Vous activez Secure Boot dans le BIOS, et le message tombe : « Secure Boot can be enabled when system in User Mode. Repeat operation after enrolling Platform Key (PK) ». Frustrant, surtout quand Windows 11 réclame cette option pour valider l’éligibilité de votre machine. Le problème vient rarement d’une panne – il vient d’une séquence de configuration incomplète, que l’on peut corriger en moins de dix minutes.
Que signifie réellement ce message d’erreur Secure Boot?
Le firmware UEFI distingue deux états pour Secure Boot : le Setup Mode et le User Mode. En Setup Mode, aucune Platform Key n’est enregistrée dans le firmware. Secure Boot ne peut pas fonctionner, parce qu’il n’a littéralement aucune clé maîtresse pour vérifier la chaîne de démarrage. C’est l’état par défaut d’une carte mère sortie d’usine, ou d’un système dont les clés ont été effacées manuellement.
Le User Mode est l’état opposé : la Platform Key (PK) est présente dans la mémoire non volatile du firmware. À partir de ce moment, Secure Boot peut être activé ou désactivé selon votre choix. Sans cette PK, le bouton « Enable Secure Boot » ne fait rien – ou affiche le message d’erreur que vous venez de rencontrer.
Secure Boot repose sur quatre ensembles de clés cryptographiques : la Platform Key (PK), la Key Exchange Key (KEK), la Signature Database (db) et la Forbidden Signature Database (dbx). La PK est la clé racine qui signe les autres. Si elle manque, toute la hiérarchie s’effondre. Le message d’erreur vous dit exactement cela : enrollez la PK, puis revenez activer Secure Boot.
Causes principales de l’erreur : CSM, MBR, clés absentes ou firmware obsolète
La cause la plus fréquente est un mode CSM encore actif dans le BIOS. Le CSM (Compatibility Support Module) est une couche de compatibilité qui émule le comportement du BIOS Legacy pour les anciens systèmes d’exploitation et cartes graphiques. Tant qu’il est activé, le firmware ne peut pas appliquer pleinement le protocole UEFI requis pour Secure Boot. Les deux modes sont mutuellement exclusifs dans la plupart des implémentations.
Le style de partition du disque système pose un problème similaire. Un disque partitionné en MBR (Master Boot Record) est incompatible avec le démarrage UEFI natif. Or Secure Boot n’existe que dans un contexte UEFI. Si votre disque est en MBR, Windows démarre en mode Legacy même si le BIOS propose UEFI – et Secure Boot reste inaccessible.
Les clés peuvent aussi avoir été effacées volontairement – par exemple lors d’un test de double-boot Linux avec clés personnalisées, ou via l’option « Clear Secure Boot Keys » dans le BIOS. Dans ce cas, le firmware repasse en Setup Mode. Le firmware lui-même peut être en cause : certains UEFI trop anciens ne gèrent pas Secure Boot correctement, même si l’option apparaît dans les menus. Enfin, des données BCD corrompues (Boot Configuration Data) peuvent empêcher le chargeur Windows de se présenter correctement, bloquant la validation de la chaîne de confiance même quand les clés sont présentes.
Comment activer Secure Boot en enrollant la Platform Key?
La séquence de correction est identique sur la quasi-totalité des cartes mères modernes, quelle que soit la marque. Voici les étapes dans l’ordre :
- Désactiver le CSM : cherchez cette option dans les menus « Boot » ou « Advanced » de votre BIOS. Selon les fabricants, l’intitulé peut être « CSM Support », « Launch CSM » ou « Legacy Support ». Passez-le sur « Disabled ».
- Passer le Secure Boot Mode en Custom : cette option se trouve généralement dans l’onglet « Security » ou « Boot » du BIOS. Elle était probablement sur « Standard » – passez-la sur « Custom » pour débloquer la gestion des clés.
- Restaurer les clés d’usine (Restore Factory Keys) : une option apparaît alors, souvent nommée « Restore Factory Keys », « Install Default Secure Boot Keys » ou « Reset to Setup Mode ». Sélectionnez-la et confirmez. Le firmware réinstalle la PK Microsoft, la KEK et les bases de données db/dbx.
