Points clés
- Empêchez les applications d’ajouter des règles de pare-feu dans Windows 11 en désactivant l’application des règles locales via la stratégie de groupe et en imposant des politiques de pare-feu gérées de façon centralisée.
- Limitez les modifications des règles de pare-feu en restreignant l’exécution avec privilèges administratifs : les applications ne peuvent alors plus modifier les paramètres du pare-feu lors des installations, des mises à jour ou du premier lancement.
- Verrouillez le comportement du pare-feu en entrée comme en sortie avec le Pare-feu Windows avec fonctions avancées de sécurité, et définissez des règles d’autorisation uniquement pour les applications et services approuvés.
- Supprimez ou désactivez les règles de pare-feu non autorisées avec PowerShell pour nettoyer les entrées existantes et traiter les règles recréées lors des mises à jour ou des réinstallations d’applications.
- Conservez la maîtrise du pare-feu sur la durée en comparant les règles à une référence de configuration approuvée et en appliquant les corrections via des scripts planifiés ou l’automatisation.
Le Pare-feu Windows autorise les applications à ajouter ou modifier des règles lors de leur premier lancement. Pratique sur un poste personnel, ce comportement pose problème dans les environnements contrôlés ou partagés, en particulier lorsque les applications sont réinstallées ou mises à jour. Elles peuvent aussi restaurer discrètement des règles que les administrateurs avaient déjà supprimées.
Ce guide vous montre comment empêcher les applications d’ajouter ou de réactiver des règles de pare-feu dans Windows 11 à l’aide de politiques, de contrôles de permissions et de stratégies d’application.
Stratégies de déploiement recommandées :
Méthodes pour empêcher les applications d’ajouter des règles de pare-feu dans Windows 11
Avant d’appliquer ces méthodes, vérifiez que votre système remplit les conditions suivantes.
Prérequis généraux :
- Un appareil Windows 11 (Pro, Enterprise ou Education recommandé)
- Des privilèges administratifs sur le système
- Le Pare-feu Windows Defender activé et opérationnel
- Facultatif : la stratégie de groupe ou une gestion centralisée pour les appareils gérés ou joints à un domaine
Méthode 1 : empêcher les applications d’ajouter des règles via la stratégie de groupe
L’un des moyens les plus fiables d’empêcher les applications de créer ou de réactiver des règles du Pare-feu Windows consiste à imposer des restrictions par stratégie de groupe. Les applications ne peuvent alors plus gérer les règles de pare-feu localement : la configuration reste pilotée uniquement par la stratégie de groupe ou par des modifications administratives explicites, ce qui réduit le risque d’accès réseau non autorisé.
Étapes :
- Appuyez sur Win + R pour ouvrir la boîte de dialogue Exécuter, saisissez gpedit.msc, puis appuyez sur Entrée pour ouvrir l’éditeur de stratégie de groupe.
- Accédez à : Configuration ordinateur > Paramètres Windows > Paramètres de sécurité > Pare-feu Windows Defender avec fonctions avancées de sécurité > Propriétés du Pare-feu Windows Defender
- Sélectionnez l’onglet du profil Domaine, Privé ou Public selon votre profil réseau actif.
- Dans Paramètres, définissez Appliquer les règles de pare-feu locales sur Non.
- Cliquez sur OK pour enregistrer les modifications.
- Ouvrez l’Invite de commandes et exécutez : gpupdate /force, pour appliquer la politique immédiatement.
Méthode 2 : contrôler les modifications des règles de pare-feu en restreignant l’exécution avec privilèges administratifs
Une application ne peut créer ou modifier des règles de pare-feu que si elle s’exécute avec des privilèges administratifs. En limitant les utilisateurs et les programmes autorisés à s’exécuter avec des droits élevés, vous réduisez les modifications non autorisées de votre configuration de pare-feu et en gardez un contrôle plus strict.
