Guide pratique de BitLocker — Le chiffrement de disque en partant de la gestion de la clé de récupération

« J’ai réinitialisé mon PC, et au redémarrage suivant, un écran bleu inconnu m’a demandé une clé à 48 chiffres. » « Je n’ai fait qu’une mise à jour du BIOS, et voilà que l’écran de saisie de la clé de récupération apparaît. Je n’ai jamais reçu une telle clé. » « En configurant un nouveau PC, j’ai vu que le “chiffrement de l’appareil” s’était activé tout seul. Ça risque de ralentir nos applications métier, autant le désactiver, non ? » — depuis environ un an, ce type de consultation de la part de nos clients a nettement augmenté.

Le contexte est clair : depuis Windows 11 version 24H2, sur les PC en installation propre, le « chiffrement de l’appareil » (l’activation automatique de BitLocker) fonctionne désormais par défaut. Les exigences matérielles ont également été assouplies, élargissant considérablement le parc de PC concernés. Autrement dit, BitLocker n’est plus « quelque chose que les grandes entreprises adoptent délibérément », mais « quelque chose qui s’installe silencieusement aussi sur les PC des PME ». Dans ce contexte, la clé de récupération devient la seule bouée de sauvetage, et la situation la plus dangereuse est celle où le chiffrement progresse sans que personne n’en ait la gestion.

Cet article s’adresse aux responsables informatiques et dirigeants de PME, ainsi qu’aux développeurs en charge d’applications métier ou de PC industriels, et présente BitLocker non pas comme « quelque chose à désactiver » mais comme « quelque chose à maîtriser ». Il couvre les différences entre éditions, le fonctionnement minimal à connaître de la relation entre le TPM et les clés, un tableau de décision pour le stockage de la clé de récupération, l’activation et l’exploitation en organisation, la gestion des incidents, et enfin la relation avec la mise au rebut — le tout basé sur les sources primaires de Microsoft Learn et autres, à jour au mois d’août 2026.

1. La conclusion, d’abord

• BitLocker est une fonctionnalité Windows qui chiffre l’intégralité du disque et empêche la fuite de données en cas de perte, de vol ou de mise au rebut inappropriée. Même face à une attaque consistant à retirer le disque pour le connecter à un autre PC, les données restent illisibles tant que le disque est chiffré.¹
• BitLocker dans sa version complète ne peut être activé que sous Pro/Enterprise/Pro Education/Education. Sa version simplifiée, le « chiffrement de l’appareil », est disponible sur toutes les éditions, y compris Home.¹
• Depuis Windows 11 24H2, les exigences du chiffrement automatique de l’appareil ont été assouplies. Les exigences HSTI/Modern Standby et « absence d’interface DMA non autorisée » ont été supprimées, si bien qu’à la fin de l’OOBE (configuration initiale) suivant une installation propre, le chiffrement s’initialise par défaut sur de nombreux PC qui satisfont TPM + démarrage sécurisé UEFI.²
• Le « démarrage » du chiffrement et l’« activation » de la protection sont deux choses distinctes. La protection n’est activée (armée) qu’une fois la sauvegarde de la clé de récupération réussie vers un compte Microsoft, Entra ID, ou AD DS (avec une stratégie de récupération configurée). Un PC utilisant uniquement un compte local, où aucune sauvegarde n’a lieu, reste chiffré mais non protégé.¹²
• Le stockage de la clé de récupération (le mot de passe de récupération à 48 chiffres) se résume à quatre choix : Entra ID, AD DS, compte Microsoft, ou une copie imprimée/fichier. Le flux par défaut est le suivant : vers Entra ID si l’appareil est joint à Entra ID, vers AD DS si joint à un domaine AD, et vers le compte Microsoft de l’administrateur dans les autres cas.¹³
• La clé de récupération n’est pas demandée uniquement en cas d’anomalie. Une mise à jour du firmware, un changement de configuration du démarrage sécurisé, l’effacement du TPM, un remplacement de carte mère, un changement de disque — tout changement de l’environnement de démarrage peut déclencher la demande. Avant une opération planifiée, la pratique standard consiste à suspendre temporairement la protection.³
• La méthode de chiffrement par défaut est XTS-AES 128 bits. Changer de méthode a posteriori exige un déchiffrement suivi d’un nouveau chiffrement complet, il est donc préférable de trancher dès le départ. Sur un disque neuf, l’option « chiffrer uniquement l’espace utilisé » permet de réduire considérablement la durée du premier chiffrement.⁴⁵
• Si l’on vous demande la clé de récupération et que vous ne pouvez pas la fournir, il ne reste plus qu’à faire une croix sur les données du PC. Même le support Microsoft ne peut pas récupérer une clé perdue. C’est précisément pour cela que le sujet de cet article n’est pas « faut-il chiffrer ou non », mais « où stocker la clé de récupération, et qui doit pouvoir la récupérer ».⁶

2. Différence entre BitLocker et le chiffrement de l’appareil — ce que chaque édition permet

Clarifions d’abord les termes. « BitLocker » et le « chiffrement de l’appareil » sont deux visages d’une même technologie de chiffrement.

