Comment activer le TPM 2.0 sur un PC Windows 11

Le TPM (Module de plateforme sécurisée) est une fonction de sécurité matérielle intégrée aux PC modernes. Windows 11 exige la présence du TPM 2.0 pour son installation, car il est indispensable à plusieurs fonctions de sécurité de Windows, notamment BitLocker, Windows Hello et Secure Boot. Le TPM peut être présent tout en étant désactivé par défaut dans le firmware de certains systèmes.

Activer le TPM est indispensable dans les environnements gérés ou d’entreprise, et constitue un élément clé de la stratégie de sécurité de toute infrastructure informatique. Cela permet de respecter les références de configuration en matière de sécurité matérielle et de prendre en charge les fonctions de sécurité modernes. Si vous cherchez à savoir comment activer le TPM 2.0, ce guide présente plusieurs méthodes : la console de gestion du TPM, PowerShell et le BIOS ou l’UEFI.

Pour une présentation visuelle du sujet, regardez Comment activer le TPM 2.0 sur un PC Windows 11

Conditions requises pour activer le TPM 2.0 sur un PC Windows 11

Avant d’essayer d’activer le TPM 2.0 sur votre PC, vous devez remplir les conditions suivantes :

• Prise en charge matérielle du TPM 2.0. Votre appareil doit être équipé d’une puce Module de plateforme sécurisée 2.0 intégrée à la carte mère. La plupart des PC et ordinateurs portables fabriqués après 2016 en disposent par défaut. Il reste toutefois essentiel de vérifier la compatibilité, en particulier sur les systèmes plus anciens.
• Accès aux paramètres UEFI/BIOS. Pour activer cette fonction, vous devrez accéder au firmware du système. Vous y accédez en appuyant sur une touche précise, par exemple F2, DEL ou ESC, juste après avoir allumé votre appareil.
• Droits d’administrateur. Vous devez être connecté à un compte Windows disposant des autorisations nécessaires pour configurer les paramètres via des outils comme PowerShell et la console de gestion du TPM.
• Variantes propres au FEO (fabricant d’équipement d’origine). Selon le fabricant, les paramètres du TPM peuvent porter des noms différents. Par exemple, certains systèmes comme ceux d’Intel l’appellent PTT (Platform Trust Technology), tandis qu’AMD parle de fTPM.

Vérifier l’état du TPM 2.0

Méthode 1 : vérifier l’état du TPM avec tpm.msc

Cette méthode s’appuie sur la console de gestion du TPM intégrée et permet de vérifier si le TPM 2.0 est présent et activé sur votre système. Voici les étapes à suivre :

1. Ouvrez la boîte de dialogue Exécuter en appuyant sur Win + R.
2. Saisissez tpm.msc pour lancer la console de gestion du TPM.
3. Examinez ensuite l’état du TPM. Dans la fenêtre Gestion du module de plateforme sécurisée sur l’ordinateur local, repérez les éléments suivants :
   1. Si le message «  Le module de plateforme sécurisée est prêt à être utilisé » s’affiche, le TPM est installé et actif.
   2. Si le message «  Module de plateforme sécurisée compatible introuvable » s’affiche, la puce est peut-être désactivée dans le firmware, ou bien elle est absente.
4. Repérez la version de la spécification dans la section Informations sur le fabricant du module de plateforme sécurisée. Notez que Windows 11 exige la version 2.0. Si la version affichée est 1.2 ou si l’information est absente, votre système ne répond probablement pas à l’exigence TPM de Windows.

Méthode 2 : valider le TPM avec PowerShell

Vous pouvez également valider l’état du TPM avec PowerShell exécuté en tant qu’administrateur. Cette méthode est idéale pour les administrateurs système ou les équipes informatiques qui doivent vérifier l’état du TPM sur de nombreux appareils dans un environnement géré.