📌 Prérequis :
- Le contrôle de compte d’utilisateur (UAC) activé
- Windows 11 Pro ou Enterprise pour les fonctions AppLocker
Étapes :
- Appuyez sur Win + R pour ouvrir la boîte de dialogue Exécuter, saisissez secpol.msc, puis appuyez sur Entrée pour ouvrir la Stratégie de sécurité locale.
- Accédez à Stratégies locales > Options de sécurité.
- Vérifiez que les prompts d’élévation UAC sont activés et non supprimés.
Vous pouvez ensuite limiter l’élévation des applications pendant les installations et les mises à jour. Veillez simplement à ne pas exécuter les programmes d’installation en tant qu’administrateur sans nécessité. Vous pouvez aussi restreindre les accès administratifs lorsque c’est possible : retirez les utilisateurs standard du groupe Administrateurs local ou utilisez des comptes d’administration distincts pour les modifications système. De plus, vous pouvez identifier les services qui recréent des règles de pare-feu lors des mises à jour, puis les désactiver ou les reconfigurer selon vos besoins.
Remarque : cette méthode ne bloque pas les modifications de règles appliquées par les politiques de domaine ni celles des services Windows requis. Elle donne les meilleurs résultats lorsqu’elle est associée à l’application par stratégie de groupe et à la surveillance des règles.
Méthode 3 : verrouiller la configuration des règles avec le Pare-feu Windows avec fonctions avancées de sécurité
Une fois les applications empêchées de créer des règles de pare-feu, définissez les connexions réseau que vous autorisez réellement. Le Pare-feu Windows avec fonctions avancées de sécurité vous permet de définir un comportement strict en entrée et en sortie, afin que les applications ne puissent pas compter sur des exceptions souples ou décidées par l’utilisateur.
Étapes :
- Appuyez sur Win + R pour ouvrir la boîte de dialogue Exécuter, saisissez wf.msc, puis appuyez sur Entrée pour ouvrir le Pare-feu Windows Defender avec fonctions avancées de sécurité.
- Sélectionnez Propriétés du Pare-feu Windows Defender dans le volet de gauche.
- Pour chaque profil (Domaine, Privé, Public) :
- Définissez l’état du pare-feu sur Activé.
- Définissez les connexions entrantes sur Bloquer.
- Définissez les connexions sortantes sur Autoriser ou Bloquer selon votre politique.
- Créez des règles d’autorisation prédéfinies uniquement pour les applications et services approuvés.
- Passez en revue les règles locales et temporaires créées à l’exécution et supprimez celles dont vous n’avez pas besoin.
- Vérifiez que les règles de pare-feu proviennent bien d’une politique ou d’une configuration administrative explicite et que les applications ne peuvent pas conserver de nouvelles entrées.
Méthode 4 : utiliser PowerShell pour supprimer et désactiver les règles de pare-feu indésirables
Si une application a déjà ajouté des règles de pare-feu, utilisez PowerShell pour les examiner et les nettoyer. Cette méthode convient particulièrement lorsque vous devez reproduire les mêmes modifications sur plusieurs systèmes.
Étapes :
- Appuyez sur Win + X et sélectionnez Windows PowerShell (Admin).
- Listez les règles de pare-feu :
Get-NetFirewallRule |
Select-Object DisplayName, Name, Enabled, Direction, Action, Profile
- Examinez une règle précise avant de la modifier :
Get-NetFirewallRule -DisplayName "RuleName" |
Get-NetFirewallApplicationFilter
- Désactivez d’abord la règle indésirable :
Set-NetFirewallRule -DisplayName "RuleName" -Enabled False
- Ne supprimez la règle qu’après avoir confirmé qu’elle est inutile :
Remove-NetFirewallRule -DisplayName "RuleName"
- Vérifiez le résultat :
Get-NetFirewallRule -DisplayName "RuleName" | Select-Object DisplayName, Enabled
- Si le nettoyage doit être récurrent, enregistrez les commandes dans un script et exécutez-le régulièrement via le Planificateur de tâches.