• BitLocker (fonctionnalités complètes) : s’active par lecteur, avec des méthodes d’authentification comme TPM+PIN ou la clé de démarrage, un contrôle via la stratégie de groupe/Intune, et une gestion via manage-bde.exe ou PowerShell — la forme destinée aux administrateurs.
• Le chiffrement de l’appareil (Device Encryption) : un mécanisme qui active BitLocker automatiquement sur les PC répondant aux exigences requises. Un interrupteur « chiffrement de l’appareil » apparaît dans l’application Paramètres, et seuls le lecteur du système d’exploitation et les lecteurs fixes internes sont chiffrés (les lecteurs externes/USB ne sont pas concernés).¹

Voici la prise en charge par édition.¹

Ce qui a changé avec Windows 11 24H2

Le chiffrement automatique de l’appareil existait déjà auparavant, mais il concernait surtout des PC mobiles relativement récents répondant à des conditions comme « conforme à Modern Standby ou HSTI » et « absence de port permettant un accès DMA externe ». Avec Windows 11 version 24H2, ces deux exigences ont été supprimées, et les conditions principales restantes se limitent désormais à « disposer d’un TPM (1.2 ou 2.0) » et « avoir le démarrage sécurisé UEFI activé ». La pratique consistant, pour les OEM, à enregistrer les bus DMA non autorisés dans le registre (AllowedBuses) n’est plus nécessaire non plus, cette clé elle-même étant ignorée depuis la 24H2. Notez que cet assouplissement des exigences ne s’applique pas aux éditions Windows IoT.²

Résultat : une fois l’OOBE terminé après une installation propre (y compris une réinitialisation ou une reconfiguration), le chiffrement s’initialise désormais par défaut même sur un PC de bureau tout à fait ordinaire. Ce qui compte ici, c’est la distinction entre « initialisation » et « activation de la protection ».

• Au moment où l’OOBE se termine, le lecteur est chiffré avec une clé claire (une clé temporaire non protégée). Un icône d’avertissement s’affiche dans l’Explorateur de fichiers.¹
• Lorsque la connexion avec un compte Microsoft ou un compte Entra ID réussit — ou, pour un PC joint à un domaine, la sauvegarde vers AD DS (avec une stratégie de récupération configurée) — un protecteur TPM est créé et la clé claire est supprimée. C’est seulement à ce moment-là que la protection devient active.¹²
• Un PC utilisé uniquement avec un compte local reste, même chiffré, sans protection.¹

Ce déroulement, mis en schéma, donne ceci.

flowchart TB
    A["Installation propre / réinitialisation<br/>(Windows 11 24H2 et versions ultérieures)"] --> B{"Répond-il aux exigences<br/>TPM + démarrage sécurisé UEFI, etc. ?"}
    B -- "Ne répond pas" --> Z["Pas de chiffrement"]
    B -- "Répond" --> C["Initialisation du chiffrement à la fin de l'OOBE<br/>(clé claire = clé temporaire non protégée)"]
    C --> D{"Où la clé de récupération<br/>est-elle sauvegardée ?"}
    D -- "Compte Microsoft / Entra ID /<br/>AD DS (stratégie de récupération configurée)" --> E["Sauvegarde de la clé de récupération réussie"]
    E --> F["Création du protecteur TPM, suppression de la clé claire<br/>= la protection est activée (armée)"]
    D -- "Compte local uniquement<br/>(pas de destination de sauvegarde)" --> G["Reste chiffré mais la protection est inactive<br/>(une icône d'avertissement s'affiche)"]

Voilà le mécanisme derrière le « chiffrement découvert après coup ». Les organisations qui remplacent leurs PC par des PC Windows 11 dans le cadre de la fin de support de Windows 10 (voir « La décision à prendre pour la fin de support de Windows 10 ») doivent partir du principe que les nouveaux PC arriveront d’emblée dans cet état, et intégrer la gestion de la clé de récupération dans leur procédure de préparation des postes (kitting).

Pour vérifier la compatibilité de votre propre machine, ouvrez les Informations système (msinfo32.exe) en tant qu’administrateur et consultez la ligne « Prise en charge du chiffrement de l’appareil ». Si elle indique « Répond aux exigences », le PC est concerné.¹

3. Le minimum du fonctionnement — la relation entre le TPM et les clés

Ce qui protège la clé de BitLocker, c’est le TPM (Trusted Platform Module). Le TPM a pour rôle de vérifier que l’appareil n’a pas été altéré pendant que l’OS était hors ligne, et ne rend la clé de chiffrement utilisable que lorsque la vérification au démarrage réussit. C’est précisément ce qui permet de concilier les deux exigences : l’utilisateur n’a rien à saisir lorsque le Windows légitime démarre normalement, et les données restent illisibles si seul le disque a été retiré.¹ Le fonctionnement du TPM lui-même (la structure qui empêche la clé de sortir, les PCR, le démarrage mesuré) est expliqué en détail avec des schémas dans « Qu’est-ce que le TPM sous Windows ».

Ce qui se produit à chaque démarrage, mis en schéma, donne ceci.

flowchart TB
    ON["Mise sous tension"] --> M["Le TPM mesure l'environnement de démarrage<br/>(firmware, configuration de démarrage, etc.)"]
    M --> Q{"Le résultat de la mesure<br/>est-il identique à d'habitude ?"}
    Q -- "Identique" --> UN["Le TPM libère la clé de chiffrement"]
    UN --> BOOT["Démarrage normal<br/>(l'utilisateur ne saisit rien)"]
    Q -- "Différent" --> REC["Mode de récupération<br/>la clé de récupération à 48 chiffres est demandée"]
    REC --> K1["Si la clé de récupération peut être saisie, démarrage"]
    REC --> K2["Si elle ne peut pas être saisie,<br/>les données sont irrécupérables"]

