Empêcher les utilisateurs non administrateurs d’exécuter la console est un moyen efficace de mettre en place ou de renforcer un environnement contrôlé. Si vous disposez d’un accès administrateur et souhaitez désactiver l’invite de commande, ce guide vous accompagne pas à pas et vous donne quelques éclairages supplémentaires sur l’application des politiques de sécurité.
L’invite de commande est un outil puissant qui permet d’effectuer diverses tâches d’administration et de dépannage à l’aide de commandes textuelles.
Les méthodes pour désactiver l’invite de commande
Il existe deux façons d’empêcher les utilisateurs finaux d’ouvrir la console de l’invite de commande. Ces programmes sont les suivants :
✔️ l’éditeur d’objets de stratégie de groupe
✔️ l’Éditeur du registre
Le registre Windows est présent sur tous les appareils Windows, mais modifier ses valeurs peut endommager le système si l’opération est mal menée. Nous vous conseillons de créer une sauvegarde et un point de restauration du registre Windows avant de poursuivre.
À l’inverse, la stratégie de groupe locale (GPO) présente moins de risques, mais elle n’est disponible que sur les éditions Windows Pro, Enterprise et Education. Cela dit, découvrez les étapes ci-dessous pour vous lancer.
Option 1 : l’éditeur d’objets de stratégie de groupe (recommandé)
- Appuyez sur Win + R, saisissez « gpedit.msc » dans la boîte de dialogue, puis cliquez sur OK.
- Dans l’éditeur d’objets de stratégie de groupe, accédez à Configuration utilisateur → Modèles d’administration → Système.
- Repérez la politique Empêcher l’accès à l’invite de commande, double-cliquez dessus et réglez-la sur Activé.
🥷 Conseil : (facultatif) après avoir activé cette politique, vous trouverez également la politique Désactiver le traitement des scripts de l’invite de commande. En l’appliquant, vous empêcherez les utilisateurs d’exécuter des fichiers batch pour contourner la restriction de l’invite de commande.
Option 2 : l’Éditeur du registre (pour les utilisateurs avancés)
- Appuyez sur Win + R, saisissez « regedit » dans la boîte de dialogue, puis cliquez sur OK pour ouvrir l’Éditeur du registre.
- Accédez à ce répertoire ou collez-le dans la barre d’adresse du registre :
- HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows
- Si la clé System n’existe pas sous Windows, faites un clic droit sur Windows, sélectionnez Nouveau → Clé et nommez-la System. Sinon, cliquez sur System pour continuer.
- Dans System, sélectionnez Nouveau → Valeur DWORD (32 bits) et nommez-la DisableCMD.
- Double-cliquez sur DisableCMD et attribuez la valeur :
- 1 → désactive l’invite de commande ainsi que les scripts .bat et .cmd
- 2 → désactive l’invite de commande
Mesures de sécurité alternatives ou complémentaires à envisager
Désactiver l’invite de commande constitue une bonne base pour mieux contrôler les accès des utilisateurs non administrateurs, mais cela ne suffit pas toujours à empêcher l’exécution de scripts non autorisés dans d’autres consoles (PowerShell, par exemple).
Voici quelques couches de sécurité supplémentaires à envisager.
Limiter l’accès à PowerShell via la stratégie de groupe locale
Il est judicieux de bloquer les accès non autorisés à PowerShell, car cette console permet d’exécuter de nombreux utilitaires en ligne de commande, souvent plus puissants que ceux de l’invite de commande. De plus, certains utilisateurs peuvent s’en servir pour contourner les restrictions appliquées à l’invite de commande.
Voici donc les étapes à suivre pour désactiver PowerShell depuis la stratégie de groupe locale :
- Appuyez sur Win + R, saisissez « gpedit.msc » dans la boîte de dialogue, puis cliquez sur OK.
- Accédez à Configuration utilisateur → Modèles d’administration → Système.
- Repérez la politique Ne pas exécuter les applications Windows spécifiées et double-cliquez dessus.
- Rendez-vous ensuite dans Options, cliquez sur Afficher et saisissez powershell.exe dans la colonne Valeur.
- Cliquez sur OK, puis sur Appliquer pour valider les modifications.
Vous pouvez également ajouter powershell_ise.exe (interface PowerShell ISE) et pwsh.exe (PowerShell 7) dans la colonne Valeur afin d’empêcher les utilisateurs de contourner les restrictions.
Bloquer l’exécution de scripts non autorisés avec AppLocker
AppLocker, intégré à Windows, dispose lui aussi de paramètres efficaces pour empêcher l’exécution de scripts et de fichiers batch non autorisés. Gardez toutefois en tête qu’AppLocker seul n’empêchera pas certains scripts de s’exécuter en mode PowerShell Constrained Language.
