Secure Boot sur les VPS Windows et les VM Proxmox : mettre à jour les certificats 2023

Le certificat Microsoft Windows Production PCA 2011, qui signe le gestionnaire de démarrage de Windows, a expiré le 19 octobre 2026. C'est le dernier des trois certificats Secure Boot 2011 à expirer, après le Microsoft Corporation KEK CA 2011 (24 juin 2026) et le Microsoft UEFI CA 2011 (27 juin 2026). Les machines concernées démarrent toujours, mais celles dont le firmware UEFI ne contient que les certificats 2011 ne reçoivent plus les nouveaux correctifs du gestionnaire de démarrage Windows ni les mises à jour de la base de révocation Secure Boot.

Ce tutoriel s'adresse aux administrateurs de VPS Windows, de serveurs dédiés sous Proxmox et de machines virtuelles Windows. Il vous guide pas à pas pour vérifier l'état de vos certificats Secure Boot sous Windows, configurer les remplacements 2023 et scripter la mise à jour en masse sur vos VM Proxmox. Que vous administriez un seul VPS ou une infrastructure de virtualisation complète avec plusieurs dizaines de machines virtuelles, les étapes sont les mêmes.

Ce sujet fait suite à notre article sur la faille UEFI PXE Boot dans EDK2 : la chaîne de démarrage UEFI reste un vecteur d'attaque actif, et maintenir ses certificats Secure Boot à jour est une couche de protection indispensable.

BIOS, UEFI et Secure Boot

Avant de parler de certificats, il faut comprendre la différence entre BIOS et UEFI. Le BIOS (Basic Input/Output System) est l'ancien firmware des cartes mères : il initialise le processeur, la RAM et les périphériques de stockage (disque dur, SSD), puis charge le premier secteur du disque pour démarrer le système d'exploitation. Le BIOS ne vérifie rien : n'importe quel code écrit dans le MBR (Master Boot Record) s'exécute sans contrôle.

UEFI (Unified Extensible Firmware Interface) est le successeur du BIOS. Il gère le démarrage depuis une partition EFI (ESP, EFI System Partition) formatée en FAT32, stockée sur le disque dur ou le SSD du serveur. Cette partition contient les fichiers de démarrage signés numériquement. Contrairement au BIOS, le firmware UEFI peut vérifier la signature de chaque binaire chargé au démarrage : c'est le rôle de Secure Boot.

Secure Boot est une fonctionnalité du firmware UEFI (pas du BIOS) qui refuse d'exécuter tout bootloader ou pilote dont la signature n'est pas reconnue. Un VPS Windows configuré en mode UEFI avec Secure Boot activé est protégé contre les bootkits et les rootkits qui tentent de s'insérer dans la chaîne de démarrage. Un VPS en mode BIOS legacy ne bénéficie pas de cette protection, quelle que soit la version de Windows installée.

Pour vérifier si votre VPS démarre en mode UEFI sous Windows : ouvrez le Menu démarrer, tapez msinfo32 et appuyez sur Entrée. Dans la fenêtre Informations système, cherchez la ligne Mode BIOS : elle indique UEFI ou Hérité (Legacy BIOS). Si vous êtes en mode BIOS, Secure Boot n'est pas disponible et ce tutoriel ne s'applique pas à votre serveur.

La chaîne de certificats Secure Boot

Secure Boot vérifie la signature numérique de chaque composant chargé au démarrage : bootloader, noyau, pilotes. Seuls les binaires signés par un certificat présent dans la base de données Secure Boot (variable db) sont autorisés à s'exécuter. Cette vérification empêche le chargement de logiciels malveillants au niveau du firmware, avant même que le système d'exploitation Windows et les logiciels de sécurité (antivirus, EDR) ne soient chargés.

La chaîne de confiance repose sur quatre variables stockées dans la mémoire non volatile du firmware UEFI :

• PK (Platform Key) : la clé racine (root of trust) du firmware, contrôlée par le fabricant de la carte mère ou l'hyperviseur de virtualisation ;
• KEK (Key Exchange Key) : autorise la modification des bases de données db et dbx sans accès physique au serveur ;
• db (Allowed Database) : contient les certificats des éditeurs autorisés (Microsoft, fabricants de matériel) ;
• dbx (Revocation Database) : contient les signatures et hachages de binaires révoqués, similaire à une liste noire.

