Vous n'avez pas forcément le même problème que votre voisin

Trois pannes très différentes produisent des symptômes voisins, et on perd beaucoup de temps à appliquer la solution de l'une à l'autre. Repérez d'abord la vôtre :

Sommaire

• Le déclencheur, dans neuf cas sur dix : une mise à jour de Windows

• Pourquoi Windows 11 bloque l'accès invité

• Quatre idées fausses qui circulent sur les forums

• Étape 0 : identifier son édition, sa version, et l'état actuel des réglages

• La solution propre : un compte sur le NAS

• Méthode 1 : Windows 11 Famille (PowerShell)

• Méthode 2 : Windows 11 Pro (gpedit.msc)

• Méthode 3 : le registre (toutes éditions, déployable)

• Le cas inverse : c'est votre PC qui partage le dossier

• Vérifier que le réglage est réellement appliqué

• Les 10 blocages classiques quand ça ne suffit pas

• Décoder les codes d'erreur réseau de Windows

• Côté NAS : les réglages marque par marque

• Cas particuliers vus en atelier

• Revenir en arrière et rétablir la sécurité d'origine

• Les risques réels, en clair

• Quand le problème n'est pas le réseau mais le NAS lui-même

• FAQ

• Se faire aider

Le déclencheur, dans neuf cas sur dix : une mise à jour de Windows

Le motif est presque toujours le même à l'atelier, et il vaut la peine d'être nommé, parce qu'il rassure immédiatement : rien n'est tombé en panne.

Cas A : le PC neuf. Vous remplacez un ordinateur. L'ancien, sous Windows 10, accédait au NAS sans rien demander depuis des années. Le nouveau, sous Windows 11, ne le voit pas, ou refuse d'entrer. Le NAS n'a pas bougé : c'est le client qui a changé de politique.

Cas B, le plus fréquent : la mise à jour. Le PC fonctionnait très bien. Windows Update a installé la version 24H2 (ou 25H2), et du jour au lendemain, le disque réseau a disparu, le lecteur mappé Z: affiche une croix rouge, la sauvegarde automatique échoue. Là encore, ni le NAS ni le réseau ne sont en cause : Microsoft a durci le protocole de partage de fichiers.

Cas C : l'imprimante. Le scan vers dossier partagé de la multifonction ne fonctionne plus. Celui-là est l'inverse exact des deux premiers, et il se traite différemment : voyez le cas inverse.

Comment vérifier en dix secondes que vous êtes bien dans le cas B : touche Windows + R, tapez winver, validez. Si vous lisez Version 24H2 ou 25H2 et que le problème est apparu peu après une mise à jour, vous tenez le coupable.

Pourquoi Windows 11 bloque l'accès invité

Un partage « invité » (guest), c'est un dossier accessible sans nom d'utilisateur ni mot de passe. Très pratique sur un NAS familial, sur un disque branché à la box, ou pour la fonction scan vers dossier d'une imprimante. Mais c'est aussi une porte ouverte, et pas seulement au sens « n'importe qui du réseau peut entrer ».

Le vrai problème est ailleurs, et il est plus subtil : une connexion invité ne sait pas signer les échanges SMB. Autrement dit, votre PC n'a aucun moyen de vérifier que la machine qui lui répond est bien votre NAS. Un appareil malveillant présent sur le réseau peut se faire passer pour lui, vous servir des fichiers piégés, et Windows n'y verra que du feu. C'est ce qu'on appelle une attaque de type adversary-in-the-middle.

Microsoft a donc serré la vis, version après version :

Deux conséquences très concrètes, qui expliquent la plupart des échecs :

1. Depuis 24H2, il faut deux réglages et non plus un seul. Autoriser l'invité et lever l'obligation de signature. Activer l'un sans l'autre ne change strictement rien, puisque la connexion invité sera de toute façon rejetée au moment de la signature. Les tutoriels écrits avant 2024, encore très bien référencés, ne mentionnent que le premier : c'est la source principale de frustration.

2. L'édition Famille est concernée elle aussi. On lit souvent « le problème ne touche que Windows 11 Pro ». C'était vrai avant 24H2, où seul le blocage invité entrait en jeu. Depuis 24H2, l'obligation de signature s'applique à toutes les éditions : une machine Famille est bloquée exactement de la même manière, simplement pour une raison différente.

Quatre idées fausses qui circulent sur les forums

Avant de passer aux manipulations, écartons quatre affirmations très répandues qui font perdre des heures, voire qui font prendre des risques inutiles.

