Le Secure Boot (ou « démarrage sécurisé » en français) est une fonction de sécurité présente sur la plupart des PC modernes. Elle agit dès l’allumage de la machine : seuls les composants de démarrage dotés d’une signature reconnue par le firmware UEFI sont autorisés à se charger, ce qui contribue à empêcher certains logiciels malveillants — notamment les bootkits et certains rootkits — de s’exécuter avant même le système d’exploitation. C’est aussi l’une des conditions posées par Windows 11 — d’où les nombreuses questions autour de son activation. Ce guide fait le tour complet : vérifier son état, l’activer, débloquer les cas récalcitrants, et le désactiver quand c’est justifié.
Secure Boot, c’est quoi ?
Le Secure Boot est une fonction de sécurité de l’UEFI qui vérifie que les composants logiciels nécessaires au démarrage disposent d’une signature reconnue par le firmware — bloquant ainsi le chargement de composants non approuvés, bootkits et rootkits en tête. Son nom officiel en français est « démarrage sécurisé ».
L’UEFI est le programme de base qui s’exécute sur votre machine avant même le système d’exploitation. Il s’agit du successeur du BIOS traditionnel — les deux termes sont souvent employés l’un pour l’autre, mais l’UEFI est la version moderne, et c’est lui qui rend le Secure Boot possible. C’est au sein de cette interface UEFI que le Secure Boot s’active, se désactive et se configure.
Comment vérifier si Secure Boot est activé ?
Avant toute manipulation, le premier réflexe est de savoir si le Secure Boot protège déjà votre poste. Voici deux méthodes, de la plus simple à la plus technique.
La méthode la plus simple, en une minute
- Appuyez simultanément sur Win + R pour ouvrir la fenêtre d’exécution.
- Tapez « msinfo32 » puis validez : la page des informations système s’affiche.
- Repérez la ligne « État du démarrage sécurisé ».
Trois résultats sont possibles :
- Activé : la fonction est disponible et active — votre poste est protégé.
- Désactivé : la fonction est disponible mais inactive (voir plus bas comment l’activer).
- Non pris en charge : la fonction n’est pas disponible en l’état — voir la section « Secure Boot non pris en charge ou impossible à activer » pour en comprendre la cause.
Pour les utilisateurs à l’aise avec les lignes de commande
Vous pouvez aussi vérifier l’état via PowerShell :
- Ouvrez PowerShell en tant qu’administrateur (clic droit sur le menu Démarrer → « Terminal (administrateur) » ou « PowerShell (admin) »).
- Saisissez la commande suivante :
Selon le retour affiché :
- $True : le Secure Boot est pris en charge et déjà activé.
- $False : la fonction est prise en charge mais désactivée.
- « cmdlet not supported on this platform » : le Secure Boot n’est pas pris en charge (poste en mode Legacy/CSM, voir plus bas).
Pourquoi Windows 11 exige Secure Boot
Pour installer Windows 11, Microsoft impose que la machine dispose d’un firmware UEFI compatible Secure Boot et d’un module TPM 2.0. Ce sont deux exigences distinctes : le Secure Boot est une fonction du firmware UEFI, le TPM 2.0 un module matériel séparé.
Le rôle de chacune est complémentaire :
- Secure Boot vérifie la confiance de chaque composant logiciel avant son exécution au démarrage.
- TPM 2.0 stocke de façon sécurisée les clés de chiffrement et mesure l’intégrité de la plateforme.
Comment activer Secure Boot (Windows 11)
prérequis
Pour activer Secure Boot sous Windows 11, la démarche varie selon le fabricant de votre machine : les touches d’accès et certains écrans de validation diffèrent.
Avant d’activer le Secure Boot, l’essentiel est que Windows démarre en mode UEFI et que votre firmware prenne en charge le Secure Boot — c’est la véritable condition technique. Pour Windows 11, le TPM 2.0 est également requis, mais il s’agit d’une exigence distincte du Secure Boot. Par ailleurs, une installation Windows 11 en mode UEFI utilise généralement un disque configuré en GPT : si votre installation actuelle est en MBR et démarre en mode Legacy, il faudra en général la convertir en GPT avant de basculer vers un démarrage UEFI (voir plus bas).
Vérifions d’abord si le TPM 2.0 est actif :
1. Sélectionnez Win + R pour activer l’executeur de programme.
2. Tapez « tpm.msc » puis cliquez sur « OK » (ou touche Entrée).
3. Vérifiez le statut du TPM. S’il est prêt à l’emploi, passez à la vérification du disque. Sinon, une vérification supplémentaire auprès du guide de votre fabricant sera nécessaire.
Vérifions maintenant la configuration du disque Windows :
1. Depuis le bureau, faites Win + X puis choisissez « Gestion des disques ».
2. Localisez le disque qui héberge Windows (généralement le disque C), faites un clic droit dessus puis Propriétés.
3. Ouvrez l’onglet « Volumes » : la ligne « Style de partition » indique soit Table de partition GUID (GPT) — la configuration attendue pour un démarrage UEFI — soit Secteur de démarrage principal (MBR).