1. Ouvrez PowerShell en tant qu’administrateur. Remarque : vous pouvez aussi utiliser Windows Terminal (Admin) s’il est disponible.
2. Exécutez ensuite la commande d’interrogation du TPM :

Get-WmiObject -Namespace "Root\CIMV2\Security\MicrosoftTpm" -Class Win32_Tpm

3. Recherchez les éléments suivants dans le résultat :
   1. IsEnabled_InitialValue = True : le matériel TPM est activé.
   2. IsActivated_InitialValue = True : cela confirme que le TPM a été activé dans le BIOS/UEFI.
   3. SpecVersion = 2.0 ou supérieur : confirme que la version du TPM répond à l’exigence de Windows 11.

Si vous avez constaté que le TPM est introuvable ou désactivé, activez-le dans les paramètres du BIOS/UEFI. La méthode suivante explique comment procéder.

Activer le TPM 2.0 dans le BIOS/UEFI

Certaines étapes peuvent varier selon l’appareil, mais vous pouvez activer le TPM 2.0 depuis les paramètres UEFI et BIOS. Voici comment faire :

1. La première étape consiste à redémarrer votre ordinateur. Appuyez sur la touche qui ouvre le BIOS/UEFI dès que l’écran commence à redémarrer. Il peut s’agir de F2, F10, F12, Delete ou Esc, selon la configuration du PC.
2. Une fois dans le BIOS/UEFI, rendez-vous dans la section Security, Advanced ou Trusted Computing. Son emplacement exact dépend du fabricant.
3. Repérez et activez le TPM.
   1. Sur les systèmes Intel, recherchez PTT (Platform Trust Technology) et activez-le.
   2. Sur les systèmes équipés d’un chipset AMD, repérez et activez fTPM (Firmware TPM) ou la configuration AMD fTPM.
   3. Dans certaines versions du BIOS, l’option peut apparaître sous le nom TPM Device ou Trusted Platform Module.
4. Appuyez sur F10 (ou la touche indiquée) pour enregistrer les modifications et redémarrer.
5. Enfin, vérifiez que le TPM est bien activé sous Windows à l’aide de tpm.msc ou de PowerShell.

Les interfaces varient toutefois d’un fabricant à l’autre. Dans certains cas, les options TPM peuvent apparaître comme indisponibles jusqu’à l’application d’une mise à jour du firmware.

Stratégie de groupe et cas d’usage de sécurité du TPM 2.0

Une fois le TPM 2.0 activé, il ouvre l’accès à un large éventail de fonctions de sécurité que vous pouvez configurer via la stratégie de groupe dans Windows. Elles renforcent la sécurité du système, protègent les données sensibles et réduisent les possibilités de cyberattaque, en particulier dans les environnements d’entreprise.

Cas d’usage du TPM dans la stratégie de groupe

• Chiffrement de lecteur BitLocker. Le TPM stocke de façon sécurisée les clés de chiffrement, qui permettent de chiffrer le lecteur et de protéger les données même si celui-ci est retiré. Vous pouvez en outre imposer des politiques BitLocker via la stratégie de groupe.
• Credential Guard. Cette fonction s’appuie sur une sécurité basée sur la virtualisation pour isoler les identifiants de connexion du système d’exploitation et les protéger des malwares. Elle utilise le TPM pour stocker et protéger les secrets, tout en contribuant aux contrôles d’intégrité du système.
• Validation du Secure Boot. Le TPM aide à valider l’intégrité du firmware et du chargeur d’amorçage au démarrage, ce qui empêche les rootkits et les bootkits (des types de malwares qui s’attaquent à la sécurité du réseau) de s’exécuter avant le chargement de Windows.

Accéder aux politiques TPM et les configurer

1. Ouvrez la boîte de dialogue Exécuter avec le raccourci Win + R, saisissez gpedit.msc puis appuyez sur Entrée. Cela ouvre l’éditeur d’objets de stratégie de groupe (non disponible dans les éditions Windows Famille).
2. Accédez à :

Configuration ordinateur > Modèles d’administration > Système > Services du module de plateforme sécurisée

3. Vous pouvez ensuite configurer des politiques telles que :
   1. l’activation ou la restriction du TPM pour BitLocker ;
   2. l’autorisation de l’attestation à distance des appareils protégés par TPM, qui permet aux administrateurs informatiques de s’assurer que les systèmes n’ont pas été altérés, même hors site ;
   3. l’application d’exigences de clé ou de code PIN de démarrage TPM.

