La sécurité de Windows 11 connaît une transformation significative, bien que tous les ordinateurs ne bénéficient pas de ces changements majeurs

Microsoft lance un renouvellement crucial des certificats de démarrage sécurisé, en commençant par les versions 24H2 et 25H2 de Windows 11. Cette mise à jour vise à remplacer les autorités de certification datant de 2011, qui arriveront à expiration en juin 2026. Le déploiement se fait progressivement, en ciblant uniquement les appareils jugés compatibles pour éviter les dysfonctionnements.

Le processus est conditionné par plusieurs facteurs liés à la configuration matérielle. Certains ordinateurs nécessitent d’abord une mise à jour du micrologiciel UEFI de la part du fabricant avant de pouvoir recevoir les nouveaux certificats. Microsoft utilise des critères de sélection basés sur la compatibilité du matériel, la stabilité du système et l’historique des mises à jour pour identifier les machines éligibles au déploiement automatique.

Pour comprendre le mécanisme de sécurité impliqué, Secure Boot stocke des autorités et des listes de confiance dans l’UEFI, permettant de valider les composants exécutés avant le démarrage de Windows. Lorsque ces certificats expirent, la validation des bootloaders devient impossible, empêchant l’application de futures mises à jour de sécurité qui reposent sur l’actualisation de ces listes de confiance ou de révocation.

Pour les utilisateurs grand public disposant de Secure Boot activé et d’un firmware à jour, l’installation des nouveaux certificats datant de 2023 devrait se faire automatiquement et transparemment lors des mises à jour mensuelles. Les environnements professionnels avec configurations personnalisées, bootloaders spécifiques ou clés Secure Boot customisées doivent cependant prévoir un inventaire complet du parc informatique et des tests préalables avant généralisation.

Microsoft met à disposition des outils pour suivre la progression du déploiement. Dans le Registre Windows, la valeur UEFICA2023Status indique l’état du processus, tandis que UEFICA2023Error signale un blocage. L’Observateur d’événements fournit également des confirmations via l’Event ID 1808 pour une application réussie ou l’Event ID 1801 en cas d’échec, généralement causé par des prérequis matériels non satisfaits.