Secure Boot Violation au démarrage : que faire

Le message Secure Boot Violation signifie que le micrologiciel UEFI a refusé de lancer un fichier de démarrage dont il ne reconnaît pas la signature. Neuf fois sur dix, la cause est un support de démarrage non signé, un disque cloné ou un jeu de clés de démarrage sécurisé effacé dans le BIOS, pas un composant mort.

Points clés

• Le démarrage sécurisé n’autorise que des logiciels de démarrage signés numériquement : pilotes UEFI, applications EFI et chargeur du système d’exploitation.
• Le micrologiciel compare chaque fichier à trois bases stockées en NV-RAM : la base de signatures db, la base révoquée dbx et la base de clés KEK, elles-mêmes vérifiées face à la clé de plateforme PK.
• Une signature présente à la fois dans db et dans dbx est refusée : dbx est prioritaire.
• Microsoft renouvelle les certificats de démarrage sécurisé émis en 2011, qui commencent à expirer en juin 2026. Sur un Windows encore pris en charge, la mise à jour se fait automatiquement.
• La désactivation du démarrage sécurisé est une mesure de test, à annuler dès le problème réglé.

Ce que le micrologiciel refuse exactement

Au démarrage, le micrologiciel UEFI vérifie la signature de chaque brique de la chaîne d’amorçage, jusqu’au Gestionnaire de démarrage Windows inclus. Si toutes les signatures sont valides, il passe la main au système. Sinon il s’arrête et affiche un avertissement, souvent formulé « Secure Boot Violation » ou « Invalid signature detected. Check Secure Boot Policy in Setup ».

Ce n’est donc pas un code d’arrêt Windows. Le blocage arrive avant que Windows n’existe, ce qui explique qu’aucun journal d’événements ne le documente et qu’aucun outil installé sur le disque ne puisse le lire.

Les causes les plus fréquentes

• Un support de démarrage non signé : clé USB préparée avec un chargeur tiers, ancien disque de récupération, image Linux sans shim signé.
• Un disque cloné ou migré vers un SSD, dont la partition système EFI a été copiée de travers ou pas du tout.
• Les clés de démarrage sécurisé effacées dans le BIOS. Sur une carte ASUS, l’état passe alors à « Setup » au lieu de « User » et le démarrage sécurisé retombe à Off, ou refuse le chargeur.
• Un basculement de mode : le disque est en MBR pour un BIOS hérité alors que le micrologiciel démarre en UEFI, ou l’inverse après un changement de réglage CSM.
• Une carte graphique ou une carte d’extension dont l’Option ROM n’est pas signée, cas que Microsoft cite explicitement comme motif de désactivation temporaire.
• Une entrée de démarrage périmée dans le BCD ou dans la liste UEFI, qui pointe vers un fichier disparu.
• Une révocation : le chargeur utilisé a été ajouté à la base dbx par une mise à jour de sécurité.

Les solutions ci-dessous vont de la moins risquée à la plus lourde. Chacune élimine une hypothèse.

Solution 1 : vérifier l’état réel du démarrage sécurisé

Si la machine démarre encore, ouvrez Exécuter avec Windows et R, tapez msinfo32, puis lisez la ligne État de démarrage sécurisé. Deux valeurs seulement : Activé ou Désactivé. La ligne Mode BIOS juste au-dessus indique UEFI ou Hérité, information décisive pour la suite.

Dans le BIOS, l’état affiché est plus riche. « User » signifie que les clés sont en place, « Setup » qu’elles ont été effacées. Un état Setup avec un OS Type réglé sur Windows UEFI mode est exactement la configuration qui produit un refus au démarrage.

Solution 2 : retirer les supports et périphériques inutiles

Débranchez les clés USB, disques externes, lecteurs de cartes et docks, puis redémarrez. Un support amorçable non signé branché en permanence suffit à déclencher le message, surtout quand l’ordre de démarrage le place devant le disque système.

Ce geste coûte trente secondes et écarte la cause la plus banale. Si le PC repart, la clé fautive est identifiée sans autre manipulation.

Solution 3 : remettre le bon disque en tête de l’ordre de démarrage

Dans le menu Boot du micrologiciel, la première entrée doit être « Windows Boot Manager » sur le disque système, pas une entrée générique de disque ni un ancien support. Les entrées mortes se suppriment depuis le même menu sur la plupart des cartes.

Quand la liste ne montre aucun Windows Boot Manager, le problème n’est plus la signature mais la partition système EFI. Le diagnostic rejoint alors celui de l’erreur 0xc00000f et du message Reboot and select proper boot device.

Solution 4 : restaurer les clés d’usine du démarrage sécurisé

C’est la manipulation qui règle la majorité des cas après un passage dans le BIOS. Dans le menu du démarrage sécurisé, cherchez la gestion des clés, puis l’option de restauration des clés par défaut, appelée selon les marques Restore Factory Keys, Install Default Secure Boot Keys ou Restore Defaults.

1. Réglez le type de système d’exploitation sur Windows UEFI mode.
2. Passez le mode du démarrage sécurisé sur Standard plutôt que Custom.
3. Restaurez les clés par défaut, enregistrez et redémarrez.

Sur les cartes ASUS, la gestion des clés reste grisée tant que le mode est réglé sur Standard, ce qui est le comportement attendu et non un blocage.

Solution 5 : désactiver le démarrage sécurisé, mais comme un test

Microsoft documente cette désactivation pour les cartes graphiques, le matériel ancien et les autres systèmes d’exploitation. Le réglage se trouve dans l’onglet Sécurité, Démarrage ou Authentification selon le fabricant.

