Les certificats Microsoft utilisés par le démarrage sécurisé (Secure Boot), émis en 2011, expirent en 2026. Windows les remplace par des certificats 2023, normalement de façon automatique via Windows Update. Depuis avril 2026, l'application Sécurité Windows indique où en est cette mise à jour. Si elle affiche « Pas encore mis à jour », un badge jaune ou une icône rouge, ce guide vous aide à lire le message exact et à appliquer la bonne action. Il vaut aussi pour Windows 10, à condition que le PC reçoive encore les mises à jour de sécurité.
Problème
- Dans Sécurité Windows > Sécurité de l'appareil > Démarrage sécurisé, le statut indique Pas encore mis à jour ou Action requise.
- Un badge jaune ou une icône rouge apparaît sur l'icône Sécurité de l'appareil, ou dans la zone de notification.
- Le message parle d'une « configuration d'approbation de démarrage plus ancienne », de « limitations matérielles ou micrologicielles », ou indique que l'appareil « ne peut plus recevoir les mises à jour requises ».
Ce qu'il faut savoir avant d'agir
- Dates d'expiration (Microsoft) : les certificats Microsoft Corporation KEK CA 2011 et Microsoft UEFI CA 2011 expirent en juin 2026, et Microsoft Windows Production PCA 2011 le 19 octobre 2026. Ils sont remplacés par des certificats 2023, dont Windows UEFI CA 2023.
- Le PC continue de démarrer : selon Microsoft, un appareil resté sur les anciens certificats démarre et fonctionne normalement, et les mises à jour Windows classiques continuent de s'installer. En revanche, il ne reçoit plus les nouvelles protections du démarrage : mises à jour du gestionnaire de démarrage, des bases de révocation et correctifs de failles de la chaîne de démarrage.
- Ne désactivez pas le démarrage sécurisé pour faire disparaître l'avertissement. Microsoft le déconseille explicitement : cela réduit fortement la protection de l'appareil.
- Une coche verte ne suffit pas : Microsoft précise qu'il faut aussi lire le texte « Le démarrage sécurisé est activé et toutes les mises à jour de certificat requises ont été appliquées. Aucune autre modification de certificat n'est nécessaire. »
- Windows 10 : son support a pris fin le 14 octobre 2025. Pour continuer à recevoir les mises à jour de sécurité, y compris celles du démarrage sécurisé, il faut être inscrit au programme Mises à jour de sécurité étendues (ESU).
- PC d'entreprise : sur un appareil géré par une organisation, les badges et notifications sont désactivés par défaut et le déploiement relève du service informatique. Ce guide s'adresse aux PC personnels.
Étape 1 : lire le message exact dans Sécurité Windows
Quand l'utiliser : toujours en premier. L'action dépend du message affiché.
Solution proposée
- Ouvrez Sécurité Windows, puis Sécurité de l'appareil, puis la section Démarrage sécurisé.
- Comparez le message avec le tableau ci-dessous (textes publiés par Microsoft).
| Message affiché dans la section Démarrage sécurisé | Action indiquée par Microsoft |
|---|---|
| « …toutes les mises à jour de certificat requises ont été appliquées. Aucune autre modification de certificat n'est nécessaire. » | Aucune action. |
| « …votre appareil utilise une configuration d'approbation de démarrage plus ancienne qui doit être mise à jour. » | Installer les dernières mises à jour Windows et redémarrer si demandé (étape 2). |
| « …affecté par un problème connu… les mises à jour des certificats de démarrage sécurisé sont temporairement suspendues… » | Aucune action : la mise à jour reprendra automatiquement. |
| « …Il n'y a pas encore suffisamment de données pour classer votre appareil en vue de la mise à jour automatique… » | L'appareil peut nécessiter une validation supplémentaire. Voir aka.ms/getsecureboot. |
| « …ne prend pas en charge la mise à jour automatique… en raison de limitations matérielles ou micrologicielles. » | Contacter le fabricant du PC ou de la carte mère (étape 4). |
| « …cet appareil ne peut plus recevoir les mises à jour requises pour l'expérience de démarrage Windows. » | L'appareil utilise encore un ancien certificat après expiration. Voir aka.ms/getsecureboot, puis les étapes 2 à 4. |
| « Le démarrage sécurisé est désactivé, votre appareil est peut-être vulnérable » | Problème distinct des certificats : voir l'étape 3. |
Résultat attendu : vous savez dans quel cas vous êtes. Si le message indique « aucune action », vous pouvez vous arrêter là.