Il est donc préférable de bloquer à la fois PowerShell et l’invite de commande si la machine de l’utilisateur n’a pas besoin de ces fonctionnalités.
Activer le contrôle de compte d’utilisateur (UAC) pour limiter les autorisations d’exécution de commandes
Configurer UAC pour restreindre un compte d’utilisateur standard est une autre excellente façon de favoriser un environnement sécurisé.
Pour faire simple, les utilisateurs qui ne disposent pas de privilèges élevés verront s’afficher une invite dès qu’ils tenteront d’accéder à un programme restreint. Les administrateurs en seront avertis, ou l’utilisateur devra demander une autorisation avant de pouvoir continuer.
Résoudre les problèmes courants liés à l’activation ou à la désactivation de l’invite de commande
Désactiver la console n’a rien de compliqué en soi, mais quelques difficultés et points de vigilance passent facilement inaperçus. Voici quelques pistes de dépannage de base sur lesquelles vous appuyer en cas d’erreur.
Erreur : impossible d’ouvrir l’éditeur de stratégie de groupe (gpedit.msc introuvable)
L’éditeur d’objets de stratégie de groupe n’est disponible que sur les éditions de Windows suivantes :
- Pro
- Education
- Enterprise
Si votre appareil fonctionne sous Windows Home, vous pouvez utiliser l’Éditeur du registre à la place.
Erreur : l’invite de commande reste accessible via PowerShell
Certains utilisateurs peuvent contourner la restriction de l’invite de commande en préfixant leurs commandes dans PowerShell. De plus, de nombreuses commandes et utilitaires de l’invite de commande peuvent être exécutés dans PowerShell, ou y possèdent un équivalent. C’est pourquoi les administrateurs informatiques ont tendance à restreindre à la fois PowerShell et l’invite de commande lorsqu’ils limitent les accès des utilisateurs.
Erreur : il faut réactiver l’invite de commande
Vous pouvez réactiver l’invite de commande en réglant la politique Empêcher l’accès à l’invite de commande sur Non configuré ou Désactivé. Si vous avez utilisé le registre Windows pour appliquer les restrictions, vous pouvez supprimer la clé System si elle ne contient aucune autre valeur.
Vous pouvez aussi ramener la valeur DWORD DisableCMD à 0 pour réactiver complètement l’invite de commande.
FAQ sur l’activation et la désactivation de l’invite de commande
La désactivation de cmd.exe affecte-t-elle les performances du système ?
Désactiver l’invite de commande n’a aucune incidence sur les performances du système. Cela limite uniquement la possibilité, pour les utilisateurs non administrateurs, d’exécuter des commandes dans la console.
Les administrateurs peuvent-ils toujours accéder à l’invite de commande ?
Non. Les administrateurs n’auront plus accès à l’invite de commande sur cet appareil non plus. Seul le système pourra exécuter les scripts nécessaires via cette console.
La désactivation de cmd.exe affecte-t-elle les fichiers batch et les scripts ?
Beaucoup de questions proches de ce sujet reviennent souvent, comme « Comment désactiver CMD .bat ? » ou « Comment désactiver le traitement des scripts de l’invite de commande ? ». Pour clarifier les choses : désactiver l’invite de commande ne bloquera pas les fichiers batch, sauf si vous appliquez cette politique en parallèle.
Recherchez la politique Désactiver le traitement des scripts de l’invite de commande pour gérer cette option.
Désactiver l’invite de commande bloque-t-il aussi PowerShell ?
Non, PowerShell doit être désactivé séparément. Consultez les conseils supplémentaires de la section Mesures de sécurité alternatives ou complémentaires pour savoir comment empêcher les utilisateurs d’accéder à PowerShell.
En résumé : désactiver l’invite de commande dans Windows 10
Choisir de désactiver le traitement des scripts de l’invite de commande constitue une bonne référence de configuration pour bâtir un environnement informatique sécurisé. Cette politique seule ne suffit toutefois pas toujours à dissuader les utilisateurs malintentionnés de contourner les restrictions. Vous pouvez donc envisager de désactiver PowerShell pour combler les lacunes.
Une fois votre décision prise de désactiver la console de l’invite de commande, vous pouvez utiliser l’Éditeur du registre ou la GPO pour appliquer la nouvelle politique. Dans la plupart des cas, nous recommandons la seconde option si votre appareil fonctionne sous Windows Pro, Enterprise ou Education. Sinon, les utilisateurs de l’édition Home peuvent modifier le registre Windows en prenant toutes les précautions nécessaires.
💡 Si vous préférez une explication en images, consultez Comment désactiver l’invite de commande.