« Windows 11 24H2 a supprimé NTLM, c'est pour ça que le NAS ne répond plus. » Faux. Le blocage NTLM côté client SMB existe depuis 24H2, mais il est désactivé par défaut : c'est une option que l'administrateur active volontairement (Set-SmbClientConfiguration -BlockNTLM $true). Si votre NAS ne répond plus, la cause est la signature ou l'accès invité, pas NTLM. Vous pouvez le vérifier d'une commande, plus bas.

« Il faut réactiver SMB1 pour les vieux NAS. » Non, et c'est même le pire conseil du lot. SMB1 est le protocole exploité par WannaCry en 2017 ; il est désinstallé par défaut sous Windows 11 et purement supprimé en 25H2. Réactiver SMB1 expose l'ensemble du poste pour faire fonctionner un seul appareil. La bonne réponse est la mise à jour du firmware du NAS, ou son remplacement.

« Désactiver la signature SMB, c'est ce que fait le réglage "communications signées numériquement". » Attention, ce libellé existe deux fois dans gpedit.msc : une entrée pour le Client réseau Microsoft et une pour le Serveur réseau Microsoft. Si vous accédez à un NAS, c'est la ligne Client qu'il faut modifier. Modifier la ligne Serveur n'aura aucun effet sur votre problème, et créera un autre trou de sécurité pour rien.

« Mon antivirus ou ma box bloque le partage. » C'est possible, mais c'est rarement la première cause. Testez-le en trente secondes : si le message d'erreur parle explicitement d'invités non authentifiés, le blocage vient de Windows, point. Un pare-feu ou un VPN donnent d'autres symptômes, généralement un délai d'attente long suivi de 0x80070035.

Étape 0 : identifier son édition, sa version, et l'état actuel des réglages

Tout dépend de deux informations, et les obtenir prend vingt secondes.

Votre édition : clic droit sur Démarrer → Système. Dans « Spécifications de Windows », la ligne Édition indique Windows 11 Famille (Home) ou Windows 11 Professionnel (Pro).

Votre version : Windows + R, tapez winver, validez. Vous lisez Version 23H2, 24H2 ou 25H2.

Le diagnostic en une commande. Avant de toucher à quoi que ce soit, regardez où vous en êtes. Ouvrez PowerShell en administrateur (clic droit sur Démarrer → Terminal (administrateur)) et collez :
Voici comment lire le résultat :

Si vous lisez EnableInsecureGuestLogons : False et RequireSecuritySignature : True, vous tenez l'explication complète de votre panne, et les deux lignes à changer.

La solution propre : un compte sur le NAS

Avant de dégrader la sécurité de Windows, posez-vous une seule question : votre appareil peut-il créer un utilisateur ? Sur un Synology (DSM), un QNAP (QTS), un TrueNAS, un Asustor, un Terramaster ou n'importe quel boîtier réseau des dix dernières années, la réponse est presque toujours oui, et l'opération prend deux minutes.

1. Dans l'interface web du NAS, créez un utilisateur avec un mot de passe (par exemple pc-salon). Un mot de passe simple mais non vide suffit largement : un mot de passe vide fait retomber la connexion en mode invité, et vous revoilà au point de départ.

2. Donnez-lui les droits lecture ou lecture/écriture sur le dossier partagé concerné. Sur Synology : Panneau de configuration → Dossier partagé → Modifier → Autorisations. Sur QNAP : Panneau de configuration → Privilèges → Dossiers partagés.

3. Sur le PC, ouvrez \\adresse-du-NAS, saisissez ce compte, et cochez « Mémoriser mes informations d'identification ». Vous ne le retaperez plus jamais.

4. Pour un lecteur réseau permanent, montez-le avec ces identifiants :
Ce que vous y gagnez : Windows reste dans sa configuration d'origine, la signature SMB est conservée, le chiffrement reste possible, et vous n'aurez rien à refaire à la prochaine grosse mise à jour de Windows, qui durcira encore quelque chose. Vous gagnez aussi une traçabilité : sur le NAS, les journaux indiquent qui a accédé à quoi, ce qui est impossible en accès invité.

Quand le contournement se justifie quand même. Certains appareils ne savent tout simplement pas gérer de compte, ou ne l'exposent pas : NAS ancien hors support, disque dur branché sur une box (Freebox, Livebox, Bbox, SFR Box), imprimante multifonction d'entrée de gamme, caméra réseau, lecteur multimédia, autoradio ou téléviseur qui lit un partage. C'est pour ces cas-là que les méthodes suivantes existent.

Méthode 1 : Windows 11 Famille (PowerShell)

Sur l'édition Famille, l'éditeur de stratégie de groupe n'est pas installé. Tout se règle en ligne de commande, et c'est même plus rapide.

Ouvrez PowerShell en tant qu'administrateur : clic droit sur Démarrer → Terminal (administrateur) (ou Windows PowerShell (admin) selon la version), et acceptez la fenêtre de contrôle de compte d'utilisateur.