Quand Microsoft signe un nouveau gestionnaire de démarrage Windows avec un certificat mis à jour, le firmware doit disposer du certificat correspondant dans db pour accepter la signature. C'est exactement le problème posé par l'expiration des certificats 2011 : les nouveaux binaires sont signés avec les certificats 2023, et un firmware qui ne les contient pas refuse de les charger.

Les trois certificats 2011 expirés en 2026

Microsoft a émis ses certificats Secure Boot originaux en 2011. En 2026, les trois ont expiré :

Le firmware UEFI ne vérifie pas la date d'expiration des certificats lors du démarrage : un système dont les certificats 2011 sont encore dans db continue de démarrer normalement avec les anciens binaires signés. En revanche, Microsoft ne peut plus signer de nouveaux gestionnaires de démarrage avec les clés 2011 expirées. Les nouveaux binaires sont signés avec les certificats 2023. Un firmware qui ne contient pas le certificat Windows UEFI CA 2023 dans db refusera ces nouveaux binaires, ce qui bloque les mises à jour de sécurité du démarrage.

Ce que cela change sous Windows sur un VPS

Sur un VPS Windows Server administré à distance, les conséquences concrètes sont :

• Le VPS démarre normalement. Les binaires déjà installés sur le disque dur ou le SSD restent fonctionnels. Les mises à jour Windows classiques (correctifs de sécurité, Patch Tuesday) continuent de s'installer via Windows Update.
• Les mises à jour du gestionnaire de démarrage sont bloquées. Microsoft ne peut plus pousser de nouveau Windows Boot Manager signé avec les certificats 2011. Si une vulnérabilité de type bootkit est découverte, le VPS ne recevra pas le correctif de démarrage.
• Les mises à jour de la liste de révocation Secure Boot (dbx) sont bloquées. Sans le KEK 2023, Windows ne peut pas appliquer les nouvelles entrées de révocation qui bloquent les bootkits connus.
• Les logiciels de sécurité sous Windows (antivirus, pare-feu Windows, solutions EDR) protègent le système d'exploitation une fois démarré. Ils ne détectent pas les menaces qui s'installent avant le chargement du noyau. Secure Boot est la seule couche de protection au niveau du firmware.

En résumé : le VPS fonctionne, mais une partie de sa chaîne de démarrage n'est plus maintenable. Pour un serveur exposé en production, c'est un risque qui s'accumule. Combiné avec le durcissement de RDP et du firewall, la mise à jour des certificats Secure Boot fait partie de la posture de sécurité de base d'un VPS Windows. La même logique s'applique si vous hébergez un serveur de jeu sous Windows, par exemple un serveur DayZ sur VPS Windows.

Vérifier l'état des certificats sous Windows

Avant toute action, vérifiez quels certificats sont actuellement inscrits dans le firmware de votre VPS Windows. Deux méthodes sont possibles : l'interface graphique (pour les administrateurs connectés en bureau à distance) et PowerShell (recommandé pour les VPS sans interface graphique ou pour scripter la vérification).

Méthode 1 : interface graphique (bureau à distance)

Connectez-vous à votre VPS Windows en bureau à distance (RDP). Si le port RDP est bloqué, consultez notre guide pour débloquer le port RDP sur un VPS Windows. Une fois connecté :

1. Ouvrez le Menu démarrer et tapez Sécurité Windows (ou Windows Security sur un système en anglais).
2. Cliquez sur Sécurité de l'appareil (Device Security).
3. Dans la section Démarrage sécurisé (Secure Boot), l'interface affiche l'un des messages suivants :

• "All required certificate updates have been applied" : les certificats 2023 sont en place, aucune action nécessaire ;
• "Older boot trust configuration" : les certificats 2023 ne sont pas encore inscrits, des mises à jour sont en attente ;
• "Can no longer receive required updates" : le firmware ne contient que les certificats 2011 expirés.

Vous pouvez aussi vérifier le mode de démarrage : ouvrez le Menu démarrer, tapez msinfo32 et cherchez la ligne Mode BIOS. Si elle indique UEFI, Secure Boot est disponible. Si elle indique Hérité, le serveur est en mode BIOS et Secure Boot n'est pas actif.

