Les certificats Microsoft utilisés par Secure Boot depuis 2011 arrivent à expiration en 2026. Les ordinateurs industriels et médicaux sous Windows doivent être contrôlés afin de vérifier qu’ils disposent bien des nouveaux certificats 2023. Voici ce que cette échéance change, les équipements concernés et la méthode de vérification recommandée.
Dernière vérification : 28 juillet 2026.
À retenir en 30 secondes
L’expiration des certificats Secure Boot 2011 ne provoque pas l’arrêt immédiat d’un PC. Un système non migré peut continuer à démarrer et à recevoir les mises à jour Windows classiques. Il peut cependant perdre l’accès à de futures protections du démarrage : mises à jour du gestionnaire de démarrage, nouvelles listes de révocation, évolutions des bases Secure Boot ou mesures contre de nouvelles vulnérabilités de type bootkit.
La bonne démarche consiste à inventorier, sauvegarder, tester, migrer puis vérifier les équipements. Sur les plateformes Advantech visées par la procédure technique du fabricant, la validation finale repose notamment sur l’état UEFICA2023Status = Updated, l’événement Windows 1808 et la présence des certificats 2023 dans les bases UEFI KEK et db.
Qu’est-ce que l’UEFI Secure Boot ?
Secure Boot, aussi appelé démarrage sécurisé, est une fonction de sécurité du firmware UEFI. Avant de laisser Windows démarrer, le firmware vérifie la signature numérique des composants exécutés : pilotes UEFI, Option ROM, chargeurs de démarrage et applications EFI. L’objectif est d’empêcher qu’un code non approuvé, notamment un bootkit, ne s’exécute avant le système d’exploitation.
Cette chaîne de confiance s’appuie sur plusieurs ensembles de clés et de certificats :
| Élément | Description | Rôle |
| PK | Platform Key | Clé racine de la plateforme, généralement contrôlée par le fabricant. |
| KEK | Key Enrollment Key | Autorise la mise à jour des bases de signatures db et dbx. |
| db | Allowed Signature Database | Recense les signatures et certificats autorisés au démarrage. |
| dbx | Disallowed Signature Database | Recense les composants explicitement révoqués. |
Pourquoi Microsoft remplace-t-il les certificats Secure Boot 2011 ?
Un certificat à toujours une durée de validité fixe.
Les certificats historiques émis en 2011 arrivent au terme de leur période de validité.
Microsoft les remplace par une nouvelle génération de certificats émis en 2023. Au 28 juillet 2026, 2 échéances sont déjà passées : le certificat Microsoft Corporation KEK CA 2011 a expiré le 24 juin 2026 et Microsoft UEFI CA 2011 le 27 juin 2026. Le certificat Microsoft Windows Production PCA 2011 expire le 19 octobre 2026.
Quels sont les risques réels pour un PC industriel ?
Il faut distinguer l’expiration d’un certificat de l’arrêt d’un système. Microsoft précise qu’un appareil non migré ne cesse pas brutalement de fonctionner : il continue en principe à démarrer et à recevoir les mises à jour Windows standards. L’enjeu concerne sa capacité à bénéficier des évolutions futures de la chaîne de confiance Secure Boot.
À terme, un équipement qui n’a pas changé les certificats 2011 peut notamment rencontrer :
- l’impossibilité de recevoir de nouvelles protections du démarrage
- des limites pour mettre à jour le gestionnaire de démarrage Windows
- l’absence de nouvelles mises à jour des bases db et dbx
- des difficultés avec certains médias de sauvegarde ou récupération de données ou chargeurs tiers récents
- une plus faible protection contre de futures vulnérabilités visant la phase de démarrage
- des interactions possibles avec les mécanismes de durcissement BitLocker.
Dans l’industrie la difficulté vient du long cycle de vie des équipements. Une machine peut rester en service dix ans ou davantage, avec un BIOS, une image Windows et des périphériques rarement modifiés.
La migration doit donc être traitée comme une opération de maintenance, et non comme une simple modification ou patch de sécurité déployé sans qualification.
Questions fréquentes sur les certificats Secure Boot 2023
Un PC cesse-t-il de démarrer dès l’expiration d’un certificat Secure Boot 2011 ?
Non. Microsoft indique qu’un appareil non migré continue normalement à démarrer et à recevoir les mises à jour Windows classiques. Il risque toutefois de ne plus recevoir certaines protections futures de la chaîne de démarrage.
Une mise à jour Windows suffit-elle toujours ?
Pas nécessairement. De nombreux appareils éligibles sont pris en charge automatiquement, mais le résultat dépend aussi du firmware, des clés OEM, de la version de Windows et du mode de gestion des mises à jour. Il faut vérifier l’état final plutôt que supposer que l’installation des dernières mises à jour a suffi.
Pourquoi faut-il prévoir la clé de récupération BitLocker ?
Une modification de l’environnement de démarrage ou des mesures UEFI peut déclencher l’écran de récupération BitLocker. Disposer de la clé avant l’intervention évite de transformer un test de sécurité en indisponibilité prolongée.