Étape 1. Lever l'obligation de signature SMB. Indispensable à partir de 24H2, inutile mais inoffensif avant :
Étape 2. Autoriser les connexions invité non sécurisées :
Le paramètre -Force évite la demande de confirmation. Sans lui, répondez O (ou Y sur un système en anglais) puis Entrée.

Étape 3. Redémarrez le PC, puis retentez l'accès à \\adresse-du-NAS.

Méthode 2 : Windows 11 Professionnel (gpedit.msc)

Sur Windows 11 Professionnel, Entreprise ou Éducation, on passe par l'éditeur de stratégie de groupe locale. Ouvrez-le avec Windows + R → gpedit.msc → Entrée.

Paramètre 1. Activer les ouvertures de session invité non sécurisées
Double-cliquez sur « Activer les ouvertures de session invité non sécurisées », passez de Non configuré à Activé, puis OK.

Paramètre 2. Lever la signature numérique obligatoire
Trouvez « Client réseau Microsoft : communications signées numériquement (toujours) » et passez-le de Non défini à Désactivé, puis OK.

Appliquez et redémarrez. Vous pouvez forcer la prise en compte immédiate dans une invite de commandes administrateur :
Puis redémarrez le PC et retentez l'accès.

Méthode 3 : le registre (toutes éditions, déployable)

Si vous préférez une commande unique, ou si vous devez appliquer le réglage sur plusieurs postes, les deux paramètres se trouvent dans la même clé. Ouvrez une invite de commandes en administrateur et collez :
Redémarrez le PC. C'est strictement équivalent aux méthodes 1 et 2 : ce sont d'ailleurs exactement les valeurs que celles-ci écrivent en coulisses.

Pour un déploiement sur plusieurs machines, vous pouvez créer un fichier .reg à double-cliquer :

Le cas inverse : c'est votre PC qui partage le dossier

Voilà le cas que la plupart des articles oublient, et qui représente pourtant une part importante des appels que nous recevons depuis 2025.

Le scénario. Une imprimante multifonction (Brother, Canon, Epson, Kyocera, Ricoh, Sharp, Toshiba, Xerox) numérise vers un dossier partagé hébergé sur un PC Windows. Ça fonctionnait depuis des années. Le PC passe en 24H2, et le scanner affiche « erreur d'envoi », « échec de connexion au serveur SMB » ou reste muet.

Pourquoi. Ici, votre PC n'est pas le client : il est le serveur SMB. Or en 24H2, la signature est devenue obligatoire dans les deux sens, entrée comprise. L'imprimante, elle, ne sait souvent pas signer, et se connecte fréquemment en invité. Tous les réglages Set-SmbClientConfiguration du monde n'y changeront rien : ils concernent l'autre sens.

Ce qu'il faut regarder. L'équivalent côté serveur :
La bonne solution, dans l'ordre de préférence :

1. Créer un compte local dédié au scanner sur le PC (par exemple scanner, avec un mot de passe), lui donner les droits sur le dossier de destination, et renseigner ce couple identifiant/mot de passe dans l'interface web de l'imprimante (rubrique « Numériser vers SMB », « Scan to Folder » ou « Authentification du serveur SMB » selon la marque). C'est propre, c'est durable, et cela ne touche à aucun réglage de sécurité. Pensez à cocher « le mot de passe n'expire jamais » sur ce compte, sinon le scan cessera de fonctionner quelques semaines plus tard sans raison apparente.

2. Si l'imprimante est trop ancienne pour gérer un compte, et seulement dans ce cas, lever l'obligation de signature côté serveur :
3. Ne réactivez pas SMB1 pour un scanner, même si le fabricant le suggère dans une documentation de 2015. Un firmware à jour règle presque toujours le problème, et les constructeurs ont publié des mises à jour SMB2 pour la plupart des modèles encore en service.

Vérifier que le réglage est réellement appliqué

Après redémarrage, dans PowerShell administrateur :
Vous devez lire True et False. Si ce n'est pas le cas alors que vous avez bien exécuté les commandes, une stratégie de groupe (domaine, ou solution de gestion de parc type Intune) écrase votre réglage : voyez le blocage 10.

Tester l'accès en ligne de commande, ce qui donne un message d'erreur beaucoup plus précis que l'explorateur :
Un Erreur système 1272 confirme que le blocage invité est toujours actif. Un Erreur système 53 ou 67 renvoie plutôt vers un problème de nom ou de partage inexistant.

Le moyen le plus fiable, celui que nous utilisons en atelier : le journal d'événements SMB. Ouvrez l'Observateur d'événements (clic droit sur Démarrer) et allez dans :
C'est le seul moyen sûr de distinguer « le réglage n'a pas pris » de « le problème vient d'ailleurs », et cela évite de refaire dix fois la même manipulation.

