Les certificats de démarrage de Windows 11 bloquent des PC depuis des mois. Microsoft a rassemblé les constructeurs de ces PC pour chercher une sortie de crise. Plusieurs pannes graves résistent à toutes les corrections.
- Microsoft réunit Acer, Asus, Dell, HP, Lenovo et Xiaomi, car la transition des certificats Secure Boot de Windows 11 bloque encore des PC.
- Les pannes vont du démarrage en boucle aux demandes BitLocker à répétition, avec des PC HP et Dell parfois inutilisables.
- Le problème vient aussi des firmwares UEFI des fabricants, alors que le certificat Windows Production PCA 2011 expire le 19 octobre 2026.
Le démarrage sécurisé de Windows 11 gère, dès l’allumage, que le PC ne charge que des logiciels signés et fiables. La barrière repose sur des certificats numériques validés par Microsoft. La génération de certificats signée en 2011 arrive à expiration cette année.
Des milliers de PC sous Windows 11 redémarrent en boucle
Microsoft les remplace par des versions plus récentes, un changement censé passer inaperçu. Elle échoue sans alerte sur beaucoup trop de PC, Microsoft a même dû publier des correctifs en urgence pour d’autres failles de démarrage, preuve que c’est un souci récurrent.
Sur les PC concernés, le démarrage sécurisé ne bloque certains logiciels malveillants. Un rootkit chargé avant Windows 11 n’est plus détecté. Il faut dire que ce rootkit exploite l’absence de certificat valide, le socle qui authentifie chaque étape du démarrage. Une clé expirée et non renouvelée laisse passer les attaques qui visent le PC avant le lancement de Windows 11.
La mise à jour cause une autre panne grave. Sur certaines configurations, elle provoque des redémarrages en boucle et des demandes de récupération BitLocker à répétition. Il s’agit de l’écran qui réclame la clé de chiffrement du disque.
Des PC HP EliteBook et Dell se bloquent sur cet écran à chaque allumage. Résultat, le PC est inutilisable tant que l’administrateur n’a pas ressaisi la clé BitLocker à la main. Ce genre de blocage rappelle la mise à jour de février qui a tout cassé.
Microsoft a lancé une réunion d’urgence
Microsoft a regroupé Acer, Asus, Dell, HP, Lenovo et Xiaomi lors d’une session appelée OEM Secure Boot Office Hours. Pendant douze heures, les ingénieurs ont répondu aux questions des administrateurs sur le forum Tech Community.
On parle d’un des relevés techniques les plus fournis depuis le début de cette transition. Sauf que voilà, une part des pannes remontées est repartie sans réponse une fois la session close.
Un cas résume le problème, celui d’un administrateur responsable de plus de 7 000 PC portables HP EliteBook et ZBook. Après réglage de la clé de registre AvailableUpdates sur 0x5944, ses PC de test basculaient en récupération BitLocker. Le dernier micrologiciel ne changeait rien à ce blocage.
Microsoft et HP sont restés sans correctif pour cet administrateur. Et pour cause, un correctif universel n’existe pas quand chaque fabricant intègre le démarrage sécurisé à sa manière dans son firmware UEFI.
Certains modèles anciens manquent de mémoire NVRAM pour les nouveaux certificats. Ce matériel vieillit vite, à l’heure où 16 Go de RAM ne suffisent plus pour jouer sur Windows 11. D’autres embarquent un firmware qui rejette les nouvelles clés.
Mais ce n’est pas tout, une nouvelle version de BIOS corrige parfois un défaut et en crée un autre. Les administrateurs ont cité l’EliteBook 640 G10 pendant la session. En clair, la panne échappe à Microsoft, car elle est dans le matériel des fabricants.
Microsoft n’a aucun moyen de régler le problème
Microsoft peut livrer les certificats et gérer leur installation, mais l’éditeur ne répare pas un firmware qui refuse les clés. La firme de Redmond a mis en pause la diffusion vers les PC jugés trop risqués. Elle qui pousse d’habitude ses mises à jour sans autorisation a préféré freiner cette fois.
La révocation des anciens certificats se poursuit au second semestre. Le 19 octobre 2026, le certificat Windows Production PCA 2011 expire à son tour. Après cette date, les PC non conformes perdront l’accès aux correctifs de démarrage signés. En gros, les PC en retard n’auront plus de rattrapage.
Cette échéance place les administrateurs dans une impasse. Ce problème dure et tombe au pire moment pour Microsoft. Les mises à jour ratées écornent l’image de Windows 11. C’est le cas de la mise à jour de mai qui a saboté le Wifi. Les certificats de démarrage allongent la liste des dossiers en retard, après le projet Windows K2 lancé pour réparer l’OS.
Un avis, une expérience, un désaccord ? La discussion est ouverte.