint d’appareils déjà sur le marché, l’application des nouveaux certificats peut d’abord nécessiter une mise à jour du firmware OEM.

Meilleure visibilité et déploiement progressif

• Microsoft déploie ce changement selon une approche prudente et par étapes, guidée par les tests et l’état de préparation basé sur la télémétrie.
• Des messages d’état concernant les mises à jour de certificats sont attendus dans l’application Windows Security dans les prochains mois afin d’aider les utilisateurs à suivre l’avancement.

Impact pour les administrateurs IT et les utilisateurs finaux

Si les appareils ne reçoivent pas les nouveaux certificats à temps

• Les appareils continueront probablement à fonctionner et les logiciels existants s’exécuteront toujours.
• Toutefois, ils passent dans un état de sécurité dégradé et peuvent ne plus être en mesure de recevoir de futures mesures d’atténuation au niveau du boot (par exemple, lorsque de nouvelles vulnérabilités de démarrage sont découvertes).
• Avec le temps, les risques de compatibilité augmentent : des OS/firmware/matériels plus récents, ou des logiciels dépendants de Secure Boot, peuvent ne plus se charger.

Les versions Windows non prises en charge constituent un risque clé

• Les appareils sur des versions non prises en charge (notamment Windows 10 après la fin du support le 14 octobre 2025, sauf inscription à ESU) ne recevront pas ces mises à jour via Windows Update.
• Ces terminaux doivent être traités comme des éléments de remédiation prioritaires (mise à niveau/remplacement, ou s’assurer de l’éligibilité à ESU et de la stratégie de mise à jour).

Actions recommandées / prochaines étapes

1. Inventaire et périmètre
   • Identifier tous les terminaux Windows et Windows Server concernés, y compris les kiosques, serveurs spécialisés et appareils IoT/edge susceptibles d’avoir une maintenance atypique.
2. Valider le chemin de maintenance
   • Confirmer que les appareils reçoivent les dernières mises à jour cumulatives mensuelles (gérées par Microsoft lorsque cela s’applique).
   • S’assurer que les exigences de diagnostic/télémétrie utilisées pour valider l’état de préparation sont alignées avec les politiques de votre organisation.
3. Vérification de l’état de préparation du firmware
   • Consulter de manière proactive les bulletins et pages de support des OEM (Dell/HP/Lenovo et autres) et planifier les mises à jour UEFI/firmware requises.
   • Piloter les mises à jour de firmware sur des modèles matériels représentatifs avant un déploiement large.
4. Planifier les exceptions
   • Pour les appareils dont la validation n’est pas certaine via l’approche progressive de Microsoft, s’appuyer sur les recommandations du playbook Microsoft pour les administrateurs IT et sur vos outils existants (Intune, Configuration Manager ou tiers) pour déployer et superviser.
5. Préparer les runbooks de support
   • Étapes de premier niveau : appliquer les dernières mises à jour Windows, vérifier le dernier firmware OEM, puis escalader via les canaux de support Microsoft/OEM si les problèmes persistent.