Windows 11 Pro propose plusieurs outils pour limiter les risques d’intrusion et de fuite de données en entreprise, mais la plupart ne sont pas actifs par défaut.
Cet article présente 5 fonctionnalités de sécurité disponibles avec Windows 11 Pro et explique comment les activer (si elles ne le sont pas déjà).
Windows 11 Pro vs Famille : ce qui change pour la sécurité
Les éditions Famille et Pro ont les mêmes bases (Sécurité Windows, Microsoft Defender, pare-feu, démarrage sécurisé…). La version Pro ajoute surtout des outils de gestion et de contrôle.
| Fonctionnalité | Pro | Famille |
| Chiffrement BitLocker complet | Oui | Non |
| Bureau à distance (hôte) | Oui | Non |
| Stratégies de groupe | Oui | Non |
| Jonction à un domaine ou à Microsoft Entra ID | Oui | Non |
| AppLocker | Oui | Non |
| Windows Hello | Oui | Oui |
Pour un usage personnel, l’édition Famille reste correcte si les mises à jour sont faites. Pour des postes qui contiennent des données clients ou financières, l’édition Pro est plus adaptée.
Un poste livré sous Famille n’est pas condamné pour autant. Le passage à Pro se fait sans réinstallation du système. Il suffit de saisir une licence Windows 11 Pro dans Paramètres, Système, Activation. Cette opération débloque BitLocker, l’hôte de Bureau à distance et AppLocker (si le matériel est compatible).
Les fonctionnalités à connaître et à activer
Windows 11 Pro protège bien votre PC, à condition d’activer certains réglages. Voici lesquelles et comment faire :
1. BitLocker
BitLocker chiffre le contenu du disque. Sans les accès autorisés, une personne qui récupère un portable perdu ou volé ne peut pas lire les fichiers, même en retirant le disque pour le brancher sur une autre machine. Cette protection compte surtout pour les appareils qui se déplacent, car un portable utilisé entre le domicile, le bureau et les transports est davantage exposé qu’un poste fixe.
L’outil protège le disque système, les disques internes supplémentaires et, avec BitLocker To Go, les clés USB et disques externes.
Pour l’activer, ouvrez le menu Démarrer, tapez « Gérer BitLocker », puis cliquez sur « Activer BitLocker » à côté du lecteur système. Windows génère une clé de récupération de 48 chiffres qui peut être demandée après un changement de matériel ou de firmware. Il faut donc la sauvegarder ailleurs que sur le PC, car sans cette clé, l’accès aux données peut être définitivement perdu.
Lire Aussi : Barre des tâches Windows bloquée : comment la réparer
2. Windows Hello Entreprise
Le mot de passe reste l’un des points faibles les plus fréquents. Windows Hello Entreprise le remplace par un code PIN, une empreinte digitale ou une reconnaissance faciale sur le matériel compatible.
Le code PIN de Windows Hello n’est valable que sur l’ordinateur où il a été créé, et il s’appuie sur des clés stockées dans le TPM. Une personne qui l’observe ne peut donc pas s’en servir sur une autre machine. Ce fonctionnement réduit l’intérêt d’un vol d’identifiants, et la connexion est aussi plus rapide au quotidien.
Pour le configurer, rendez-vous dans Paramètres, Comptes, puis Options de connexion. Dans une entreprise, le déploiement de Windows Hello Entreprise se règle ensuite avec Microsoft Entra ID ou avec des stratégies d’appareil.
3. Secure Boot et TPM 2.0
Certaines attaques visent le démarrage de l’ordinateur avant même que Windows ne se lance. Les bootkits s’installent à cet endroit et deviennent très difficiles à détecter. Secure Boot vérifie que seuls des composants signés et approuvés se chargent au démarrage. Le TPM 2.0 est une puce qui stocke des clés de chiffrement et contrôle l’intégrité de la machine. BitLocker et Windows Hello s’appuient dessus.
Windows 11 exige ces éléments, ce qui explique que certains anciens ordinateurs ne soient pas compatibles. Pour contrôler leur état, appuyez sur les touches Windows et R, tapez « msinfo32 » et regardez la ligne « État du démarrage sécurisé ». Pour le TPM, la commande « tpm.msc » affiche la version de la puce. Si l’un des deux est désactivé, l’option se trouve en général dans le BIOS ou l’UEFI du fabricant.
