Windows 11 : vérifier et activer le TPM 2.0

Le TPM 2.0 est une puce de sécurité exigée par Windows 11 comme condition système.

TPM signifie Trusted Platform Module. C’est un composant de sécurité qui stocke les clés cryptographiques, les mots de passe et les certificats séparément du système d’exploitation, de manière à ce qu’un logiciel malveillant ne puisse y accéder. Windows 11 exige la version 2.0 de ce module ; sans TPM 2.0, l’installation ne peut normalement pas être effectuée.

Le module existe sous deux formes. Un TPM discret est une puce séparée sur la carte mère. Un TPM firmware s’exécute en tant que partie du processeur, sous le nom Intel Platform Trust Technology (PTT) sur les systèmes Intel et fTPM sur les systèmes AMD. Pour Windows 11, la forme importe peu, tant qu’il s’agit de la version 2.0 et que la fonction est activée.

Au-delà de l’exigence d’installation, Windows 11 utilise le TPM pour des fonctionnalités telles que le chiffrement de disque BitLocker et Windows Hello. Les clés de ces fonctions sont stockées en sécurité dans le module, ce qui rend plus difficile leur extraction en dehors du PC.

Microsoft a choisi le TPM 2.0 comme exigence pour garantir un niveau de base de sécurité matérielle sur chaque PC sous Windows 11. Le module permet par exemple de vérifier au démarrage si le firmware et les fichiers de démarrage n’ont pas été modifiés, et de conserver les informations d’identification en lieu sûr. De nombreux ordinateurs postérieurs à 2016 disposent d’un TPM firmware compatible, mais celui-ci n’est pas toujours activé en sortie d’usine. C’est pourquoi un PC semble parfois ne pas avoir de TPM alors que le module est présent et doit simplement être activé.

Vérifiez le TPM 2.0 le plus rapidement avec la console tpm.msc.

La console de gestion intégrée indique d’un coup d’œil si le TPM est présent, prêt et en version 2.0.

1. Appuyez sur Windows + R, tapez tpm.msc et validez par Entrée.
2. Consultez le champ État. S’il indique que le TPM est prêt à l’emploi, le module est actif.
3. Regardez sous Informations sur le fabricant TPM la ligne Version de la spécification. Elle doit afficher 2.0.

Si à la place un message indique qu’aucun TPM compatible n’a pu être trouvé, cela signifie que le module est désactivé dans le firmware ou qu’il est absent. Si la version indiquée est inférieure à 2.0, par exemple 1.2, l’appareil ne satisfait pas à l’exigence de Windows 11.

Le menu de gauche de la console propose également une option pour préparer ou effacer le TPM. Vous n’en avez pas besoin pour une simple vérification ; elles sont destinées à l’administration et au dépannage. Pour savoir si votre ordinateur est prêt pour Windows 11, le champ d’état et la version de la spécification suffisent. Notez cette version, car vous en aurez besoin plus loin si vous devez modifier le firmware.

Utilisez Get-Tpm dans PowerShell pour un contrôle au format texte.

Si vous souhaitez lire l’état d’une manière que vous pouvez copier ou utiliser dans un script, PowerShell est plus pratique que la console. Ouvrez PowerShell en tant qu’administrateur et exécutez :

Get-Tpm

La sortie contient quelques lignes qui vous donnent immédiatement la réponse :

• TpmPresent : vaut True si un TPM est présent.
• TpmReady : vaut True si le module est prêt à l’emploi.
• TpmEnabled : vaut True si le module est activé.

Si TpmPresent et TpmReady valent tous les deux True, votre système est prêt pour Windows 11. En cas de message d’erreur ou si les valeurs sont False, vous devez probablement encore activer le module dans le firmware.

Si vous voulez laisser Microsoft effectuer la vérification complète des exigences, utilisez l’application Contrôle d’intégrité du PC (PC Health Check). Celle-ci examine non seulement le TPM 2.0, mais aussi le démarrage sécurisé (Secure Boot), le processeur et la mémoire vive, et indique en langage clair si votre PC convient pour Windows 11. Pour le seul état du TPM, Get-Tpm est plus rapide, mais l’application donne une vue complète si vous doutez de remplir toutes les configurations requises.

Consultez le processeur de sécurité dans Sécurité Windows.

Une troisième méthode de vérification se trouve dans les paramètres eux-mêmes et affiche aussi immédiatement la version.

1. Ouvrez Paramètres > Confidentialité et sécurité > Sécurité Windows.
2. Choisissez Sécurité de l’appareil.
3. Sous Processeur de sécurité, cliquez sur Détails du processeur de sécurité.
4. Lisez, à la ligne Version de la spécification, si la valeur indiquée est 2.0.

Si vous ne voyez même pas la rubrique Processeur de sécurité, Windows ne détecte aucun TPM et vous devez d’abord l’activer dans le firmware. Si un triangle d’avertissement apparaît avec le message indiquant que le processeur de sécurité nécessite votre attention, cliquez dessus ; un redémarrage ou une mise à jour du firmware suffit souvent à résoudre le problème.

