Vous avez installé Windows 11 sur un ordinateur que Microsoft ne déclare pas compatible : un PC de 2013 ou 2014, solide, rapide, mais hors de la liste officielle. L'installation s'est bien passée, vos logiciels et vos fichiers sont là. Et puis la première mise à jour mensuelle arrive. Au redémarrage, l'écran affiche « Travail sur les mises à jour, 100 % terminé, ne mettez pas l'ordinateur hors tension ». Et il reste figé là. Une heure, deux heures.
Vous finissez par forcer l'arrêt, Windows répare, annule, revient sur le bureau. Le mois suivant, la même chose recommence. Et même en installant la mise à jour toute seule, sans rien d'autre, le blocage revient.
C'est exactement le cas que nous avons traité à l'atelier en novembre 2026, sur un PC tour à carte mère ASUS de 2013 dont le BIOS datait de 2014. La panne ne venait ni du disque, ni d'un pilote, ni de la mise à jour elle-même. Elle venait du démarrage sécurisé (Secure Boot) et d'un firmware trop ancien pour comprendre ce que Windows lui demandait.
| Situation | Ce qu'il faut savoir |
|---|---|
| Chaque mise à jour cumulative se fige à 100 % au redémarrage | Sur un vieux PC passé à Windows 11, pensez d'abord au Secure Boot |
| Le PC finit par revenir sur le bureau après une réparation automatique | Vos fichiers ne sont pas touchés : Windows a seulement annulé la mise à jour |
| Installer la mise à jour seule, sans les pilotes ni les préversions | Utile, mais ne suffit pas tant que le Secure Boot reste actif sur ce firmware |
| Le signe qui ne trompe pas | Un événement TPM-WMI 1801 dans le journal Système |
| La solution sur un BIOS ancien sans mise à jour | Désactiver le Secure Boot dans le BIOS, puis relancer la mise à jour |
| Avant de toucher au BIOS | Vérifier BitLocker et noter la clé de récupération si le disque est chiffré |
Le scénario typique, celui que nous avons relevé sur le poste du client :
Le détail qui met sur la piste se trouve dans le rapport de la réparation automatique, le fichier C:\Windows\System32\LogFiles\Srt\SrtTrail.txt. On y lit, en substance : « Un binaire de démarrage ayant récemment subi une maintenance est corrompu », puis « Abandon des installations de mises à jour en attente ».
Autrement dit : ce n'est pas l'installation qui plante, c'est le redémarrage qui suit. Un fichier de démarrage que la mise à jour vient de remplacer n'est pas accepté par l'ordinateur.
À chaque allumage, avant que Windows ne soit chargé, le firmware de la carte mère (l'héritier du BIOS) vérifie que le programme qui lance Windows est bien signé par Microsoft. C'est le rôle du démarrage sécurisé. Pour faire cette vérification, il s'appuie sur une liste de certificats gravée en usine. Sur la quasi-totalité des PC, ces certificats datent de 2011.
Or Microsoft remplace progressivement ces certificats par un nouveau jeu, daté de 2023 (le principal s'appelle Windows UEFI CA 2023), et signe désormais le gestionnaire de démarrage de Windows avec ces nouveaux certificats. C'est une mesure de sécurité, liée notamment à la révocation d'un logiciel malveillant de démarrage connu sous le nom de BlackLotus. Nous avons détaillé ce chantier, ses dates et son fonctionnement dans notre article sur les certificats Secure Boot de 2011 qui expirent en 2026.
Sur un PC récent, ou sur un PC dont le constructeur publie encore des mises à jour de BIOS, tout se passe sans bruit : les certificats 2023 sont ajoutés dans le firmware, puis le nouveau gestionnaire de démarrage est installé. Sur notre PC de 2013, en revanche :
UEFICA2023Status = NotStarted) ;Notre lecture, confirmée par la suite : la mise à jour cumulative posait un composant de démarrage que le vieux firmware, resté avec ses seuls certificats de 2011 et sans aucune mise à jour possible depuis 2014, refusait de lancer. Windows ne pouvait donc pas terminer l'installation au redémarrage, et la réparation automatique finissait par tout annuler. Le meilleur indice : dès que le Secure Boot a été désactivé, la même mise à jour s'est installée du premier coup.
Si votre PC est bloqué en ce moment même sur l'écran à 100 % :
Si le PC tourne en boucle sur l'écran « Préparation de la réparation automatique » sans jamais en sortir, c'est une autre situation, traitée dans notre article PC bloqué sur « Préparation de la réparation automatique ». Dans ce cas, pensez d'abord au disque, et à vos données.
Une fois sur le bureau, trois vérifications, qui ne modifient rien.
L'état du démarrage sécurisé. Appuyez sur Windows + R, tapez msinfo32 et validez. Dans la page Résumé système, regardez la ligne État du démarrage sécurisé : si elle indique Activé, la piste tient. Si elle indique Désactivé ou Non pris en charge, votre blocage a une autre cause.
L'événement 1801. Ouvrez l'Observateur d'événements (clic droit sur le menu Démarrer), puis Journaux Windows, Système. Cliquez sur Filtrer le journal actuel et tapez 1801 dans la case des identifiants. Un ou plusieurs événements de la source TPM-WMI disant que les certificats « n'ont pas encore été appliqués au microprogramme » : c'est le signal.
Le détail, pour les curieux. Dans PowerShell ouvert en administrateur :
# Secure Boot actif ? (True = oui) Confirm-SecureBootUEFI # Où en est la mise à jour des certificats ? (Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing').UEFICA2023Status # Le certificat 2023 est-il dans le firmware ? (True = oui) [Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'
Le profil type du PC concerné : True, puis NotStarted, puis False. Secure Boot actif, mise à jour des certificats jamais commencée, certificat 2023 absent du firmware.
