Qu’est-ce que WDAGUtilityAccount dans Windows 10 et Windows 11 ?
WDAGUtilityAccount est un compte local prédéfini créé et géré par Microsoft Windows. Son nom vient de Windows Defender Application Guard, une fonctionnalité de sécurité qui utilisait l’isolation matérielle pour ouvrir les sites Web et fichiers non fiables dans un conteneur protégé.
Windows utilise ce compte dans l’environnement isolé d’Application Guard. Il n’est pas destiné à servir de compte utilisateur quotidien, ne doit pas être utilisé pour une connexion normale et ne remplace ni votre compte administrateur personnel ni votre compte Microsoft.
net user, dans Utilisateurs et groupes locaux ou dans un autre outil de gestion des comptes ne signifie pas que votre ordinateur a été piraté.
Géré par Windows
Le système d’exploitation crée et contrôle ce compte dans le cadre de son architecture d’isolation des applications.
Désactivé par défaut
Sur une installation normale, le compte reste désactivé tant qu’une configuration Application Guard compatible n’en a pas besoin.
Contexte utilisateur standard
Il est conçu pour fonctionner dans un conteneur isolé avec des droits limités, et non comme compte administrateur principal.
Ce n’est pas un logiciel malveillant
Le compte intégré authentique est un composant Windows normal qu’il convient généralement de laisser inchangé.
À quoi sert WDAGUtilityAccount ?
Application Guard crée un environnement virtualisé distinct entre le contenu potentiellement dangereux et l’installation Windows principale. WDAGUtilityAccount fournit une identité utilisateur limitée dans ce conteneur afin que les applications isolées ne s’exécutent pas avec l’identité et les autorisations de votre session habituelle.
Lorsque Application Guard est actif sur une version compatible de Windows, ce compte peut servir à ouvrir une session dans le conteneur en tant qu’utilisateur standard. Windows attribue et gère automatiquement un mot de passe aléatoire. Vous n’avez pas besoin de connaître ce mot de passe ni d’utiliser le compte manuellement.
| Propriété du compte | Comportement attendu |
|---|---|
| Type de compte | Compte local Windows prédéfini |
| Fonction principale | Fournit une identité limitée dans un conteneur Application Guard |
| État par défaut | Désactivé tant que la fonctionnalité d’isolation associée n’en a pas besoin |
| Mot de passe | Aléatoire et géré automatiquement par Windows |
| Compte de connexion normal | Non |
| Malveillant par défaut | Non |
Pourquoi WDAGUtilityAccount apparaît-il sur mon ordinateur ?
De nombreux outils de gestion des comptes Windows affichent tous les comptes locaux, y compris les comptes masqués, désactivés et gérés par le système. Ainsi, des commandes comme net user peuvent afficher WDAGUtilityAccount à côté de votre véritable compte utilisateur, du compte Administrateur intégré, de Guest et de DefaultAccount.
Vous pouvez voir WDAGUtilityAccount dans les emplacements suivants :
- La sortie de la commande
net user - La sortie PowerShell de
Get-LocalUser - Gestion de l’ordinateur, dans Utilisateurs et groupes locaux
- Les boîtes de dialogue avancées d’autorisations ou de sécurité
- Des utilitaires tiers d’informations système ou d’audit des comptes
net user affiche les comptes qui existent sur l’ordinateur. Elle n’indique pas quel compte est actuellement connecté et ne signifie pas que chaque compte affiché possède des droits d’administrateur.
Vérifier le compte actuellement utilisé
Ouvrez l’Invite de commandes et exécutez :
Invite de commandeswhoami
Pour afficher uniquement le nom de l’utilisateur actuel, sans le préfixe de l’ordinateur ou du domaine, exécutez :
Invite de commandesecho %USERNAME%
WDAGUtilityAccount est-il sûr ou s’agit-il d’un virus ?
Le véritable compte WDAGUtilityAccount est sûr. Microsoft le décrit comme un compte local Windows prédéfini associé à Windows Defender Application Guard. Sa présence seule ne constitue pas une preuve de logiciel malveillant, d’accès à distance ni de l’utilisation secrète de votre PC par une autre personne.
Toutefois, un pirate ou un programme indésirable pourrait théoriquement créer un autre compte local portant un nom ressemblant. Il est donc conseillé de vérifier l’état et l’identificateur de sécurité du compte si son comportement paraît inhabituel.
