BitLocker en entreprise : chiffrer les postes Windows et ne jamais perdre les clés de récupération

La réponse courte : BitLocker est le chiffrement de disque intégré à Windows. Il rend les données illisibles pour quiconque récupère un portable volé, un disque retiré d’un poste ou un ordinateur mis au rebut. En entreprise, il s’active sur Windows Pro, Entreprise ou Éducation, s’appuie sur la puce TPM présente dans les ordinateurs récents, et se déploie depuis Intune ou par stratégie de groupe. Le vrai risque n’est pas le chiffrement lui-même, mais la clé de récupération : si elle n’est pas sauvegardée de façon centralisée, un simple changement de réglage du BIOS peut rendre un poste et ses données inaccessibles.

Ce guide explique ce que protège BitLocker, quels réglages choisir et comment le déployer sans mauvaise surprise. Il s’appuie sur la documentation officielle de Microsoft. Pour un cabinet, une clinique ou toute entreprise qui manipule des données personnelles, le chiffrement des portables fait aussi partie des mesures de sécurité attendues par la loi 09-08 et la CNDP.

Ce que BitLocker protège, et ce qu’il ne protège pas

Microsoft décrit BitLocker comme une protection contre le vol ou l’exposition des données d’appareils perdus, volés ou mal mis au rebut. Sans chiffrement, il suffit de démarrer le portable sur une clé USB ou de brancher son disque sur un autre ordinateur pour lire tous les fichiers, sans connaître le mot de passe Windows.

Situation	Sans BitLocker	Avec BitLocker
Portable volé dans une voiture ou un café	Données lisibles en retirant le disque	Disque illisible sans le TPM d’origine ou la clé de récupération
Disque retiré d’un poste ou d’un serveur	Lisible sur n’importe quel ordinateur	Illisible
Poste revendu, donné ou recyclé	Données récupérables si le disque n’est pas effacé correctement	Données inaccessibles
Rançongiciel ou pirate connecté à distance	Aucune différence	Aucune différence : le disque est déverrouillé quand Windows tourne

La dernière ligne est essentielle : BitLocker protège les données quand l’appareil est éteint ou hors de votre contrôle. Il ne remplace ni l’EDR, ni les correctifs, ni la MFA, ni les sauvegardes.

Les prérequis : édition Windows et TPM

D’après Microsoft, BitLocker s’active sur Windows Pro, Entreprise, Pro Éducation et Éducation. Windows Famille n’en dispose pas, mais propose le chiffrement de l’appareil, une version simplifiée détaillée plus bas.

Côté matériel :

• Le TPM (module de plateforme sécurisée) conserve la clé de chiffrement et vérifie que la chaîne de démarrage n’a pas été modifiée pendant que le poste était éteint. BitLocker demande au minimum un TPM 1.2 pour cette vérification ; Windows 11 exige de toute façon un TPM 2.0.
• Le mode UEFI natif est obligatoire avec un TPM 2.0 : les modes « Legacy » et CSM doivent être désactivés, et Microsoft recommande d’activer le démarrage sécurisé (Secure Boot). Un poste installé en mode Legacy se convertit avec l’outil mbr2gpt.exe avant de changer le mode du BIOS.
• Le partitionnement : une petite partition système non chiffrée contient les fichiers de démarrage. Windows la crée automatiquement lors d’une installation sur un poste neuf.

Sans TPM, BitLocker peut quand même chiffrer le disque système avec une clé de démarrage sur clé USB, mais sans la vérification d’intégrité au démarrage. Pour les postes trop anciens, la question du remplacement se pose, comme nous l’expliquons dans le renouvellement du parc informatique.

TPM seul ou TPM avec PIN : quel mode choisir

Microsoft décrit quatre façons de déverrouiller un disque système protégé par BitLocker :

Mode	Fonctionnement	Pour qui
TPM seul (par défaut)	Déverrouillage transparent si la chaîne de démarrage n’a pas changé	La majorité des postes fixes et portables
TPM + PIN	L’utilisateur saisit un code avant le démarrage de Windows ; le TPM bloque les essais répétés	Portables de dirigeants, d’administrateurs, de profils itinérants exposés
TPM + clé de démarrage	Une partie de la clé est sur une clé USB à insérer au démarrage	Cas particuliers, peu pratique au quotidien
TPM + clé de démarrage + PIN	Les deux facteurs sont requis	Postes très sensibles

Microsoft indique que le mode TPM seul répond à un attaquant opportuniste, sans outillage spécialisé. Contre un attaquant compétent disposant d’un long accès physique, Microsoft recommande le TPM avec PIN, et de désactiver la veille au profit de la mise en veille prolongée : en veille, le disque reste déverrouillé ; après une mise en veille prolongée, le PIN est redemandé. C’est aussi la recommandation de Microsoft pour les postes d’administration.

Le PIN a un coût : il gêne les redémarrages à distance et les mises à jour automatiques de nuit, et un utilisateur qui l’oublie doit appeler le support. Nous le réservons donc aux profils qui le justifient.

