Que se passe-t-il avec votre ancien PC à l'expiration des certificats Secure Boot 2011 de Microsoft's ?

Avec l'expiration des certificats Secure Boot 2011 de Microsoft le 24 juin, de nombreux utilisateurs de matériel plus ancien, en particulier les appareils datant d'avant 2018, se demandent quelles en sont les implications. Bien que la plupart des PC modernes aient déjà reçu la mise à jour Secure Boot 2023 via Windows Update, une part significative d'appareils ne recevra jamais cette mise à jour. Cet article explique ce que cela signifie pour votre PC, votre sécurité et les mesures que vous pourriez envisager.

Votre ancien PC continuera de démarrer après le 24 juin

L'expiration des certificats Secure Boot 2011 ne signifie pas que votre PC cessera de fonctionner. Microsoft a confirmé que les appareils dépourvus des nouveaux certificats continueront de démarrer et de fonctionner normalement. Selon la page de support officielle de Microsoft :

"Si votre appareil atteint la date d'expiration sans les nouveaux certificats, il démarrera et fonctionnera toujours normalement. Les mises à jour standard de Windows continueront à s'installer."

Cependant, l'expiration affecte la capacité de votre appareil à recevoir de futures mises à jour de sécurité au niveau du démarrage. Sans les certificats 2023, votre PC ne recevra plus de mises à jour pour Windows Boot Manager, les bases de données Secure Boot, les listes de révocation ou les atténuations des nouvelles vulnérabilités au niveau du démarrage. Cette dégradation est progressive plutôt qu'immédiate, et aucun arrêt soudain ou message d'erreur ne se produira.

Pourquoi certains PC ne peuvent pas obtenir la mise à jour Secure Boot

La mise à jour Secure Boot 2023 n'est pas universellement applicable via Windows Update. Elle nécessite une compatibilité firmware, qui dépend des mises à jour fournies par le fabricant du PC. Par exemple, Dell a déclaré que les appareils ayant atteint la fin de leur cycle de vie avant le 1er janvier 2026 ne recevront pas de mises à jour du BIOS prenant en charge les nouveaux certificats. De même, d'autres fabricants comme HP, Lenovo et ASUS ont établi des limites similaires pour le support du BIOS.

Les anciens PC, en particulier ceux de la première ère UEFI ou fonctionnant en mode Compatibility Support Module (CSM), n'utilisent pas du tout UEFI Secure Boot. Pour ces appareils, la mise à jour des certificats est sans importance. De plus, les appareils exécutant des installations Windows 11 contournées (par exemple, en désactivant TPM 2.0 et les vérifications du CPU) n'affichent souvent aucun statut Secure Boot ou erreur dans l'application Sécurité Windows, car Secure Boot est soit désactivé, soit mal configuré dans le firmware.

Le véritable risque de sécurité lié à l'absence des mises à jour Secure Boot 2023

Sans les certificats 2023, votre PC ne recevra pas de mises à jour pour le Secure Boot DBX (Forbidden Signature Database), qui répertorie les chargeurs de démarrage compromis ou vulnérables. Par exemple, le bootkit UEFI BlackLotus exploitait d'anciens chargeurs de démarrage Windows pour contourner Secure Boot. Les appareils sans les certificats 2023 resteront vulnérables à de telles menaces, car ils ne peuvent pas traiter les nouvelles mises à jour DBX signées avec la clé 2023.

Pour la plupart des utilisateurs domestiques, ce risque reste en grande partie théorique, car les attaques de type bootkit sont complexes et visent généralement les entreprises, les gouvernements ou les individus de grande valeur. Cependant, le risque augmentera avec le temps à mesure que de nouvelles vulnérabilités seront découvertes.

Étapes à suivre si vous ne recevez pas les mises à jour Secure Boot

Selon votre situation, plusieurs actions peuvent être envisagées :

1. Utilisateurs de Windows 10 : Si votre PC est inscrit au programme Extended Security Updates (ESU), il recevra les certificats Secure Boot 2023 via Windows Update. Vérifiez le statut de votre Secure Boot dans l'application Sécurité Windows (disponible depuis la mise à jour de mai 2026, KB5087544).
2. PC non pris en charge : Les appareils sans mises à jour de BIOS fournies par l'OEM ou ceux exécutant des installations contournées de Windows 11 ne recevront pas la mise à jour. Les options incluent :
   • Continuer à utiliser l'appareil dans sa configuration actuelle, en comprenant les risques de sécurité.
   • Activer Secure Boot dans l'UEFI, si pris en charge, pour les systèmes contournés.
   • Passer à un matériel plus récent.
3. Utilisateurs en entreprise : Les entreprises doivent répondre aux exigences de conformité. Les options incluent documenter les exceptions, mettre en œuvre des contrôles compensatoires ou remplacer le matériel obsolète.

Comment vérifier votre statut actuel de Secure Boot

Pour vérifier votre statut Secure Boot :

1. Application Sécurité Windows : Ouvrez l'application, accédez à Sécurité de l'appareil et recherchez la section Secure Boot. Depuis avril 2026, l'application affiche un système de badges :
   • Vert : Les certificats 2023 sont appliqués.
   • Jaune : La mise à jour est en attente.
   • Rouge : Une incompatibilité firmware bloque la mise à jour.
2. Outil Informations système : Ouvrez msinfo32 et vérifiez l'état de "Secure Boot" dans le résumé du système. Il indiquera Activé, Désactivé ou Non pris en charge.

Pour une inspection plus approfondie, Microsoft propose des outils de diagnostic et des scripts à l'adresse aka.ms/GetSecureBoot.

Votre PC continuera de fonctionner même sans la mise à jour

Pour la plupart des utilisateurs ayant du matériel ancien, l'absence de la mise à jour Secure Boot 2023 crée un fossé en matière de sécurité mais n'affecte pas le fonctionnement quotidien du PC. Les mises à jour régulières de Windows continueront d'arriver et l'appareil continuera de fonctionner. Cependant, les entreprises ayant des exigences de conformité et des obligations en matière de sécurité des points de terminaison devraient considérer cela comme une priorité et planifier en conséquence.

Si vous souhaitez explorer les mises à jour du BIOS ou des ressources supplémentaires, consultez la page d'assistance à la transition Secure Boot de votre fabricant ou la ressource officielle de Microsoft mentionnée ci-dessus.

Windows Latest apprécie votre soutien. Envisagez de faire de nous votre source préférée sur Google Discover et Search pour aider à diffuser des reportages indépendants.