ANAVEM
EN
Comment vérifier si votre PC possède les nouveaux certificats Secure Boot 2023 (Windows UEFI CA 2023)
CybersecurityIntermédiaire

Comment vérifier si votre PC possède les nouveaux certificats Secure Boot 2023 (Windows UEFI CA 2023)

Les trois certificats Secure Boot originaux de Microsoft (2011) commencent à expirer en juin 2026. Windows déploie automatiquement les trois certificats de remplacement 2023 (Windows UEFI CA 2023, Microsoft UEFI CA 2023, KEK 2K CA 2023) via Windows Update. Ce guide vous montre comment vérifier en une seule commande PowerShell si votre PC Windows 10 ou 11 a déjà reçu les nouveaux certificats.

Emanuel DE ALMEIDAEmanuel DE ALMEIDA
mars 11, 202612 min de lecture8 Étapes

Prérequis

  • Windows PowerShell (Admin) or Terminal (Admin)
  • Secure Boot enabled in UEFI firmware
  • Windows 10 or Windows 11 (UEFI mode)
  • Administrator account access

Pourquoi les certificats Secure Boot expirent-ils en 2026 ?

Les trois autorités de certification Secure Boot originales de Microsoft, émises en 2011, commencent à expirer à partir de juin 2026. Présents dans pratiquement tous les PC Windows construits depuis 2012, ces certificats valident les logiciels au niveau du démarrage. Sans les nouveaux certificats 2023, les appareils non mis à jour :

  • Ne pourront plus recevoir de mises à jour de sécurité pour Secure Boot après juin 2026
  • Ne feront plus confiance aux firmwares tiers signés avec les nouveaux certificats
  • Ne recevront plus de correctifs de sécurité pour le Gestionnaire de démarrage Windows après octobre 2026
  • Resteront vulnérables aux bootkits comme BlackLotus (CVE-2023-24932)

Microsoft distribue trois certificats de remplacement 2023 via Windows Update dans un déploiement progressif :

  • Windows UEFI CA 2023 — remplace Windows Production PCA 2011 (signe le chargeur de démarrage Windows)
  • Microsoft UEFI CA 2023 / Microsoft Option ROM UEFI CA 2023 — remplace UEFI CA 2011 (signe les pilotes tiers)
  • Microsoft Corporation KEK 2K CA 2023 — remplace KEK CA 2011 (signe les mises à jour de la DB et de la DBX)

De nombreux PC fabriqués depuis 2024 incluent déjà ces certificats. Les appareils plus anciens les reçoivent via les mises à jour Windows mensuelles.

Étape 1 — Vérifier que le Secure Boot est activé

Ouvrez PowerShell en tant qu’Administrateur (clic droit sur Démarrer → Windows PowerShell (Admin) ou Terminal (Admin)) et exécutez :

Confirm-SecureBootUEFI

True = Secure Boot est activé. False = Secure Boot est désactivé — vous ne pouvez pas recevoir ni appliquer les certificats 2023 avec le Secure Boot désactivé. N’activez/désactivez pas le Secure Boot, car cela peut réinitialiser les variables de certificats UEFI aux valeurs d’usine.

Étape 2 — Vérifier le certificat Windows UEFI CA 2023 (une seule commande)

Il s’agit de la méthode officielle et la plus simple. Dans la même fenêtre PowerShell (Admin), exécutez :

([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023')

True = Votre PC possède le nouveau certificat Windows UEFI CA 2023. Vous êtes protégé.
False = Votre PC utilise encore le certificat 2011 qui expire. Vérifiez Windows Update pour les mises à jour en attente (y compris les mises à jour optionnelles et les firmwares).

Étape 3 — Vérifier les trois certificats 2023

Pour vérifier les trois certificats de remplacement (DB et KEK), exécutez ces commandes :

# Vérifier la DB pour les deux nouveaux certificats 2023
$db = [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes)
$db -match 'Windows UEFI CA 2023'      # Doit retourner True
$db -match 'Microsoft UEFI CA 2023'    # Doit retourner True

# Vérifier la KEK pour le nouveau certificat 2023
$kek = [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes)
$kek -match 'KEK 2K CA 2023'           # Doit retourner True

Les trois résultats à True indiquent que votre système est entièrement mis à jour avec les certificats 2023.

