TPM obligatoire pour l'activation Windows en entreprise

Imaginez qu'une minuscule puce décide si votre entreprise peut démarrer Windows légalement. C'est exactement le rôle que Microsoft attribue au TPM alors qu'il resserre les contrôles sur l'activation en entreprise.

Après avoir imposé le TPM sur les cartes mères avec Windows 11, Microsoft transforme cette base matérielle en un outil anti-piraterie pour les grandes organisations. L'entreprise a mis à jour son système d'activation KMS afin que les serveurs KMS puissent utiliser les capacités cryptographiques d'un TPM pour prouver qu'ils sont authentiques, intacts et autorisés à délivrer des licences.

Changement concret, objectif clair

KMS, le service de gestion de clés, est ce que les entreprises utilisent lorsqu'elles doivent activer des centaines ou des milliers de machines à la fois. Pendant des années, des attaquants et des outils du marché parallèle ont imité ou exploité KMS pour activer Windows sans licences valides. La nouvelle attestation basée sur le TPM vérifie l'identité matérielle et l'intégrité d'un serveur avant de lui permettre de répondre aux demandes d'activation, réduisant ainsi la surface d'attaque pour les serveurs d'activation falsifiés ou manipulés.

Le processus est simple en principe : un TPM sur l'hôte KMS valide que le serveur est un matériel reconnu, confirme que le système n'a pas été altéré, puis autorise la signature ou la preuve cryptographique que les demandes d'activation sont légitimes. Cette chaîne de confiance déplace les décisions d'activation hors des simples contrôles logiciels vers des preuves appuyées par le matériel.

Microsoft indique que cette vérification appuyée par le matériel deviendra obligatoire dans la prochaine version de Windows Server. Les organisations peuvent s'attendre à des avertissements officiels à partir d'août 2026, en parallèle de Windows Server 2025, afin que les équipes informatiques aient le temps de s'adapter avant l'application de la mesure.

Que doivent faire les responsables réseau et licences ? Commencez par un inventaire des serveurs d'activation et des plateformes sur lesquelles ils s'exécutent. Vérifiez que les cartes mères et processeurs de votre infrastructure prennent en charge le TPM, assurez-vous que les microprogrammes sont à jour, et préparez-vous à provisionner des clés ou certificats TPM selon les recommandations de vos fournisseurs. Testez les serveurs KMS avec l'attestation activée dans un environnement de préproduction avant de basculer en production.

Ce changement ne vise pas seulement à couper l'accès aux licences piratées. Il s'agit de relever le niveau de confiance pour l'activation en entreprise, rendant plus difficile pour des acteurs malveillants d'usurper des serveurs légitimes, tout en fournissant aux administrateurs des indications plus claires sur l'état de santé de leur infrastructure d'activation.

Si vous gérez les licences Windows en entreprise, considérez l'exigence d'attestation TPM à venir comme une priorité et planifiez dès maintenant vos mises à niveau et vos tests.