- Repasser le Secure Boot Mode en Standard, puis activez Secure Boot. Sauvegardez (F10 en général) et redémarrez.
Une astuce que beaucoup d’utilisateurs ignorent : sur certaines cartes mères, le simple fait de basculer de Standard à Custom puis de revenir à Standard déclenche automatiquement la proposition d’installer les clés par défaut. Si « Restore Factory Keys » n’apparaît pas directement, tentez cette bascule aller-retour. Après redémarrage, vérifiez dans msinfo32 que « Secure Boot State » affiche bien « On ».
Que faire si votre disque est en MBR et non en GPT?
Un disque système partitionné en MBR empêche Windows de démarrer en mode UEFI natif, ce qui rend Secure Boot inopérant. Pour vérifier votre situation, ouvrez msinfo32 (Win + R, tapez msinfo32). Regardez deux lignes : « BIOS Mode » et « Secure Boot State ». Si BIOS Mode affiche « Legacy », votre machine démarre en mode BIOS traditionnel. Si Secure Boot State affiche « Unsupported », le problème vient probablement du style de partition ou du mode de démarrage – pas d’un simple réglage BIOS.
Pour confirmer le style de partition, ouvrez l’invite de commandes en administrateur et tapez diskpart, puis list disk. Une astérisque dans la colonne « GPT » indique un disque GPT. Son absence signifie MBR.
La conversion sans réinstallation est possible avec l’outil mbr2gpt, intégré à Windows 10 et 11. Exécutez d’abord mbr2gpt /validate /allowFullOS pour vérifier que la conversion est faisable. Si la validation réussit, lancez mbr2gpt /convert /allowFullOS. L’outil convertit la table de partition sans toucher aux données. Après conversion, retournez dans le BIOS, désactivez le CSM, activez le démarrage UEFI, puis suivez la séquence d’enrollment des clés. Si mbr2gpt échoue (structure de partition non standard, trop de partitions primaires), la réinstallation propre de Windows en mode UEFI reste l’option la plus fiable. Durant l’installation, assurez-vous que le firmware est en mode UEFI pur avant de lancer le setup – Windows créera automatiquement une partition GPT avec la partition système EFI requise. Des problèmes similaires lors d’une mise à jour Windows peuvent aussi générer des erreurs de déploiement du système qui méritent d’être traitées séparément.
Résoudre l’erreur sur les cartes mères MSI et son Click BIOS
Sur une carte mère MSI, appuyez sur la touche Suppr (Delete) au démarrage pour entrer dans le Click BIOS. L’interface vous accueille sur un écran simplifié – ignorez-le et passez en mode avancé via le bouton dédié ou la touche F7.
Naviguez vers Settings > Advanced > Windows OS Configuration. C’est ici que se trouve l’option « BIOS UEFI/CSM Mode ». Passez-la sur « UEFI ». Revenez ensuite dans l’onglet « Security » (ou « Boot » selon la version du firmware) pour trouver les options Secure Boot Mode et Restore Factory Keys.
Les versions de Click BIOS 4 et 5 diffèrent légèrement dans leur organisation. En Click BIOS 5 (cartes mères Z490, B550 et versions ultérieures), l’option Secure Boot se trouve directement sous l’onglet « Security » avec un sous-menu clair. En Click BIOS 4 (cartes plus anciennes), elle peut se nicher dans « Boot » puis « Secure Boot ». Dans les deux cas, le principe est identique : désactiver CSM, passer en Custom, restaurer les clés, réactiver. Sauvegardez avec F10 et confirmez le redémarrage.
ASUS, Gigabyte et ASRock : où trouver les options Secure Boot selon votre carte mère?
Sur une carte mère ASUS, entrez dans le BIOS avec la touche F2 ou Suppr. Passez en mode Advanced (F7). Le CSM se gère dans « Boot > CSM (Compatibility Support Module) » – réglez « Launch CSM » sur Disabled. Les options Secure Boot sont dans « Boot > Secure Boot ». Cherchez « Secure Boot Mode » à passer sur Custom, puis « Key Management » pour accéder à « Install Default Secure Boot Keys ».