Profitez-en pour noter la date de votre BIOS (ligne Version du BIOS/Date dans msinfo32). Elle va décider de la suite.
Désactiver le Secure Boot change ce que la puce TPM mesure au démarrage. Si votre disque est chiffré par BitLocker, l'ordinateur vous réclamera alors la clé de récupération de 48 chiffres, et sans elle vos fichiers sont inaccessibles.
Dans PowerShell ou une invite de commandes en administrateur, tapez manage-bde -status. Si le volume C: est protégé, récupérez et notez la clé avant de continuer. Toute la méthode est dans notre article sur la clé BitLocker à retrouver avant une réparation. Sur le PC de notre client, sans puce TPM, BitLocker n'était pas actif, mais cela ne se suppose pas : cela se vérifie.
Allez sur la page de support du fabricant de votre PC ou de votre carte mère, avec le modèle exact. S'il a publié un BIOS après 2023, notamment une version qui mentionne Secure Boot ou les certificats Microsoft, c'est la solution propre : le firmware apprend les nouveaux certificats, la mise à jour des certificats peut aller à son terme, et vous gardez le démarrage sécurisé. La suite du chantier est décrite dans notre article sur les certificats Secure Boot.
Sur les PC de 2012 à 2016, cette voie est presque toujours fermée. Le BIOS de notre client datait de 2014 et le fabricant n'avait plus rien publié depuis. Certains firmwares plus récents refusent même les nouveaux certificats par construction : nous l'avons constaté en octobre 2026 sur un PC tout-en-un dont la carte mère portait des clés de test de son fabricant de BIOS.
C'est ce qui a débloqué notre client.
Suppr, F2 ou F10 selon les marques, voir notre article comment entrer dans le BIOS).F10).Chez notre client, la mise à jour cumulative qui bloquait depuis des semaines s'est installée normalement, sans redémarrage en attente ensuite.
Pour contrôler que tout est propre : Confirm-SecureBootUEFI répond désormais False, la mise à jour apparaît comme installée dans l'historique de Windows Update, et le fichier C:\Windows\WinSxS\pending.xml n'existe plus (signe qu'aucune installation n'attend un redémarrage).
Non, pas sur ce matériel. Tant que le firmware ne connaît pas les certificats 2023, réactiver le démarrage sécurisé risque de reproduire le blocage à la mise à jour suivante. Pour la même raison, si un jour le BIOS revient à ses réglages d'usine (pile de la carte mère usée, chargement des valeurs par défaut), le Secure Boot peut se réactiver tout seul : si le blocage à 100 % réapparaît, c'est la première chose à regarder.
Ce que l'on perd, en clair : la protection contre les logiciels malveillants qui s'installent avant Windows. Ce n'est pas rien, mais il faut le mettre en perspective : un Windows 11 installé sur un PC non compatible a déjà renoncé à une partie de ces protections, et l'antivirus, le pare-feu et les mises à jour de sécurité, eux, continuent de fonctionner. Nous avons fait le tour de ce que l'on perd vraiment, et de ce qui ne change pas, dans notre article Windows 11 forcé sur un PC non compatible : que risque-t-on ?
La vraie question est donc moins technique qu'économique : jusqu'où investir dans une machine de dix ans ? Si elle vous rend service, elle peut continuer ainsi. Si vous envisagez de la remplacer, nous pouvons vous conseiller un PC neuf à l'atelier, et transférer vos données.
Si vous venez d'installer Windows 11 sur un PC non compatible, ou si vous comptez le faire, les réflexes que nous appliquons désormais à l'atelier :
Si vous en êtes à vous demander si votre PC peut passer à Windows 11, commencez par notre article Windows 11 : mon PC est-il compatible ?
Désactiver le Secure Boot n'est pas compliqué, mais l'opération touche au BIOS, et l'erreur de réglage voisine (le mode de démarrage) peut empêcher le PC de démarrer.
Si le disque ne montre plus aucune activité après une heure, oui : un appui long sur le bouton d'alimentation. Après quelques démarrages interrompus, Windows lance la réparation automatique, qui annule généralement la mise à jour en attente. Vos fichiers ne sont pas concernés.
Non. Après un blocage au redémarrage, il indique simplement que la mise à jour a été annulée. Il faut traiter la cause du blocage, puis relancer la mise à jour.
Que Windows a reçu les nouveaux certificats de démarrage sécurisé de 2023, mais n'a pas réussi à les inscrire dans le firmware de la carte mère. Seul, il n'empêche rien. Sur un vieux PC avec Secure Boot actif et des mises à jour qui se figent à 100 %, c'est l'indice principal.
Non, le réglage ne touche pas au disque. Le seul piège est BitLocker : si le disque est chiffré, la clé de récupération sera demandée au démarrage suivant. Notez-la avant.
Oui, si le fabricant a publié une version récente qui apporte les certificats de 2023. Sur la plupart des PC d'avant 2017, il n'existe plus de nouvelle version, et la mise à jour du BIOS n'est donc pas une option.
Rarement. Les PC compatibles ont en général un firmware plus récent, ou les certificats de 2023 d'usine. Si une mise à jour se fige quand même à 100 %, la cause est probablement ailleurs : faites quand même les vérifications de la section 4, elles prennent cinq minutes.
BIOS, Secure Boot, Windows Update,
pour les particuliers et les professionnels.