Si le disque est en MBR, il faudra le convertir en GPT avant de basculer vers un démarrage UEFI (voir la section « Secure Boot non pris en charge ou impossible à activer »).
Une fois dans l’interface UEFI, l’activation suit toujours la même logique, quel que soit le fabricant :
- Redémarrez votre poste et accédez à l’interface UEFI en pressant, dès le démarrage, la touche correspondant à votre marque (voir le tableau ci-dessous). Il faut souvent l’appuyer plusieurs fois de suite.
- Rendez-vous dans l’onglet Sécurité (Security) ou Démarrage (Boot).
- Repérez l’option Secure Boot et passez-la sur « Activé ».
- Sélectionnez « Enregistrer » puis « Quitter » (Save & Exit), selon la marque de votre poste.
L’ordinateur redémarre alors avec le Secure Boot activé.
Pour mémoire, les touches d’accès à l’UEFI les plus courantes selon la marque :
| Fabricant | Touche d’accès UEFI | GEEKOM | Suppr ou Échap |
|---|---|
| Asus | F2 ou Suppr |
| Dell | F2 |
| HP | Échap ou F10 |
| Lenovo | F1 ou F2 |
| MSI | Suppr |
| Acer | F2 |
Si l’option Secure Boot est grisée ou introuvable, c’est généralement lié au mode Legacy/CSM ou à un disque en MBR : voir la section suivante.
Secure Boot non pris en charge ou impossible à activer : les causes
Si msinfo32 affiche « Non pris en charge » (ou « Secure Boot State: Unsupported » sur un système en anglais), ou si l’option reste impossible à activer, cela signifie généralement que Windows ne démarre pas en mode UEFI, ou que le firmware ne prend pas correctement en charge le Secure Boot. La cause tient presque toujours à l’un des trois points suivants.
Mode Legacy / CSM activé
Le module CSM (Compatibility Support Module) fait fonctionner l’UEFI en mode « Legacy », c’est-à-dire en imitant un ancien BIOS. Dans ce mode, le Secure Boot est indisponible par construction. Il faut donc désactiver le CSM dans les réglages UEFI. Attention : si votre système a été installé en mode Legacy, le basculer en UEFI sans préparation empêchera la machine de démarrer — d’où l’importance de vérifier d’abord le mode du disque (ci-dessous).
Disque en MBR au lieu de GPT
Un démarrage en mode UEFI (nécessaire au Secure Boot) suppose en général un disque système partitionné en GPT, tandis que le mode Legacy repose sur le MBR. Si votre disque est encore en MBR et démarre en Legacy, il faut généralement le convertir en GPT avant de passer à un démarrage UEFI.
Windows fournit pour cela l’outil mbr2gpt, qui, dans son fonctionnement prévu, convertit le disque sans supprimer les données. La marche à suivre :
- Sauvegardez vos données importantes — toute manipulation du disque système comporte un risque.
- Ouvrez une invite de commandes en administrateur.
- Vérifiez que le disque est convertible :
mbr2gpt /validate - Lancez la conversion :
mbr2gpt /convert - Redémarrez, entrez dans l’UEFI, passez le mode de démarrage sur UEFI (au lieu de Legacy), puis activez le Secure Boot.
⚠️ Important : ne lancez la conversion que si
mbr2gpt /validateconfirme que le disque est éligible. Si vous exécutez l'outil directement depuis une session Windows complète (et non depuis Windows PE), l'option/allowFullOSpeut être nécessaire :mbr2gpt /validate /allowFullOS. Une conversion forcée sur un disque non conforme peut rendre le système non démarrable.
Firmware/BIOS obsolète
Si le Secure Boot reste indisponible après avoir vérifié le mode de démarrage (UEFI) et les réglages de sécurité, commencez par restaurer les clés Secure Boot par défaut dans l'UEFI (option souvent nommée « Restore Default Secure Boot Keys »). Si cela ne suffit pas, vérifiez si une mise à jour du firmware est disponible pour votre modèle : sur certaines cartes mères anciennes, le Secure Boot n'apparaît qu'après cette mise à jour. En dernier recours, contactez le support de votre fabricant.
Consultez également notre guide : Comment mettre à jour le BIOS sous Windows 11.
Comment désactiver Secure Boot
Désactiver le Secure Boot se justifie dans quelques cas précis : installer une distribution Linux dont le chargeur n'est pas signé, mettre en place un dual boot particulier, ou utiliser un pilote/matériel ancien non signé.
La procédure reflète celle de l'activation :
- Accédez à l'UEFI (voir les touches ci-dessus).
- Rendez-vous dans l'onglet Sécurité ou Démarrage (Boot).
- Passez le Secure Boot sur « Désactivé ».
- Enregistrez et quittez (Enregistrer / Save & Exit).
