Récapitulatif
- Le Secure Boot (démarrage sécurisé) est un réglage de l’UEFI qui n’autorise au démarrage que des programmes signés, pour bloquer les logiciels malveillants qui se lancent avant Windows.
- Pour savoir s’il est actif : Windows + R, tapez msinfo32, puis lisez la ligne « État du démarrage sécurisé ».
- Pour l’activer : Paramètres, Système, Récupération, Démarrage avancé, puis Paramètres du microprogramme UEFI. Le PC doit démarrer en mode UEFI, pas en mode hérité (CSM).
- Un disque en MBR empêche le mode UEFI : il faut d’abord le convertir en GPT.
- Les certificats Microsoft de 2011 utilisés par le Secure Boot expirent en 2026, le dernier le 19 octobre. Windows Update installe les nouveaux, et l’application Sécurité Windows affiche où en est votre PC.
Le Secure Boot, ou démarrage sécurisé en français, est une protection intégrée au micrologiciel UEFI de votre PC. Quand il est actif, l’ordinateur vérifie la signature de chaque programme lancé avant Windows et refuse ceux qui ne sont pas approuvés.
La plupart des gens le découvrent par un message d’erreur : un jeu qui refuse de se lancer, ou l’outil de mise à niveau vers Windows 11 qui signale un PC incompatible. D’autres tombent dessus cette année pour une raison différente. Les certificats sur lesquels repose le Secure Boot de la quasi-totalité des PC Windows, émis par Microsoft en 2011, arrivent à expiration entre juin et octobre 2026.
Je vous montre comment vérifier son état en trente secondes, comment l’activer sans rendre le PC impossible à démarrer, et ce que change concrètement cette expiration de certificats, sans le jargon des pages destinées aux services informatiques.
Sommaire
- 1. À quoi sert le Secure Boot
- 2. Vérifier si le Secure Boot est actif
- 3. Activer le Secure Boot dans l’UEFI
- 4. Option grisée ou PC qui ne démarre plus
- 5. Les certificats qui expirent en 2026
- 6. Quand le désactiver
- Les questions qu’on me pose le plus
À quoi sert le Secure Boot
Entre le moment où vous appuyez sur le bouton d’alimentation et l’apparition du logo Windows, plusieurs petits programmes s’exécutent : le micrologiciel de la carte mère, les pilotes de certaines cartes, puis le gestionnaire de démarrage de Windows. Un logiciel malveillant qui s’installe à ce niveau, ce qu’on appelle un bootkit, démarre avant l’antivirus et peut se cacher de lui.
Le Secure Boot ferme cette porte. Le micrologiciel garde une liste de certificats de confiance et une liste de signatures révoquées. À chaque démarrage, il contrôle la signature de ce qu’il s’apprête à lancer : si elle ne correspond à aucun certificat approuvé, le programme ne s’exécute pas. Microsoft l’a introduit avec Windows 8, et il est présent sur presque tous les PC vendus depuis. Une fois Windows lancé, d’autres protections prennent le relais dans la mémoire vive, comme la prévention de l’exécution des données (DEP).
Trois situations vous obligent à vous en occuper :
- Windows 11 demande un PC compatible avec le démarrage sécurisé. Microsoft précise que la compatibilité suffit pour la mise à niveau, mais conseille de l’activer. Il va de pair avec la puce de sécurité, que j’explique dans mon article sur le TPM 2.0.
- Plusieurs jeux en ligne l’exigent pour leur système anti-triche : Riot Games et EA ont chacun une page d’aide qui explique comment l’activer.
- Une entreprise ou une école peut l’imposer sur ses machines.
Vérifier si le Secure Boot est actif
Avant de toucher à quoi que ce soit, regardez où vous en êtes. La méthode la plus parlante passe par l’outil Informations système :
- Appuyez sur Windows + R.
- Tapez msinfo32 et validez avec Entrée.
- Dans la page Résumé système, cherchez deux lignes : « Mode BIOS » et « État du démarrage sécurisé ».
Les deux lignes se lisent ensemble. « Mode BIOS : UEFI » avec « État du démarrage sécurisé : Activé », tout va bien. « UEFI » avec « Désactivé », il suffit d’aller cocher l’option dans le micrologiciel, c’est le cas le plus simple. « Mode BIOS : Hérité » avec « Non pris en charge », le PC démarre dans l’ancien mode de compatibilité : il faudra passer en UEFI avant de pouvoir activer quoi que ce soit, et c’est là que le style du disque entre en jeu.
Deuxième méthode, plus rapide si vous aimez la ligne de commande : ouvrez PowerShell en administrateur et tapez Confirm-SecureBootUEFI. La réponse True veut dire actif, False veut dire désactivé. Si la commande renvoie une erreur indiquant qu’elle n’est pas prise en charge sur cette plateforme, le PC tourne en mode hérité.