En plus du TPM, on peut aussi choisir une configuration multifactorielle qui impose la saisie d’un code PIN au démarrage ou l’insertion d’une clé de démarrage (un fichier de clé sur une clé USB). Un PC dépourvu de TPM peut aussi chiffrer le lecteur du système avec la méthode de la clé de démarrage, mais la méthode par mot de passe, dépourvue de mécanisme de verrouillage et vulnérable à une attaque par force brute, est désactivée par défaut.¹

Dans quels cas la clé de récupération est-elle demandée

Le TPM vérifie si « l’environnement de démarrage est identique à d’habitude », donc si l’environnement change, même le propriétaire légitime bascule en mode de récupération. Voici les déclencheurs représentatifs cités par Microsoft.³

• La mise à jour des composants de démarrage initiaux, comme une mise à jour du firmware BIOS/UEFI
• Le TPM a été désactivé, mis hors tension ou effacé, ou son autotest a échoué
• La modification des PCR (registres de configuration de plateforme) utilisés par le profil de vérification du TPM — c’est ici qu’un changement de configuration du démarrage sécurisé intervient
• Un remplacement de carte mère (remplacement par un nouveau TPM)
• Le déplacement d’un lecteur protégé par BitLocker vers un autre PC
• La connexion/déconnexion d’une station d’accueil, la modification de la table de partition NTFS, la modification du gestionnaire de démarrage, un démarrage PXE
• Des saisies répétées d’un code PIN incorrect, ou (sur un modèle avec TPM 1.2) un changement de l’ordre des périphériques de démarrage

Autrement dit, « la clé de récupération demandée après une mise à jour du BIOS » n’est ni une panne ni une attaque : c’est un comportement conforme à la conception. Avant une opération planifiée (mise à jour du firmware ou remplacement de matériel), la pratique standard consiste à suspendre temporairement la protection. La suspension laisse le lecteur chiffré, et l’opération peut se poursuivre sans avoir à saisir la clé de récupération ; par défaut, la protection reprend automatiquement au redémarrage (il est aussi possible de spécifier le nombre de redémarrages).³

# Suspension avant la mise à jour du firmware. Par défaut, la protection reprend
# automatiquement après un seul redémarrage ; pour une mise à jour qui redémarre
# plusieurs fois, les redémarrages suivants peuvent donc se bloquer sur l'écran de récupération.
# -RebootCount 0 empêche la reprise automatique ; intégrez la reprise à la procédure
# une fois le travail terminé
Suspend-BitLocker -MountPoint C: -RebootCount 0
# Reprendre impérativement après le travail (avec -RebootCount 0, il n'y a pas de reprise
# automatique, cette exécution est donc obligatoire)
Resume-BitLocker -MountPoint C:

Une précision terminologique : la documentation technique distingue le nombre à 48 chiffres, appelé « mot de passe de récupération », du fichier .bek enregistré sur une clé USB, appelé « clé de récupération »³. Dans les écrans grand public et dans cet article, en accord avec l’usage courant, nous appelons « clé de récupération » le nombre à 48 chiffres.

4. Tableau de décision pour le stockage de la clé de récupération — comment choisir parmi les quatre options

Voici le cœur de cet article. Le stockage de la clé de récupération se résume en pratique à quatre choix, et le mode de connexion du PC le détermine presque automatiquement. Voici d’abord le tableau de décision.

Sur un appareil à jonction hybride (à la fois AD et Entra ID), le mot de passe de récupération est sauvegardé aux deux endroits.⁴

Voici trois points essentiels à retenir pour une organisation.

1. Fixer un seul « emplacement de stockage organisationnel ». Entra ID si la jonction à Entra ID est déjà en place, AD DS pour un AD sur site. Une situation où la clé de récupération d’un PC de l’entreprise se trouve uniquement sur le compte Microsoft personnel de l’employé en charge s’effondre immédiatement en cas de départ ou de mutation.
2. Ne pas présumer qu’AD DS « se remplit automatiquement ». La sauvegarde vers AD DS suppose une stratégie configurée (voir plus loin). De plus, Active Directory conserve l’historique des mots de passe de récupération, et les anciennes clés ne disparaissent pas automatiquement tant que l’objet ordinateur n’est pas supprimé.³
3. Si vous choisissez le stockage sous forme de fichier, soyez strict sur son emplacement. Le fichier de la clé de récupération doit être conservé dans un endroit distinct du PC lui-même (un dossier réseau, par exemple).⁵ Quiconque détient la clé de récupération peut accéder à toutes les données du lecteur : un stockage séparé du PC protégé, avec un contrôle d’accès strict, est donc indispensable.³

Vérifier l’état actuel de son propre PC

Exécutez l’une des commandes suivantes dans un terminal disposant des droits d’administrateur.⁵

# PowerShell : vérifier l'état du chiffrement et le type de protecteurs
Get-BitLockerVolume C: | Format-List
# Vérifier le mot de passe de récupération (48 chiffres) et son ID
(Get-BitLockerVolume -MountPoint C).KeyProtector

:: Invite de commandes : vérification de l'état
manage-bde -status
:: Liste des protecteurs (TPM, mot de passe de récupération, etc.) et valeur à 48 chiffres
manage-bde -protectors -get C:

Dans la sortie de manage-bde -protectors -get C:, ce qui s’affiche comme « mot de passe numérique » (Numerical Password) est la clé de récupération à 48 chiffres, et les 8 premiers caractères de l’ID affiché à côté servent d’indice pour identifier « quelle clé » utiliser sur l’écran de récupération.⁶

Il est également possible de sauvegarder après coup, vers Entra ID ou AD DS, le mot de passe de récupération d’un PC déjà chiffré.⁵

