Le démarrage sécurisé UEFI : rôle et protection au démarrage
Le démarrage sécurisé, également appelé Secure Boot, est une fonction du micrologiciel UEFI. Au lancement du PC, elle vérifie la signature numérique des composants de démarrage et bloque ceux qui ne sont pas reconnus.
Cette vérification contribue à empêcher certains bootkits de s’exécuter avant Windows, à un stade où un antivirus classique n’est pas encore chargé. Elle ne remplace toutefois ni un antivirus ni les mises à jour : elle protège une partie précise de la chaîne de confiance du démarrage.
UEFI, clés de sécurité et chaîne de confiance
L’UEFI initialise le matériel et lance le système d’exploitation ; le Secure Boot s’appuie sur des clés de sécurité enregistrées dans le micrologiciel pour déterminer quels composants sont autorisés. La gestion des clés permet notamment au fabricant ou à l’administrateur de rétablir les clés par défaut lorsque le réglage est disponible.
Sur une machine professionnelle, cette vérification peut réduire l’exposition aux logiciels malveillants qui ciblent le démarrage. Elle est distincte du TPM 2.0 : le TPM conserve certaines clés et mesures d’intégrité, tandis que Secure Boot contrôle les composants chargés au démarrage.
Pour Windows 11, Microsoft demande un appareil compatible avec UEFI et Secure Boot, ainsi qu’un TPM 2.0. Il faut distinguer la compatibilité de la fonction et son état : un ordinateur peut être compatible sans que le démarrage sécurisé soit activé.
Cette distinction devient utile avant toute modification du firmware : vérifier la configuration actuelle évite de changer un paramètre dont dépend le lancement du système.
Vérifier le mode UEFI et préparer l’activation de Secure Boot
Avant d’ouvrir la configuration du BIOS, vérifiez comment Windows démarre et quel format utilise le disque système. C’est souvent là que se trouve l’explication d’une option Secure Boot grisée ou absente.
Contrôler l’état du démarrage sécurisé dans Windows
Dans Windows, appuyez sur Win + R, saisissez msinfo32, puis repérez « État du démarrage sécurisé ». La mention « Activé » indique que la protection fonctionne ; « Désactivé » signifie qu’elle est disponible mais inactive.
Si l’état est indiqué comme non pris en charge, Windows peut avoir été lancé en mode Legacy/CSM, ou le matériel peut ne pas proposer cette fonction. Selon Microsoft, le mode UEFI est nécessaire pour utiliser Secure Boot : le simple fait d’activer une option dans un menu ne suffit donc pas toujours.
Vérifiez aussi le type de partition du disque système dans Gestion des disques, sous les propriétés du disque et l’onglet Volumes. Le mode UEFI s’associe généralement au format GPT, alors que les installations anciennes en mode Legacy utilisent souvent MBR.
Préparer le disque et le démarrage
Si Windows démarre en Legacy sur un disque MBR, ne désactivez pas le CSM sans préparation : le système pourrait ne plus démarrer. L’outil Microsoft MBR2GPT peut convertir un disque éligible, mais il faut d’abord vérifier le disque et sauvegarder les fichiers importants.
Avant toute modification, les contrôles suivants réduisent le risque de blocage et facilitent le dépannage :
Vérifications avant l’accès au firmware :
- État du démarrage sécurisé affiché dans Informations système
- Mode UEFI ou Legacy indiqué dans Informations système
- Style de partition GPT ou MBR du disque système
- Sauvegarde récente et support de récupération Windows disponible
Lorsque ces éléments sont connus, l’accès à l’UEFI permet de modifier les réglages avec davantage de sécurité, sans confondre le mode de démarrage avec l’état de la protection.
Activer le démarrage sécurisé dans la configuration du BIOS
Une fois les vérifications terminées, redémarrez le PC et ouvrez l’UEFI. Les menus varient selon les fabricants, mais le principe reste le même : utiliser le mode UEFI, désactiver Legacy/CSM, puis activer Secure Boot.
Accéder aux réglages UEFI
Depuis Windows, ouvrez Paramètres, puis Récupération et Démarrage avancé, avant de choisir Redémarrer maintenant. Dans les options de récupération, sélectionnez Dépannage, Options avancées et Paramètres du firmware UEFI.
Il est aussi possible d’appuyer plusieurs fois sur une touche dès l’allumage, souvent Suppr, F2, F10 ou Échap. La touche dépend du modèle ; avec Fast Boot, l’accès depuis Windows est généralement plus pratique, car la fenêtre d’appui au démarrage peut être très courte.
Dans les menus Boot, Security ou Authentication, repérez le mode de démarrage et désactivez CSM ou Legacy si la configuration le permet. Activez ensuite Secure Boot et, si le firmware le demande, chargez les clés de sécurité par défaut avant d’enregistrer avec Save & Exit ou F10.
Repérer les menus selon le fabricant
Les noms exacts changent selon la carte mère et la version du firmware. Selon les indications des fabricants, certaines interfaces ASUS proposent les réglages sous Boot et Secure Boot, tandis que des modèles Dell affichent une option Secure Boot Enable dans leur menu de démarrage.
Les chemins ci-dessous donnent des repères, mais le manuel du modèle exact reste la référence à consulter avant de modifier un paramètre.
