Admin-Christ
Je vous l'ai annoncé ces jours-ci plusieurs certificats Secure Boot émis en 2011 vont expirer en juin 2026.
Je comprends tout à fait l'inquiétude de certains d'entre vous, c'est pour cela que je vous propose deux façons de savoir si votre ordinateur a déjà les précieux certificats de 2023.
Oui, certains ordinateurs ont déjà reçu lesdits certificats - soit parque ils tournent sous Windows 11, soit parce qu'ils ont été achetés récemment - pour la grande majorité des autres il est utile (je n'ai pas dit urgent) de savoir où ils en sont.
Je précise que, grâce aux manipulations que je vais vous proposer, vous allez pourvoir savoir si les certificats sont présents, mais il y a de très grandes chances que, s'ils sont bien là physiquement dans votre base de données, ils ne soient pas encore installés et activés dans l'UEFI.
- Sachant que, je vous le rappelle, il y a, au moment où j'écris ces lignes et vu l'avancée de mes recherches, trois cas de figure :
- Votre ordinateur utilise Windows 11 : sauf exception (très vieux PC que l'on a bidouillé pour passer à W11), Windows Update devrait se charger de cette mise à jour sachant que les premiers déploiements ont déjà commencé depuis l'année dernière et s'accélèrent actuellement.
- Votre ordinateur est relativement récent et utilise Windows 10 : si vous n'êtes pas inscrit au programme ESU vous allez devoir vous-même mettre à jour l'UEFI.
- Votre ordinateur utilise Windows 10, mais est très ancien et utilise un UEFI dans lequel il n'est pas possible de modifier les certificats : il va falloir espérer que le fabricant propose une mise à jour de l'UEFI - et ce n'est pas gagné - que vous devrez là encore effectuer vous-même.
***
Manipulation N°1
Vous pouvez vérifier dans la base de registre si vous disposez déjà des nouveaux certificats.
- Cliquez sur Démarrer et choisissez Executer :
- Tapez regedit et validez avec OK.
- Rendez-vous dans : HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing
Si vous voyez une ligne où il est mentionné UEFI CA 2023 ET 0x0000000(1) à la fin de la ligne cela voudra dire que les certificats sont présents.
- Si vous voyez UEFI CA 2023 mais 0x0000000(0) à la fin de la ligne cela voudra dire que les certificats sont absents.
***
Manipulation N°2
Si vous n'êtes pas à l'aise avec la base de registre, vous pouvez aussi le vérifier aussi en passant par une ligne de commande.
- Comme d'habitude on effectue un clic droit sur le bouton Démarrer et on choisit Windows PowerShell (admin).
Copiez-collez : [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023' et validez avec la touche Entrée de votre clavier.
- Dans ce cas les certificats sont présents (True) :
- Dans ce cas les certificats sont absents (False) :
Pour info, si vous ne les voyez pas encore :
Infos mises à jour le 25/02/26
Sous Windows 11 24h2 & 25h2 les certificats seront téléchargés via la KB5077181.
Sous Windows 10 22h2 inscrit à l'ESU & Windows 10 LTSC les certificats seront téléchargés via la KB5075912.
***
Pour aller plus loin
Comme je le disais en début d'article, il y a de très grandes chances que, si les certificats sont bien là physiquement, ils ne soient pas encore installés dans l'UEFI.
- On le voit d'ailleurs dans cet exemple entouré en rouge.
- Voilà à quoi cela ressemblera le jour où tous les certificats 2023 seront installés dans votre UEFI :
- Pour info les significations des diverses étapes de la mise à jour des certificats :
Je pense / suppose que Windows Update lancera la mise à jour de l'UEFI lors d'un futur redémarrage qui sera sûrement lancé par une KB spécifique.
Le problème est que la présence des certificats sur votre configuration ne garantit pas qu'ils pourront & seront bien installés dans le futur.
Oui, cela dépend de l'âge et de la version de votre UEFI.
Là encore, Microsoft ne communiquant pas, difficile de savoir ce qui va se passer au mois de juin 2026. 
***
Exemple d'un UEFI où le certificat est déjà présent mais non actif
Je possède actuellement un ordinateur portable DELL qui m'a proposé ces derniers mois plusieurs mises à jour de l'UEFI.
- On voit dans les deux photos qui suivent que le certificat est présent, mais pas encore actif, le 2011 est toujours celui par défaut :
- Il semblerait que, dans le cas où le certificat est présent dans l'UEFI mais pas en service, la base de registre indique WindowsUEFI Ca2023Capable 0x0000000(2)
Donc, si j'ai bien compris, les certificats ne sont pas seulement présents dans ma base de données Windows, ils sont déjà préinstallés (grâce aux mises à jour du Fabricant) directement dans mon UEFI.
Là encore, je suppose que c'est une KB de Microsoft qui lancera l'installation finale.
***
Le mot de la fin
PAS DE PANIQUE si votre ordinateur ne possède pas ces certificats.
Leurs déploiements sont progressifs, et nous avons jusqu'au mois de juin pour trouver une solution (qui passera sûrement par la désactivation pure et simple du SECURE BOOT).
Si votre ordinateur n'est pas trop ancien (je parle de votre UEFI) il vous restera toujours la solution d'installer un Windows 10 LTSC.
Voilà les infos que j'ai pu collecter, sachant que le problème majeur, hormis l'attitude de Microsoft, c'est le nombre important de cartes mères et donc de versions UEFI qui existent sur le marché.
Christophe
Jeff77
Philippe