Les 10 blocages classiques quand ça ne suffit pas

Si l'accès reste bloqué après redémarrage, déroulez ces points dans cet ordre : ils sont classés du plus fréquent au plus rare, et chacun se teste en moins d'une minute.

Blocage 1. Vous avez oublié la première commande

Le grand classique, et il vaut la peine de le revérifier avant tout le reste. Get-SmbClientConfiguration doit renvoyer EnableInsecureGuestLogons : True et RequireSecuritySignature : False. Deux valeurs, pas une. Et le PC doit avoir redémarré après les deux.

Blocage 2. C'est le nom du NAS qui ne se résout pas, pas l'accès

Testez par l'adresse IP plutôt que par le nom : \\192.168.1.100 au lieu de \\MonNAS. Si l'IP fonctionne et pas le nom, votre problème n'a rien à voir avec l'accès invité : c'est la résolution de noms (NetBIOS, mDNS, WS-Discovery).

Depuis 25H2, les ports NetBIOS ne sont plus ouverts par défaut dans les règles de pare-feu intégrées, ce qui fait disparaître quantité d'appareils de la fenêtre « Réseau ». Deux réponses simples : accéder au NAS par son adresse IP (et la fixer sur la box, en DHCP statique, pour qu'elle ne change plus), ou créer un raccourci vers \\192.168.1.100. C'est stable, et cela ne rouvre aucun port.

L'adresse IP du NAS se lit dans l'interface de votre box, à la rubrique « appareils connectés », ou sur l'écran du NAS lui-même s'il en a un.

Blocage 3. Le profil réseau est sur « Public »

Paramètres → Réseau et Internet → Wi-Fi (ou Ethernet) → Propriétés → Type de profil réseau = Réseau privé.

Sur un profil « Public », Windows bloque délibérément la découverte et le partage. C'est un piège fréquent après un changement de box ou de carte réseau, puisque Windows redemande alors le type de réseau et que beaucoup répondent « Public » par prudence. Vérifiez aussi que la découverte de réseau et le partage de fichiers et d'imprimantes sont activés : Panneau de configuration → Centre Réseau et partage → Modifier les paramètres de partage avancés.

Blocage 4. Des identifiants périmés sont mémorisés

C'est le blocage qui donne la fenêtre de connexion en boucle. Un ancien couple identifiant/mot de passe enregistré sur le PC empêche le repli en mode invité : Windows tente obstinément le compte qu'il connaît, se fait refuser, et redemande.

Ouvrez le Gestionnaire d'identification (Panneau de configuration → Comptes d'utilisateurs → Gestionnaire d'identification → Informations d'identification Windows) et supprimez toutes les entrées liées au NAS, y compris celles qui portent l'adresse IP.

Puis, en invite de commandes, fermez toutes les connexions réseau en cours :
Redémarrez, et retentez. Dans le cas d'un NAS dont le mot de passe a changé, c'est souvent la seule chose à faire.

Blocage 5. Le partage n'est pas réellement ouvert côté NAS

Avant d'accuser Windows, vérifiez que l'appareil accepte bien l'accès invité, ce qui n'est pas toujours le cas par défaut. Les chemins par marque figurent dans la section dédiée. Vérifiez trois choses : le service SMB est activé, le dossier partagé existe et est visible, et l'invité a explicitement des droits dessus.

Blocage 6. Le NAS ne parle que le SMB1

Si l'appareil ne propose que le SMB1, il ne fonctionnera pas : SMB1 est désinstallé par défaut sous Windows 11 et supprimé en 25H2. La bonne réponse est de mettre à jour le firmware du NAS pour qu'il gère SMB2 ou SMB3 (Synology et QNAP le proposent tous deux dans les réglages SMB, sous la forme d'un protocole minimum et maximum).

Pour savoir en quel dialecte votre PC parle avec un appareil, ouvrez d'abord le partage, puis, en PowerShell :
Un Dialect à 3.1.1 ou 3.0.2 est parfait. Un 2.0.2 est ancien mais fonctionnel. Si rien ne s'affiche, c'est qu'aucune connexion n'a abouti.

Réactiver SMB1 sur le PC est fortement déconseillé, pour les raisons exposées plus haut.

Blocage 7. Pare-feu, antivirus ou VPN

Le port 445/TCP (SMB) doit être autorisé en sortie. Certaines suites de sécurité tierces s'interposent sur le trafic réseau local, et un VPN actif est une cause très fréquente et très discrète : il capture tout le trafic, y compris celui destiné à votre propre réseau local. Testez en désactivant temporairement le VPN, et vérifiez si votre client propose une option « autoriser l'accès au réseau local ».

