Le disque n’avait pas disparu, il s’était juste refermé sur lui-même comme une coquille de moule trop cuite. Voilà ce qui se passe concrètement quand on active le chiffrement BitLocker sans trop y réfléchir et qu’une mise à jour de firmware vient bousculer la machine : Windows ne « perd » pas le disque, il refuse simplement de le déverrouiller parce que la signature matérielle qu’il attendait a changé. Et cette signature, c’est le TPM qui la vérifie à chaque démarrage.
À retenir
- Pourquoi le TPM et BitLocker transforment une mise à jour routine en cauchemar matériel
- Trois incidents confirmés par Microsoft en moins d’un an : ce n’est pas une malchance, c’est un pattern
- Votre clé de récupération existe quelque part — mais la retrouver dépend de qui a configuré votre machine
Pourquoi une simple mise à jour peut tout bloquer
BitLocker ne stocke pas la clé de déchiffrement n’importe où. Elle est scellée dans la puce TPM de l’ordinateur, verrouillée derrière une série de mesures appelées PCR (Platform Configuration Registers), qui enregistrent l’état exact du démarrage : firmware, Secure Boot, gestionnaire de démarrage, tout y passe. Quand les registres de configuration de plateforme à l’intérieur du TPM détectent un changement dans la séquence de démarrage, les paramètres de sécurité de BitLocker se déclenchent pour empêcher tout accès non autorisé. une mise à jour de BIOS ou d’UEFI modifie légèrement l’empreinte que le TPM avait mémorisée, et le système panique en pensant qu’on a peut-être trafiqué la machine pendant la nuit.
Le mécanisme est logique sur le papier : il protège contre le vol de disque ou l’installation d’un rootkit au démarrage. Mais en pratique, il ne fait pas la différence entre un vrai pirate et un simple patch constructeur téléchargé depuis le site officiel. Windows peut demander la clé de récupération BitLocker après une mise à jour BIOS/UEFI, un changement matériel (TPM/carte mère), ou un démarrage inhabituel. Et sans cette fameuse suite de 48 chiffres, impossible de rouvrir la porte.
Ce n’est pas un cas isolé, loin de là
Ce qui m’a rassuré (un peu) après coup, c’est de découvrir que ce n’était pas une malchance personnelle mais un phénomène récurrent chez Microsoft. En octobre 2025 déjà, Microsoft a confirmé un problème qui se produit suite à l’installation de la mise à jour d’octobre 2025 pour Windows 11 (KB5066835) et pour Windows 10, touchant particulièrement les machines Intel équipées du mode veille moderne. Le correctif est arrivé, mais le scénario s’est répété quelques mois plus tard.
En avril 2026, rebelote : Microsoft a commencé à déployer la mise à jour de sécurité d’avril 2026 (KB5083769) pour Windows 11, et a confirmé un problème spécifique lié à BitLocker qui peut faire démarrer certains appareils directement sur l’écran de récupération BitLocker. Cette fois, le coupable était une configuration de stratégie de groupe non recommandée sur les registres PCR7. Puis en juin 2026, un nouveau cas est apparu autour de la transition des certificats Secure Boot, où BitLocker lie sa clé à un ensemble de mesures firmware stockées dans le TPM, et l’une de ces mesures couvre la stratégie Secure Boot ; quand la mise à jour de juin a fait tourner le certificat Secure Boot, cette mesure a changé. Trois épisodes en moins d’un an, sur des versions différentes de Windows : le pattern est clair, BitLocker et les mises à jour firmware font mauvais ménage dès que la configuration sort un tant soit peu du chemin balisé par défaut.
Comment j’ai récupéré mes fichiers (et comment vous éviter la crise cardiaque)
La bonne nouvelle, c’est que les données ne sont jamais vraiment perdues tant qu’on a la clé quelque part. La mauvaise, c’est que Microsoft ne fera jamais d’exception. Parce que le chiffrement moderne est mathématiquement lié au matériel, les ingénieurs du support Microsoft ne possèdent pas d’accès dérobé et ne peuvent en aucun cas contourner l’écran de récupération ou générer une nouvelle clé. Pas de coup de fil miracle, pas de mot de passe universel caché dans un tiroir à Redmond.
La clé se trouve en général dans votre compte Microsoft, à condition de l’avoir configuré au moment de l’installation. Il faut cliquer sur l’ordinateur concerné puis sur « Gérer les clés de récupération BitLocker », s’authentifier, puis copier la clé qui s’affiche pour la saisir sur l’écran de récupération. Si l’ordinateur a été configuré par un vendeur ou un revendeur avec son propre compte, la situation se complique sérieusement : la clé lui appartient, pas à vous. Pour les machines professionnelles, direction Entra ID ou l’administrateur système, qui gère l’escrow des clés côté entreprise.
Pour éviter de revivre ce moment de sueur froide, un réflexe simple change tout : suspendre BitLocker avant toute mise à jour de firmware, puis le réactiver une fois le redémarrage terminé. Après l’installation réussie des mises à jour de firmware, on peut reprendre BitLocker avec la commande Resume-BitLocker, et il est fortement recommandé de restaurer la configuration par défaut de Secure Boot et des valeurs PCR après la suspension pour éviter d’entrer en récupération BitLocker lors de futures mises à jour. Deux lignes de commande, trente secondes, et plus jamais de sueurs froides.
Un détail qui vaut son pesant d’or : sur certains ordinateurs, le clavier intégré ne répond pas à l’écran de récupération pré-démarrage. Sur certains modèles, le clavier intégré n’est pas actif à l’écran de récupération pré-démarrage, donc il faut brancher un clavier USB externe pour pouvoir taper la clé. J’ai perdu vingt minutes à taper frénétiquement sur mon clavier tactile avant de comprendre qu’il fallait littéralement brancher un clavier filaire pour que les chiffres s’affichent enfin à l’écran.
Sources : lecrabeinfo.net | learn.microsoft.com