Comment activer Secure Boot dans Windows 11 (vérifier, corriger, valider)

Par Mirko Peters · 2026-11-12

Comment activer Secure Boot dans Windows 11 : vérifier l’état actuel, ouvrir les paramètres UEFI, passer du mode Legacy, convertir MBR en GPT et contrôler le résultat dans Intune.

Traduit automatiquement par IA à partir de l'article original. Lire l'original en anglais

Pour activer Secure Boot dans Windows 11, redémarrez dans les paramètres du micrologiciel UEFI (Paramètres, Système, Récupération, Démarrage avancé, Redémarrer maintenant, puis Dépannage, Options avancées, Paramètres du micrologiciel UEFI), vérifiez que le mode de démarrage est UEFI et non Legacy ou CSM, puis activez Secure Boot dans l’onglet Boot ou Security. Confirmez ensuite l’état depuis Windows. Cet article s’adresse aux administrateurs informatiques disposant d’un PC ou d’un parc dont Secure Boot est désactivé, ou pour lesquels Windows 11 indique que le PC ne peut pas l’exécuter. Il montre comment vérifier l’état actuel, activer le paramètre, convertir un disque de MBR en GPT lorsque le micrologiciel reste en mode hérité, et contrôler le résultat dans Intune.

Points clés

• Secure Boot est un paramètre du micrologiciel UEFI : on l’active donc dans la configuration du micrologiciel, et non dans Windows. Ouvrez-la via Paramètres, Système, Récupération, Démarrage avancé.
• Secure Boot nécessite que le micrologiciel fonctionne en mode UEFI. Si le PC fonctionne en mode Legacy ou CSM, passez d’abord en UEFI. Les noms des menus dépendent du fabricant.
• Une installation en mode BIOS sur un disque MBR doit généralement être convertie en GPT avec MBR2GPT avant que le micrologiciel puisse utiliser le mode UEFI. Cette conversion ne peut pas être annulée : sauvegardez donc vos données au préalable.
• Contrôlez le résultat avec Confirm-SecureBootUEFI dans PowerShell en tant qu’administrateur. La valeur True indique que Secure Boot est activé.
• Dans Intune, le paramètre de conformité Require Secure Boot dépend de l’attestation d’intégrité de l’appareil et du TPM 2.0. Un appareil sans TPM 2.0 apparaît comme non conforme.

Le rôle de Secure Boot et les raisons pour lesquelles Windows 11 l’exige

Microsoft décrit Secure Boot comme une fonctionnalité de sécurité qui contribue à empêcher le chargement de logiciels non autorisés au démarrage du PC. Lorsqu’elle est activée, le micrologiciel vérifie que le chargeur de démarrage est signé par un certificat approuvé avant son lancement, puis Windows poursuit la chaîne de confiance. Les détails figurent sur Microsoft Learn, dans Secure the Windows boot process.

Pour Windows 11, les exigences pertinentes figurent dans la configuration matérielle requise : le micrologiciel système doit être UEFI et compatible Secure Boot, et le PC doit disposer d’un TPM 2.0. Le terme « compatible » est source de confusion : un PC peut prendre en charge Secure Boot tout en le laissant désactivé, ou fonctionner dans un mode hérité qui ne permet pas de l’utiliser du tout. La page Secure Boot de Microsoft pour Windows 11 précise qu’pour l’activer, il faut passer le mode de démarrage de Legacy (aussi appelé mode CSM) à UEFI, et que si le micrologiciel propose les deux, UEFI doit être la première option, voire la seule.

Vérifier d’abord l’état actuel

Avant de modifier le micrologiciel, établissez ce que vous avez. Cela ne prend qu’une minute et évite un redémarrage inutile.

1. Ouvrez PowerShell en tant qu’administrateur.
2. Exécutez Confirm-SecureBootUEFI.

Microsoft Learn indique le résultat : True si l’ordinateur prend en charge Secure Boot et que celui-ci est activé, False s’il est pris en charge mais désactivé. Si l’ordinateur ne prend pas en charge Secure Boot ou s’il s’agit d’une machine BIOS (non UEFI), la cmdlet indique que cette fonctionnalité n’est pas prise en charge sur cette plateforme. La cmdlet nécessite une invite de commandes exécutée en tant qu’administrateur, sans quoi vous obtenez un message d’accès refusé.

Vous pouvez aussi exécuter msinfo32 et consulter la section Résumé du système. La ligne Mode BIOS doit afficher UEFI. L’article de dépannage d’Intune de Microsoft utilise le même outil pour vérifier le mode BIOS et la configuration PCR7. Les Informations système comportent aussi une ligne État de Secure Boot, qui affiche Activé, Désactivé ou Non pris en charge. Cette ligne n’est pas décrite dans les pages Microsoft que j’ai consultées ; il est donc préférable de vous fier d’abord au résultat PowerShell.

Après la modification, le guide d’activation de Microsoft propose une autre vérification : ouvrez Paramètres, Sécurité, Protection de l’intégrité et vérifiez que Secure Boot affiche Activé. Le libellé peut varier selon les versions de Windows.

