Windows 11 déploie automatiquement la mise à jour du certificat Secure Boot 2023 avec la mise à jour Patch Tuesday de juin 2026

Avec la mise à jour Patch Tuesday de juin 2026 (KB5094126), Microsoft a élargi le déploiement de la mise à jour du certificat Secure Boot 2023 à un éventail plus large de périphériques Windows 11 et Windows 10. Pendant près de deux ans, le déploiement a été prudent et progressif en raison des vérifications de compatibilité du firmware. Cependant, avec cette dernière mise à jour, la majorité des PC grand public pris en charge, pour lesquels Microsoft dispose de données de diagnostic, sont désormais catégorisés comme ayant une confiance élevée. Cela signifie que les certificats ont déjà été appliqués ou sont en cours d'application automatique sans intervention de l'utilisateur.

Secure Boot est un sujet souvent mal compris par de nombreux utilisateurs de Windows. Bien que les professionnels de l'informatique puissent être familiers avec cet outil, les utilisateurs à domicile se demandent souvent s'ils doivent entreprendre une action. La réponse courte pour la plupart des utilisateurs est non. Cependant, il existe des scénarios spécifiques qui peuvent nécessiter une attention particulière, que nous aborderons ci-dessous.

Qu'est-ce que Secure Boot et pourquoi est-ce important pour votre PC ?

Secure Boot est une fonctionnalité de sécurité intégrée dans le firmware de votre PC, spécifiquement dans l'UEFI (Unified Extensible Firmware Interface), qui a remplacé l'ancien système BIOS. Lorsque vous allumez votre ordinateur, Secure Boot vérifie la signature cryptographique des logiciels tentant de se charger avant le démarrage de Windows. Si un logiciel non autorisé, tel qu'un rootkit ou un bootkit, tente de s'exécuter pendant ce processus, Secure Boot le bloquera. Cette fonctionnalité est obligatoire pour Windows 11 depuis son lancement et est activée par défaut sur la plupart des PC modernes.

Les certificats originaux prenant en charge Secure Boot ont été émis en 2011 et sont maintenant en cours de suppression progressive, avec des expirations prévues à partir du 24 juin 2026 et jusqu'en octobre 2026. Microsoft a commencé à distribuer des certificats de remplacement, appelés Secure Boot 2023, pour garantir que les PC restent sécurisés et capables de recevoir des mises à jour au niveau du démarrage après l'expiration des anciens certificats.

Si vous êtes un utilisateur régulier de Windows 11 ou Windows 10, voici ce qu'il faut faire

Pour la plupart des utilisateurs à domicile, aucune action manuelle n'est requise. Les certificats Secure Boot 2023 sont distribués via Windows Update. Si votre appareil est éligible et que Windows Update n'est pas en pause, la mise à jour se fera automatiquement en arrière-plan. Cependant, il est conseillé de vérifier le statut de la mise à jour :

1. Ouvrez l'application Sécurité Windows.
2. Accédez à Sécurité de l'appareil > Secure Boot.
3. Vérifiez l'indicateur de statut :
   • Coche verte : Votre PC est entièrement mis à jour, aucune action supplémentaire n'est nécessaire.
   • Avertissement jaune : La mise à jour du certificat est en attente. Assurez-vous que Windows Update est activé et attendez.
   • Alerte rouge : Cela indique un problème de compatibilité du firmware. Visitez la page d'assistance du fabricant de votre appareil pour télécharger et installer la dernière mise à jour BIOS/UEFI.

Certains utilisateurs ont observé que leurs PC redémarraient plusieurs fois lors des récentes mises à jour. Microsoft a confirmé qu'il s'agit d'un comportement attendu en raison du processus de mise à jour du certificat Secure Boot, qui implique plusieurs étapes : mise en scène des certificats, application de ceux-ci et redémarrage pour mettre à jour le chargeur de démarrage.

Si vous remarquez un nouveau dossier SecureBoot dans C:\Windows, ne le supprimez pas. Ce dossier est utilisé par Windows pour préparer les fichiers cryptographiques avant de les intégrer dans le firmware. Le supprimer est inutile et pourrait perturber le processus de mise à jour.

Anciens PC et compatibilité

Les anciens PC se répartissent en plusieurs catégories :

• PC récents (2020 ou plus tard) : La mise à jour de juin couvre probablement ces appareils automatiquement.
• PC de mi-période (2015-2019) : Ces appareils peuvent nécessiter un délai supplémentaire pour que Microsoft collecte des données de compatibilité.
• PC très anciens : Certains peuvent ne pas recevoir la mise à jour en raison de problèmes de firmware non résolus. Dans ces cas, un dépannage manuel ou un support du fabricant peut être nécessaire.

Pour les utilisateurs à domicile, il n'est pas nécessaire de modifier les paramètres du BIOS ou les clés de registre manuellement. Microsoft a indiqué que le processus est automatique pour les appareils recevant les mises à jour via Windows Update.

Appareils HP – Problèmes spécifiques

Les utilisateurs de HP doivent noter que certaines mises à jour du BIOS d'avril 2026 ont provoqué des boucles de récupération BitLocker et des échecs de démarrage sur certains ordinateurs portables et stations de travail haut de gamme. HP a depuis résolu ce problème en publiant des mises à jour de firmware. Si vous rencontrez de tels problèmes, consultez la page d'assistance HP pour les dernières mises à jour du BIOS et installez-les avant de continuer.

Ce que les administrateurs informatiques doivent savoir

La mise à jour de juin 2026 a considérablement élargi la liste des appareils dans la base de données de haute confiance de Microsoft, permettant des mises à jour automatiques des certificats pour la plupart des systèmes gérés. Les administrateurs gérant des appareils via Intune peuvent surveiller l'avancement des mises à jour grâce au rapport de surveillance Secure Boot d'Intune, qui met en évidence le statut de tous les appareils gérés.

Pour les appareils en dehors de la catégorie de haute confiance, une intervention manuelle peut être nécessaire. Cela implique de déclencher des mises à jour via les paramètres de politique Intune ou des clés de registre. Les administrateurs sont invités à :

1. Extraire le rapport de surveillance Secure Boot.
2. Identifier les appareils non encore mis à jour.
3. Tester les mises à jour sur un petit sous-ensemble d'appareils.
4. Étendre le déploiement uniquement après des tests réussis.

Les appareils bloqués en raison de problèmes de compatibilité du firmware nécessitent des mises à jour du firmware OEM avant de continuer. Microsoft fournit des directives détaillées pour gérer ces cas, en insistant sur l'importance de la surveillance des données en direct pour éviter d'agir sur des rapports obsolètes.

Journaux d'événements clés pour le dépannage

Les administrateurs informatiques peuvent utiliser l'Observateur d'événements Windows pour diagnostiquer les problèmes de mise à jour Secure Boot :

• ID d'événement 1801 : Indique qu'un appareil est en observation, en attente de plus de données.
• ID d'événement 1802 : Signale un problème de compatibilité au niveau du firmware.
• ID d'événement 1808 : Confirme la réussite des mises à jour des certificats Secure Boot.

Conclusion

La mise à jour des certificats Secure Boot est une étape cruciale pour maintenir la sécurité au niveau du démarrage des appareils Windows. Pour la plupart des utilisateurs, le processus est transparent et automatique. Les administrateurs informatiques gérant de grandes flottes doivent garantir la compatibilité et surveiller les mises à jour attentivement. Pour plus d'informations, visitez la ressource centrale de Microsoft à aka.ms/GetSecureBoot.