Sécurité Windows peut signaler que la protection de l'autorité de sécurité locale (LSA) est désactivée, ou l'option peut refuser de rester activée après un redémarrage. La LSA est le processus de Windows qui vérifie les identifiants à la connexion. Sa protection empêche les logiciels non approuvés de s'y charger ou de lire sa mémoire, pour limiter le vol d'identifiants. Cette fiche suit la documentation de Microsoft pour vérifier son état réel, l'activer et identifier un logiciel incompatible.
Problème
- Sécurité Windows > Sécurité de l'appareil affiche un avertissement sur la protection de l'autorité de sécurité locale.
- Le bouton bascule est sur Désactivé, ou revient sur Désactivé après redémarrage.
- Une notification indique qu'un fichier a été bloqué et n'a pas pu se charger dans la LSA.
Avant de commencer
Microsoft indique que la protection LSA est activée par défaut sur tous les appareils : immédiatement sur une nouvelle installation, et après une période d'évaluation de cinq jours suivie d'un redémarrage lors d'une mise à niveau. Un avertissement juste après une mise à niveau peut donc précéder l'activation automatique. Tout changement de ce réglage demande un redémarrage pour prendre effet. Les étapes 3 et 4 demandent un compte administrateur.
| Observation | Piste à suivre |
|---|---|
| Avertissement affiché, état réel inconnu | Étape 1 |
| Bouton sur Désactivé | Étape 2 |
| Le réglage ne tient pas ou une notification signale un fichier bloqué | Étape 3 |
| PC géré par une organisation, ou réglage imposé | Étape 4 |
Étape 1 : vérifier si la protection LSA est réellement active
À utiliser en premier : l'Observateur d'événements indique si la LSA a bien démarré en mode protégé, indépendamment de l'affichage de Sécurité Windows.
Solution proposée
- Cliquez sur Démarrer, tapez Observateur d'événements et ouvrez-le.
- Développez Journaux Windows > Système.
- Dans le volet de droite, cliquez sur Filtrer le journal actuel, saisissez 12 dans le champ des ID d'événement et validez.
- Cherchez l'événement de source Wininit indiquant que LSASS.exe a été démarré en tant que processus protégé avec le niveau : 4, à la date du dernier démarrage.
Résultat attendu : si cet événement est présent pour le dernier démarrage, la protection LSA est active. S'il est absent, passez à l'étape 2.
Étape 2 : activer la protection depuis Sécurité Windows
À utiliser si le bouton est sur Désactivé.
Solution proposée
- Ouvrez Démarrer > Sécurité Windows > Sécurité de l'appareil.
- Cliquez sur Détails de l'isolation du noyau.
- Activez Protection de l'autorité de sécurité locale, puis acceptez la demande de confirmation si elle apparaît.
- Redémarrez le PC.
- Revenez à l'étape 1 pour confirmer la présence de l'événement 12.
Résultat attendu : le bouton reste sur Activé après redémarrage et l'événement Wininit 12 confirme le mode protégé. Pour revenir en arrière, le même bouton se désactive, suivi d'un redémarrage.
Étape 3 : identifier un logiciel incompatible
À utiliser si une notification signale un fichier bloqué, ou si un logiciel ou un périphérique cesse de fonctionner après l'activation. Microsoft indique que les éléments concernés sont des plug-ins et pilotes qui tentent de se charger dans la LSA.
Solution proposée
- Notez le nom du fichier indiqué dans la notification : Microsoft précise qu'elle désigne le fichier bloqué.
- Dans l'Observateur d'événements, ouvrez Journaux des applications et des services > Microsoft > Windows > CodeIntegrity > Opérationnel.
- Recherchez les événements 3033 et 3063 : ils signalent un fichier dont le chargement dans la LSA a été bloqué (signature ou exigences de sécurité non respectées).
- Les événements 3065 et 3066 signalent un fichier qui serait bloqué (mode audit). Microsoft indique que ce mode d'audit est actif par défaut sous Windows 11 22H2 et ultérieur, mais que ces événements ne sont pas générés quand le Contrôle intelligent des applications est activé.