Test rapide de la connectivité brute, en PowerShell :
Un TcpTestSucceeded : True prouve que le chemin réseau est ouvert, et donc que le problème est bien un problème d'authentification, pas de pare-feu.

Blocage 8. PC et NAS ne sont pas sur le même réseau

Les deux appareils doivent être sur le même sous-réseau : même box, même plage d'adresses. Trois configurations créent une isolation silencieuse : un répéteur Wi-Fi ou un système maillé mal configuré, un réseau Wi-Fi invité de la box (qui isole volontairement les appareils les uns des autres), et une option « isolation des clients » activée sur le point d'accès.

Comparez simplement les trois premiers groupes de chiffres des deux adresses IP : 192.168.1.x d'un côté et 192.168.2.x de l'autre, ce ne sera jamais accessible directement.

Si le Wi-Fi de votre PC coupe par intermittence, le problème peut aussi être matériel : nous détaillons ce diagnostic dans notre article sur le Wi-Fi qui se coupe et le PC qui redémarre.

Blocage 9. Le partage est atteint, mais l'accès aux fichiers est refusé

Vous entrez dans le partage, vous voyez les dossiers, mais l'ouverture d'un sous-dossier renvoie « Accès refusé ». Ce n'est plus un problème d'authentification mais de droits : le compte invité a le droit de se connecter au partage, pas de lire son contenu. Corrigez les autorisations côté NAS, sur le dossier concerné.

Un cas voisin : le partage s'ouvre, mais certains fichiers refusent d'être copiés avec une erreur de chemin. Il s'agit alors de la limite de longueur des chemins, et nous la traitons dans notre article supprimer un fichier au nom trop long sous Windows.

Blocage 10. Le réglage disparaît tout seul au bout de quelques heures

Symptôme très caractéristique : tout fonctionne après le redémarrage, puis l'accès retombe en panne dans la demi-journée, et Get-SmbClientConfiguration affiche de nouveau les valeurs d'origine.

C'est la signature d'un PC rattaché à un domaine ou géré par un outil de parc (GPO, Intune, solution d'infogérance). La stratégie centrale est réappliquée périodiquement et écrase la stratégie locale. La modification doit être portée côté serveur, par l'administrateur. Vérifiez-le d'une commande, en invite de commandes administrateur :
Si vous voyez un nom de domaine et une liste d'objets de stratégie appliqués, vous avez votre réponse.

Décoder les codes d'erreur réseau de Windows

Windows donne des codes peu parlants, et le même code recouvre parfois plusieurs causes. Ce tableau permet d'orienter le diagnostic sans tâtonner :

Côté NAS : les réglages marque par marque

Le blocage n'est pas toujours du côté Windows. Voici où regarder selon l'appareil, pour vérifier que le service SMB tourne, que la version du protocole est correcte, et que l'accès invité est autorisé.

Synology (DSM 7)
• Service : Panneau de configuration → Services de fichiers → SMB → case Activer le service SMB.
• Version du protocole : même écran, Paramètres avancés → protocole SMB minimum sur SMB2, maximum sur SMB3.
• Compte invité : Panneau de configuration → Utilisateur et groupe → Utilisateur → activer le compte guest, puis lui donner des droits dans Dossier partagé → Modifier → Autorisations.

QNAP (QTS / QuTS hero)
• Service : Panneau de configuration → Réseau et services de fichiers → Win/Mac/NFS/WebDAV → Microsoft Networking → Activer le service de fichiers Microsoft Networking.
• Version du protocole : même écran, Options avancées → version SMB la plus élevée / la plus basse.
• Accès invité : Panneau de configuration → Privilèges → Dossiers partagés → Modifier les autorisations et vérifier la ligne invité.

TrueNAS
• Le service SMB doit être démarré, et le partage doit avoir l'option Allow Guest Access cochée pour un accès sans identifiant.
• Vérifiez que le partage n'est pas configuré en SMB1 uniquement.

Asustor, Terramaster, WD My Cloud, Netgear ReadyNAS
• Même logique : un écran « services de fichiers » ou « Samba » avec l'activation du service, le choix du protocole minimum, et une option d'accès public ou invité par dossier partagé. Sur les modèles hors support, la version maximale de SMB est parfois figée à SMB1 : dans ce cas, le remplacement de l'appareil est la seule vraie réponse.

Disque branché sur une box (Freebox, Livebox, Bbox, SFR Box)
• Ce sont les cas typiques où aucun compte n'est proposé, ou bien où le partage est en accès libre par conception. C'est précisément le cas d'usage des méthodes 1 à 3 de cet article.
• Vérifiez dans l'interface de la box que le partage réseau (souvent appelé « partage Windows » ou « Samba ») est bien activé, et regardez si une version récente du firmware est disponible : plusieurs opérateurs ont publié des mises à jour passant leurs partages en SMB2 après le durcissement de Windows 11.
• Un disque branché sur une box n'est pas une sauvegarde. Il n'y a ni redondance, ni historique, ni protection contre l'effacement accidentel. Si ces données comptent, doublez-les ailleurs.

