Le premier des quatre certificats Secure Boot émis par Microsoft en 2011 a expiré le 24 juin 2026. Selon les données de Windows Update citées par plusieurs sources, la quasi-totalité des PC Windows 10 et 11 actifs ont déjà reçu leurs remplaçants, mais les machines restantes devront être vérifiées.
🔑 En bref
- Le KEK Microsoft 2011 a expiré le 24 juin 2026, suivi du Microsoft UEFI CA 2011 (27 juin) et du Windows Production PCA 2011 (19 octobre 2026).
- Les machines non mises à jour continuent de démarrer, mais ne reçoivent plus les protections du démarrage précoce.
- La majorité des utilisateurs est mise à jour automatiquement via la mise à jour mensuelle de Windows ; les PC Copilot+ construits en 2025 ou après sont déjà à jour.
- La vérification se fait dans Sécurité Windows ou via PowerShell ; Microsoft déconseille de désactiver Secure Boot et recommande de sauvegarder la clé de récupération BitLocker.
Secure Boot, une chaîne de confiance fondée sur des certificats
Secure Boot (démarrage sécurisé) est une fonctionnalité du firmware UEFI (le micrologiciel qui initialise la machine avant le système d’exploitation), introduite avec Windows 8 en 2012. Elle vérifie la signature numérique de chaque composant chargé au démarrage et bloque ainsi les bootkits, des logiciels malveillants qui s’exécutent avant le système et échappent aux antivirus classiques.
Cette protection repose sur une chaîne de certificats cryptographiques stockés dans le firmware. Trois éléments jouent un rôle central :
- Le Key Enrollment Key (KEK) signe les mises à jour de la base des signatures autorisées (db) et de la liste des signatures révoquées (dbx).
- Le certificat Windows UEFI CA signe le chargeur de démarrage de Windows.
- Le certificat Microsoft UEFI CA valide les chargeurs de démarrage tiers et les applications EFI.
Ces certificats ont été émis en 2011 pour une durée de quinze ans. Sans renouvellement, Microsoft ne peut plus publier de mises à jour pour le gestionnaire de démarrage, les bases Secure Boot ou les listes de révocation, ce qui affaiblit la défense contre les menaces apparues après l’expiration.
Quatre certificats, quatre échéances
Microsoft a renouvelé l’ensemble de ces certificats avec des versions datées de 2023. Le premier à expirer est le KEK, le 24 juin 2026. Le tableau ci-dessous récapitule le calendrier et les remplaçants.
| Certificat 2011 | Expiration | Remplaçant 2023 | Rôle |
|---|---|---|---|
| Microsoft Corporation KEK CA 2011 | 24 juin 2026 | Microsoft Corporation KEK 2K CA 2023 | Signature des mises à jour de db et dbx |
| Microsoft UEFI CA 2011 | 27 juin 2026 | Microsoft UEFI CA 2023 | Chargeurs tiers et applications EFI |
| Microsoft UEFI CA 2011 | 27 juin 2026 | Microsoft Option ROM UEFI CA 2023 | ROMs d’option tierces |
| Microsoft Windows Production PCA 2011 | 19 octobre 2026 | Windows UEFI CA 2023 | Chargeur de démarrage Windows |
La séparation entre chargeurs tiers et ROMs d’option (micrologiciels embarqués dans des cartes d’extension) permet aux organisations de faire confiance aux secondes sans accorder la même confiance aux premiers. Les nouveaux certificats expireront à leur tour en 2038 pour la plupart, à l’exception du Windows UEFI CA 2023, dont l’échéance est fixée en juin 2035.
Une migration largement automatisée, mais inégale
Pour la majorité des utilisateurs, la transition sera transparente. Microsoft indique que les particuliers et les entreprises qui laissent la gestion des mises à jour à l’éditeur recevront les nouveaux certificats automatiquement, via la mise à jour mensuelle de Windows, sans intervention manuelle. Le déploiement progressif a commencé en 2024. Selon les données de Windows Update citées par plusieurs sources, la quasi-totalité des PC Windows 10 et 11 actifs ont déjà reçu les certificats mis à jour.
Les fabricants ont également joué leur part. Dell, HP, Lenovo, ASUS et Microsoft Surface ont préconfiguré les nouveaux certificats sur les machines livrées depuis 2024. Les PC Copilot+ construits en 2025 ou après intègrent déjà les certificats 2023 et ne nécessitent aucune action.