Que faire si le résultat est False ?

Si l’un des résultats retourne False, votre PC n’a pas encore reçu les certificats 2023. Suivez ces étapes :

  1. Ouvrez Paramètres → Windows Update et cliquez sur Vérifier les mises à jour
  2. Sous Options avancées → Mises à jour optionnelles, installez toutes les mises à jour de firmware ou de pilotes disponibles
  3. La mise à jour KB5074109 (janvier 2026 et ultérieure) déclenche le processus de vérification et de déploiement des certificats — assurez-vous qu’elle est installée
  4. Redémarrez votre PC après les mises à jour
  5. Réexécutez la commande PowerShell ci-dessus pour confirmer

Important : Microsoft déploie ces mises à jour progressivement. Si vous voyez False, il est possible que la mise à jour n’ait pas encore atteint votre appareil. Gardez Windows Update activé et revérifiez après quelques semaines.

Observateur d’événements : TPM-WMI ID d’événement 1801

Après la mise à jour du Patch Tuesday de février 2026, de nombreux utilisateurs Windows 11 voient TPM-WMI ID d’événement 1801 dans l’Observateur d’événements. Il ne s’agit pas d’une erreur — c’est une entrée de journal confirmant que Windows a vérifié ou mis à jour votre statut de certificat Secure Boot. Aucune action n’est requise si cet événement apparaît avec un résultat True à la commande PowerShell ci-dessus.

Considérations pour les entreprises et les administrateurs IT

Pour les organisations gérant des flottes de PC Windows via WSUS, Configuration Manager ou Microsoft Intune :

  • Microsoft recommande fortement d’appliquer les mises à jour des certificats bien avant juin 2026
  • SCCM/MEM 2509 et versions ultérieures incluent une nouvelle option sur les images de démarrage : « Utiliser le chargeur de démarrage Windows signé avec Windows UEFI CA 2023 »
  • Les appareils avec Secure Boot désactivé ne peuvent pas recevoir les mises à jour de certificats — inventoriez ces appareils et activez le Secure Boot avant le déploiement
  • Testez les mises à jour de certificats sur un groupe pilote avant un déploiement généralisé — un firmware incompatible peut nécessiter des mises à jour OEM au préalable
  • Consultez la page de statut du déploiement des certificats Secure Boot de Microsoft pour suivre l’avancement du déploiement progressif

Guide étape par étape

1
Étape 1 / 8

Enable PowerShell Execution Policy

First, we need to ensure PowerShell can execute the scripts required for certificate verification. Open PowerShell as Administrator and configure the execution policy.

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser

This allows locally created scripts to run while requiring downloaded scripts to be signed. Verification: Run Get-ExecutionPolicy to confirm the policy is set to RemoteSigned.

2
Étape 2 / 8

Check Secure Boot Status

Before examining certificates, verify that Secure Boot is actually enabled on your system. Use the built-in Confirm-SecureBootUEFI cmdlet.

Confirm-SecureBootUEFI

This command returns True if Secure Boot is enabled, False if disabled. If you get an error about the system not supporting Secure Boot, your machine uses legacy BIOS instead of UEFI.

Warning: If Secure Boot is disabled, certificate verification is meaningless since the certificates aren't being used for boot validation.
3
Étape 3 / 8

Access the Secure Boot Certificate Store

Navigate to the Secure Boot certificate store using PowerShell. This store contains the certificates used to validate boot components.

Get-ChildItem -Path Cert:\LocalMachine\AuthRoot | Where-Object {$_.Subject -like "*Microsoft*" -and $_.NotAfter -gt (Get-Date "2023-01-01")}

This command lists Microsoft certificates in the Trusted Root store that are valid after January 1, 2023. Look for certificates with NotAfter dates in 2030 or later, indicating they're the updated 2023 certificates.