Cas particuliers vus en atelier

Le scan vers dossier partagé de la multifonction. Traité en détail dans le cas inverse : c'est votre PC qui héberge le partage, le problème est côté serveur SMB, et la bonne réponse est un compte local dédié au scanner.

Le lecteur réseau mappé qui affiche une croix rouge. Le mappage survit à la panne, ce qui trompe : la lettre Z: est toujours là, mais la connexion échoue. Après avoir appliqué les réglages, supprimez et recréez le mappage (net use Z: /delete puis net use Z: \\...), sans quoi Windows peut conserver l'état d'erreur en cache.

La sauvegarde automatique qui échoue en silence. C'est le scénario coûteux : le PC ne parvient plus à écrire sur le NAS, le logiciel de sauvegarde journalise une erreur que personne ne lit, et on s'en aperçoit trois mois plus tard, le jour où l'on a besoin de la sauvegarde. Si vous sauvegardez vers un NAS, vérifiez la date du dernier fichier écrit après toute mise à jour majeure de Windows. Le même raisonnement vaut pour les données en ligne : nous l'expliquons dans notre article sur la sauvegarde de Microsoft 365, que Microsoft ne réalise pas à votre place.

La migration du dossier utilisateur vers le NAS. Si vous profitez du dépannage pour déplacer vos documents vers le NAS, les chemins longs, les jonctions et les permissions réservent quelques surprises : la marche à suivre est détaillée dans notre guide copier son dossier utilisateur vers un NAS sans rien perdre.

Le NAS ancien hors support. Firmware figé sur SMB1, plus aucune mise à jour de sécurité, disques d'origine qui ont dix ans. Plutôt que d'affaiblir tous les PC de la maison pour un seul appareil, il est souvent plus sain de migrer les données vers un NAS récent. BSC Informatique s'en charge en atelier, avec copie intégrale et vérification des données.

Le PC qui vient d'être forcé sous Windows 11. Si vous avez installé Windows 11 sur une machine non compatible, vous héritez directement des règles 24H2/25H2 sans être passé par les étapes intermédiaires, ce qui rend le changement encore plus brutal. Nous détaillons ce que cela implique dans Windows 11 forcé sur un PC non compatible.

Revenir en arrière et rétablir la sécurité d'origine

Toute la manipulation est réversible, et il faut la défaire le jour où elle n'est plus nécessaire : NAS remplacé, firmware mis à jour, compte utilisateur créé. En PowerShell administrateur :
Si vous étiez passé par la méthode 2, repassez les deux paramètres de gpedit.msc sur Non configuré et Non défini. Si vous étiez passé par la méthode 3, remettez AllowInsecureGuestAuth à 0 et RequireSecuritySignature à 1, ou supprimez simplement les deux valeurs pour revenir au comportement par défaut. Dans tous les cas, redémarrez.

Notez la date de la manipulation quelque part. Les contournements de sécurité oubliés sont exactement ceux qui posent problème trois ans plus tard, quand plus personne ne se souvient pourquoi ils sont là.

Les risques réels, en clair

Microsoft ne bloque pas cet accès par caprice, et il est honnête de dire ce que l'on accepte en le rouvrant. Une connexion invité :

• ne supporte ni la signature ni le chiffrement SMB : les échanges peuvent être interceptés et modifiés par un appareil présent sur le réseau ;
• permet à un attaquant de se faire passer pour votre NAS sans déclencher la moindre alerte, et donc de vous servir des fichiers piégés que vous ouvrirez en toute confiance ;
• constitue un vecteur de propagation classique pour les rançongiciels, qui chiffrent au passage tous les partages ouverts qu'ils trouvent, sauvegardes comprises.

Ce dernier point mérite d'être souligné : un NAS accessible sans identifiant est aussi un NAS que n'importe quel programme malveillant lancé sur le PC peut chiffrer. Si ce NAS contient votre unique sauvegarde, vous perdez les données et la sauvegarde d'un seul coup.

Où placer le curseur. Sur un réseau domestique câblé, avec un Wi-Fi correctement protégé (WPA2 ou WPA3, mot de passe solide, réseau invité séparé pour les visiteurs), le risque reste faible et le contournement est acceptable. Sur un réseau d'entreprise, sur un réseau partagé avec des locataires ou des voisins, ou sur une machine qui se connecte régulièrement à des Wi-Fi extérieurs, ne le faites pas : créez un compte sur le NAS.