Étape 2 : installer toutes les mises à jour Windows
Quand l'utiliser : le message parle d'une configuration d'approbation de démarrage plus ancienne, ou le statut est « Pas encore mis à jour ».
Solution proposée
- Ouvrez Paramètres > Windows Update et vérifiez que les mises à jour ne sont pas suspendues.
- Sélectionnez Rechercher des mises à jour et installez tout ce qui est proposé, y compris les mises à jour cumulatives.
- Redémarrez le PC, même si Windows ne le demande pas tout de suite.
- Laissez le PC allumé et connecté à Internet un moment. Selon Microsoft, la tâche planifiée qui applique les certificats s'exécute au démarrage puis toutes les 12 heures. Le passage à « Entièrement mis à jour » peut donc nécessiter plusieurs redémarrages et un peu de patience.
- Revenez dans Sécurité Windows > Sécurité de l'appareil pour relire le message.
Résultat attendu : le message devient « …toutes les mises à jour de certificat requises ont été appliquées… ».
Quand passer à la suite : si rien ne change après plusieurs jours et plusieurs redémarrages, passez à l'étape 3.
Étape 3 : vérifier l'état réel (démarrage sécurisé, tâche, certificats)
Quand l'utiliser : le statut ne progresse pas malgré les mises à jour.
Solution proposée
- Le démarrage sécurisé est-il activé ? Appuyez sur Windows + R, tapez
msinfo32, puis validez. Dans Informations système, la ligne État du démarrage sécurisé doit indiquer Activé. Sinon, consultez d'abord le guide Ce PC ne répond pas actuellement à la configuration requise pour Windows 11 (TPM 2.0, démarrage sécurisé) : vérifier et activer et la documentation du fabricant. Microsoft recommande de vérifier auprès du fabricant que le micrologiciel est à jour avant de modifier les réglages du démarrage sécurisé. - La tâche de mise à jour est-elle active ? Ouvrez PowerShell en tant qu'administrateur et lancez la commande donnée par Microsoft :
schtasks.exe /Query /TN "\Microsoft\Windows\PI\Secure-Boot-Update" /FO LIST /V
Le champ d'état doit indiquer Ready (« Prêt » sur un Windows en français). Si la tâche est désactivée ou introuvable, la mise à jour des certificats ne peut pas avancer. Dans ce cas, postez le résultat dans ce sujet avant de toucher à quoi que ce soit.
Solution proposée
- Où en est la mise à jour ? Toujours en administrateur, lisez la clé de suivi documentée par Microsoft. Cette commande ne fait que lire, elle ne modifie rien :
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing" | Select-Object UEFICA2023Status, UEFICA2023Error
UEFICA2023Statusvaut NotStarted (pas encore lancée), InProgress (en cours) ou Updated (terminée).- Une valeur
UEFICA2023Errordifférente de 0 signale une erreur. - Si la clé n'existe pas du tout, Microsoft indique que le processus n'a jamais démarré. Les causes possibles sont une tâche désactivée, un démarrage sécurisé désactivé ou une version de Windows non prise en charge.
Solution proposée
- Le certificat 2023 est-il présent ? Sur un Windows à jour depuis avril 2026, Microsoft documente un paramètre de lecture lisible :
Get-SecureBootUEFI -Name db -Decoded
Cherchez une entrée Subject : CN=Windows UEFI CA 2023. Sa présence montre que le nouveau certificat est bien dans la base du micrologiciel. Le statut complet reste celui affiché par Sécurité Windows.
Résultat attendu : vous savez si le blocage vient du démarrage sécurisé désactivé, de la tâche planifiée ou d'une erreur de mise à jour.
Étape 4 : mettre à jour le BIOS/UEFI ou contacter le fabricant
Quand l'utiliser : le message parle de limitations matérielles ou micrologicielles, ou UEFICA2023Error signale une erreur persistante.
Solution proposée
- Notez le modèle exact du PC portable, ou celui de la carte mère pour un PC monté.
- Consultez la page d'assistance du fabricant. Microsoft tient une liste des pages des fabricants (OEM) pour le démarrage sécurisé.