# Vérifiez d'abord l'ID du mot de passe de récupération, puis exécutez
# Sauvegarder vers Entra ID
BackupToAAD-BitLockerKeyProtector -MountPoint C: -KeyProtectorId "{ID}"
# Sauvegarder vers AD DS
Backup-BitLockerKeyProtector -MountPoint C: -KeyProtectorId "{ID}"

:: Avec manage-bde
manage-bde -protectors -aadbackup C: -id {ID}
manage-bde -protectors -adbackup C: -id {ID}

L’inventaire visant à vérifier « si la clé de récupération de tous les PC se trouve bien dans l’emplacement de stockage de l’organisation » relève, tout comme les mesures de base en sécurité de l’information évoquées dans les recommandations de l’IPA pour les PME, d’un exercice à intégrer dans une gestion de registre continue, et non d’une action ponctuelle (voir « Les mesures de sécurité des PME, par où commencer »).

5. Activation et exploitation en organisation — stratégie, commandes et méthode de chiffrement

5.1. Interdire, par stratégie, « l’activation sans clé de récupération »

Les paramètres de BitLocker peuvent se configurer à la fois via la stratégie de groupe (GPO) et le MDM (le CSP BitLocker d’Intune, par exemple).⁴ Du point de vue de la gestion de la clé de récupération, la stratégie la plus importante est « Choisir la méthode de récupération pour les lecteurs du système d’exploitation protégés par BitLocker ». C’est ici que l’on configure les points suivants.⁴³

• Enregistrer les informations de récupération dans AD DS (le mot de passe de récupération seul, ou avec le package de clés)
• Activer « Ne pas activer BitLocker tant que les informations de récupération ne sont pas stockées dans AD DS » — le point clé de la prévention d’incidents, qui interdit de démarrer le chiffrement tant que la sauvegarde n’a pas réussi. Cette configuration génère automatiquement le mot de passe de récupération

Pour un appareil joint à Entra ID géré via Intune, le principe est identique : rendre la sauvegarde de la clé de récupération obligatoire avant d’activer le chiffrement. La clé de récupération sur Entra ID peut être récupérée depuis le centre d’administration Entra, le centre d’administration Intune, PowerShell ou Microsoft Graph, et cette tâche peut aussi être déléguée au service d’assistance.³

5.2. Méthode de chiffrement — XTS-AES 128 par défaut

Sans configuration de la méthode de chiffrement, BitLocker utilise par défaut XTS-AES 128 bits. Le chiffrement de l’appareil utilise également XTS-AES 128 par défaut. La stratégie « Choisir la méthode de chiffrement de lecteur et la puissance de chiffrement » permet de passer à XTS-AES 256, par exemple, mais la recommandation de Microsoft est d’utiliser XTS-AES pour tous les lecteurs, en choisissant la longueur de clé (128 ou 256) selon les performances de l’appareil (et les exigences réglementaires du secteur).⁴¹

Un point d’attention : la méthode d’un lecteur déjà chiffré ne peut pas être modifiée après coup. Pour changer de méthode ou de longueur de clé, il faut d’abord déchiffrer entièrement, puis rechiffrer.¹ Si une contrainte comme « 256 bits requis par la réglementation » s’applique, tranchez la question dès le premier déploiement.

5.3. Chiffrer uniquement l’espace utilisé, ou l’intégralité du lecteur

Un autre choix à faire lors de l’activation est l’étendue du chiffrement. Les recommandations de Microsoft sur ce point sont claires.⁵

• Chiffrer uniquement l’espace utilisé : pour un disque neuf n’ayant jamais contenu de données. Le premier chiffrement est rapide
• Chiffrer l’intégralité du lecteur : pour un disque déjà utilisé — un disque ayant déjà contenu des données, où des fichiers supprimés peuvent subsister

La raison en est que l’espace occupé par des fichiers supprimés apparaît comme un « espace libre » du point de vue du système de fichiers : avec « uniquement l’espace utilisé », il n’est donc pas chiffré et peut être récupéré par un outil d’investigation numérique jusqu’à ce qu’il soit réécrit.⁵ Retenez simplement, pour un usage pratique, que « uniquement l’espace utilisé » convient sans problème à un PC neuf tout juste préparé, tandis que le chiffrement intégral s’impose pour l’appliquer a posteriori à un PC déjà utilisé.

5.4. Activation avec PowerShell

Voici la forme de base d’un déploiement scripté.⁵

# 1. Ajouter d'abord le protecteur du mot de passe de récupération (48 chiffres) (le chiffrement
#    ne démarre pas encore à ce stade). Même si plusieurs mots de passe de récupération
#    subsistent suite à des tentatives précédentes, on sélectionne par différence d'ID
#    avant/après pour isoler celui qui vient d'être ajouté
$before = (Get-BitLockerVolume -MountPoint C).KeyProtector.KeyProtectorId
Add-BitLockerKeyProtector -MountPoint C: -RecoveryPasswordProtector | Out-Null
$rpId = (Get-BitLockerVolume -MountPoint C).KeyProtector |
    Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' -and $_.KeyProtectorId -notin $before } |
    Select-Object -ExpandProperty KeyProtectorId

# 2. Sauvegarder le mot de passe de récupération ajouté vers l'emplacement de stockage de
#    l'organisation. Il ne faut pas passer au chiffrement si cette étape échoue, donc
#    -ErrorAction Stop arrête le traitement en cas d'erreur
#    (cette étape inclut la vérification que la clé est visible dans le centre
#    d'administration Entra / AD)
BackupToAAD-BitLockerKeyProtector -MountPoint C: -KeyProtectorId $rpId -ErrorAction Stop
# Pour AD DS : Backup-BitLockerKeyProtector -MountPoint C: -KeyProtectorId $rpId -ErrorAction Stop

