Le Secure Boot, également appelé démarrage sécurisé, est une fonction de sécurité intégrée au firmware UEFI des PC modernes. Elle vérifie les signatures numériques des composants utilisés pendant le démarrage afin de limiter l’exécution de logiciels non approuvés avant le lancement de Windows.
Pour Windows 11, Microsoft demande que l’ordinateur dispose d’un firmware UEFI compatible avec Secure Boot. Le TPM 2.0 constitue une autre exigence matérielle, distincte du Secure Boot.
Le Secure Boot constitue notamment une protection contre certaines attaques de bas niveau, comme les bootkits et autres logiciels malveillants capables de tenter de s’exécuter avant le chargement complet de Windows. Il s’inscrit dans une chaîne de sécurité complétée par Trusted Boot, qui poursuit les vérifications pendant le démarrage de Windows.
Dans ce guide, nous allons voir comment vérifier l’état du Secure Boot et comment l’activer dans les paramètres UEFI de votre PC.
Qu’est-ce que le démarrage sécurisé (Secure Boot) ?
Le Secure Boot est une fonction de sécurité du firmware UEFI qui permet à l’ordinateur de vérifier les signatures numériques des composants logiciels utilisés pendant le démarrage.
Lorsque la fonction est activée, le firmware vérifie notamment la signature du chargeur de démarrage et des autres composants exécutés avant Windows. Seuls les éléments approuvés selon la configuration de sécurité de l’UEFI peuvent alors être lancés.
Cette protection réduit le risque qu’un logiciel malveillant modifie le processus de démarrage ou charge un composant non approuvé avant Windows. Les bootkits et certaines formes de logiciels malveillants de bas niveau cherchent justement à profiter de cette phase précoce du démarrage.
Secure Boot et Trusted Boot ne sont toutefois pas exactement la même chose. Secure Boot intervient dès les premières étapes du démarrage, tandis que Trusted Boot prend ensuite le relais pour contribuer à vérifier l’intégrité des composants Windows chargés.
Dans certains cas particuliers, une ancienne configuration matérielle, un système d’exploitation utilisant un chargeur non signé ou certaines configurations multi-boot peuvent nécessiter une adaptation des paramètres Secure Boot.
Vérifier si Secure Boot est activé sous Windows 11
Avant de modifier les paramètres du firmware, commencez par vérifier l’état actuel du Secure Boot.
- Ouvrez le menu Démarrer.
- Saisissez Informations système dans la recherche.
- Ouvrez l’application Informations système.
- Dans le volet de gauche, sélectionnez Résumé système.
- Repérez la ligne État du démarrage sécurisé.
Si cette ligne indique Activé, Secure Boot est déjà en fonction.
Si elle indique Désactivé, le PC est compatible avec cette fonction mais elle n’est actuellement pas activée dans le firmware.
Vous pouvez également vérifier la ligne Mode BIOS. Pour utiliser Secure Boot, Windows doit fonctionner en mode UEFI. Microsoft précise que Secure Boot ne peut être activé qu’avec UEFI.
Activer le Secure Boot sous Windows 11
Si le Secure Boot est désactivé, vous devez modifier le réglage depuis le firmware UEFI de votre ordinateur.
Pour accéder à l’UEFI depuis Windows 11 :
- Ouvrez les Paramètres.
- Cliquez sur Système.
- Sélectionnez Récupération.
- Dans la section « Démarrage avancé », cliquez sur Redémarrer maintenant.
- Après le redémarrage, sélectionnez Dépannage.
- Cliquez sur Options avancées.
- Cliquez sur Changer les paramètres du microprogramme UEFI.
- Cliquez sur Redémarrer.
Votre ordinateur redémarrera alors directement dans l’interface du firmware UEFI. Le nom et l’emplacement des options peuvent varier selon le fabricant de la carte mère ou du PC.
Trouver l’option Secure Boot dans l’UEFI
Une fois dans l’UEFI, recherchez une rubrique telle que Security, Boot, Advanced ou une section consacrée à la sécurité.
Repérez ensuite l’option Secure Boot et définissez-la sur Enabled ou Activé.
Selon le fabricant, les intitulés et menus peuvent être différents. Il peut également être nécessaire de charger les clés de sécurité par défaut ou de sélectionner le mode Standard, selon la configuration du firmware.
Lorsque la modification est terminée, utilisez l’option Save & Exit, Enregistrer et quitter ou une option équivalente pour sauvegarder les changements et redémarrer le PC.