- Identifiez le logiciel auquel appartient ce fichier (nom du fichier, dossier d'installation, éditeur), puis cherchez une version à jour chez son éditeur, compatible avec la protection LSA.
- Si aucune version compatible n'existe et que ce logiciel n'est pas indispensable, désinstallez-le. Microsoft propose aussi, depuis la notification, de désactiver les avertissements futurs pour ce fichier : le fichier restera alors non chargé dans la LSA.
Résultat attendu : après mise à jour ou suppression du logiciel, la protection reste activée et plus aucun événement 3033/3063 n'apparaît pour ce fichier. Désactiver la protection LSA pour garder un logiciel ancien réduit la protection des identifiants : réservez ce choix à un besoin réel et réactivez la protection dès qu'une version compatible existe.
Étape 4 : réglage imposé par une stratégie ou par le registre
À utiliser sur un PC professionnel, ou si le réglage semble forcé. Sur un PC géré par une organisation, contactez d'abord son service informatique avant toute modification.
Solution proposée
- Vérifiez la valeur actuelle dans le registre, sans la modifier, depuis une invite de commandes administrateur :
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v RunAsPPL
- Lisez le résultat selon la documentation Microsoft :
| Valeur RunAsPPL | Signification |
|---|---|
| 0 ou absente | Protection non configurée par cette valeur |
| 1 | Activée avec verrou UEFI |
| 2 | Activée sans verrou UEFI (Windows 11 22H2 et ultérieur uniquement) |
- Sur les éditions Pro, Entreprise ou Éducation de Windows 11 22H2 et ultérieur, ouvrez gpedit.msc et allez dans Configuration ordinateur > Modèles d'administration > Système > Autorité de sécurité locale. Ouvrez Configurer LSASS pour qu'il s'exécute en tant que processus protégé.
- Pour l'activer localement, choisissez Activé puis, sous Options, Activé sans verrou UEFI. Validez et redémarrez.
Résultat attendu : après redémarrage, l'événement Wininit 12 confirme le mode protégé. Microsoft précise deux points avant de choisir une option :
- Remettre la stratégie sur Non configuré ne supprime pas un réglage activé auparavant. Pour la désactiver, il faut la laisser sur Activé et choisir Désactivé sous Options.
- Avec le verrou UEFI (valeur 1), la protection est inscrite dans le microprogramme et ne se désactive plus par le seul registre : Microsoft renvoie alors à un outil dédié. L'option sans verrou UEFI reste réversible par le registre ou la stratégie.
Cas particuliers
- Intégrité de la mémoire : c'est une autre option de la même page Isolation du noyau. Si c'est elle qui refuse de s'activer, voyez Intégrité de la mémoire impossible à activer sous Windows.
- Credential Guard : autre protection des identifiants, réservée selon Microsoft aux éditions Entreprise et Éducation. Elle ne remplace pas le réglage décrit ici.
- Démarrage sécurisé : Microsoft déconseille de le désactiver pour retirer la protection LSA, car cela réinitialise toutes les configurations liées au démarrage sécurisé et à l'UEFI. Ce n'est pas une solution à ce problème.
Vérification finale
- ☐ Protection de l'autorité de sécurité locale est sur Activé dans Sécurité Windows.
- ☐ L'événement Wininit 12 (niveau 4) apparaît pour le dernier démarrage.
- ☐ Aucun nouvel événement 3033 ou 3063 dans le journal CodeIntegrity.
- ☐ Les logiciels et périphériques habituels fonctionnent après redémarrage.
Sources
- Sécurité de l'appareil dans l'application Sécurité Windows (Microsoft)
- Configurer la protection LSA supplémentaire (Microsoft Learn)
La protection LSA ne reste toujours pas activée ?
Répondez à ce sujet en indiquant :
- L'édition et la version de Windows (Paramètres > Système > Informations système).
- Si l'événement Wininit 12 apparaît ou non après redémarrage.
- Le résultat de la commande reg query de l'étape 4.
- Le nom du fichier indiqué dans la notification, et les événements 3033, 3063, 3065 ou 3066 relevés.
- Si le PC est personnel ou géré par une entreprise ou une école.