Windows 11 : la nouvelle règle de Microsoft concernant le TPM n'a aucune incidence sur votre PC

Depuis ce week-end, des informations circulent selon lesquelles Microsoft mettrait enfin un terme aux installations piratées de Windows 11. Ces rumeurs ont été déclenchées par un article publié le 22 juillet sur le blog Windows IT Pro. Cet article traite du TPM, la puce de sécurité intégrée à la carte mère, et de l’activation de Windows. Cependant, le contenu de cet article diffère en réalité de ce qu’affirment les titres.

Qu’est-ce que le KMS exactement ?

Les entreprises n’activent pas Windows un ordinateur à la fois via Microsoft. Elles exploitent plutôt leur propre serveur interne, le Key Management Service, ou KMS en abrégé. Chaque PC du réseau interroge ce serveur et reçoit son activation. Cela simplifie les choses, mais présente une faille. Jusqu’à présent, un hôte KMS s’identifiait uniquement par sa configuration logicielle, qui peut être copiée.

Selon Microsoft, c’est exactement ce qui se passe. Des pirates mettent en place de faux serveurs KMS ou des serveurs clonés qui se font passer pour des serveurs authentiques au sein du réseau d’entreprise et attribuent des licences à des machines pour lesquelles personne n’a payé. Cela crée un problème de licence et de conformité pour l’entreprise.

Ce que Microsoft met en œuvre pour y remédier

La nouvelle fonctionnalité, baptisée « KMS Hardware-Secured », exige que l’hôte KMS fournisse une attestation TPM. Le Trusted Platform Module (TPM) est une puce intégrée à la carte mère capable de vérifier de manière cryptographique l’identité du matériel et de confirmer qu’il n’a pas été altéré. Le serveur doit prouver deux éléments avant même d’être autorisé à délivrer une licence : l’identité de son matériel, que Microsoft vérifie, et le fait que la plate-forme est restée inchangée depuis lors. S’il échoue à l’un de ces contrôles, il ne pourra plus activer quoi que ce soit.

Le calendrier et ce qui s’applique actuellement

Aucune de ces mesures n’est encore en vigueur. À compter d’août 2026, Windows Server 2025 affichera simplement des notifications indiquant si un hôte est prêt. Ces notifications peuvent être consultées à l’aide de la commande `slmgr /dlv` et dans l’Observateur d’événements, sous « Journaux des applications et des services », rubrique « Service de gestion des clés ». Un message indique que le périphérique est adapté pour servir d’hôte KMS avec une sécurité matérielle ; l’autre précise qu’il ne répond pas aux exigences.

L’attestation TPM ne deviendra obligatoire qu’à partir de la prochaine version de Windows Server publiée via le canal de maintenance à long terme (LTSC). Microsoft n’a pas précisé de date à cet égard. D’ici là, les installations KMS existantes continueront de fonctionner comme d’habitude. Si vous souhaitez vérifier si votre matériel est compatible, vous pouvez le faire dans PowerShell avec des droits d’administrateur à l’aide de la commande `Get-TpmSupportedFeature -FeatureList "Key Attestation"`. Si le serveur répond « Key Attestation », la fonctionnalité est disponible.

Pourquoi votre ordinateur n’a rien à voir avec cela

Et c’est là que les informations relayées par les médias ont déraillé. La fonctionnalité « KMS Hardware-Secured » vérifie le serveur, et non le client. Il ne se passe rien sur le PC que vous avez sous les yeux. Toute personne utilisant Windows à des fins personnelles ne remarquera pas ce changement, quel que soit son type de licence.

Ce malentendu trouve son origine dans un deuxième point. Microsoft avait rendu inutilisable une méthode d’activation appelée KMS38 à la fin de l’année 2025, ce qui avait laissé présager que le prochain changement suivrait. Cependant, KMS38 n’avait aucun rapport avec les serveurs KMS ni avec le TPM. Cette méthode exploitait un fichier de support de mise à niveau Windows pour simuler une date d’expiration lointaine. Microsoft avait déjà supprimé de sa propre documentation d’assistance les instructions permettant de contourner la vérification du TPM; ce problème n’est donc pas nouveau.

Même la solution de contournement dont le nom comporte effectivement « KMS » n’est pas concernée. Elle ne contacte pas un véritable hôte KMS, mais lance plutôt un faux serveur sur l’ordinateur de l’utilisateur lui-même, qui se contente d’approuver la demande. Aucun composant n’est en mesure d’effectuer une vérification du TPM. Les méthodes largement utilisées aujourd’hui fonctionnent de toute façon selon un principe totalement différent.

Le fait que le TPM ne soit pas toujours aussi obligatoire sous Windows 11 qu’il n’y paraît était déjà évident lors de la mise à niveau d’ordinateurs plus anciens.

Qui doit réellement agir dès maintenant ?

Les administrateurs sont concernés, et même parmi eux, uniquement ceux qui disposent de leur propre hôte KMS. Pour les serveurs physiques, Microsoft exige que l’appareil soit certifié dans le catalogue Windows Server et qu’un TPM soit installé et activé. Il n’existe actuellement aucune exigence pour les hôtes KMS virtuels. Microsoft prévoit de fournir ces détails dans un prochain article ; l’entreprise n’a donc pas encore publié elle-même les règles applicables à ce scénario.