Depuis Windows 11 24H2, un comportement étrange se manifeste : lors d’une installation propre ou d’une réinstallation sur un appareil doté d’une puce TPM et du démarrage sécurisé activé, la quasi-totalité des partitions de disque sont automatiquement chiffrées. En effet, tous les disques connectés (y compris le disque système) sont chiffrés avec BitLocker, même sans configuration manuelle. Ce comportement est indépendant du compte utilisé (local ou Microsoft) et de l’édition de Windows (Familiale, Professionnelle ou Entreprise).Avant cette mise à jour, le chiffrement automatique des périphériques était aléatoire : il ne fonctionnait que sur les machines équipées d’une puce TPM, de la veille moderne et ayant réussi le test HSTI. Désormais, il semble être intégré au système.
Il est important de noter que ce chiffrement intervient lors de la dernière phase de configuration initiale (OOBE), à la fin de l’installation de Windows. Les données sont chiffrées, mais ne sont réellement protégées par la clé BitLocker qu’à la première connexion à Windows. C’est lors de cette première connexion que la clé de chiffrement du volume peut être facilement extraite (la sécurité n’est donc pas optimale dès le départ).En résumé, vos données ne sont pas totalement protégées tant que vous n’avez pas configuré vous-même la clé de chiffrement.
- Lorsque vous vous connectez avec un compte Microsoft (MSA), la protection s’active et la clé de récupération BitLocker est envoyée au cloud Microsoft, à Entra ID ou à votre configuration AD — si vous l’avez configurée pour stocker les clés de récupération.
- Si vous vous connectez avec un compte local, vos données ne sont pas protégées tant que vous n’avez pas explicitement configuré un protecteur de clé. C’est un peu étrange, mais c’est comme ça que ça fonctionne.
Si le chiffrement automatique de votre appareil ne vous convient pas, ou si vous souhaitez simplement le contrôler, vous pouvez le désactiver dans Paramètres → Confidentialité et sécurité. Il suffit de désactiver le chiffrement de l’appareilOff. C’est très simple, mais pour un contrôle plus poussé, comme l’empêcher pendant l’installation, il existe des astuces via la ligne de commande et le registre.
Pour vérifier si votre volume est chiffré, ouvrez une invite de commandes ou une fenêtre PowerShell et exécutez :
manage-bde -statusSi vous souhaitez désactiver immédiatement le chiffrement sur un lecteur spécifique (par exemple, C:), exécutez :
manage-bde -off C:Et si vous êtes vraiment sérieux et souhaitez désactiver complètement BitLocker sur tous les disques, vous pouvez exécuter cette commande depuis PowerShell avec des droits d’administrateur :
Get-BitLockerVolume | Disable-BitLockerAutre chose : si vous souhaitez empêcher le chiffrement des disques lors de l’installation de Windows, vous pouvez utiliser Rufus pour créer votre support d’installation. Lors de la gravure de l’ISO, assurez-vous de cocher l’option « Désactiver le chiffrement automatique BitLocker ».Cela empêchera le système d’exploitation de chiffrer les disques de manière inattendue. Bien sûr, pour un contrôle total, vous pouvez également désactiver le chiffrement des périphériques pendant l’installation.
Voici comment cela fonctionne :
- Après la copie des fichiers Windows 11, le PC redémarre sur l’écran OOBE (région, langue, etc.).
- Appuyez sur cette touche
Shift+F10pour ouvrir une invite de commandes directement ici. - Si vous souhaitez modifier le registre, exécutez
regedit.exe. - Accédez à HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\BitLocker. Créez ensuite un nouveau paramètre DWORD (32 bits) appelé PreventDeviceEncryption.
- Attribuez la valeur 1 à cette valeur. Ou, à partir de la ligne de commande, vous pouvez exécuter :
REG ADD HKLM\SYSTEM\CurrentControlSet\Control\BitLocker /v PreventDeviceEncryption /t REG_DWORD /d 1 /fFermez ensuite l’Éditeur du Registre ou l’invite de commandes et poursuivez l’installation de Windows. Le chiffrement des disques ne sera pas automatique de cette manière. C’est un peu étrange, mais ça fonctionne — parfois du premier coup, parfois non ; un redémarrage peut donc être nécessaire.