Résolution des problèmes liés au TPM 2.0

Vous pouvez rencontrer des difficultés lors de l’activation du TPM 2.0. Voici les plus courantes, accompagnées de leurs solutions.

Problème : le TPM n’est pas détecté

Si la console de gestion du TPM et PowerShell n’affichent aucun TPM, vérifiez les points suivants :

• Version du firmware. Votre BIOS/UEFI est peut-être obsolète et ne prend pas en charge le TPM. La meilleure solution consiste à vous rendre sur le site du fabricant de votre système (HP, Lenovo, Asus, etc.) pour télécharger le dernier correctif et mettre à jour le BIOS de votre PC Windows.
• Absence de matériel. Le TPM n’est peut-être pas physiquement installé sur les PC anciens (antérieurs à 2016) et les PC assemblés sur mesure. Consultez les caractéristiques de votre carte mère pour confirmer sa présence physique. Vous pouvez :
  • Rechercher le modèle de votre carte mère sur le site du fabricant. La plupart des manuels comportent une section sur la prise en charge du TPM, où vous pouvez vérifier si un connecteur existe pour un module additionnel.
  • Vérifier la présence d’un connecteur TPM. Certains ordinateurs de bureau disposent sur la carte mère d’un connecteur TPM permettant d’installer une puce TPM dédiée. Le cas échéant, vous pouvez acheter un module TPM compatible auprès du fabricant.
  • Vérifier dans le BIOS/UEFI les options liées au TPM firmware (fTPM/PTT). De nombreux systèmes modernes intègrent un TPM basé sur le firmware, que vous pouvez activer depuis le BIOS. Revérifiez les paramètres du BIOS pour confirmer qu’il est bien absent.

Problème : mot de passe BIOS requis

Si les paramètres du firmware sont verrouillés, il vous faut un mot de passe administrateur ou superviseur pour modifier les configurations de sécurité, y compris l’activation du TPM. Vous pouvez obtenir ces identifiants auprès de votre service informatique ou consulter le manuel ou la documentation du fabricant.

Problème : détection du TPM irrégulière

Les systèmes sur lesquels le démarrage rapide est activé n’initialisent pas toujours complètement le TPM lors d’un redémarrage. Pour le désactiver, procédez comme suit :

1. Ouvrez le Panneau de configuration et accédez aux Options d’alimentation.
2. Sélectionnez ensuite Choisir l’action des boutons d’alimentation, puis cliquez sur Modifier des paramètres actuellement non disponibles.
3. Décochez Activer le démarrage rapide.
4. Redémarrez et vérifiez à nouveau l’état du TPM.

Comment réinitialiser le TPM

Si le TPM se comporte de façon inattendue ou s’il a déjà été utilisé dans un autre environnement, vous pouvez le réinitialiser en suivant ces étapes :

1. Ouvrez la boîte de dialogue Exécuter (Win + R), puis saisissez tpm.msc. Appuyez sur Entrée pour ouvrir la console de gestion du TPM.
2. Dans le volet de droite, sélectionnez Effacer le TPM. Si l’option n’apparaît pas, cliquez sur Actualiser.
3. Suivez les prompts puis redémarrez.

IMPORTANT : effacer le TPM peut supprimer les clés associées à des fonctions comme BitLocker, ce qui vous priverait de l’accès à vos fichiers chiffrés. Importez et sauvegardez vos clés de secours et de chiffrement pour écarter ce risque.

Activer le TPM 2.0 pour garder vos systèmes Windows 11 sécurisés

Activer le TPM 2.0 sur votre PC et dans vos environnements gérés est essentiel pour assurer la conformité avec Windows 11 et débloquer des fonctions de sécurité comme BitLocker et Credential Guard.

Vous pouvez vérifier l’état du TPM avec tpm.msc ou PowerShell et vous assurer que la version est égale ou supérieure à 2.0. S’il n’est pas détecté, accédez aux paramètres du BIOS et activez PTT ou fTPM. Une fois le TPM activé, vous pouvez utiliser la stratégie de groupe pour imposer les protections qui s’appuient sur lui et l’intégrer à votre processus de provisionnement.