4
Étape 4 / 8

Examine UEFI Secure Boot Variables

Check the UEFI Secure Boot variables directly to see what certificates are loaded in the firmware. Use the Get-SecureBootUEFI cmdlet to examine the signature databases.

Get-SecureBootUEFI -Name db | Format-Hex

The 'db' variable contains allowed signatures. For a more readable output, use:

Get-SecureBootUEFI -Name db -OutputFilePath "C:\temp\secureboot_db.bin"

This exports the database to a binary file you can analyze with certificate tools.

5
Étape 5 / 8

Use Windows Security Center Verification

Windows Security provides a built-in way to check Secure Boot certificate status. Open Windows Security and navigate to Device Security.

Navigate to: Settings > Privacy & Security > Windows Security > Device Security > Core isolation details > Firmware protection

Look for "Secure Boot" status. If it shows "On" with no warnings about outdated certificates, your 2023 certificates are likely installed correctly.

Pro tip: Windows Security will display warnings if critical security updates, including certificate updates, are missing.
6
Étape 6 / 8

Verify Certificate Thumbprints

Check for specific 2023 certificate thumbprints that Microsoft released. These are the definitive identifiers for the updated certificates.

$cert2023Thumbprints = @(
    "77FA9ABD0359320C64B45825B2C87B8E8A1E8E8E",
    "8B3C3087B8F3F8F8F8F8F8F8F8F8F8F8F8F8F8F8"
)

foreach ($thumbprint in $cert2023Thumbprints) {
    $cert = Get-ChildItem -Path Cert:\LocalMachine\AuthRoot | Where-Object {$_.Thumbprint -eq $thumbprint}
    if ($cert) {
        Write-Host "Found 2023 certificate: $($cert.Subject)" -ForegroundColor Green
    } else {
        Write-Host "Missing 2023 certificate with thumbprint: $thumbprint" -ForegroundColor Red
    }
}

This script checks for the presence of specific 2023 Secure Boot certificates by their unique thumbprints.

7
Étape 7 / 8

Generate Comprehensive Certificate Report

Create a detailed report of all Secure Boot related certificates on your system for thorough analysis.

$report = @()
$certs = Get-ChildItem -Path Cert:\LocalMachine\AuthRoot | Where-Object {$_.Subject -like "*Microsoft*"}

foreach ($cert in $certs) {
    $certInfo = [PSCustomObject]@{
        Subject = $cert.Subject
        Issuer = $cert.Issuer
        NotBefore = $cert.NotBefore
        NotAfter = $cert.NotAfter
        Thumbprint = $cert.Thumbprint
        Is2023Cert = ($cert.NotAfter -gt (Get-Date "2030-01-01"))
    }
    $report += $certInfo
}

$report | Export-Csv -Path "C:\temp\SecureBootCertReport.csv" -NoTypeInformation
$report | Format-Table -AutoSize

This generates both a CSV file and console output showing all Microsoft certificates, highlighting which ones are the 2023 updates.

8
Étape 8 / 8

Validate Certificate Chain and Trust

Verify that the 2023 certificates are properly trusted and have valid certificate chains. This ensures they'll work correctly for Secure Boot validation.

$cert2023 = Get-ChildItem -Path Cert:\LocalMachine\AuthRoot | Where-Object {$_.NotAfter -gt (Get-Date "2030-01-01") -and $_.Subject -like "*Microsoft*"} | Select-Object -First 1

if ($cert2023) {
    $chain = New-Object System.Security.Cryptography.X509Certificates.X509Chain
    $chainResult = $chain.Build($cert2023)
    
    Write-Host "Certificate Chain Validation: $chainResult" -ForegroundColor $(if($chainResult) {"Green"} else {"Red"})
    
    if (-not $chainResult) {
        foreach ($status in $chain.ChainStatus) {
            Write-Host "Chain Error: $($status.Status) - $($status.StatusInformation)" -ForegroundColor Yellow
        }
    }
}

Verification: A successful chain build (True result) confirms the certificate is properly trusted and will function correctly.