Un compromis à connaître : désactiver le Secure Boot revient à renoncer à une protection contre les bootkits et rootkits qui s'exécutent avant le système. À ne faire qu'en connaissance de cause, et à réactiver dès que possible.
Si votre objectif est d'installer un autre système d'exploitation, pensez aussi à la solution du dual boot, qui permet souvent de conserver le Secure Boot activé.
Secure Boot et Linux : faut-il vraiment le désactiver ?
La réponse courte : dans la grande majorité des cas, non — il n'est pas nécessaire de désactiver le Secure Boot pour utiliser Linux. Les distributions les plus courantes fonctionnent parfaitement avec le Secure Boot activé. La désactivation ne s'impose que dans des cas particuliers : pilote non signé, noyau personnalisé, ou configuration de démarrage spéciale. En clair, ce n'est pas Linux qui « refuse » le Secure Boot — c'est le plus souvent une chaîne de signatures qui ne correspond pas à votre usage précis.
Ubuntu et Linux Mint
Ubuntu comme Linux Mint démarrent avec le Secure Boot activé, sans réglage supplémentaire : leur chargeur (shim) est signé. Une étape n'est nécessaire que pour certains pilotes tiers (DKMS), qui demandent l'enregistrement d'une clé MOK.
Debian
Debian prend en charge le Secure Boot depuis sa version 10 et démarre normalement avec la fonction activée. La désactivation reste possible pour des besoins spécifiques.
Fedora
Fedora prend en charge le Secure Boot nativement et l'intègre dans sa chaîne de démarrage. Seuls certains modules tiers (pilotes non signés) peuvent nécessiter une étape supplémentaire : l'enregistrement d'une clé MOK (Machine Owner Key).
Proxmox
Sur Proxmox, le cas est plus « serveur/homelab » que desktop : Secure Boot sert surtout à verrouiller l’intégrité du boot sur une machine qui héberge des VM et des conteneurs. On peut l’utiliser, mais selon le bootloader et le stockage, il faut parfois passer par proxmox-secure-boot-support et une configuration UEFI plus soignée; c’est utile quand on veut durcir un host, pas indispensable pour un petit lab.
Désactiver Secure Boot se justifie surtout si vous installez un pilote DKMS ou propriétaire non signé, si vous compilez votre propre noyau, ou si votre machine bloque un chargeur pourtant légitime à cause d’un firmware capricieux. En clair : ce n’est pas Linux qui « refuse » Secure Boot, c’est souvent la chaîne de signatures qui ne correspond pas à votre usage.
Accéder au Secure Boot sur un mini PC GEEKOM
Sur les mini PC GEEKOM, l'accès à l'interface UEFI se fait en appuyant plusieurs fois sur la touche Suppr (ou Échap) dès le démarrage, juste après avoir allumé la machine. La touche F7, elle, ouvre le menu de démarrage (choix du périphérique de boot) — à ne pas confondre avec l'accès au BIOS. Une fois dans l'interface UEFI, l'option Secure Boot se trouve dans l'onglet Sécurité ou Démarrage.
FAQ
Est-il dangereux de désactiver le Secure Boot ?
La machine reste parfaitement fonctionnelle, mais elle perd une protection contre les logiciels malveillants qui s'exécutent au démarrage (bootkits, rootkits). Ce n'est pas un danger immédiat, mais une baisse réelle du niveau de sécurité — à réactiver dès que possible.
Le Secure Boot est-il obligatoire pour Windows 11 ?
Windows 11 nécessite un PC doté d'un firmware UEFI compatible Secure Boot et d'un TPM 2.0. En revanche, le Secure Boot n'a pas nécessairement besoin d'être activé au moment de l'installation : Microsoft demande que le système soit compatible avec cette fonction. Pour renforcer la sécurité du démarrage, il est néanmoins recommandé de laisser le Secure Boot activé lorsque c'est possible.
Que signifie « État du démarrage sécurisé : non pris en charge » ?
Cela signifie généralement que Windows n'est pas démarré en mode UEFI, ou que le firmware ne prend pas correctement en charge le Secure Boot. Un démarrage en mode Legacy/CSM en est une cause fréquente. Si le disque système est encore en MBR, une conversion vers GPT peut également être nécessaire avant de passer à un démarrage UEFI. Voir la section « Secure Boot non pris en charge ou impossible à activer ».
Le Secure Boot ralentit-il l'ordinateur ?
Non, aucun impact sur les performances. Il s'agit d'une vérification effectuée au démarrage uniquement : elle n'accélère ni ne ralentit l'utilisation quotidienne.
Geekom
GEEKOM a établi son siège de recherche et développement à Taïwan et possède plusieurs filiales dans de nombreux pays à travers le monde. Les membres de notre équipe centrale sont les piliers techniques ayant déjà travaillé chez Inventec, Quanta et d'autres entreprises renommées. Nous possédons des capacités solides en matière de R&D et d'innovation. Nous nous efforçons constamment d'atteindre l'excellence dans le domaine des produits technologiques.