4. Bureau à distance
Les postes sous Windows 11 Pro peuvent recevoir des connexions de Bureau à distance (RDP), ce qui n’est pas le cas de l’édition Famille. C’est pratique pour dépanner un employé ou accéder à son poste de bureau depuis chez soi. C’est aussi une porte d’entrée très visée par les attaquants quand elle est mal configurée.
Pour l’activer, ouvrez Paramètres, Système, puis Bureau à distance.
Quelques règles limitent les risques:
- Laissez activée l’authentification au niveau du réseau
- Utilisez des mots de passe longs ou, mieux, une authentification à plusieurs facteurs
- N’exposez jamais le port 3389 directement sur Internet
- Passez par un VPN ou par une passerelle d’accès sécurisée
- Limitez la liste des utilisateurs autorisés
Utilisé de cette façon, le Bureau à distance reste un outil fiable pour le travail à distance.
Lire Aussi : Windows utilise trop de RAM ? Voici quoi faire
5. AppLocker
AppLocker permet de définir quels programmes, scripts et installateurs ont le droit de s’exécuter sur un poste. L’objectif est de bloquer par défaut tout ce qui n’a pas été approuvé pour réduire le risque de lancer un logiciel malveillant.
Pour le configurer sur un poste isolé, ouvrez « secpol.msc », puis Stratégies de contrôle de l’application et AppLocker. Créez d’abord les règles par défaut, sinon des composants de Windows risquent d’être bloqués. Le service « Identité de l’application » doit aussi tourner pour que les règles soient appliquées. Il est conseillé de commencer en mode audit, de lire les événements dans l’Observateur d’événements, puis de passer en application stricte une fois les règles stables.
Sur un parc de plusieurs machines, ces règles se déploient par stratégie de groupe ou avec Intune. Pour des besoins plus avancés, Microsoft recommande aussi d’examiner App Control for Business, le successeur de Windows Defender Application Control.
Les réglages à contrôler après l’achat d’un PC
Une machine neuve n’est pas forcément configurée comme l’entreprise le souhaite. Voici une petite liste de contrôle a faire :
- Vérifier que Windows Update est actif
- Contrôler l’état de la Sécurité Windows
- Activer BitLocker et sauvegarder la clé de récupération
- Configurer Windows Hello si le matériel le permet
- Confirmer que le TPM 2.0 et Secure Boot sont activés
- Décider si AppLocker sont nécessaires
- Mettre à jour le BIOS et les pilotes depuis le site du fabricant
Une personne seule peut régler ces points à la main. Pour une équipe, des stratégies centralisées évitent que chaque poste soit configuré différemment.
Ces fonctions forment une base solide, mais elles ne suffisent pas seules. Elles ne remplacent ni la formation du personnel, ni les sauvegardes régulières, ni l’authentification à plusieurs facteurs sur les comptes en ligne, ni une bonne gestion des accès à Microsoft 365. Un poste protégé par BitLocker et par le TPM reste exposé si un utilisateur valide une fausse demande de connexion ou ignore les mises à jour.
FAQ
Windows 11 Pro inclut-il BitLocker ?
Oui. BitLocker est disponible sur les éditions Pro, Enterprise et Education. L’édition Famille propose seulement un chiffrement d’appareil sur certains matériels.
Credential Guard fonctionne-t-il sur Windows 11 Pro ?
Credential Guard n’est officiellement pris en charge que sur les éditions Entreprise (Enterprise) et Éducation (Education).
Defender for Business est-il compris dans Windows 11 Pro ?
Non. Ce service est vendu séparément ou fourni avec Microsoft 365 Business Premium.
Peut-on utiliser le Bureau à distance sur Windows 11 Famille ?
Un poste sous Famille peut se connecter à un autre ordinateur, mais il ne peut pas être contrôlé à distance. Cette fonction d’hôte est réservée aux éditions Pro et supérieures.
Windows Defender remplace-t-il un antivirus payant ?
L’antivirus intégré offre une protection suffisante pour beaucoup d’usages. Certaines entreprises ajoutent une surveillance supplémentaire selon leurs obligations et leur niveau de risque.