# 3. Démarrer le chiffrement seulement une fois la sauvegarde réussie. 3a et 3b sont
#    exclusifs l'un de l'autre — n'exécutez que l'un des deux (la méthode et l'étendue
#    sont aussi tranchées ici)

# 3a. Configuration standard : TPM seul (pour les postes nécessitant un redémarrage sans surveillance)
Enable-BitLocker C: -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector

# 3b. Configuration TPM+PIN (pour les postes fixes à haute sécurité). À exécuter à la
#     place de 3a. Le PIN doit être saisi sur place, avec une valeur différente pour
#     chaque poste. L'intégrer en clair dans le script ferait que tous les postes
#     partagent le même PIN, et le script lui-même deviendrait un point de fuite
$Pin = Read-Host -AsSecureString -Prompt "PIN de ce poste"
Enable-BitLocker C: -EncryptionMethod XtsAes256 -UsedSpaceOnly -Pin $Pin -TPMandPinProtector

Cet ordre — « déposer le mot de passe de récupération avant de démarrer le chiffrement » — est essentiel. À l’inverse, si l’on commence par Enable-BitLocker -TpmProtector, un arrêt en cours de traitement laisse un PC protégé uniquement par le TPM, sans copie de secours pour la récupération, ce qui risque de faire perdre les données à la prochaine mise à jour du firmware ou au prochain changement de matériel. Avec l’enchaînement ci-dessus, un arrêt en cours de route signifie simplement que le chiffrement n’a pas encore commencé : il suffit de recommencer. Pour un déploiement en organisation, faire agir en amont la stratégie « ne pas activer BitLocker tant que les informations de récupération ne sont pas stockées » du point 5.1 permet aussi d’empêcher cet état intermédiaire du côté de la stratégie. « Ne jamais démarrer le chiffrement avant d’avoir confirmé le succès de la sauvegarde » est la règle d’or d’un déploiement en organisation.

6. Gestion des incidents — quand on vous demande la clé de récupération, ou qu’elle est introuvable

6.1. Si l’écran de récupération apparaît, commencez par les 8 premiers caractères de l’ID de la clé

L’écran bleu de récupération affiche l’ID de la clé de récupération. Même si vous disposez de plusieurs copies de sauvegarde, comparer les 8 premiers caractères de l’ID permet d’identifier la bonne clé.⁶ Les endroits où chercher correspondent au tableau du chapitre 4 ; vérifiez-les dans l’ordre.

1. L’emplacement de stockage de l’organisation (centre d’administration Entra/Intune, ou AD DS) — via l’administrateur ou le service d’assistance
2. Le compte de l’utilisateur lui-même — aka.ms/aadrecoverykey pour un compte professionnel, aka.ms/myrecoverykey pour un compte Microsoft personnel⁶
3. La copie de sauvegarde faite lors de l’activation — papier imprimé, fichier sur une clé USB, fichier texte enregistré⁶

flowchart TB
    REC["Écran bleu de récupération<br/>l'ID de la clé de récupération s'affiche"] --> ID["Noter les 8 premiers caractères de l'ID de la clé"]
    ID --> ORG["1. Emplacement de stockage de l'organisation<br/>(centre d'administration Entra/Intune / AD DS)"]
    ORG -- "Une clé avec cet ID existe" --> INPUT["Saisir les 48 chiffres et démarrer"]
    ORG -- "Introuvable" --> SELF["2. Compte de l'utilisateur lui-même<br/>aka.ms/aadrecoverykey / aka.ms/myrecoverykey"]
    SELF -- "Une clé correspondante existe" --> INPUT
    SELF -- "Introuvable" --> PAPER["3. Copie de sauvegarde de l'activation<br/>(papier imprimé, clé USB, fichier)"]
    PAPER -- "Une clé correspondante existe" --> INPUT
    PAPER -- "Introuvable" --> LOST["Seule la réinitialisation (perte totale des données) reste possible<br/>Même Microsoft ne peut pas la récupérer"]
    INPUT --> AFTER["Vérifier la cause, puis désactiver et<br/>régénérer la clé de récupération utilisée (section 6.3)"]

Prenez aussi l’habitude de vérifier « pourquoi le mode de récupération s’est déclenché ». S’il y a une explication évidente — une mise à jour du BIOS la veille, une modification des paramètres de démarrage sécurisé — c’est un comportement conforme à la conception. Si cela se reproduit sans raison apparente, il vaut la peine d’aller jusqu’à envisager un dysfonctionnement matériel ou une altération liée à un accès physique.³

6.2. Si elle reste introuvable malgré tout

C’est un constat difficile, mais si la clé de récupération reste introuvable, il n’existe aucun moyen de récupérer les données du lecteur chiffré. Pour un PC géré par une organisation, la vérification auprès du service informatique constitue le dernier recours ; à défaut, il ne reste que la réinitialisation de l’appareil (perte totale des données). Le support Microsoft ne peut ni fournir ni recréer une clé de récupération perdue.⁶

Voir cela comme « les données ont été perdues à cause du chiffrement » inverse la relation de cause à effet. La cause réelle est l’absence d’un dispositif organisé de gestion de la clé de récupération — et cette même lacune se serait manifestée sous forme de fuite d’informations en cas de vol.