Et dans tous les cas, gardez au moins une copie de vos données hors du NAS, sur un disque externe débranché après usage. C'est la seule protection qui résiste à un rançongiciel.

Quand le problème n'est pas le réseau mais le NAS lui-même

Il faut savoir s'arrêter. Certains symptômes ne relèvent pas du tout de ce guide, et continuer à manipuler des réglages réseau fait perdre du temps, parfois beaucoup plus que du temps :

• le NAS bipe de façon répétée, ou un voyant de baie est rouge ou orange ;
• l'interface d'administration annonce un volume « dégradé », « planté » ou « en cours de réparation » ;
• un disque cliquette, claque ou tourne bruyamment ;
• les dossiers s'ouvrent mais les fichiers sont illisibles, vides ou portent une extension inconnue ;
• une demande de rançon est apparue dans un dossier partagé.

Si au contraire votre volume est sain et que vous cherchez simplement à l'agrandir, nous avons documenté l'opération dans agrandir un RAID 1 sans perte de données.

FAQ

Pourquoi Windows 11 parle-t-il des « stratégies de sécurité de mon organisation » alors que je suis chez moi ?
Le message est mal tourné, et c'est ce qui inquiète tout le monde. « Votre organisation » désigne ici la stratégie de sécurité par défaut de Windows, pas un administrateur réseau ni votre employeur. Sur un PC personnel, il s'agit simplement du blocage de l'accès invité décrit dans cet article.

Pourquoi mon NAS a-t-il cessé de fonctionner après une mise à jour de Windows ?
Presque toujours à cause du passage en 24H2 ou 25H2 : la signature SMB y devient obligatoire dans les deux sens, et l'accès invité est refusé. Les deux réglages décrits plus haut rétablissent l'accès.

Comment activer l'accès invité sur Windows 11 Famille, sans gpedit ?
gpedit.msc n'existe pas sur l'édition Famille. Utilisez la méthode 1, PowerShell ou la méthode 3, registre : les deux donnent exactement le même résultat, et écrivent d'ailleurs les mêmes valeurs.

J'ai activé EnableInsecureGuestLogons et ça ne marche toujours pas.
Il manque très probablement le second réglage, RequireSecuritySignature $false. Depuis 24H2, l'un ne va pas sans l'autre : une connexion invité ne sait pas signer les échanges, donc elle est rejetée par l'obligation de signature avant même d'être examinée.

Faut-il vraiment redémarrer le PC ?
Oui. Les paramètres du client SMB sont lus au démarrage du service Station de travail. Sans redémarrage, l'accès continue d'être refusé et on croit à tort que la manipulation a échoué. À défaut, Restart-Service LanmanWorkstation -Force produit le même effet, en coupant les connexions réseau en cours.

Est-ce que ça marche aussi sur Windows 10 ?
Oui, les mêmes commandes s'appliquent, mais elles sont rarement nécessaires : Windows 10 Famille et Pro autorisent encore l'accès invité par défaut. Si un partage est inaccessible depuis Windows 10, cherchez plutôt du côté du profil réseau, de la résolution de noms ou de SMB1.

Que signifie l'erreur 0x80070035 ?
Elle est plus large que le seul problème d'accès invité : elle apparaît aussi quand le nom du NAS ne se résout pas, quand le profil réseau est en « Public », ou quand l'appareil ne propose que du SMB1. Testez d'abord l'accès par l'adresse IP pour trancher entre ces causes.

Est-ce dangereux d'activer l'accès invité ?
Cela abaisse réellement la sécurité du poste : ni signature ni chiffrement SMB, exposition aux serveurs usurpés et aux rançongiciels. C'est acceptable sur un réseau domestique de confiance, à éviter en entreprise. La solution propre reste de créer un compte utilisateur sur le NAS.

Faut-il réactiver SMB1 pour un vieux NAS ?
Non. SMB1 est le protocole exploité par WannaCry ; il est désinstallé par défaut sous Windows 11 et supprimé en 25H2. Mettez à jour le firmware du NAS pour qu'il gère SMB2 ou SMB3, ou remplacez l'appareil.

Windows 11 24H2 a-t-il supprimé NTLM ?
Non, contrairement à ce qu'on lit souvent. Le blocage NTLM côté client SMB existe depuis 24H2, mais il est désactivé par défaut : c'est une option à activer volontairement. Get-SmbClientConfiguration | Select-Object BlockNTLM doit renvoyer False sur une installation standard.

Comment savoir si mes réglages sont actifs ?
Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature doit renvoyer True puis False. Et dans l'Observateur d'événements, sous SMBClient → Security, l'événement 31022 confirme qu'une connexion invité a effectivement été acceptée.

