Comment activer BitLocker sans TPM dans Windows
Windows 10 · Windows 11 · Clé de démarrage

Comment BitLocker fonctionne sans module TPM dans Windows

BitLocker utilise normalement un Trusted Platform Module (TPM) compatible pour aider à protéger le lecteur du système d’exploitation et ne libérer la clé de chiffrement que lorsque l’environnement de démarrage semble fiable. Sur un ordinateur sans TPM utilisable, BitLocker peut tout de même chiffrer le lecteur Windows, mais il doit utiliser un autre protecteur de démarrage.

En pratique, activer BitLocker sans TPM signifie que Windows exigera une authentification avant le démarrage. Selon les options disponibles dans votre édition de Windows et sur votre matériel, il peut s’agir d’un mot de passe de démarrage ou d’une clé USB contenant une clé de démarrage BitLocker. Le lecteur reste chiffré, mais l’ordinateur ne peut pas le déverrouiller silencieusement avant le lancement de Windows.

Prérequis pour activer BitLocker sans TPM dans Windows 11 ou Windows 10

Avant de modifier les paramètres BitLocker, vérifiez que l’ordinateur et l’édition de Windows peuvent prendre en charge cette configuration. C’est particulièrement important sur les anciens PC, les configurations assemblées, les machines virtuelles et les ordinateurs portables où le TPM a été désactivé dans le BIOS ou l’UEFI.

Comment vérifier si votre PC Windows possède un module TPM

Commencez par vérifier si le TPM est réellement absent ou simplement désactivé. De nombreux PC modernes disposent d’un TPM 2.0 intégré au firmware, mais il peut être désactivé dans le BIOS/UEFI ou porter un autre nom, par exemple Intel PTT ou AMD fTPM.

Vérifier le TPM avec tpm.msc

1. Appuyez sur Win + R.
2. Tapez tpm.msc et appuyez sur Enter.
3. Regardez la section État.
4. Si le message indique Le TPM est prêt à être utilisé, votre PC dispose d’un TPM fonctionnel.
5. Si un TPM compatible est introuvable, continuez avec la configuration BitLocker sans TPM ou vérifiez d’abord le BIOS/UEFI.

Vérifier le TPM avec PowerShell

Get-Tpm

Si TpmPresent vaut False, Windows ne détecte actuellement aucun TPM. Si TpmPresent vaut True mais que TpmReady vaut False, le module existe, mais il peut devoir être activé, initialisé ou réparé.

Activer la stratégie « Autoriser BitLocker sans TPM compatible »

Par défaut, Windows peut afficher l’erreur Cet appareil ne peut pas utiliser un module de plateforme sécurisée lorsque vous essayez de chiffrer le lecteur du système d’exploitation. Pour autoriser BitLocker sans TPM, modifiez d’abord un paramètre de stratégie de groupe locale.

1. Appuyez sur Win + R, tapez gpedit.msc, puis appuyez sur Enter.
2. Accédez à Configuration ordinateur → Modèles d’administration → Composants Windows → Chiffrement de lecteur BitLocker → Lecteurs du système d’exploitation.
3. Double-cliquez sur Demander une authentification supplémentaire au démarrage.
4. Sélectionnez Activé.
5. Cochez Autoriser BitLocker sans TPM compatible (nécessite un mot de passe ou une clé de démarrage sur un lecteur flash USB).
6. Laissez les options liées au TPM inchangées, sauf si vous configurez également BitLocker pour des ordinateurs qui possèdent un TPM.
7. Cliquez sur Appliquer, puis sur OK.

Forcer l’actualisation de la stratégie

Vous pouvez redémarrer Windows ou exécuter cette commande dans une invite de commandes avec élévation de privilèges :

gpupdate /force

Comment activer BitLocker sans TPM après avoir modifié la stratégie

Une fois la stratégie activée, démarrez BitLocker depuis le Panneau de configuration. Cette méthode est plus sûre pour la plupart des utilisateurs, car Windows affiche l’assistant de configuration, demande où enregistrer la clé de récupération et peut effectuer une vérification système avant le début du chiffrement.