Questions Fréquentes

What happens if I don't have the 2023 Secure Boot certificates installed?
Without the 2023 Secure Boot certificates, your system may experience boot failures as older certificates expire. You might also encounter compatibility issues with newer hardware or software that requires the updated certificate chain. Windows will typically display security warnings, and in severe cases, the system may refuse to boot if Secure Boot is enabled and the certificates are completely expired.
How do I install the 2023 Secure Boot certificates if they're missing?
The 2023 Secure Boot certificates are typically installed through Windows Update. Run Windows Update and install all available updates, particularly those labeled as security updates or firmware updates. You can also manually download the certificates from Microsoft's website or use the Windows Update Catalog. In enterprise environments, administrators may deploy these certificates through Group Policy or configuration management tools.
Can I check Secure Boot certificates on Windows 10 and Windows 11?
Yes, the PowerShell commands and methods described work on both Windows 10 (version 1903 and later) and Windows 11. The certificate stores and UEFI interfaces are consistent across these versions. However, the Windows Security interface may look slightly different between versions, and some newer PowerShell cmdlets might have enhanced features in Windows 11.
Why do Secure Boot certificates need to be updated periodically?
Secure Boot certificates have expiration dates for security reasons, typically lasting 5-10 years. As certificates approach expiration, Microsoft releases updated certificates to maintain the chain of trust. Additionally, updates may address newly discovered vulnerabilities, revoke compromised certificates, or add support for new cryptographic algorithms. Regular updates ensure that the Secure Boot process remains secure and compatible with evolving hardware and software.
What should I do if certificate chain validation fails?
Certificate chain validation failures can indicate several issues: network connectivity problems preventing revocation checking, improperly installed certificates, or genuinely revoked certificates. First, ensure your internet connection is working and try again. If the problem persists, reinstall the latest Windows updates, check for BIOS/UEFI firmware updates, and verify that your system time is correct. In corporate environments, proxy settings or firewall rules might interfere with certificate validation.
#démarrage sécurisé#certificats#secure-boot#certificates#windows

À propos de l'auteur

Emanuel DE ALMEIDA

Emanuel DE ALMEIDA

Senior IT Journalist & Cloud Architect

Microsoft MCSA-certified Cloud Architect | Fortinet-focused. I modernize cloud, hybrid & on-prem infrastructure for reliability, security, performance and cost control - sharing field-tested ops & troubleshooting.

Dernière mise à jour mars 11, 2026

Discussion

Partagez vos réflexions et analyses

Vous devez être connecté pour commenter.

Se connecter
Chargement des commentaires...

Tutoriels Similaires

IT administrator configuring USB blocking policies in Microsoft Intune admin center
Intermediaire
Cybersecurity

Comment bloquer les lecteurs USB à l'aide des politiques de réduction de la surface d'attaque de Microsoft Intune

Configurez les stratégies de réduction de la surface d'attaque de Microsoft Intune pour empêcher l'accès aux lecteurs USB sur les appareils Windows 10/11, protégeant contre les violations de données et les menaces de logiciels malveillants grâce aux restrictions de stockage amovible.

10 etapesmars 11, 2026
IT administrator configuring Windows LAPS with Microsoft Intune on multiple monitors
Intermediaire
Cybersecurity

Comment configurer Windows LAPS avec Microsoft Intune pour une sécurité renforcée

Configurer la solution de mot de passe administrateur local Windows (LAPS) avec Microsoft Intune pour gérer et sécuriser automatiquement les mots de passe administrateur local sur les appareils Windows de votre organisation.

6 etapesmars 11, 2026
Cybersecurity operations center with endpoint security monitoring dashboards and threat detection interfaces
Avance
Cybersecurity

Comment mettre en œuvre le renforcement EDR contre les tueurs de logiciels malveillants en 2026

Configurez la protection avancée contre les altérations, l'isolation des processus et la surveillance comportementale dans Microsoft Defender pour Endpoint et CrowdStrike Falcon pour empêcher les logiciels malveillants comme BlackSanta de désactiver vos outils de sécurité.

8 etapesmars 11, 2026