Conseil : lisez Comment automatiser les tâches répétitives avec PowerShell.
Remarque : DisplayName peut correspondre à plusieurs règles et changer après une mise à jour. Utilisez la valeur Name de la règle une fois l’entrée correcte identifiée.
Méthode 5 : surveiller et faire respecter les règles de pare-feu avec des scripts planifiés
Même avec des politiques strictes, les applications peuvent encore tenter d’ajouter des règles de pare-feu lors des mises à jour ou des réinstallations. Les scripts planifiés vous permettent de détecter et de corriger ces modifications sans recourir à des vérifications manuelles.
Étapes :
- Créez un script PowerShell qui inventorie les règles de pare-feu. Relevez des propriétés telles que Name, DisplayName, Enabled, Direction, Action et Profile.
- Comparez les règles en place à une référence de configuration approuvée.
Conseil : appuyez-vous sur une référence de configuration construite à partir des noms de règles approuvés ou d’un export réalisé sur un appareil sain.
- Corrigez les règles qui s’écartent de cette référence. Désactivez d’abord les règles non autorisées. Ne les supprimez qu’après validation et une fois la gestion des changements terminée.
- Utilisez le Planificateur de tâches pour exécuter le script selon une planification définie. Configurez la tâche pour qu’elle s’exécute avec les privilèges les plus élevés, sous un compte administrateur ou le compte SYSTEM.
- Journalisez toutes les actions, y compris les règles désactivées ou supprimées, avec leur horodatage. Transférez les journaux vers votre chaîne de supervision lorsque vous avez besoin de visibilité ou de traces d’audit.
Points complémentaires à prendre en compte
Plusieurs aspects pratiques doivent être anticipés lorsque vous verrouillez le comportement du pare-feu. Ces points vous aident à renforcer la sécurité sans perturber les services requis ni les usages des utilisateurs.
Certains services Windows nécessitent des règles de pare-feu spécifiques
Certains composants Windows et services intégrés s’appuient sur des règles de pare-feu prédéfinies pour fonctionner. Bloquer ou supprimer ces règles sans examen préalable peut perturber des fonctions comme le partage de fichiers, la gestion à distance ou Windows Update. Examinez les règles de niveau système avant d’appliquer des politiques restrictives.
Les applications peuvent continuer à demander un accès au pare-feu
Même lorsque vous restreignez la création de règles locales, les applications peuvent encore demander un accès au pare-feu lors de l’installation, des mises à jour ou du premier lancement. Ces prompts ne signifient pas toujours qu’une règle sera appliquée. Les utilisateurs doivent éviter de les valider et s’en remettre au comportement imposé par la politique.
Bloquer le trafic sortant par défaut demande de la préparation
Définir les connexions sortantes sur Bloquer par défaut constitue une configuration stricte. De nombreuses applications et de nombreux services ont besoin d’un accès sortant pour les mises à jour, l’authentification ou la connectivité au cloud. Testez cette approche avec soin et définissez des règles d’autorisation pour le trafic nécessaire avant le déploiement.
Le contrôle des règles de pare-feu ne remplace pas la liste blanche d’applications
Restreindre la création de règles de pare-feu limite l’accès réseau, mais n’empêche pas une application de s’exécuter. Les applications peuvent toujours fonctionner localement même lorsque leur trafic réseau est bloqué. Associez les contrôles de pare-feu à des contrôles d’exécution distincts lorsque vous devez limiter les logiciels autorisés à s’exécuter sur un système.
Les règles créées par des services système peuvent nécessiter un traitement à part
Certaines règles de pare-feu sont créées ou gérées par des services s’exécutant sous le compte SYSTEM ou par des composants gérés par Windows. Ces règles peuvent persister même lorsque la création de règles au niveau utilisateur est restreinte. Examinez attentivement les règles gérées par le système avant de les supprimer ou de les désactiver.