Microsoft recommande de consulter la documentation du fabricant lorsque l’option Secure Boot n’est pas clairement identifiable dans l’UEFI.
Que faire si Secure Boot est grisé ou impossible à activer ?
Si l’option Secure Boot apparaît grisée, absente ou impossible à modifier, plusieurs raisons peuvent l’expliquer.
La première chose à vérifier est le mode de démarrage du PC. Secure Boot nécessite un environnement UEFI. Si Windows fonctionne encore en mode BIOS hérité (Legacy), il peut être nécessaire de convertir la configuration de démarrage avant de pouvoir utiliser Secure Boot.
Dans certaines configurations, le CSM (Compatibility Support Module) peut également empêcher l’activation de Secure Boot. Si le firmware utilise encore un mode de compatibilité avec l’ancien BIOS, vérifiez la documentation de votre fabricant avant de le désactiver.
Ne changez pas brutalement de Legacy à UEFI sans vérifier la configuration de Windows. Une modification incorrecte du mode de démarrage peut empêcher le système de démarrer.
L’activation du Secure Boot est une étape essentielle pour renforcer la sécurité de votre système et garantir la pleine compatibilité de votre PC avec Windows 11. En suivant ce guide, vous pouvez facilement vérifier son état et l’activer depuis votre interface UEFI. N’oubliez pas que pour bénéficier d’une protection optimale et respecter toutes les exigences de Microsoft, vous devez également activer le TPM 2.0 dans le BIOS/UEFI sur votre ordinateur.
FAQ : Secure Boot sous Windows 11
Qu’est-ce que le démarrage sécurisé sous Windows 11 ?
Secure Boot est une fonction du firmware UEFI qui vérifie les signatures des composants logiciels utilisés pendant le démarrage. Il contribue ainsi à empêcher le chargement de logiciels non approuvés avant Windows.
Le Secure Boot est-il obligatoire pour Windows 11 ?
Windows 11 exige un firmware UEFI compatible avec Secure Boot. Microsoft définit donc la compatibilité Secure Boot comme une exigence matérielle, sans présenter cette exigence comme l’obligation d’avoir la fonction activée dans absolument tous les scénarios.
Comment savoir si Secure Boot est activé ?
Ouvrez Informations système depuis le menu Démarrer, puis recherchez État du démarrage sécurisé. La valeur Activé signifie que Secure Boot fonctionne.
Comment activer Secure Boot ?
Accédez à Paramètres > Système > Récupération > Démarrage avancé > Redémarrer maintenant, puis sélectionnez Dépannage > Options avancées > Paramètres du microprogramme UEFI. Dans l’UEFI, recherchez Secure Boot et activez l’option.
Pourquoi ne puis-je pas activer Secure Boot ?
Le problème peut venir du fait que Windows est configuré en mode Legacy/BIOS hérité, que le CSM est actif ou que la configuration du firmware ne permet pas encore d’utiliser Secure Boot. Vérifiez d’abord la ligne Mode BIOS dans Informations système.
Puis-je activer Secure Boot après avoir installé Windows 11 ?
Oui, généralement, lorsque Windows est déjà installé en mode UEFI et que sa configuration de démarrage est compatible avec Secure Boot.
Secure Boot ralentit-il Windows 11 ?
L’activation de Secure Boot ne devrait pas avoir d’impact notable sur les performances quotidiennes de Windows. Son rôle principal concerne la sécurité du processus de démarrage.
Secure Boot protège-t-il contre tous les logiciels malveillants ?
Non. Secure Boot protège principalement la chaîne de démarrage. Il complète d’autres mécanismes de sécurité de Windows, mais ne remplace pas l’ensemble des protections du système. Microsoft distingue notamment Secure Boot, Trusted Boot, ELAM et Measured Boot.
Quelle différence entre Secure Boot et TPM 2.0 ?
Secure Boot vérifie les composants chargés pendant le démarrage, tandis que le TPM 2.0 fournit des fonctions matérielles ou basées sur le firmware destinées notamment à protéger des clés et informations de sécurité. Les deux technologies ont donc des rôles différents.
Puis-je désactiver Secure Boot ?
Oui, le réglage peut généralement être modifié dans le firmware UEFI. Toutefois, le désactiver réduit la protection offerte pendant le processus de démarrage et peut affecter certaines exigences ou configurations de sécurité.