Le chiffrement automatique de l’appareil

Sur les appareils compatibles, Windows active de lui-même un chiffrement de l’appareil après l’installation. Microsoft précise que depuis Windows 11 version 24H2, certaines exigences matérielles ont été supprimées, ce qui rend beaucoup plus d’appareils éligibles. Le comportement dépend du type de compte :

• Poste joint à Microsoft Entra ID : la clé de récupération est sauvegardée dans Entra ID lors de la connexion de l’utilisateur.
• Poste joint à un domaine Active Directory : la clé est sauvegardée dans l’annuaire lors de la jonction au domaine, si la stratégie correspondante est activée.
• Poste avec un compte Microsoft personnel : la clé est enregistrée dans ce compte personnel, hors de portée de l’entreprise.
• Poste avec des comptes locaux uniquement : Microsoft précise que l’appareil reste non protégé, même si les données sont chiffrées, tant que la protection n’est pas finalisée.

Conséquence pratique : un portable acheté en magasin et configuré avec le compte Microsoft personnel d’un salarié peut être chiffré… avec une clé que l’entreprise ne possède pas. Au départ du salarié ou en cas de panne, les données peuvent être perdues. D’où l’intérêt de joindre tous les postes à Entra ID ou au domaine dès leur mise en service.

Les clés de récupération : le point qui fait échouer les projets

BitLocker demande la clé de récupération, une suite de 48 chiffres, lorsqu’il détecte un changement dans la chaîne de démarrage : mise à jour ou modification du BIOS, remplacement de la carte mère, TPM réinitialisé, configuration de démarrage modifiée. Sans cette clé, les données sont perdues. Les règles que nous appliquons :

1. Sauvegarde automatique imposée dans Entra ID ou Active Directory, par la stratégie « Choisir comment les lecteurs du système d’exploitation protégés par BitLocker peuvent être récupérés », avec l’option qui empêche d’activer BitLocker tant que la clé n’est pas sauvegardée.
2. Vérification que chaque poste a bien sa clé dans la console avant de le remettre à l’utilisateur.
3. Accès restreint à la consultation des clés, réservé aux administrateurs et au support.
4. Suspension de BitLocker avant une mise à jour du firmware, puis reprise automatique au redémarrage suivant.
5. Clés des serveurs conservées aussi hors ligne, dans un coffre-fort de mots de passe, avec la documentation de reprise.

Microsoft rappelle aussi qu’on choisit la méthode de chiffrement avant de chiffrer : le chiffrement de l’appareil utilise par défaut XTS-AES 128 bits, et passer à une autre méthode impose de déchiffrer puis rechiffrer le disque.

Déployer BitLocker sur un parc : la méthode

Avec Intune (postes joints à Entra ID)

C’est la voie la plus simple pour une PME équipée de Microsoft 365 Business Premium, qui inclut Intune. Une stratégie de chiffrement de disque impose BitLocker, le mode de déverrouillage, la sauvegarde de la clé dans Entra ID, et peut chiffrer silencieusement sans intervention de l’utilisateur. La stratégie de conformité vérifie ensuite que chaque poste est chiffré, et l’accès conditionnel peut bloquer l’accès à Microsoft 365 depuis un poste non conforme. La démarche complète est décrite dans notre guide Microsoft Intune pour PME.

Avec les stratégies de groupe (domaine Active Directory)

Pour un parc joint à un domaine local, les paramètres BitLocker se trouvent dans les modèles d’administration, sous « Composants Windows > Chiffrement de lecteur BitLocker ». On y définit la méthode de chiffrement, l’authentification au démarrage, et surtout la sauvegarde des clés dans l’annuaire. Ces réglages s’intègrent au durcissement d’Active Directory.

L’ordre que nous suivons

1. Inventaire : édition Windows, présence et version du TPM, mode UEFI, état actuel du chiffrement de chaque poste.
2. Stratégie : méthode de chiffrement, mode TPM seul ou TPM + PIN selon les profils, sauvegarde obligatoire des clés.
3. Pilote sur quelques postes représentatifs, avec vérification de la présence des clés dans la console.
4. Généralisation par groupes, en suivant la conformité.
5. Procédure support écrite : comment retrouver une clé, qui peut y accéder, que faire en cas de perte ou de vol.

Et les clés USB et disques externes ?

BitLocker To Go chiffre les supports amovibles. Une stratégie peut interdire l’écriture sur une clé USB non chiffrée, ce qui évite qu’une copie de fichiers clients se promène en clair. Le chiffrement automatique de l’appareil, lui, ne couvre pas les supports externes.

Les erreurs les plus fréquentes

• Laisser les clés de récupération dans les comptes Microsoft personnels des salariés.
• Activer BitLocker sans vérifier que la clé est bien remontée dans la console.
• Mettre à jour le BIOS sans suspendre BitLocker, et découvrir l’écran de récupération chez l’utilisateur.
• Croire qu’un poste chiffré est protégé contre les rançongiciels.
• Oublier les serveurs et les disques de sauvegarde externes.
• Acheter des portables en Windows Famille pour un usage professionnel.

Comment nous accompagnons les entreprises

Nous commençons par l’audit initial offert : inventaire des postes, éditions Windows, TPM, état du chiffrement et emplacement des clés de récupération. Nous déployons ensuite BitLocker par Intune ou par stratégie de groupe, en tant que partenaire Microsoft, avec une procédure de récupération documentée et testée. Nous fournissons aussi les postes et les licences Windows Pro adaptés, avec ou sans installation.

Dans le cadre de notre offre de cybersécurité des entreprises au Maroc, la conformité du chiffrement est suivie en continu, la supervision 24/7 surveille les postes, et un incident critique est pris en charge en moins de 15 minutes. Demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.