Si Confirm-SecureBootUEFI indique que la plateforme n’est pas prise en charge, vous êtes dans la situation qui fait l’objet de la majeure partie de cet article : le PC démarre en mode hérité (legacy).

Activer Secure Boot dans les paramètres UEFI

Ce paramètre se trouve dans le micrologiciel : il faut donc y accéder. Les étapes ci-dessous proviennent du guide d’activation de Secure Boot de Microsoft.

1. Enregistrez votre travail. Ouvrez Paramètres, puis Système, puis Récupération.
2. À côté de Démarrage avancé, sélectionnez Redémarrer maintenant.
3. Sur l’écran Choisir une option, sélectionnez Dépannage, puis Options avancées.
4. Sélectionnez Paramètres du micrologiciel UEFI, puis Redémarrer.
5. Dans le micrologiciel, repérez le paramètre Secure Boot, généralement situé dans l’onglet Boot ou Security. Si le mode de démarrage est Legacy ou CSM, passez-le d’abord en UEFI.
6. Activez Secure Boot, enregistrez et quittez.

Les menus et les libellés varient selon le fabricant, et Microsoft ne propose pas de chemin générique unique. Son guide renvoie vers les instructions des constructeurs Surface, Acer, ASRock, ASUS, BIOSTAR, Colorful, Dell ou Alienware, GIGABYTE ou AORUS, HP ou OMEN, Lenovo et MSI. Si vous avez assemblé le PC vous-même, utilisez le guide du fabricant de votre carte mère. Sur Surface, les étapes figurent dans la page Surface UEFI : sélectionnez Sécurité, puis, sous Secure Boot, sélectionnez Modifier la configuration, choisissez Microsoft uniquement dans la liste des certificats et sélectionnez OK, puis Quitter et Redémarrer maintenant.

L’avertissement de Microsoft s’applique à tous les fabricants : une modification incorrecte des paramètres du micrologiciel peut compromettre la sécurité de votre PC ou l’empêcher de démarrer correctement. Ne modifiez que les paramètres Secure Boot décrits par votre fabricant. Si le PC ne démarre plus ensuite, retournez dans le micrologiciel et annulez votre dernière modification.

Lorsque le PC fonctionne en mode hérité sur un disque MBR

C’est le cas le plus délicat. Le micrologiciel peut proposer le mode UEFI, mais Windows a été installé en mode hérité sur un disque MBR : passer en UEFI empêche alors le PC de démarrer. La solution consiste à convertir le disque en GPT. L’outil MBR2GPT de Microsoft effectue cette conversion sans modifier ni supprimer les données du disque.

Commencez par vérifier le style de partition. Dans PowerShell, exécutez Get-Disk | ft -Auto et lisez la colonne Partition Style, qui indique MBR ou GPT. Dans la Gestion des disques (diskmgmt.msc), vous pouvez ouvrir les Propriétés du disque et consulter Style de partition dans l’onglet Volumes.

Vérifiez ensuite les prérequis de Microsoft. Le périphérique doit prendre en charge UEFI, le disque doit être le disque système et il doit disposer d’espace pour les structures GPT. Il peut comporter au maximum trois partitions principales et aucune partition étendue ou logique. Si un volume est chiffré avec BitLocker, vous devez d’abord suspendre la protection.

1. Sauvegardez le PC. Le message de l’outil lui-même avertit que les modifications ne peuvent pas être annulées.
2. Suspendez BitLocker s’il est activé.
3. Validation : MBR2GPT /validate /allowFullOS (ou /disk:0 depuis Windows PE).
4. Conversion : MBR2GPT /convert /allowFullOS.
5. Redémarrez dans le micrologiciel et passez le mode de démarrage en UEFI. Microsoft est clair sur ce point : le disque ne peut démarrer ensuite qu’en mode GPT, et le système ne démarrera correctement que lorsque le micrologiciel sera passé en UEFI.
6. Activez Secure Boot comme indiqué ci-dessus, puis reprenez BitLocker.

Par défaut, l’outil s’exécute depuis une invite de commandes Windows PE. L’option /allowFullOS lui permet de s’exécuter dans le système d’exploitation complet ; dans ce cas, il crée une nouvelle partition système EFI en réduisant la partition du système d’exploitation. Le code de retour 0 indique une réussite. Le code 100 indique que la conversion a réussi, mais que certaines entrées BCD n’ont pas pu être restaurées. Consultez setupact.log et setuperr.log pour plus de détails. La page de Microsoft indique que Windows 10 et Windows 11 sont pris en charge.

Vérifiez aussi la présence d’un TPM 2.0

Windows 11 exige à la fois Secure Boot et TPM 2.0, et une vérification de Secure Boot dans les outils de gestion dépend généralement du TPM. Pour vérifier, appuyez sur Touche Windows + R, saisissez tpm.msc et consultez Specification Version sous TPM Manufacturer Information. Si le message « Compatible TPM cannot be found » s’affiche, le TPM est peut-être désactivé dans le micrologiciel.