✓ Signes normaux
- Le nom exact est
WDAGUtilityAccount - Le compte est désactivé
- Son SID se termine par
-504 - Il n’appartient pas au groupe Administrateurs
- Il n’apparaît pas comme option de connexion normale
✗ Signes d’alerte
- Un compte au nom similaire possède un SID différent
- Le compte est activé sans raison connue
- Il appartient au groupe Administrateurs ou à un autre groupe privilégié
- Des connexions récentes inconnues lui sont associées
- Le logiciel de sécurité signale d’autres activités suspectes
504 ; son SID local complet se termine donc normalement par -504.
Comment vérifier que WDAGUtilityAccount est authentique
Méthode 1 : vérifier le compte avec l’Invite de commandes
- Ouvrez l’Invite de commandes ou Windows Terminal.
- Exécutez la commande suivante :
Invite de commandesnet user WDAGUtilityAccount
Examinez la ligne Compte actif. Sur un PC standard où Application Guard n’est pas actif, elle doit indiquer Non. La commande peut également signaler que Windows gère les paramètres liés au mot de passe de ce compte.
Méthode 2 : vérifier le SID et l’état d’activation avec PowerShell
Ouvrez PowerShell et exécutez :
PowerShellGet-LocalUser -Name "WDAGUtilityAccount" |
Select-Object Name, Enabled, SID, PasswordRequired, UserMayChangePassword
Le résultat attendu doit afficher le nom exact du compte et un SID se terminant par -504.
Méthode 3 : confirmer qu’il ne s’agit pas d’un administrateur
Exécutez cette commande dans l’Invite de commandes :
Invite de commandesnet localgroup Administrators
WDAGUtilityAccount ne doit normalement pas apparaître dans le groupe Administrateurs. Sur les éditions non anglaises de Windows, le nom du groupe local est traduit ; PowerShell peut donc être plus pratique :
PowerShellGet-LocalGroupMember -Group "Administrators"
Get-LocalUser et Get-LocalGroupMember font partie du module Microsoft.PowerShell.LocalAccounts. Elles peuvent être indisponibles dans PowerShell 32 bits sur une installation Windows 64 bits.
WDAGUtilityAccount est-il un compte administrateur ?
Non, pas par défaut. WDAGUtilityAccount est conçu comme une identité d’utilisateur standard limitée pour un conteneur isolé. Microsoft indique que ce compte prédéfini n’appartient par défaut à aucun groupe local.
Voir ce compte dans la sortie de net user ne signifie pas qu’il est administrateur de votre PC. La commande répertorie tous les comptes locaux en colonnes ; elle n’affiche pas leurs rôles et n’indique pas quel compte contrôle Windows.
| Question | Réponse |
|---|---|
| WDAGUtilityAccount est-il mon compte actuel ? | Non. Utilisez whoami pour identifier le compte connecté. |
| Est-il propriétaire de mon ordinateur ? | Non. Il s’agit d’un compte local géré par le système pour les tâches d’isolation. |
| Appartient-il au groupe Administrateurs ? | Il ne doit pas en être membre par défaut. |
| Puis-je l’utiliser pour une connexion normale ? | Non. Il n’est pas destiné à un usage interactif quotidien. |
| Dois-je lui accorder des droits d’administrateur ? | Non. Cela affaiblirait le modèle de sécurité prévu. |
Faut-il désactiver ou supprimer WDAGUtilityAccount ?
Dans des circonstances normales, vous devez laisser WDAGUtilityAccount inchangé. Il s’agit d’un compte système prédéfini ; le supprimer, le renommer, l’activer manuellement, modifier son mot de passe ou changer son appartenance aux groupes peut perturber des fonctionnalités de sécurité Windows ou provoquer des problèmes d’autorisations inattendus.
Laisser le compte tel quel
S’il est désactivé et possède le SID attendu, aucune action n’est nécessaire.
Option la plus sûreLe remettre à l’état désactivé
Après avoir vérifié qu’Application Guard n’est pas utilisé, désactivez le compte et recherchez pourquoi son état a changé.
DépannageSupprimer ou renommer le compte
Cela peut rompre certaines hypothèses du système et n’apporte aucun avantage réel en matière de performances ou de sécurité.