Dépannage
Vous pouvez rencontrer des difficultés en appliquant vos politiques de pare-feu. Les sections ci-dessous présentent les problèmes courants et les points à vérifier avant de modifier votre configuration.
L’application ajoute toujours des règles
Si une application semble ajouter ou réactiver des règles de pare-feu, vérifiez que l’application de la stratégie de groupe est bien active. Assurez-vous que les règles de pare-feu locales sont désactivées pour le profil actif et que la politique s’applique correctement à l’appareil.
Les règles réapparaissent après la mise à jour
Certaines applications recréent des règles de pare-feu lors des mises à jour ou des réparations, en particulier celles qui disposent de services en arrière-plan ou de modules de mise à jour automatique. Automatisez le nettoyage des règles avec PowerShell comme décrit dans la méthode 4. Si le comportement persiste, examinez le mécanisme de mise à jour de l’application et restreignez-le si nécessaire.
Le pare-feu devient trop restrictif
Si des applications nécessaires cessent de fonctionner, revoyez votre configuration de pare-feu. Vérifiez que des règles d’autorisation existent pour les applications et services requis. Ajustez les règles sortantes par étapes plutôt que de bloquer tout le trafic sortant d’un coup.
Les modifications PowerShell ne s’appliquent pas
Les modifications de pare-feu effectuées via PowerShell exigent des privilèges élevés. Exécutez PowerShell en tant qu’administrateur et vérifiez que les scripts planifiés s’exécutent avec les privilèges les plus élevés. Ajoutez une journalisation pour confirmer l’exécution des scripts et leurs résultats.
Les modifications de règles ne sont pas conservées
Si les règles de pare-feu reviennent à leur état antérieur après un redémarrage ou une actualisation des politiques, recherchez d’éventuels conflits entre les paramètres locaux et les politiques de domaine ou MDM. Par conception, les politiques gérées prévalent sur les modifications locales.
Intégration NinjaOne
NinjaOne permet d’industrialiser le contrôle des règles de pare-feu sur l’ensemble des terminaux Windows 11 gérés. Avec NinjaOne, les administrateurs peuvent automatiser la configuration du pare-feu et faire appliquer la conformité à grande échelle. Voici comment :
| Fonction NinjaOne | Utilité |
| Scripting PowerShell | Déploie des scripts de nettoyage et de validation qui suppriment ou désactivent les règles non autorisées sur de nombreux terminaux |
| Automatisation planifiée | Exécute les scripts d’application des règles selon une planification pour éviter leur réapparition après des mises à jour d’applications ou des changements système |
| Déploiement de politiques | Applique les configurations liées au pare-feu de façon homogène pour que les terminaux respectent les standards approuvés |
| Surveillance des terminaux | Signale les appareils dont les règles de pare-feu changent de façon inattendue ou répétée, signe fréquent d’une recréation de règles par une application |
| Reporting centralisé | Met en évidence les terminaux qui s’écartent de la référence de configuration approuvée et qui doivent être examinés |
| Remédiation à distance | Corrige les problèmes de règles de pare-feu sans accès local de l’utilisateur ni intervention manuelle sur l’appareil |
Garder la maîtrise pour empêcher les applications d’ajouter des règles de pare-feu dans Windows 11
Empêcher les applications d’ajouter ou de réactiver des règles du Pare-feu Windows rend le comportement réseau prévisible et sous votre contrôle. En combinant l’application de politiques, des limites de permissions, un nettoyage via PowerShell et des vérifications régulières, les applications perdent la capacité de rétablir discrètement un accès ou de s’éloigner peu à peu du comportement de pare-feu approuvé.
Sujets connexes :
- Qu’est-ce qu’une configuration de pare-feu ? Comment configurer votre pare-feu
- Comment autoriser des applications dans votre Pare-feu Windows et quels sont les risques
- Comment configurer les exceptions de pare-feu avec PowerShell
- Optimiser les modifications de règles de pare-feu avec les diffs, la détection de dérive et les preuves
- Check-list de durcissement des terminaux [download]
