Expiration du démarrage sécurisé en 2026 : risques et assistance
En 2026, rien de « visible » pour la plupart des utilisateurs ne change. L'ordinateur s'allume, Windows se charge, tout semble identique. Mais en coulisses, un élément important évolue : les fondements sur lesquels le système fonde sa décision au démarrage.
Il ne s'agit pas d'une mise à jour classique ni d'un simple correctif. Ce sont les certificats faisant partie de la chaîne de confiance du système qui expirent. Autrement dit : le firmware ne s'appuiera plus sur des références auparavant valides.
Cela n'endommage pas l'équipement, mais modifie le niveau de vérification. Et ce genre de changement est facile à négliger car il ne génère pas d'erreurs évidentes.
Le démarrage sécurisé agit avant que le système d'exploitation n'ait la possibilité d'intervenir. Il vérifie les signatures numériques à l'aide de clés stockées sur la plateforme (PK, KEK, db, dbx). Tant que ces clés sont à jour, le filtre fonctionne. Lorsqu'elles deviennent obsolètes, le système démarre toujours, mais avec une sécurité réduite.
Le problème n'est pas immédiat, mais progressif. Le système ne devient pas vulnérable du jour au lendemain, mais il perd sa capacité à détecter les modifications apportées aux composants de démarrage. Cela crée une faille de sécurité généralement non détectée par les outils traditionnels.
Qu’est-ce qui change réellement avec l’expiration des certificats ?
Les certificats délivrés en 2011 — comme Microsoft Corporation KEK CA 2011 le UEFI CA 2011— elles ont une date d'expiration. Dans ce cycle, cette limite se situe entre juin et octobre 2026.
Cela ne signifie pas que le système cesse de fonctionner. Le problème est plus subtil : si ces autorités ne sont pas mises à jour, la validation ne repose plus sur une chaîne de validation à jour.
Microsoft a déjà envisagé ce scénario avec une nouvelle autorité (PCA Microsoft Windows 2023) qui est distribuée via Windows Update sur les ordinateurs compatibles. Dans des conditions normales, le processus est automatique.
Les différences commencent avec les équipements qui ne font pas partie de ce « flux normal » : systèmes non pris en charge, configurations modifiées ou micrologiciels qui n'acceptent pas facilement les nouvelles clés.
Il n'y a pas d'avertissement clair. L'équipement fonctionne toujours, mais la validation n'est plus équivalente à ce qu'elle était auparavant.
Toutes les équipes ne sont pas dans la même situation.
À première vue, cela peut sembler être un problème général, mais en réalité, cela dépend beaucoup du contexte.
Il existe des cas où il est judicieux d'examiner cela de plus près :
- Équipement encore utilisé quotidiennement mais qui ne reçoit plus de Mises à jour Microsoft.
- Systèmes dans lesquels le démarrage sécurisé est désactivé en raison de décisions antérieures (compatibilité, installations personnalisées).
- Environnements où le démarrage sécurisé fait partie du contrôle de sécurité (entreprises, données critiques).
Et d'autres où l'urgence est considérablement moindre :
- Du matériel ancien qui ne remplit plus de fonctions essentielles.
- Systèmes isolés ou systèmes à usage très limité.
Ce n'est pas qu'il n'y ait aucun risque dans ces cas-là, mais la priorité change. Tout ne requiert pas une intervention immédiate.
Vérifier l'état : rapide et suffisant pour décider
Avant de penser à des changements, le plus utile est de savoir où l'on se situe.
Avec msinfo32Dans le résumé système, vous pouvez consulter l'état du démarrage sécurisé. Cela suffit pour une première évaluation.
Si cette option semble activée et que le système reçoit des mises à jour, la transition se fera très probablement sans intervention.
Si le service semble désactivé ou si le système ne se met plus à jour, il est judicieux de s'arrêter pour réfléchir à la marche à suivre.
Cette simple information suffit généralement à faire la distinction entre ce qui relève de l'entretien courant et ce qui nécessite une attention particulière.
La décision n'est pas technique, elle est opérationnelle.
C’est là que l’approche change. Il ne s’agit pas seulement de savoir comment fonctionne le démarrage sécurisé, mais de décider s’il est judicieux d’intervenir.
Il existe des situations évidentes où il est judicieux d'agir :
- Équipement qui reste en service et traite les informations pertinentes.
- Configurations dans lesquelles le démarrage sécurisé est désactivé mais pourrait être activé sans compromettre la compatibilité.
- Systèmes qui ne reçoivent plus de mises à jour automatiques.
À l'inverse, il peut être inutile d'imposer des modifications à des équipements anciens ou non critiques. Il est parfois plus judicieux de les isoler ou de prévoir leur remplacement.
De plus, la modification du firmware n'est pas une mince affaire. Modifier le démarrage sécurisé peut affecter le démarrage en cas d'incompatibilités de pilotes ou de configurations. Ce n'est pas complexe, mais il est fortement déconseillé de s'y aventurer sans avoir effectué de vérifications préalables.
Plus qu'une date précise, il s'agit d'un point de contrôle. Si tout est en ordre, il n'y a pas d'urgence. Dans le cas contraire, mieux vaut le savoir avant que le problème ne devienne évident.
Pour plus de détails techniques et les dates précises, vous pouvez consulter la documentation officielle sur le Expiration du certificat de démarrage sécurisé et mises à jour de l'autorité de certification.