Troisième endroit, le plus récent : l’application Sécurité Windows, rubrique Sécurité de l’appareil, puis Démarrage sécurisé. Depuis avril 2026, cette page indique aussi l’état des nouveaux certificats, j’y reviens plus bas.
Activer le Secure Boot dans l’UEFI
Le réglage ne se trouve pas dans Windows mais dans le micrologiciel UEFI, qu’on appelle encore souvent le BIOS. Windows sait y redémarrer directement, sans avoir à guetter la bonne touche au démarrage :
- Ouvrez les Paramètres (Windows + I), puis Système et Récupération.
- En face de Démarrage avancé, cliquez sur Redémarrer maintenant.
- Sur l’écran bleu, choisissez Dépannage, puis Options avancées.
- Cliquez sur Paramètres du microprogramme UEFI, puis Redémarrer.
Si la ligne Paramètres du microprogramme UEFI n’apparaît pas, c’est un indice : le PC démarre en mode hérité. Il reste la touche à presser à l’allumage (F2, Suppr, F10 ou Échap selon la marque), dont j’ai fait la liste dans mon guide pour accéder au BIOS. Il existe aussi un raccourci à créer sur le bureau pour redémarrer directement dans l’UEFI, je le montre dans cette vidéo :
Une fois dans l’UEFI, les menus changent d’un fabricant à l’autre. L’option se range le plus souvent dans un onglet Boot, Security ou Authentication, sous le nom Secure Boot. Deux réglages comptent :
- le mode de démarrage doit être UEFI seul. Si vous voyez une option CSM, Legacy ou « UEFI and Legacy », passez-la sur UEFI, ou désactivez le CSM ;
- Secure Boot doit passer sur Enabled.
Enregistrez en quittant (la touche est indiquée en bas de l’écran, souvent F10) et laissez le PC redémarrer. Microsoft renvoie vers les pages des fabricants pour le détail de chaque menu : Asus, Dell, Gigabyte, HP et Lenovo publient la leur. Avant de commencer, gardez sous la main votre clé de récupération BitLocker : Asus prévient qu’une modification des réglages du BIOS peut la faire demander au redémarrage si le disque est chiffré.
Option grisée ou PC qui ne démarre plus
C’est l’étape où la plupart des tutoriels s’arrêtent, et celle où les gens restent coincés. Un lecteur du Crabe Info le résume en commentaire sous leur guide : son Secure Boot « se désactive dès le redémarrage ». Trois causes expliquent l’essentiel des blocages.
Le disque est en MBR
Un Windows installé en mode hérité est presque toujours sur un disque au format MBR, et le mode UEFI ne sait démarrer que sur un disque GPT. Si vous passez l’UEFI en mode UEFI seul sans rien changer d’autre, le PC ne trouve plus Windows et affiche une erreur de démarrage. Pas de panique : remettez le CSM en route et tout revient comme avant.
Pour vérifier le format, faites un clic droit sur le bouton Démarrer, Gestion du disque, clic droit sur le disque 0 (la case grise à gauche), Propriétés, onglet Volumes : la ligne « Style de partition » indique MBR ou GPT. Windows fournit un outil de conversion sans perte de données, mbr2gpt. Dans un terminal en administrateur, mbr2gpt /validate /allowFullOS vérifie que la conversion est possible, puis mbr2gpt /convert /allowFullOS la fait. Ensuite seulement, passez l’UEFI en mode UEFI et activez le Secure Boot. Faites une sauvegarde avant : une conversion de disque n’est jamais anodine.
L’option Secure Boot est grisée
Sur beaucoup de cartes mères, l’option reste verrouillée tant que le CSM est actif : désactivez-le d’abord, enregistrez, revenez dans l’UEFI. Si elle reste grisée, cherchez dans le même menu une ligne de gestion des clés, du type « Restore Factory Keys » ou « Install default Secure Boot keys » : sans clés installées, le Secure Boot ne peut pas s’enclencher. Certains fabricants exigent aussi la définition d’un mot de passe administrateur de l’UEFI avant de déverrouiller l’option.
Écran noir après activation
Une carte graphique ancienne dont le micrologiciel n’est pas signé peut refuser de s’afficher une fois le Secure Boot actif. Si l’écran reste noir, réinitialisez les réglages de l’UEFI (pile de la carte mère ou cavalier Clear CMOS sur une tour), puis cherchez une mise à jour du micrologiciel de la carte chez son fabricant avant de réessayer.