La page de Microsoft sur l’activation de TPM 2.0 indique de chercher dans un sous-menu intitulé Advanced, Security ou Trusted Computing. Le paramètre peut porter le nom de Security Device, Security Device Support, TPM State, AMD fTPM ou Intel PTT. Un TPM dont la version est inférieure à 2.0 ne peut pas être corrigé en l’activant, car le périphérique ne répond pas aux exigences de Windows 11.

Pour les administrateurs : vérifiez Secure Boot dans Intune et Autopilot

Dans Microsoft Intune, le paramètre de conformité Windows Require Secure Boot to be enabled on the device propose deux choix : Non configuré et Exiger. Microsoft le décrit comme une exigence selon laquelle l’appareil doit démarrer dans un état approuvé par le fabricant, les composants de démarrage essentiels étant vérifiés par le micrologiciel UEFI. Le piège se trouve dans l’article de dépannage : la vérification repose sur l’attestation d’intégrité de l’appareil, qui nécessite TPM 2.0 ou une version ultérieure. Un appareil sans TPM 2.0 apparaît comme Non conforme, même lorsque Secure Boot est activé, et TPM 2.0 lui-même exige le micrologiciel UEFI.

Si un appareil doté de Secure Boot apparaît comme non conforme, voici les vérifications recommandées par Microsoft :

1. Exécutez tpm.msc et vérifiez la version de spécification.
2. Exécutez msinfo32 et confirmez que Mode BIOS est défini sur UEFI et que Configuration PCR7 est définie sur Bound.
3. Exécutez Confirm-SecureBootUEFI dans une invite lancée en tant qu’administrateur et attendez-vous à obtenir True.
4. Exécutez manage-bde -protectors -get $env:systemdrive et vérifiez que le lecteur est protégé par PCR 7.

Si l’appareil échoue à l’une de ces étapes, le statut Non conforme est attendu, et la correction se situe au niveau du matériel ou du micrologiciel, et non dans la stratégie. La référence de Microsoft sur la conformité Windows mentionne Device Health Attestation pour les appareils Windows 10 ; consultez donc la documentation actuelle pour les détails propres à Windows 11.

Pour les déploiements avec Windows Autopilot, une vérification du micrologiciel fait partie de la préparation du matériel. Le mode auto-déploiement exige TPM 2.0 et l’attestation de l’appareil TPM ; un appareil qui ne les possède pas ne peut pas utiliser ce mode.

Certificats Secure Boot et échéance de juin 2026

Microsoft met à jour les certificats Secure Boot émis initialement en 2011, qui commencent à expirer en juin 2026. Microsoft indique que, sur les versions de Windows prises en charge, la mise à jour s’effectue automatiquement. Pour votre parc, c’est une raison de maintenir Secure Boot activé et Windows à jour, et non de modifier le micrologiciel manuellement. Microsoft renvoie vers une documentation distincte sur la mise à jour gérée par Microsoft ; lisez-la avant de planifier toute intervention manuelle.

Erreurs courantes

• Vous cherchez ce paramètre dans Windows ? Il s’agit d’un paramètre du micrologiciel : Windows peut seulement le signaler.
• Passage à UEFI sur une installation MBR. Le PC ne démarre pas tant que le disque n’a pas été converti ou que Windows n’a pas été réinstallé en mode UEFI.
• Conversion d’un disque protégé par BitLocker. Suspendez d’abord la protection.
• Oublier la sauvegarde avant MBR2GPT. La conversion ne peut pas être annulée.
• Interpréter un résultat Non conforme dans Intune comme un problème de Secure Boot alors que la cause est l’absence de TPM 2.0.
• Laisser Secure Boot désactivé après le dépannage. Microsoft recommande de le réactiver une fois le problème résolu.

Sujets connexes à explorer

• Comment accéder au micrologiciel si Windows ne démarre pas ? L'article sur la façon d'ouvrir le BIOS dans Windows 11 explique la procédure de récupération.
• Que faire si Secure Boot bloque ma clé USB ? Microsoft indique qu'il peut être nécessaire de le désactiver temporairement pour démarrer certains supports. Consultez l'article sur la création d'une clé USB amorçable pour Windows 11.
• Quel TPM mon PC possède-t-il ? Utilisez tpm.msc et comparez le résultat avec la configuration requise de Windows 11.
• Comment appliquer cela à de nombreux PC ? Combinez une stratégie de conformité Intune avec une vérification matérielle dans votre processus de déploiement.

Prochaine étape

Exécutez Confirm-SecureBootUEFI sur un PC dès aujourd'hui et notez le résultat, puis vérifiez le style de partition du disque en cas d'échec. Une fois que vous savez si le PC est en mode UEFI, la procédure d'activation de Secure Boot dans Windows 11 se résume à une courte liste de modifications du micrologiciel, plutôt qu'à des suppositions.