- Installez la dernière version du BIOS/UEFI proposée, en suivant strictement la procédure du fabricant (secteur branché, pas d'interruption).
- Redémarrez, puis reprenez l'étape 2.
Selon Microsoft, ces mises à jour du micrologiciel ne sont parfois disponibles que pour les appareils encore dans leur période de support. Sur un PC ancien, il est possible qu'aucune mise à jour n'existe.
Résultat attendu : après la mise à jour du micrologiciel, Windows peut terminer l'installation des certificats.
Quand arrêter : si le fabricant ne propose aucune mise à jour, l'appareil continuera à démarrer, mais sans les nouvelles protections du démarrage. Ne désactivez pas le démarrage sécurisé pour autant.
Cas particuliers
| Situation | Ce qu'il faut savoir |
|---|---|
| Écran de récupération BitLocker juste après la mise à jour | Microsoft décrit un cas où la demande n'apparaît qu'une fois : saisissez la clé de récupération à 48 chiffres, puis vérifiez les mises à jour du micrologiciel. Pour retrouver la clé : Écran de récupération BitLocker au démarrage : trouver la clé. |
| BitLocker demande la clé à chaque démarrage | Selon Microsoft, cela peut venir d'un démarrage réseau (PXE) placé avant le disque dans l'ordre de démarrage. Mettez le disque Windows en premier et désactivez le PXE si vous ne l'utilisez pas. |
| Le PC ne démarre plus après une réinitialisation du BIOS ou des clés Secure Boot « par défaut » | Microsoft explique qu'une réinitialisation peut effacer les certificats 2023 de la base du micrologiciel. Il décrit une récupération avec SecureBootRecovery.efi dans son guide de dépannage. Évitez de réinitialiser les clés Secure Boot aux valeurs d'usine tant que le fabricant ne fournit pas de valeurs par défaut incluant les certificats 2023. |
| Le PC ne démarre plus juste après la mise à jour des certificats | Microsoft évoque un défaut de certains micrologiciels. Commencez par la page d'assistance du fabricant. Microsoft mentionne la désactivation temporaire du démarrage sécurisé comme dépannage pour redémarrer, à ne pas utiliser comme solution durable. |
| Avertissement jaune que vous voulez masquer | Le bouton Ignorer existe. Pour un état rouge, l'option est J'accepte les risques, ne me le rappelez pas (droits administrateur). Microsoft déconseille de masquer l'avertissement si les certificats ne sont pas encore à jour. |
Vérification finale
- ☐ Le message de la section Démarrage sécurisé a été lu en entier, pas seulement la couleur du badge.
- ☐ Windows Update n'est pas suspendu et toutes les mises à jour sont installées.
- ☐
msinfo32indique un démarrage sécurisé Activé. - ☐ La tâche
Secure-Boot-Updateest à l'état Ready (Prêt). - ☐
UEFICA2023Statusindique Updated, ou le BIOS/UEFI a été mis à jour si une limitation matérielle est signalée.
Sources
- Microsoft : État de la mise à jour des certificats du démarrage sécurisé dans l'application Sécurité Windows (KB 5087130)
- Microsoft : Expiration du certificat de démarrage sécurisé Windows et mises à jour de l'autorité de certification
- Microsoft : Quand les certificats de démarrage sécurisé expirent sur les appareils Windows (KB 5079373)
- Microsoft : Appareils Windows pour les particuliers, les entreprises et les établissements scolaires avec les mises à jour gérées par Microsoft (KB 5062711)
- Microsoft : Guide de résolution des problèmes de démarrage sécurisé (tâche planifiée, clé Servicing, BitLocker, récupération)
- Microsoft : PowerShell : utilisation du paramètre –Decoded dans Get-SecureBootUEFI (KB 5093574)
- Microsoft : Problèmes connus et solutions pour les mises à jour des certificats de démarrage sécurisé (KB 5085790)
Le problème continue ?
Répondez dans ce sujet en indiquant votre version de Windows (touche Windows + R, puis winver), la marque et le modèle du PC ou de la carte mère avec la version du BIOS, le message exact affiché dans la section Démarrage sécurisé, et le résultat des commandes schtasks et Get-ItemProperty de l'étape 3. Ne publiez jamais votre clé de récupération BitLocker, votre numéro de série, votre adresse e-mail ou vos mots de passe.