6.3. Considérer une clé de récupération utilisée comme à usage unique — réparation, perte, départ

• Lors d’un envoi en réparation : si la clé de récupération a été communiquée (ou a pu l’être) au réparateur, à son retour, ajoutez d’abord un nouveau mot de passe de récupération et vérifiez que sa sauvegarde vers Entra ID / AD DS a réussi, avant de supprimer le mot de passe de récupération qui avait été communiqué. Si vous le supprimez d’abord, un échec de l’ajout ou de la sauvegarde laisserait le lecteur sans aucun moyen de récupération : l’ordre des opérations compte. Microsoft recommande également d’invalider le mot de passe de récupération après usage, et la séquence ajout → sauvegarde → suppression peut s’exécuter entièrement en ligne de commande.⁵ Sur les appareils joints à Entra ID, il existe aussi une stratégie de rotation automatique des mots de passe de récupération utilisés. Elle est activée par défaut sur les appareils joints à Entra ID, mais elle ne fonctionne que si la stratégie rendant la sauvegarde des informations de récupération obligatoire (5.1) est configurée. Avant de vous fier à la rotation automatique, vérifiez que ce prérequis est bien configuré et que les clés sont effectivement remplacées.⁴
• En cas de perte du PC : vérifiez, à partir des enregistrements des sorties de commandes du chapitre 4 ou d’un outil de gestion, si la protection était active (protecteur TPM créé, clé claire supprimée). Si l’appareil était bien chiffré, vous êtes en mesure d’affirmer que « les données du disque sont illisibles ». C’est la principale raison de faire l’inventaire en temps normal.
• Lors d’un départ ou d’une restitution de PC : le plus important est d’éviter que la clé de récupération d’un PC restitué se trouve uniquement sur le compte Microsoft personnel de la personne qui quitte l’entreprise. Si la centralisation vers l’emplacement de stockage de l’organisation (chapitre 4) est en place, l’opération de restitution se limite à un reconditionnement du poste et à la régénération du mot de passe de récupération.

Voici, par exemple, le déroulement pour le cas d’une réparation.

flowchart LR
    S["Envoi en réparation<br/>(la clé de récupération a pu être communiquée)"] --> B["Retour du PC"]
    B --> N["Ajout d'un nouveau mot de passe de récupération"]
    N --> BK["Vérification du succès de la sauvegarde<br/>vers Entra ID / AD DS"]
    BK --> D["Invalidation (suppression) du mot de passe<br/>de récupération communiqué"]
    D --> OK["Mise à jour du registre, terminé"]

7. Relation avec la mise au rebut — un disque chiffré simplifie la mise au rebut

L’utilité de BitLocker ne se limite pas à la phase d’utilisation. Si le lecteur est chiffré dès le départ, il ne reste sur le disque, au moment de la mise au rebut, que du texte chiffré. BitLocker a d’ailleurs été conçu pour empêcher la fuite de données non seulement en cas de perte ou de vol, mais aussi depuis un « appareil mis au rebut de manière inappropriée » ; rendre les données illisibles lors de la mise au rebut ou du recyclage d’un appareil protégé fait partie de son objectif.¹

Cela dit, le fait d’être chiffré ne dispense pas de suivre la procédure d’effacement lors de la mise au rebut (réinitialisation, outil d’effacement dédié, destruction physique). Le chiffrement est une assurance qui « réduit le risque de lecture des données en clair sur le disque avant l’effacement, ou lorsque l’effacement est impossible » ; il ne remplace pas un effacement vérifiable. Ceci posé, une organisation qui exploite le chiffrement doit ajouter une tâche qui lui est propre : le nettoyage des copies de sauvegarde de la clé de récupération (papier, fichier, enregistrement dans AD ou Entra ID). Même après l’effacement du disque, si une copie de la clé de récupération subsiste, la mise au rebut n’est pas terminée du point de vue du registre. Intégrez la suppression des anciennes clés à la procédure de mise au rebut.

Cela dit, la mise au rebut d’un PC comporte aussi des enjeux au-delà du chiffrement — la désactivation des comptes et des licences, le registre des actifs, les traces. La procédure complète est résumée sous forme de liste de contrôle dans « Ce qu’il faut faire avant de mettre au rebut un PC Windows » ; utilisez-la conjointement pour construire un processus de mise au rebut qui intègre le chiffrement.

8. Le point de vue du développeur d’applications métier — performance, PC industriels, déploiement par clonage

Pour finir, quelques points d’attention du point de vue de celui qui a la charge d’applications métier ou de PC de contrôle d’équipement.