Ouvrir le chiffrement de lecteur BitLocker

1. Appuyez sur Win + R.
2. Tapez control /name Microsoft.BitLockerDriveEncryption et appuyez sur Enter.
3. Recherchez le lecteur du système d’exploitation, généralement C:.
4. Cliquez sur Activer BitLocker.
5. Choisissez la méthode de démarrage proposée par l’assistant : mot de passe ou clé de démarrage USB.
6. Enregistrez la clé de récupération en dehors du lecteur système chiffré.
7. Choisissez Chiffrer uniquement l’espace disque utilisé pour un nouveau PC, ou Chiffrer tout le lecteur pour un PC qui contenait déjà des données personnelles.
8. Sélectionnez le nouveau mode de chiffrement pour les lecteurs système internes Windows 10/11, sauf si vous avez besoin d’une compatibilité avec d’anciennes versions de Windows.
9. Exécutez la vérification système BitLocker lorsqu’elle est proposée, puis redémarrez le PC.

BitLocker sans TPM : mot de passe de démarrage ou clé de démarrage USB

Lorsque le TPM n’est pas disponible, le protecteur de démarrage devient la clé pratique du lecteur système chiffré. Choisissez une option que vous pouvez utiliser de façon fiable à chaque démarrage de l’ordinateur.

Comment sauvegarder la clé de récupération BitLocker avant de chiffrer

La clé de récupération est votre méthode d’accès d’urgence. Si Windows ne peut pas utiliser le mot de passe de démarrage ou la clé de démarrage, il peut demander la clé de récupération à 48 chiffres avant de déverrouiller le lecteur.

Endroits sûrs pour stocker la clé de récupération

• Enregistrez-la dans votre compte Microsoft si l’assistant propose cette option.
• Imprimez-la et conservez la copie papier dans un endroit sûr.
• Enregistrez-la sur un lecteur externe séparé qui n’est pas chiffré par la même configuration BitLocker.
• Stockez-la dans un gestionnaire de mots de passe fiable comme note sécurisée.
• Pour les PC professionnels, suivez la stratégie de sauvegarde des clés de récupération de votre organisation.

Endroits dangereux pour stocker la clé de récupération

• Le Bureau, le dossier Documents ou le dossier Téléchargements sur le même lecteur Windows chiffré.
• Une capture d’écran stockée uniquement sur le même ordinateur.
• Un fichier texte non protégé nommé bitlocker key.txt sur une clé USB partagée.
• Un dossier cloud synchronisé automatiquement avec des comptes que vous ne contrôlez pas.

Commandes utiles pour BitLocker sans TPM

Ces commandes vous aident à vérifier l’état, confirmer les protecteurs et surveiller le chiffrement. Exécutez l’invite de commandes, PowerShell ou Windows Terminal en tant qu’administrateur.

Vérifier l’état de BitLocker

manage-bde -status C:

Afficher les protecteurs BitLocker du lecteur système

manage-bde -protectors -get C:

Vérifier BitLocker avec PowerShell

Get-BitLockerVolume -MountPoint "C:"

Ouvrir l’applet BitLocker du Panneau de configuration

control /name Microsoft.BitLockerDriveEncryption

Actualiser la stratégie de groupe

gpupdate /force

Si vous utilisez des scripts pour le déploiement de BitLocker, testez-les d’abord sur une machine non critique. Les protecteurs de démarrage, le stockage de la clé de récupération, le comportement du firmware et les différences entre éditions de Windows peuvent modifier le résultat.

Que faire si gpedit.msc est absent dans Windows ?

Si gpedit.msc est absent, vérifiez d’abord votre édition de Windows. Les éditions Windows Home n’incluent généralement pas l’Éditeur de stratégie de groupe locale et ne fournissent pas non plus l’expérience complète de gestion BitLocker utilisée dans les éditions Pro, Enterprise et Education. Certains appareils Windows Home prennent en charge le Chiffrement de l’appareil, mais ce n’est pas la même chose que la configuration manuelle de BitLocker complet sans TPM.

Corriger les problèmes de BitLocker sans TPM dans Windows

Les problèmes les plus courants sont dus à une stratégie non appliquée, à une édition de Windows non prise en charge, à un firmware incapable de lire la clé de démarrage USB ou à des erreurs de sauvegarde de la clé de récupération.

Conseil de maintenance sûre

Avant les mises à jour du BIOS, les changements d’ordre de démarrage, le clonage de disque, les opérations sur les partitions ou les modifications importantes du firmware, suspendez temporairement BitLocker et réactivez-le une fois la maintenance terminée.

manage-bde -protectors -disable C:
manage-bde -protectors -enable C:

FAQ sur BitLocker sans TPM