Les certificats qui expirent en 2026
C’est l’actualité du Secure Boot, et peu de pages grand public en parlent. Les certificats Microsoft enregistrés dans le micrologiciel de presque tous les PC Windows depuis 2012 datent de 2011, et ils expirent cette année. Voici les dates publiées par Microsoft :
| Certificat de 2011 | Expiration | Ce qu’il signe | Remplaçant |
|---|---|---|---|
| Microsoft Corporation KEK CA 2011 | 24 juin 2026 | Les mises à jour des listes de confiance et de révocation | Microsoft Corporation KEK 2K CA 2023 |
| Microsoft UEFI CA 2011 | 27 juin 2026 | Les chargeurs de démarrage tiers (Linux, outils) et les micrologiciels de cartes | Microsoft UEFI CA 2023 et Microsoft Option ROM UEFI CA 2023 |
| Microsoft Windows Production PCA 2011 | 19 octobre 2026 | Le gestionnaire de démarrage de Windows | Windows UEFI CA 2023 |
Ce que ça change pour vous : rien au démarrage. Microsoft l’écrit noir sur blanc, un PC qui n’a pas reçu les certificats de 2023 continue de démarrer et de recevoir les mises à jour Windows classiques. En revanche, il ne peut plus recevoir de nouvelles protections pour la phase de démarrage, ce qui le laisse de plus en plus exposé aux failles découvertes ensuite.
Sur un PC personnel avec une version de Windows encore prise en charge, la mise à jour se fait seule par Windows Update. Un Windows 10 ne l’est plus que s’il est inscrit à l’ESU, j’explique pourquoi dans mon point sur la fin du support de Windows 10. Pour savoir où vous en êtes, ouvrez Sécurité Windows, Sécurité de l’appareil, Démarrage sécurisé. Microsoft précise qu’une coche verte seule ne suffit pas : il faut lire la phrase indiquant que toutes les mises à jour de certificat requises ont été appliquées. Si la page signale que votre PC n’est pas encore à jour, lancez les mises à jour en attente (mon guide pour mettre à jour Windows 11 détaille les cas où elles bloquent), puis cherchez une mise à jour du BIOS sur le site du fabricant : sur certains modèles, c’est elle qui apporte les nouveaux certificats.
Quand le désactiver
Rarement, et pour peu de temps. Les cas légitimes sont limités : démarrer une distribution Linux ancienne ou un outil de dépannage dont le chargeur n’est pas signé, ou faire fonctionner un vieux matériel dont le micrologiciel n’est pas reconnu. Microsoft et Asus donnent le même conseil : le désactiver pour régler le problème, puis le réactiver aussitôt après. La manipulation est la même que pour l’activer, en passant l’option sur Disabled.
Couper le Secure Boot n’est pas toujours la seule sortie quand un pilote refuse de se charger. Julien Simard, qui fait du dépannage informatique à distance avec Sephy-Lab, raconte dans son article sur un Wi-Fi disparu après une mise à jour du BIOS le cas d’un portable sous Linux Mint : pilote Broadcom bien installé, mais rejeté avec le message « Key was rejected by service ». Il a laissé le Secure Boot actif et fait inscrire la clé du pilote (une clé MOK) au redémarrage. Il note un piège : l’écran d’inscription ne connaît que le clavier QWERTY.
Les questions qu’on me pose le plus
Pourquoi activer le Secure Boot ?
Pour empêcher un logiciel malveillant de se lancer avant Windows, là où l’antivirus ne le voit pas. Il est aussi demandé par des jeux en ligne pour leur anti-triche, et recommandé par Microsoft sur Windows 11.
Comment accéder au Secure Boot ?
Par l’UEFI : Paramètres, Système, Récupération, Démarrage avancé, Redémarrer maintenant, puis Dépannage, Options avancées et Paramètres du microprogramme UEFI. L’option se trouve ensuite dans l’onglet Boot ou Security, selon le fabricant.
Comment savoir si le Secure Boot est actif ?
Tapez msinfo32 dans la fenêtre Exécuter (Windows + R) et lisez la ligne « État du démarrage sécurisé » : Activé, Désactivé ou Non pris en charge. La commande PowerShell Confirm-SecureBootUEFI donne la même réponse en True ou False.
Pourquoi désactiver le Secure Boot ?
Pour démarrer un système ou un outil dont le chargeur n’est pas signé, comme certaines anciennes distributions Linux, ou un vieux matériel non reconnu. C’est une mesure temporaire : réactivez-le une fois le problème réglé.
Si vous ne deviez faire qu’une chose après cette lecture : ouvrez Sécurité Windows, allez voir la page Démarrage sécurisé, et lisez la phrase sous l’icône. Elle dit en une ligne si votre PC est prêt pour l’après-2011.