Méthode 2 : PowerShell (recommandé sur VPS sans interface graphique)

Ouvrez une session PowerShell en tant qu'administrateur. Sur Windows Server Core (sans interface graphique), connectez-vous en SSH ou via la console du panneau d'administration de votre hébergeur. La commande suivante vérifie la présence du certificat Windows UEFI CA 2023 dans la base db :

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

Si la commande renvoie True, le certificat 2023 est inscrit. Si elle renvoie False, il faut procéder à la mise à jour. Pour afficher la liste complète des certificats inscrits dans db dans un format lisible :

Get-SecureBootUEFI -Name db -Decoded

La sortie liste chaque certificat avec son nom (Subject), sa date de validité (ValidTo) et l'algorithme de signature. Vérifiez la présence de lignes contenant Windows UEFI CA 2023 et Microsoft UEFI CA 2023. Vous pouvez aussi vérifier le KEK :

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'KEK 2K CA 2023'

Configurer et mettre à jour les certificats sous Windows

La méthode dépend de l'environnement. Sur un VPS Windows géré par un hébergeur avec Windows Update actif, le processus est automatique. Sur une machine virtuelle Proxmox, il faut d'abord inscrire les certificats côté hyperviseur (section suivante).

Via Windows Update (méthode recommandée)

Sur les VPS Windows connectés à Internet avec Windows Update actif, Microsoft déploie les certificats 2023 via les mises à jour cumulatives. Assurez-vous que Secure Boot est activé dans le firmware et que les mises à jour ne sont pas suspendues. Le déploiement nécessite plusieurs redémarrages : les certificats transitent d'abord dans le système d'exploitation sous Windows, puis sont inscrits dans le firmware UEFI au redémarrage suivant. Consultez notre guide sur le Patch Tuesday d'octobre 2026 pour les autres correctifs à appliquer.

Pour forcer la recherche de mises à jour depuis PowerShell (session administrateur) :

Install-Module PSWindowsUpdate -Force -Scope CurrentUser
Get-WindowsUpdate -Install -AcceptAll -AutoReboot

Redémarrez le VPS après l'installation. Vérifiez à nouveau les certificats avec les commandes PowerShell de la section précédente.

Manuellement via le registre Windows et PowerShell

Si le VPS est dans un réseau isolé (serveur WSUS, pas d'accès direct à Windows Update) ou si les certificats n'ont pas été poussés automatiquement, forcez l'inscription manuellement en PowerShell (session administrateur). La valeur 0x5944 dans le registre déclenche l'inscription de tous les certificats 2023 en attente :

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot" `
  -Name "AvailableUpdates" -Value 0x5944
Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

Redémarrez le VPS après l'exécution. L'inscription se fait en plusieurs passes. Vérifiez la valeur du registre AvailableUpdates après chaque redémarrage :

Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot" `
  -Name "AvailableUpdates" | Select-Object -ExpandProperty AvailableUpdates

• 0x4100 : un second passage est nécessaire. Relancez la tâche planifiée et redémarrez le serveur ;
• 0x4000 : l'inscription est terminée. Tous les certificats 2023 sont en place.

Installation de Windows et Secure Boot sur un VPS

Si vous installez un nouveau VPS Windows Server à partir de zéro, la configuration de Secure Boot et des certificats dépend de l'environnement :

• VPS chez un hébergeur : l'hébergeur fournit une image Windows avec un firmware UEFI préconfiguré. Les certificats 2023 sont normalement inscrits dès la création du VPS. Vérifiez avec les commandes PowerShell ci-dessus après l'installation de Windows.
• Machine virtuelle sur Proxmox : lors de la création de la VM, sélectionnez le type de firmware OVMF (UEFI) et cochez Pre-Enroll Keys. Depuis Proxmox VE 9.2, cette option inscrit automatiquement les certificats 2023. Configurez ensuite les ressources de la machine virtuelle : processeur (vCPU), RAM et disque virtuel (SSD ou disque dur selon votre stockage).
• Serveur physique (bare metal) : accédez à la configuration du firmware (écran "BIOS Setup" au démarrage). Activez Secure Boot dans les paramètres de sécurité. Les certificats Microsoft sont préchargés par le fabricant de la carte mère. Si le serveur est ancien, une mise à jour du firmware (BIOS/UEFI) peut être nécessaire pour obtenir les certificats 2023.