À éviterComment le désactiver s’il a été activé de façon inattendue
Vérifiez d’abord que vous n’utilisez pas Application Guard sur une ancienne version de Windows encore compatible. Ouvrez ensuite l’Invite de commandes en tant qu’administrateur et exécutez :
Invite de commandes — Administrateurnet user WDAGUtilityAccount /active:no
Autre méthode avec PowerShell :
PowerShell — AdministrateurDisable-LocalUser -Name "WDAGUtilityAccount"
net user WDAGUtilityAccount /delete. La suppression d’un compte prédéfini n’est pas prise en charge, n’est pas nécessaire et peut échouer, car Windows protège ou recrée certains composants gérés par le système.
WDAGUtilityAccount dans Windows 11 version 24H2 et ultérieure
Microsoft Defender Application Guard a été abandonné et n’est plus disponible à partir de Windows 11 version 24H2. Les utilisateurs des versions actuelles de Windows 11 ne peuvent donc plus activer l’ancienne fonctionnalité Application Guard de la même manière que sur les versions antérieures compatibles.
WDAGUtilityAccount peut néanmoins toujours apparaître dans les listes de comptes locaux, car il s’agit d’un compte Windows prédéfini qui peut rester enregistré même lorsque la fonctionnalité d’origine est indisponible ou inactive. La présence du compte ne prouve pas qu’Application Guard est actuellement installé ou en cours d’exécution.
| Version de Windows | État d’Application Guard | Signification de WDAGUtilityAccount |
|---|---|---|
| Windows 10 | Disponible sur les éditions et matériels compatibles, mais obsolète | Peut être utilisé lorsque Application Guard est activé |
| Windows 11 23H2 et versions antérieures | Disponible sur les configurations compatibles, mais obsolète | Peut être utilisé par le conteneur d’isolation |
| Windows 11 24H2 et versions ultérieures | N’est plus disponible | Peut rester visible en tant que compte prédéfini désactivé |
Win + R, saisissez winver, puis appuyez sur Entrée pour afficher la version de Windows et le numéro de build du système.
Que faire si WDAGUtilityAccount est activé ou paraît suspect ?
Si le compte est activé de façon inattendue, appartient à un groupe privilégié ou apparaît comme option de connexion, ne le supprimez pas immédiatement. Utilisez la liste de contrôle suivante pour déterminer s’il s’agit d’une modification de configuration, d’une corruption du système ou d’un compte malveillant sans rapport utilisant un nom similaire.
- Vérifiez le SID. Utilisez PowerShell et confirmez que le SID du compte authentique se termine par
-504. - Vérifiez si le compte est activé. Exécutez
net user WDAGUtilityAccountet examinez le champ Compte actif. - Contrôlez l’appartenance aux groupes locaux. Vérifiez que le compte ne figure pas dans Administrateurs, Utilisateurs du Bureau à distance ou un autre groupe privilégié.
- Désactivez-le si aucune fonctionnalité d’isolation compatible n’en a besoin. Exécutez
net user WDAGUtilityAccount /active:nodans une Invite de commandes avec élévation de privilèges. - Lancez une analyse complète avec Microsoft Defender. Ouvrez Sécurité Windows, sélectionnez Protection contre les virus et menaces, puis lancez une analyse complète ou une analyse Microsoft Defender hors ligne.
- Vérifiez les comptes récemment créés. Comparez l’historique de création et de modification des utilisateurs locaux inconnus dans l’Observateur d’événements ou vos outils d’audit de sécurité.
- Réparez les fichiers système de Windows. Exécutez SFC et DISM si les paramètres des comptes ou les composants de sécurité Windows semblent endommagés.
Invite de commandes — Administrateursfc /scannow
DISM /Online /Cleanup-Image /RestoreHealth
Vérifier les événements des comptes locaux dans l’Observateur d’événements
- Appuyez sur
Win + R, saisissezeventvwr.msc, puis appuyez sur Entrée. - Ouvrez Journaux Windows → Sécurité.
- Recherchez les événements de gestion des comptes, tels que la création, l’activation, la désactivation d’un compte ou la modification de son appartenance à un groupe.
- Vérifiez la date, le compte à l’origine de l’action et le nom de l’utilisateur concerné.