• Le principe de base pour l’impact sur les performances est de « d’abord mesurer réellement avec les 128 bits par défaut ». Microsoft lui-même fixe le critère de choix de la longueur de clé « selon les performances de l’appareil », recommandant 256 bits pour un disque et un CPU performants, 128 bits sinon.⁴ Autrement dit, sur un PC moderne, il est rare que les 128 bits XTS-AES par défaut affectent le ressenti d’une application métier, et dans notre expérience, cela n’a posé problème que pour des applications avec des E/S fichier particulièrement lourdes. En cas de doute, il faut trancher après avoir mesuré réellement les E/S avant et après chiffrement, avec un volume de données comparable à la production — désactiver le chiffrement « au feeling » parce qu’on pense que ce sera plus lent revient à mettre la charrue avant les bœufs.
• Le chiffrement est transparent du point de vue de l’application. BitLocker chiffre l’intégralité du volume, et le comportement des API de fichiers ne change pas. Autrement dit, les informations secrètes que manipule une application sur une machine en cours d’exécution (chaînes de connexion, clés API) ne sont pas protégées par BitLocker, car le lecteur apparaît déchiffré sur une machine déjà connectée. C’est le rôle de DPAPI et d’outils similaires (voir « Où stocker les informations secrètes d’une application Windows »).
• Pour un PC industriel ou un PC kiosque, la configuration se décide selon « la capacité à redémarrer sans surveillance ». Une configuration TPM seul permet de redémarrer sans surveillance même après une coupure de courant, tandis que TPM+PIN ou une clé de démarrage exigent une intervention humaine à chaque démarrage et ne conviennent pas à un équipement fonctionnant sans surveillance. En contrepartie, la configuration TPM seul comporte le risque de rester bloquée sur l’écran de récupération à cause des déclencheurs du chapitre 3 (mise à jour du firmware, etc.) : il devient alors essentiel de conserver la clé de récupération dans un endroit éloigné du terrain (rangement verrouillé + registre) et d’inscrire explicitement « Suspend-BitLocker avant toute intervention » dans la procédure de maintenance de l’équipement. La manière générale de verrouiller un poste sans surveillance est traitée dans « Verrouiller un poste métier en mode kiosque ». Notez que l’assouplissement des exigences du chiffrement automatique de l’appareil en 24H2 ne s’applique pas aux éditions Windows IoT², mais cela ne signifie pas que « le chiffrement automatique ne se produit jamais sous IoT » : sur les modèles qui répondent aux exigences antérieures à l’assouplissement (HSTI/Modern Standby, etc.), le chiffrement automatique peut se produire comme avant, si bien qu’il est prudent d’inclure une vérification de l’état via manage-bde -status dans la procédure de préparation même pour les PC industriels.
• Pour un déploiement par clonage, ne pas « chiffrer avant de créer l’image ». Le mot de passe de récupération est spécifique à l’appareil sur lequel il a été créé.³ N’adoptez pas une configuration qui duplique une image maîtresse dont la protection est déjà activée ; procédez plutôt dans l’ordre suivant après le déploiement, pour chaque PC : activation (ou chiffrement automatique via l’OOBE), puis sauvegarde de la clé de récupération. Si votre préparation des postes est déjà scriptée (voir « Automatiser la préparation des postes avec winget + PowerShell »), il suffit d’ajouter l’activation et la vérification de la sauvegarde de la section 5.4 comme étape finale.

9. Conclusion

• Lors d’une installation propre à partir de Windows 11 24H2, le chiffrement de l’appareil s’initialise par défaut sur les PC répondant à TPM + démarrage sécurisé UEFI. Les exigences HSTI/Modern Standby et DMA ont été supprimées, et le champ d’application s’est étendu jusqu’aux PC de bureau ordinaires.
• La bonne réponse au « chiffrement activé tout seul » n’est pas de le désactiver, mais de vérifier où se trouve la clé de récupération. Le désactiver fait perdre la protection en cas de perte, de vol ou de mise au rebut, et une fois désactivé, il ne se réactive pas automatiquement.
• Le stockage de la clé de récupération se résume à quatre choix — Entra ID, AD DS, compte Microsoft, impression/fichier — et se détermine presque entièrement par le mode de connexion. Fixez un seul emplacement de stockage pour l’organisation, et vérifiez par inventaire que tous les PC y figurent.
• La vérification se fait avec manage-bde -protectors -get C: ou (Get-BitLockerVolume -MountPoint C).KeyProtector, et une sauvegarde a posteriori se termine avec BackupToAAD-BitLockerKeyProtector / Backup-BitLockerKeyProtector.
• La clé de récupération peut être demandée même au propriétaire légitime, à l’occasion d’une mise à jour du firmware, d’un changement de configuration du démarrage sécurisé ou d’un remplacement de matériel. Intégrez Suspend-BitLocker à la procédure avant toute opération planifiée.
• La méthode par défaut est XTS-AES 128 ; en changer a posteriori exige un déchiffrement suivi d’un rechiffrement. Sur un disque neuf, chiffrer uniquement l’espace utilisé suffit.
• Invalidez et régénérez une clé de récupération après usage, ne laissez pas de clé sur le compte d’un employé parti, et détruisez aussi les copies de la clé lors de la mise au rebut — la clé de récupération ne s’arrête pas à son émission, elle se gère tout au long de son cycle de vie.
• Le chiffrement constitue aussi une assurance au moment de la mise au rebut, mais il ne remplace pas la procédure d’effacement (réinitialisation, outil d’effacement, destruction physique). Plutôt que de désactiver BitLocker, le maîtriser en le combinant à une gestion rigoureuse de la clé de récupération est la solution réaliste pour une PME.

Articles connexes

• Qu’est-ce que le TPM sous Windows — le « coffre-fort qui ne laisse jamais sortir la clé » et le démarrage mesuré expliqués en schémas
• Ce qu’il faut faire avant de mettre au rebut un PC Windows — liste de contrôle pratique pour l’effacement des données, la désactivation des comptes et la sauvegarde
• La solution réaliste après la fin de support de Windows 10 — tableau de décision ESU, LTSC et remplacement
• Les mesures de sécurité des PME, par où commencer — parcourir la version 4.0 des recommandations de sécurité de l’information de l’IPA pour les PME
• Verrouiller un poste métier en mode kiosque — choisir entre Assigned Access et Shell Launcher, et concevoir l’exploitation
• Automatiser la préparation des postes avec winget + PowerShell — rendre les procédures exécutables
• Où stocker les informations secrètes d’une application Windows — les bonnes pratiques centrées sur DPAPI

Domaines de conseil associés

合同会社小村ソフト (Komura Software LLC) prend en charge la conception de l’exploitation du chiffrement dans les environnements Windows, y compris pour les applications métier et les PC industriels (conception de l’emplacement de stockage de la clé de récupération, intégration à la préparation des postes, configuration de BitLocker sur des PC industriels), ainsi que les consultations sur la vérification des performances et l’investigation d’incidents pour des applications métier en environnement chiffré. Vous pouvez commencer simplement par vous demander « le chiffrement d’un PC industriel pose-t-il problème ? ».