Lors de l'installation de Windows depuis une image ISO ou une clé USB de démarrage, le programme d'installation détecte automatiquement la partition EFI existante ou en crée une nouvelle. La partition EFI (environ 100 Mo, formatée en FAT32) est distincte de la partition système où Windows s'installe. Ne la supprimez pas et ne la formatez pas manuellement : elle contient les fichiers de démarrage signés dont Secure Boot a besoin.

Configurer les certificats 2023 sur les VM Proxmox

Si vous hébergez des machines virtuelles Windows sur un serveur dédié sous Proxmox VE, les certificats Secure Boot sont stockés dans le disque EFI virtuel de chaque VM. Depuis Proxmox VE 9.2 (mai 2026), l'interface web et l'API permettent d'inscrire les certificats Microsoft 2023 directement, sans manipulation manuelle du firmware. La virtualisation sous Proxmox utilise QEMU/KVM avec le firmware OVMF (variante open source de l'UEFI) pour chaque machine virtuelle.

Détecter les VM concernées

Depuis Proxmox VE 9.2, un avertissement apparaît dans les logs de démarrage de chaque VM dont le disque EFI ne contient pas les certificats 2023 :

WARN: EFI disk without 'ms-cert=2023k' option, suggesting that not all UEFI 2023 certificates from Microsoft are enrolled yet.

Le paramètre ms-cert dans le fichier de config de la VM (fichier .conf dans /etc/pve/qemu-server/) indique l'état de l'inscription :

• Aucun marqueur : seuls les certificats 2011 sont présents ;
• ms-cert=2023w ou ms-cert=2023 : inscription partielle (CA 2023 sans le KEK 2023) ;
• ms-cert=2023k : inscription complète (CA + KEK 2023). C'est la valeur cible.

Inscrire les certificats depuis l'interface web

Connectez-vous à l'interface web de Proxmox (port 8006) avec votre nom d'utilisateur et votre mot de passe. Éteignez la machine virtuelle (l'opération nécessite que la VM soit arrêtée). Dans le panneau de gauche, sélectionnez la VM, puis naviguez vers Hardware. Sélectionnez le EFI Disk, cliquez sur Disk Action puis Enroll Updated Certificates. Confirmez l'opération.

La ligne de configuration du disque EFI passe de :

local-lvm:vm-101-disk-0,efitype=4m,pre-enrolled-keys=1,size=4M

à :

local-lvm:vm-101-disk-0,efitype=4m,ms-cert=2023k,pre-enrolled-keys=1,size=4M

Inscrire les certificats en ligne de commande via SSH

Connectez-vous en SSH au noeud Proxmox avec un compte root ou un nom d'utilisateur disposant des droits sudo. Depuis le terminal :

qm enroll-efi-keys 101

Remplacez 101 par l'identifiant de votre VM. Redémarrez la machine virtuelle après l'inscription. Pour le dimensionnement de votre infrastructure de virtualisation Proxmox (processeur, RAM, stockage SSD), consultez notre guide dimensionner Proxmox VE sur un serveur dédié 40 coeurs.

Côté guest Windows : finaliser l'inscription

L'inscription côté hyperviseur met les certificats dans le firmware UEFI de la machine virtuelle. Sous Windows, le système d'exploitation doit ensuite détecter les nouveaux certificats et mettre à jour sa propre configuration Secure Boot. Si la mise à jour ne s'applique pas automatiquement via Windows Update, utilisez la procédure manuelle décrite plus haut (registre AvailableUpdates avec la valeur 0x5944, puis tâche planifiée Secure-Boot-Update). Redémarrez le VPS après chaque passage.

VM Linux sur Proxmox

Pour les VM Linux avec Secure Boot activé (Debian, Ubuntu, Rocky Linux), l'inscription côté hyperviseur suffit en général. Ces distributions utilisent un shim signé par Microsoft, et la signature repose sur le certificat Microsoft UEFI CA qui est inscrit avec la commande qm enroll-efi-keys. Aucune action côté guest n'est requise dans la plupart des cas.