Repères de menus UEFI courants :
- ASUS : Boot, CSM, puis Secure Boot ou Windows UEFI Mode
- MSI : Settings, Advanced, Windows OS Configuration, Secure Boot
- Gigabyte : BIOS Features, Windows Features, puis Secure Boot
- HP : Security, Secure Boot Configuration, Legacy Support désactivé
- Lenovo : Security, Secure Boot, puis démarrage UEFI uniquement
Après le redémarrage, ouvrez de nouveau Informations système pour confirmer que l’état indique « Activé ». Cette vérification finale distingue un réglage enregistré d’une option simplement sélectionnée dans le firmware.
Dépannage : option Secure Boot grisée ou système bloqué
Si l’option reste inaccessible, le problème vient souvent d’un mode de démarrage incompatible, de clés absentes ou d’une particularité du firmware. Procédez étape par étape plutôt que de modifier plusieurs réglages à la fois.
Comprendre les causes les plus fréquentes
Un CSM encore actif peut désactiver Secure Boot, car il permet au firmware de démarrer comme un ancien BIOS. Un disque système MBR peut également signaler une installation Legacy ; basculer directement en UEFI risque alors d’empêcher Windows de se lancer.
Certains firmwares exigent le chargement des clés par défaut avant de rendre la fonction modifiable. D’autres masquent l’option jusqu’à la définition d’un mot de passe administrateur UEFI ou demandent une confirmation physique après la modification.
Causes possibles et vérifications utiles :
- CSM actif : vérifier le mode de démarrage avant de le désactiver
- Disque MBR : valider l’éligibilité à une conversion GPT
- Clés absentes : rechercher l’option de restauration des clés par défaut
- Firmware ancien : consulter les mises à jour du fabricant pour le modèle exact
Réduire les risques avant une modification
Une conversion MBR vers GPT comporte un risque, même si MBR2GPT est conçu pour préserver les données sur les disques éligibles. Microsoft recommande de vérifier le disque avant conversion ; n’exécutez pas l’opération si la validation échoue et conservez une sauvegarde indépendante.
Un écran noir après le passage en UEFI peut signaler que le système ou un composant ancien ne prend pas en charge le nouveau mode. Dans ce cas, retournez dans le firmware et rétablissez le réglage précédent, si l’accès reste possible, avant de reprendre les contrôles.
Pour une procédure propre à un appareil, recherchez la référence complète du PC ou de la carte mère dans la documentation du fabricant. Selon Microsoft, les outils intégrés à Windows, comme Informations système et MBR2GPT, aident à vérifier les conditions avant d’intervenir.
Compatibilité matérielle et systèmes d’exploitation
Activer Secure Boot ne modifie généralement pas l’usage quotidien de Windows, mais cela peut affecter un multiboot ou un périphérique ancien. La compatibilité matérielle et la signature des composants de démarrage doivent donc être prises en compte avant de verrouiller le démarrage.
Windows, Linux et démarrage multiple
Windows 8, 8.1, 10 et 11 prennent en charge Secure Boot lorsqu’un firmware compatible est utilisé. Windows 10 peut fonctionner sans cette protection sur de nombreuses machines ; Windows 11 associe ses exigences à UEFI et au TPM 2.0, qui remplit une fonction différente.
Les principales distributions Linux, notamment Ubuntu, Fedora et Debian, peuvent démarrer avec Secure Boot grâce à des chargeurs signés. Un noyau personnalisé, certains pilotes tiers ou un ancien support USB peuvent toutefois être refusés si leur signature n’est pas reconnue.
Le tableau distingue les situations courantes sans supposer qu’elles se comportent toutes de manière identique sur chaque machine.
| Configuration | Comportement à prévoir | Vérification utile |
|---|---|---|
| Windows avec firmware UEFI | Secure Boot peut être activé si la configuration est compatible | État dans Informations système |
| Windows installé en Legacy | Le passage direct en UEFI peut empêcher le démarrage | Mode de démarrage et partition du disque |
| Linux avec chargeur signé | Le démarrage sécurisé peut rester actif | Documentation de la distribution et des pilotes |
| Noyau ou pilote non signé | Le composant peut être bloqué au démarrage | Signature et méthode d’installation |
Quand désactiver temporairement Secure Boot
Une désactivation peut se justifier pour démarrer un ancien outil de maintenance, utiliser un pilote non signé ou dépanner une configuration particulière. Elle réduit alors la protection contre les logiciels malveillants qui tentent de se lancer avant le système d’exploitation ; il est préférable de la limiter au besoin identifié.
Les cartes graphiques anciennes ou certains supports de démarrage peuvent aussi poser problème, notamment si leur firmware ne fonctionne pas correctement avec l’amorçage UEFI. Avant de modifier Secure Boot, vérifiez la documentation du matériel et, si possible, testez le support sur une autre machine compatible.
Dans un PC utilisé au quotidien, conserver Secure Boot activé est généralement le choix le plus simple dès lors que Windows, les pilotes et les autres systèmes démarrent correctement. Pour un ordinateur multiboot, la décision repose plutôt sur la compatibilité réelle de chaque chargeur et périphérique.