Mon réglage disparaît tout seul au bout de quelques heures.
Signe caractéristique d'un PC rattaché à un domaine ou géré par un outil de parc (GPO, Intune) : la stratégie centrale écrase la stratégie locale à chaque rafraîchissement. La modification doit être portée côté serveur, par l'administrateur.

Mon scanner n'envoie plus vers le dossier partagé du PC.
C'est le cas inverse : votre PC est le serveur SMB, pas le client. Les réglages Set-SmbClientConfiguration n'y changeront rien. Voyez la section dédiée : la bonne solution est un compte local dédié au scanner.

Le NAS n'apparaît plus dans « Réseau » mais j'y accède par son IP.
Ce n'est pas un problème d'accès invité mais de découverte réseau et de résolution de noms, accentué en 25H2 par le retrait des ports NetBIOS des règles de pare-feu. Fixez l'adresse IP du NAS sur votre box et créez un raccourci vers \\adresse-ip : c'est plus stable que le nom, et cela ne rouvre aucun port.

Puis-je appliquer ces réglages sur plusieurs PC d'un coup ?
Oui, par la méthode 3, en fichier .reg ou en script. Sur un parc géré par un domaine, faites-le par GPO plutôt que poste par poste, sinon la stratégie du domaine annulera tout.

Ces réglages survivent-ils aux mises à jour de Windows ?
En général oui pour les mises à jour mensuelles. Pour les mises à jour de version (24H2 vers 25H2, par exemple), nous constatons qu'ils sont le plus souvent conservés, mais pas systématiquement. Si le NAS redevient inaccessible après une grosse mise à jour, la première chose à faire est de relancer le Get-SmbClientConfiguration de contrôle.

Combien de temps prend l'intervention si je fais appel à vous ?
Quelques minutes à distance dans le cas standard. Le plus long n'est pas la manipulation mais le diagnostic : distinguer un blocage d'accès invité d'un problème de résolution de noms, d'un NAS mal configuré ou d'un appareil qui commence à défaillir. C'est exactement ce que le tableau en tête de cet article vous aide à faire vous-même.

Se faire aider

BSC Informatique intervient à distance via TeamViewer sur ce type de problème (accès aux partages réseau, configuration SMB, paramétrage de NAS Synology et QNAP, lecteurs réseau, sauvegardes qui ne passent plus), depuis notre page support, sans déplacement et sans rendez-vous. Nous prenons également les machines en atelier, et nous vendons, installons et configurons le matériel de stockage réseau (NAS, disques, SSD) pour particuliers comme pour professionnels.

📍 Atelier : 18 Avenue Olbius Riquier, 83400 Hyères · ☎️ 04 94 27 65 95 · ✉️ contact@bsc-informatique.fr

Selon votre situation, une autre structure du groupe sera plus adaptée :

• Vous êtes un particulier et vous préférez une intervention chez vous (Hyères et alentours) : BSC Assistance, agréée service à la personne, se déplace pour configurer le NAS, les partages réseau et vos sauvegardes.

• Données inaccessibles sur le NAS, volume RAID dégradé, disques en panne, partages chiffrés par un rançongiciel : BSC DataRecovery, récupération de données sur disque dur, SSD, carte mémoire, clé USB et systèmes RAID.

• Le PC ne s'allume plus, problème de charge, port réseau hors service : BSC Électronique, réparation de cartes mères de PC portables et de Chromebooks.

• Notifications douteuses, faux support technique, PC infecté : BSC Sécurité, nettoyage et sécurisation des postes des particuliers.

• Il vous faut une machine le temps de l'intervention : BSC Location, location d'ordinateurs fixes et portables, courte ou longue durée.

Sources : Microsoft Learn, activer les connexions d'invités non sécurisées dans SMB2 et SMB3 ; Microsoft Learn, renforcement de la sécurité SMB dans Windows Server et Windows Client (signature obligatoire en 24H2, limiteur de taux d'authentification, retrait des ports NetBIOS, Remote Mailslots, ports alternatifs) ; Microsoft Learn, bloquer les connexions NTLM sur SMB ; Microsoft Community Hub, accessing a third-party NAS with SMB in Windows 11 24H2 may fail et SMB security hardening in Windows Server 2025 and Windows 11. Retours d'atelier BSC Informatique, Hyères, 2025-2026. EURL BSC INFORMATIQUE, 18 Avenue Olbius Riquier, 83400 Hyères, 04 94 27 65 95.

NAS inaccessible depuis Windows 11 ? On s'en occupe

Paramétrage de votre NAS, comptes utilisateurs, partages Windows, lecteurs réseau et sauvegardes remis en route.
Intervention à distance via TeamViewer ou en atelier à Hyères. Particuliers et professionnels.

Tél. 04 94 27 65 95