Les trois méthodes fournissent les mêmes informations ; choisissez celle qui vous convient le mieux. Le tableau ci-dessous les compare.

Activez le TPM via le firmware UEFI si le module est désactivé.

Si le contrôle montre qu’aucun TPM n’est trouvé alors que votre système en possède un, la fonction est généralement simplement désactivée dans le firmware. Activez-la dans les paramètres UEFI (BIOS).

1. Accédez à Paramètres > Système > Récupération et, sous Démarrage avancé, cliquez sur Redémarrer maintenant.
2. Après le redémarrage, choisissez Dépannage > Options avancées > Paramètres du firmware UEFI et cliquez sur Redémarrer.
3. Dans l’UEFI, cherchez une section comme Security, Advanced ou Trusted Computing.
4. Activez l’option TPM. Sur les systèmes Intel, elle s’appelle souvent Intel PTT ou Intel Platform Trust Technology ; sur AMD, AMD fTPM ou AMD PSP fTPM switch.
5. Enregistrez (généralement avec F10) et redémarrez.

Si vous préférez ne pas passer par Windows pour accéder au firmware, vous pouvez également ouvrir l’UEFI en appuyant dès le démarrage sur une touche, généralement Suppr, F2 ou F10, selon la marque. Le message de démarrage affiche souvent brièvement la touche nécessaire. La méthode via Paramètres et Démarrage avancé fonctionne cependant sur tout PC, même lorsque le message de démarrage passe trop vite.

Après le redémarrage, vérifiez avec tpm.msc si le module est désormais reconnu. Les noms exacts des menus varient selon le fabricant et la carte mère ; la documentation officielle avec les différentes variantes se trouve sur la page Microsoft Support.

Résolvez un TPM non reconnu avec une mise à jour du firmware ou en effaçant le TPM.

Parfois, le module continue de poser problème après son activation. Voici les étapes à suivre :

• Mettez à jour le firmware UEFI vers la dernière version. Les anciens firmwares ne reconnaissent pas toujours correctement fTPM ou PTT.
• Vérifiez que le démarrage sécurisé (Secure Boot) est activé ; Windows 11 l’exige en plus du TPM 2.0.
• N’effacez le TPM qu’en dernier recours avec tpm.msc et l’option Effacer le TPM. Cela supprime les clés stockées ; ne le faites donc pas si BitLocker est actif sans avoir votre clé de récupération à portée de main.

Un cas fréquent est que l’UEFI affiche bien l’option TPM, mais que Windows ne la voie toujours pas après l’avoir activée. En général, il suffit alors d’enregistrer les paramètres du firmware, d’éteindre complètement le PC (pas seulement de le redémarrer) et de le rallumer. Sur les systèmes AMD, l’option fTPM est parfois cachée dans un sous-menu nommé AMD CBS ou PSP, plus profondément dans les paramètres qu’on ne le penserait. Prenez le temps de parcourir calmement les menus avant de conclure que votre PC n’a pas de TPM.

Faites également attention aux modules TPM discrets sur les cartes mères plus anciennes : ceux-ci exigent parfois une confirmation de présence physique dans l’UEFI avant que Windows ne puisse les utiliser. L’UEFI affiche alors un message vous demandant d’approuver la modification à l’aide d’une touche. Ne sautez pas cette étape, car sinon le module restera désactivé malgré votre paramètre.

Sur un PC configuré avec un compte local, la réinitialisation peut parfois se dérouler différemment qu’avec un compte Microsoft. Pour en savoir plus, consultez Installer Windows 11 avec un compte local. Si, après un changement de matériel, vous voulez vous assurer de pouvoir réactiver Windows, liez votre licence comme décrit dans Lier une licence numérique Windows à votre compte Microsoft.

Sans TPM 2.0, il ne reste que Windows 10 ou une mise à niveau du matériel.

Si votre appareil ne satisfait définitivement pas à l’exigence, par exemple parce qu’il ne dispose que du TPM 1.2 ou ne prend en charge aucun module, voici quelques options réalistes.

Il existe des méthodes détournées pour installer Windows 11 sans TPM 2.0, mais elles aboutissent à une configuration non prise en charge. Une telle installation ne reçoit pas toujours les mises à jour et peut se bloquer sur l’exigence système lors d’une mise à jour majeure de Windows. Pour un PC que vous utilisez quotidiennement, c’est un risque qu’il vaut mieux éviter ; rester sous Windows 10 ou mettre à niveau le matériel donne un résultat plus stable.

Si vous envisagez un nouveau matériel, tenez compte de ce qu’il advient de votre licence existante. Un processeur moderne intègre presque toujours un TPM firmware, de sorte que vous rencontrerez rarement cette exigence sur un nouveau PC.