Chez Gigabyte, l’accès au BIOS se fait via Suppr ou F2. Une fois dans l’interface, naviguez vers « BIOS > Windows 8/10 Features » et sélectionnez « Windows 8/10 WHQL Support » ou « Other OS ». Désactivez le CSM dans « BIOS > CSM Support ». Les options Secure Boot se trouvent dans « BIOS > Secure Boot » avec les entrées « Secure Boot Mode » et « Restore Factory Keys ».
Sur une carte ASRock, la touche d’entrée BIOS est F2 ou Suppr. Rendez-vous dans « Advanced > CPU Configuration » d’abord pour vérifier la compatibilité UEFI, puis dans « Security > Secure Boot ». L’option « Secure Boot Mode » y est accessible, ainsi que « Enroll EFI Image » et « Restore Factory Keys ». Le CSM se désactive dans « Boot > CSM ».
Secure Boot et Windows 11 : pourquoi Microsoft impose cette contrainte
Windows 11 impose deux prérequis matériels que beaucoup de machines assemblées avant 2018 ne satisfont pas nativement : Secure Boot activé et TPM 2.0 présent. L’outil PC Health Check de Microsoft vérifie ces deux conditions avant d’autoriser la mise à niveau. Si Secure Boot affiche « Non » ou TPM « Introuvable », l’outil signale la machine comme non compatible.
Dans msinfo32, la ligne « Secure Boot State » peut afficher trois valeurs : « On » (actif et fonctionnel), « Off » (clés présentes mais Secure Boot désactivé) ou « Unsupported » (le système démarre en Legacy ou la partition est en MBR). La valeur « Unsupported » est la plus problématique car elle indique un problème de couche plus profonde qu’un simple réglage BIOS.
Microsoft justifie cette exigence par la protection contre les bootkits et rootkits qui s’installent avant le chargement du système d’exploitation. Selon les données de Microsoft Security Intelligence, les menaces ciblant le processus de démarrage ont progressé ces dernières années, avec des familles de malwares comme BlackLotus capables de contourner Secure Boot si mal configuré. Activer correctement Secure Boot avec les clés Microsoft signées réduit cette surface d’attaque de façon mesurable. Si votre machine peine à se mettre à jour ou affiche des erreurs liées à la configuration système, vérifiez aussi l’état de vos mises à jour Windows, qui peuvent masquer d’autres problèmes de compatibilité.
Secure Boot reste bloqué après manipulation : pistes de diagnostic avancées
Si vous avez suivi la séquence standard et que Secure Boot reste inaccessible ou grisé, plusieurs causes moins courantes sont à examiner. La première : le firmware est trop ancien pour gérer correctement les clés Secure Boot. Vérifiez la version de votre BIOS dans msinfo32 (ligne « Version du BIOS/Date ») et comparez-la aux dernières versions disponibles sur le site du fabricant. Une mise à jour du firmware résout parfois ce blocage sans autre manipulation.
Si l’option Secure Boot est grisée et non modifiable, c’est souvent parce que le CSM est encore partiellement actif, ou parce qu’une option de supervision (Supervisor Password) verrouille les modifications. Vérifiez qu’aucun mot de passe administrateur BIOS ne restreint l’accès aux paramètres de sécurité.
Pour les cas de BCD corrompu, ouvrez une invite de commandes en administrateur depuis un support de réparation Windows (WinRE) et exécutez :
bootrec /fixmbr– répare le secteur de démarragebootrec /fixboot– réécrit le secteur de démarrage de la partition activebootrec /rebuildbcd– reconstruit la base de données BCD
Si le BCD est si corrompu que Windows ne démarre plus du tout, la commande de réparation de l’image système via DISM peut également aider à restaurer un environnement cohérent avant de relancer la configuration Secure Boot. Dans les cas extrêmes où les clés refusent de s’enroller malgré toutes les manipulations – firmware à jour, CSM désactivé, disque en GPT – une réinitialisation complète du BIOS aux valeurs d’usine (bouton sur la carte mère ou option « Load Optimized Defaults ») remet les compteurs à zéro et permet généralement de repartir sur une base saine.
Une machine qui démarre avec Secure Boot correctement configuré, TPM 2.0 actif et Windows installé en mode UEFI sur un disque GPT est une machine où les attaques au niveau du bootloader deviennent exponentiellement plus difficiles. C’est un chantier d’une heure, rarement plus.