• Conseil technique et revue de conception
• Développement d’applications Windows
• Investigation de bugs et analyse des causes
• Contact

Références

Articles associés

Articles récents partageant les mêmes étiquettes, pour approfondir des sujets proches.

Sujets associés

Ces pages replacent le sujet dans un contexte plus large de services et de décisions.

Services liés à ce sujet

Cet article est directement lié aux services suivants.

Questions fréquentes

Questions souvent posées lors d’une consultation sur le sujet de cet article.

Le « chiffrement de l'appareil » s'est activé sans que je m'en aperçoive. Puis-je le désactiver ?

Nous déconseillons de le désactiver. Depuis Windows 11 version 24H2, lors d'une installation propre, le chiffrement de l'appareil s'initialise par défaut sur les PC répondant à des conditions comme le TPM et le démarrage sécurisé, ce qui donne l'impression qu'il « s'est activé tout seul ». C'est un mécanisme qui protège les données en cas de perte ou de vol : le désactiver fait perdre cette protection, et une fois désactivé, il ne se réactive pas automatiquement. Ce qu'il faut faire n'est pas de le désactiver, mais de vérifier la clé de récupération avec manage-bde -protectors -get C: ou une commande équivalente, et de s'assurer qu'elle est bien stockée à l'emplacement décidé par l'organisation — compte Microsoft, Entra ID, AD, etc.

Où se trouve la clé de récupération BitLocker ?

L'emplacement de stockage dépend du mode de connexion du PC. Pour un PC configuré avec un compte Microsoft personnel, se connecter avec ce même compte sur https://aka.ms/myrecoverykey permet de la consulter. Pour un PC joint à l'Entra ID de l'entreprise (compte professionnel), elle est consultable depuis https://aka.ms/aadrecoverykey via « Afficher les clés BitLocker ». Pour un PC joint à un domaine AD sur site, si la stratégie est configurée, un administrateur peut la récupérer sous l'objet ordinateur. Il peut aussi exister une copie imprimée, une clé USB ou un fichier. Comparer les 8 premiers caractères de l'ID de la clé de récupération affiché sur l'écran de récupération permet d'identifier la bonne clé.

Peut-on utiliser BitLocker sur un PC Windows 11 Home ?

Les fonctionnalités disponibles dépendent de l'édition. BitLocker dans sa version complète, avec l'ajout d'un PIN et la gestion par stratégie, ne peut être activé que sous Pro/Enterprise/Education, pas sous Home. En revanche, sa version simplifiée, le chiffrement de l'appareil, est disponible sur toutes les éditions, y compris Home, et s'active automatiquement si les exigences comme le TPM et le démarrage sécurisé UEFI sont satisfaites. Cependant, l'activation de la protection nécessite une connexion avec un compte Microsoft disposant des droits d'administrateur : avec un compte local uniquement, il n'y a pas de protection. Pour une gestion en tant que PC d'entreprise, nous recommandons une configuration basée sur Pro, avec une gestion centralisée de la clé de récupération via Entra ID ou AD.

Après une mise à jour du BIOS (firmware UEFI), la clé de récupération m'a été demandée. Pourquoi ?

BitLocker utilise le TPM pour vérifier que l'environnement de démarrage n'a pas été altéré ; lorsqu'une mise à jour du firmware, un changement de configuration du démarrage sécurisé, l'effacement du TPM ou un remplacement de carte mère modifie les valeurs mesurées au démarrage, le système juge qu'il s'agit d'un « environnement différent de d'habitude » et bascule en mode de récupération. Ce n'est pas une panne, mais un comportement conforme à la conception. Avant une opération de mise à jour planifiée, suspendre la protection avec Suspend-BitLocker (ou manage-bde -protectors -disable C:) permet de travailler sans avoir à saisir la clé de récupération. Pendant la suspension, le lecteur reste chiffré, et par défaut, la protection reprend automatiquement au redémarrage suivant.

Si la clé de récupération est introuvable, peut-on tout de même récupérer les données ?

Sans la bonne clé de récupération (le mot de passe de récupération à 48 chiffres) ou un autre moyen de déverrouillage, il n'existe aucun moyen de récupérer les données du lecteur chiffré. Le support Microsoft affirme lui-même ne pouvoir ni réémettre ni récupérer une clé de récupération perdue. Pour un PC géré par une organisation, vérifiez d'abord auprès du service informatique ; pour un PC personnel, cherchez sur la page de la clé de récupération de votre compte Microsoft, une copie imprimée, ou un fichier .bek/.txt sur une clé USB. Si elle reste introuvable, il ne reste que la réinitialisation du PC (réinstallation), et les données seront perdues. C'est précisément pour cela qu'avant même de débattre de la désactivation du chiffrement, il faut d'abord vérifier que la clé de récupération de tous les PC est bien sous le contrôle de l'organisation.

Profil de l’auteur

Page de présentation de l’auteur de l’article.

Go Komura

Représentant de KomuraSoft LLC

Spécialisé dans le développement de logiciels Windows, le conseil technique et l’analyse de pannes, notamment pour les systèmes existants et les incidents difficiles à reproduire.