-504, dispose de privilèges d’administrateur, accepte une connexion interactive ou est apparu en même temps que d’autres signes de compromission.
Questions fréquentes sur WDAGUtilityAccount
Q Pourquoi WDAGUtilityAccount est-il soudainement apparu après une mise à jour de Windows ? ▼
Les mises à jour de Windows peuvent enregistrer, restaurer ou rendre visibles les informations d’un compte intégré qui faisait déjà partie du système d’exploitation. Le compte peut également apparaître parce que vous avez utilisé une commande ou un outil de gestion qui répertorie les utilisateurs masqués et désactivés. Son apparition ne signifie pas nécessairement qu’il vient d’être créé ou activé.
Q WDAGUtilityAccount est-il lié à une autre personne ayant utilisé le PC ? ▼
Non. Le compte authentique est créé par Windows, et non par un ancien propriétaire. Sur un ordinateur d’occasion, il reste conseillé d’effectuer une installation propre de Windows ou une réinitialisation complète si vous ne faites pas confiance à la configuration précédente, mais WDAGUtilityAccount ne constitue pas en lui-même une preuve d’accès par une autre personne.
Q Pourquoi WDAGUtilityAccount apparaît-il à côté de mon nom d’utilisateur dans net user ? ▼
La commande net user organise tous les noms de comptes locaux en colonnes. Les comptes affichés sur la même ligne ne sont pas liés et ne partagent pas leurs autorisations. Utilisez whoami pour identifier votre compte actuel et net localgroup Administrators pour voir quels utilisateurs possèdent réellement des droits d’administrateur.
Q WDAGUtilityAccount peut-il accéder à mes fichiers personnels ? ▼
Le compte est destiné à un environnement isolé et restreint, et non à une utilisation interactive normale. Il ne doit pas servir à parcourir votre profil de bureau. Les stratégies Application Guard pouvaient autoriser des échanges de données limités et contrôlés avec le système hôte, mais cela est distinct de la propriété ordinaire des fichiers locaux et ne fait pas de ce compte votre administrateur.
Q Puis-je modifier le mot de passe de WDAGUtilityAccount ? ▼
Il ne faut pas le modifier. Windows génère et gère automatiquement le mot de passe de l’environnement isolé. Réinitialiser manuellement ce mot de passe n’apporte aucun avantage pratique et peut perturber la fonctionnalité sur les systèmes où Application Guard est encore pris en charge.
Q Pourquoi le compte n’apparaît-il pas sur l’écran de connexion Windows ? ▼
WDAGUtilityAccount est un compte géré par le système et destiné à l’utilisation dans un conteneur, pas à une connexion interactive normale. Windows le conserve généralement désactivé et masqué dans l’interface de connexion.
Q Supprimer WDAGUtilityAccount rend-il Windows plus rapide ou plus sûr ? ▼
Non. Un compte désactivé ne consomme pratiquement aucune ressource processeur ou mémoire, et supprimer un compte Windows prédéfini n’améliore pas les performances. Le laisser désactivé avec ses autorisations par défaut est plus sûr que d’essayer de le supprimer ou de le modifier.
Q WDAGUtilityAccount est-il utilisé par Windows Sandbox ? ▼
La documentation Microsoft sur les comptes identifie précisément WDAGUtilityAccount comme le compte prédéfini de Windows Defender Application Guard. Bien qu’Application Guard et Windows Sandbox utilisent tous deux des technologies d’isolation basées sur la virtualisation, la présence du compte ne permet pas de conclure que Windows Sandbox est installé ou en cours d’exécution.
Conclusion
WDAGUtilityAccount est un compte Windows prédéfini et légitime associé à Windows Defender Application Guard. Il reste normalement désactivé, utilise un mot de passe aléatoire géré par Windows, n’appartient à aucun groupe par défaut et n’est pas destiné à une connexion quotidienne.
Si le compte est désactivé et que son SID se termine par -504, vous pouvez le laisser tel quel en toute sécurité. Ne le supprimez pas, ne le renommez pas, ne réinitialisez pas son mot de passe et ne lui accordez pas de droits d’administrateur. Une enquête n’est nécessaire que si son état, son SID, son appartenance aux groupes ou son comportement de connexion diffèrent des valeurs attendues.