Script de mise à jour pour plusieurs VM Proxmox

Si vous administrez un grand nombre de machines virtuelles sur un ou plusieurs serveurs dédiés Proxmox, un script Bash permet d'éviter de répéter l'opération pour chaque VM. Le script suivant détecte les VM dont le disque EFI ne contient pas les certificats 2023 et lance l'inscription automatiquement. Connectez-vous en SSH au noeud Proxmox avec un compte root :

#!/bin/bash
# Script : inscription des certificats Secure Boot 2023 sur toutes les VM UEFI
for vmid in $(qm list | awk 'NR>1 {print $1}'); do
    config=$(qm config "$vmid")
    # Verifier que la VM a un disque EFI (mode UEFI)
    if echo "$config" | grep -q "efidisk0"; then
        # Verifier si les certificats 2023 sont deja inscrits
        if ! echo "$config" | grep -q "ms-cert=2023k"; then
            status=$(qm status "$vmid" | awk '{print $2}')
            if [ "$status" = "stopped" ]; then
                echo "VM $vmid : inscription des certificats 2023..."
                qm enroll-efi-keys "$vmid"
            else
                echo "VM $vmid : en cours d execution, arretez-la d abord."
            fi
        else
            echo "VM $vmid : certificats 2023 deja inscrits."
        fi
    fi
done

Enregistrez ce script dans un fichier (par exemple /root/enroll-sb-certs.sh), rendez-le exécutable avec chmod +x /root/enroll-sb-certs.sh et lancez-le avec sudo bash /root/enroll-sb-certs.sh. Le script ne touche pas aux VM en cours d'exécution : planifiez une fenêtre de maintenance pour les arrêter, lancer le script, puis les redémarrer. Pour automatiser d'autres tâches d'administration sur Proxmox, consultez notre guide sur les Proxmox VE Helper Scripts.

Si votre infrastructure comprend plusieurs noeuds Proxmox avec des adresses IP différentes, exécutez le script sur chaque noeud via SSH ou utilisez un outil d'automatisation comme Ansible pour distribuer la commande. Pour la haute disponibilité et les sauvegardes (backup) de votre infrastructure, consultez notre guide sauvegardes et haute disponibilité sur serveur dédié.

Précautions BitLocker et sauvegardes

Si BitLocker est activé sur le VPS Windows, l'inscription de nouveaux certificats Secure Boot modifie le PCR 7 (Platform Configuration Register) du TPM, ce qui peut déclencher une demande de clé de récupération BitLocker au redémarrage. Avant toute modification des certificats :

1. Effectuez un backup complet du VPS (image disque ou sauvegarde des volumes). Si vous n'avez pas de solution de sauvegarde en place, consultez notre guide sauvegardes et haute disponibilité.
2. Sauvegardez la clé de récupération BitLocker. Sous Windows, ouvrez PowerShell en tant qu'administrateur et exportez la clé :

(Get-BitLockerVolume -MountPoint C:).KeyProtector |
  Where-Object {$_.KeyProtectorType -eq 'RecoveryPassword'} |
  Select-Object -ExpandProperty RecoveryPassword

Notez cette clé dans un endroit sûr (gestionnaire de mots de passe, Active Directory, Azure AD). Suspendez ensuite temporairement la protection BitLocker :

manage-bde -protectors -disable C:

La protection se réactive automatiquement au redémarrage suivant. Cette précaution évite de se retrouver bloqué devant un écran de récupération BitLocker sur un VPS distant sans accès console. Si vous n'avez plus la clé de récupération et que BitLocker se déclenche, la seule option est de réinstaller Windows depuis un backup.

Récapitulatif des actions par situation

Voici les actions à mener selon votre situation :

Si vous cherchez un VPS Windows ou un serveur dédié avec Secure Boot activé et des certificats UEFI à jour, consultez nos offres VPS Windows et serveurs dédiés. Pour configurer un firewall virtuel devant vos services, consultez notre guide pour installer pfSense en VM Proxmox. Pour la sécurisation complète d'un serveur dédié, consultez notre guide des premiers réglages de sécurité.