Un directeur informatique d’entreprise, relayé sur les forums sysadmin de Reddit, résume l’enjeu en ces termes :
« Ce n’est pas comme un correctif de sécurité typique qu’on peut déployer la semaine prochaine. Si vos machines ne sont pas mises à jour avant l’expiration du certificat, vous risquez des échecs de démarrage à l’échelle de toute votre organisation. »
Directeur informatique d’entreprise non identifié, relayé sur Reddit
Linux et les cas particuliers
Plusieurs distributions, dont Ubuntu et Fedora, utilisent la même infrastructure de certificats pour assurer la compatibilité avec Secure Boot. Ubuntu a diffusé les mises à jour via son gestionnaire de paquets standard, tandis que Fedora a publié des avis spéciaux incitant les utilisateurs à agir avant l’échéance.
Les utilisateurs qui ont entièrement effacé Windows et n’utilisent que Linux peuvent en revanche ne pas recevoir les mises à jour automatiquement. Ils doivent alors contacter le fabricant de leur ordinateur ou désactiver Secure Boot, une option que Microsoft déconseille de manière générale. Les Mac ne sont pas concernés.
Vérifier son poste et protéger ses données
Plusieurs méthodes permettent de contrôler l’état d’une machine. L’application Sécurité Windows, sur la page Sécurité de l’appareil, indique si tous les certificats requis ont été appliqués ; un certificat manquant fait apparaître une icône jaune ou rouge sous l’indication Secure Boot. Pour une vérification plus fine, PowerShell lancé en tant qu’administrateur permet d’interroger directement le firmware :
| Méthode | Emplacement ou commande | Résultat attendu |
|---|---|---|
| Sécurité Windows | Sécurité de l’appareil, indication Secure Boot | Aucune icône jaune ou rouge |
| PowerShell (administrateur) | Get-SecureBootUEFI db | Chaîne Windows UEFI CA 2023 présente |
| PowerShell (administrateur) | Get-SecureBootUEFI KEK | Microsoft Corporation KEK 2K CA 2023 présent |
Microsoft a aussi publié un outil de vérification de compatibilité qui analyse les problèmes potentiels. Une machine sans les nouveaux certificats continuera à démarrer et à fonctionner normalement, et les mises à jour Windows standard continueront de s’installer. Elle ne bénéficiera toutefois plus des protections du démarrage précoce : mises à jour du gestionnaire de démarrage, des bases Secure Boot, des listes de révocation et correctifs pour les vulnérabilités du chargeur. Les scénarios qui reposent sur la confiance Secure Boot, comme le durcissement BitLocker ou l’usage de chargeurs tiers, peuvent également être affectés.
Un expert en cryptographie, cité sur Twitter, pointe la fragilité structurelle du modèle :
« C’est ce qui se passe quand on construit une infrastructure critique avec des dates d’expiration fixes. Cela fonctionne très bien jusqu’à ce que tout le monde doive effectuer la rotation des clés en même temps. »
Expert en cryptographie non identifié, cité sur Twitter
Microsoft déconseille de désactiver Secure Boot pour contourner un problème de certificat. Cette désactivation réduit fortement la protection et supprime les garanties contre les logiciels malveillants de niveau amorçage. Elle peut en outre empêcher l’accès aux lecteurs chiffrés avec BitLocker sans la clé de récupération. La marche à suivre recommandée est la suivante :
- Contrôler l’état du poste dans Sécurité Windows ou via PowerShell.
- Sauvegarder la clé de récupération BitLocker.
- Laisser Windows Update s’exécuter et installer la mise à jour mensuelle.
- Contacter le fabricant si l’état reste incomplet.
Perspectives et scénarios
Compte tenu de l’ampleur du déploiement, l’issue la plus probable reste une migration menée à terme sans incident notable. Trois scénarios se dessinent pour les prochains mois. Dans le scénario central, le déploiement automatique s’achève sans perturbation significative. Dans un scénario intermédiaire, une minorité de machines anciennes ou mal configurées, notamment dans les parcs d’entreprise, reste plusieurs mois sans protection de démarrage précoce. Dans le scénario défavorable, une vulnérabilité du chargeur de démarrage serait exploitée avant qu’un correctif ne puisse atteindre les machines non migrées.
Le principal enseignement concerne la gestion du cycle de vie des clés : un certificat à date fixe, déployé sur plus d’un milliard de PC utilisant Secure Boot, transforme une simple échéance en risque opérationnel. La KB 5062710 de Microsoft, publiée le 26 juin 2025 et mise à jour jusqu’en mai 2026, demeure la documentation technique de référence sur le sujet.
Sources
- ZDNet : Secure Boot certificate updates expiring 2026
- TechBuzz : Billion Windows PCs face critical security certificate expiration
- Microsoft Learn : Windows 11 Secure Boot is expiring
- Microsoft Support : Windows Secure Boot certificate expiration and CA updates
- ASUS Support : FAQ Secure Boot
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