Deux avertissements comptent. D’abord, la documentation Microsoft prévient qu’après avoir désactivé le démarrage sécurisé puis installé d’autres logiciels ou matériels, il faut parfois restaurer l’état d’usine du PC pour le réactiver. Ensuite, le démarrage sécurisé fait partie de la configuration requise par Windows 11 : le laisser désactivé bloque les mises à niveau et prive la machine d’une protection réelle au démarrage. Réactivez-le dès que la cause est identifiée.

Solution 6 : mettre à jour le micrologiciel et les certificats

Microsoft renouvelle actuellement les certificats de démarrage sécurisé émis en 2011, dont l’expiration commence en juin 2026. Sur une version de Windows prise en charge, la mise à jour arrive par Windows Update sans intervention. Un PC laissé hors ligne pendant des mois passe donc à côté.

Complétez avec la mise à jour UEFI du fabricant, qui corrige aussi les bases db et dbx. Le flash se fait depuis l’utilitaire officiel, jamais depuis un fichier récupéré sur un forum, et jamais sur batterie seule : une coupure en cours d’écriture rend la carte mère inutilisable.

Solution 7 : reconstruire le chargeur de démarrage Windows

Quand la partition EFI est vide ou corrompue, aucun réglage de BIOS ne sauvera le démarrage. Il faut recréer les fichiers d’amorçage depuis l’environnement de récupération Windows, avec une clé USB d’installation démarrée en mode UEFI.

1. Ouvrez l’invite de commandes de la récupération.
2. Identifiez la lettre du volume Windows et celle de la partition système avec diskpart, commandes list volume puis exit.
3. Lancez bcdboot C:\Windows /s S: /f UEFI en remplaçant les lettres par les vôtres. L’option /f UEFI n’écrit que les fichiers de démarrage UEFI, ce qui est exactement le besoin ici.

Le paramètre /l fr-fr ajoute la langue de la séquence de démarrage. Si l’outil refuse de copier les fichiers, la partition système EFI est probablement absente : elle doit être recréée avant, en FAT32.

Solution 8 : réaligner le style de partition et le mode de démarrage

C’est l’option la plus lourde, car elle implique généralement une réinstallation. Microsoft rappelle qu’un PC démarré en mode UEFI exige un disque au format GPT, et qu’un CSM en BIOS hérité exige un disque MBR. Le message « The selected disk is not of the GPT partition style » pendant une installation vient précisément de ce décalage.

Deux issues : démarrer le support d’installation en mode UEFI et laisser Windows reformater le disque en GPT, ce qui efface son contenu, ou repasser le micrologiciel en mode de compatibilité hérité pour conserver le MBR existant, en acceptant de perdre le démarrage sécurisé. Sauvegardez avant toute décision.

Quand le problème ne vient pas de là

Un message qui apparaît une fois puis disparaît après une coupure de courant oriente vers la pile CMOS et la perte des réglages, pas vers la signature du chargeur. Un PC qui n’affiche plus rien du tout, sans texte ni logo, relève de l’alimentation ou de l’affichage.

Si Windows démarre normalement mais qu’un écran bleu suit dans les minutes suivantes, le sujet change de nature : la méthode par code d’arrêt est rassemblée dans notre guide des écrans bleus Windows, et le cas des plantages sans motif apparent dans celui du diagnostic d’un écran bleu aléatoire.

Enfin, sur une machine qui refuse la mise à niveau vers Windows 11, le démarrage sécurisé est souvent l’un des trois points bloquants avec le TPM et le processeur. Le verdict détaillé se lit dans PC Health Check.

Questions fréquentes

Faut-il désactiver le démarrage sécurisé définitivement ?

Non. Il n’autorise que des logiciels de démarrage approuvés et signés, donc le laisser désactivé retire une protection contre les logiciels malveillants qui s’exécutent avant Windows. Microsoft recommande de le réactiver dès que le problème est résolu.

Puis-je installer Linux avec le démarrage sécurisé activé ?

Oui, à condition que la distribution fournisse un chargeur signé reconnu par les bases du micrologiciel. Sinon, il faut soit inscrire manuellement la clé de la distribution, soit désactiver le démarrage sécurisé, ce qui bloque en retour la conformité Windows 11.

Le message peut-il venir d’une mise à jour de sécurité ?

Oui. La base des signatures révoquées, dbx, sert précisément à interdire un chargeur devenu dangereux. Un fichier de démarrage ancien peut donc se retrouver refusé après un correctif, et la mise à jour du chargeur devient obligatoire.

Effacer les clés du démarrage sécurisé est-il dangereux ?

C’est réversible sur presque toutes les cartes grâce à l’option de restauration des clés d’usine, mais le PC peut refuser de démarrer entre les deux. À ne faire que si une procédure officielle du fabricant le demande.

Cette erreur détruit-elle des données ?

Non. Le blocage intervient avant le chargement du système, donc rien n’est écrit sur le disque. En revanche, les solutions de dernier recours, reformatage en GPT ou réinstallation, effacent la partition système : la sauvegarde reste indispensable.

_{Photo d’en-tête : menu Security d’un micrologiciel UEFI InsydeH20, capture par VulcanSphere, domaine public, via Wikimedia Commons. La capture montre un micrologiciel Insyde, la disposition des menus varie selon le fabricant.
Sources : Microsoft Support, Windows 11 et le démarrage sécurisé · Microsoft Learn, démarrage sécurisé (db, dbx, KEK, PK) · Microsoft Learn, désactivation du démarrage sécurisé · Microsoft Learn, installation en MBR ou GPT · Microsoft Learn, commande bcdboot · ASUS, activer ou désactiver le démarrage sécurisé}