Fin de support Windows 10 en entreprise : ESU, Windows 11 ou remplacement des postes

La réponse courte : Windows 10 n’est plus pris en charge depuis le 14 octobre 2025, et la bonne réaction n’est pas la même pour tous les postes. Un PC compatible passe à Windows 11. Un PC incompatible est remplacé, ou transféré vers un poste virtuel. Le programme ESU de Microsoft, payant et limité dans le temps, sert uniquement de pont pour les machines qui ne peuvent pas bouger tout de suite, par exemple à cause d’une application métier. Ce guide vous aide à faire ce tri, à éviter les pièges de l’ESU et à choisir la bonne version de Windows 11.

Chez ALLSAFE SOLUTIONS, partenaire Microsoft, nous accompagnons ces migrations depuis Casablanca dans le cadre de nos contrats d’infogérance au Maroc. Les dates et les conditions citées ici proviennent de la documentation officielle de Microsoft, consultée en novembre 2026.

Ce qui a changé depuis le 14 octobre 2025

Un poste Windows 10 ne s’arrête pas de fonctionner, et c’est précisément ce qui rend le sujet trompeur. Microsoft a cessé de fournir trois choses :

• l’assistance technique ;
• les mises à jour de fonctionnalités ;
• les mises à jour de qualité, y compris les correctifs de sécurité et de fiabilité.

Concrètement, chaque faille découverte après cette date reste ouverte sur les postes non couverts. Nos alertes le montrent presque chaque mois, comme les correctifs Microsoft d’octobre 2026 : les corrections pour Windows 10 existent, mais seuls les postes inscrits au programme ESU y ont droit. Pour une entreprise, ces postes pèsent aussi lors d’un projet ISO 27001 ou face au questionnaire de sécurité d’un client : il faudra expliquer pourquoi ils restent sans correctifs.

Le tri à faire, poste par poste

Partez d’un inventaire complet, puis classez chaque machine dans l’une de ces situations.

Situation du poste	Action recommandée	Point de vigilance
Compatible Windows 11, applications validées	Migrer vers Windows 11	Sauvegarde et test sur un groupe pilote
Compatible, mais application métier non validée	ESU en attendant, tout en demandant une version compatible à l’éditeur	Fixer une date de sortie
Incompatible et ancien	Remplacer le PC	Effacement sécurisé et recyclage
Incompatible et récent, ou budget à étaler	ESU pour une durée limitée, puis remplacement	Le tarif double chaque année
Pilote une machine ou un équipement spécialisé	Isoler sur le réseau, ESU, puis étude avec le fournisseur	Couper Internet si possible
Windows 10 Famille utilisé au bureau	Passer à une édition professionnelle ou remplacer	Famille est hors ESU commercial
Windows 10 Enterprise LTSC	Traiter à part (voir plus bas)	Cycle de vie différent

Pour le renouvellement lui-même, achat, location ou abonnement, consultez notre guide sur le renouvellement du parc informatique. ALLSAFE peut aussi fournir les postes et licences, avec ou sans installation.

Vérifier la compatibilité Windows 11

Microsoft publie les exigences minimales suivantes :

Élément	Exigence Windows 11
Processeur	1 GHz ou plus, au moins 2 cœurs, 64 bits, modèle compatible
Mémoire	4 Go ou plus
Stockage	64 Go ou plus disponibles
Micrologiciel	UEFI, compatible démarrage sécurisé (Secure Boot)
Module de sécurité	TPM version 2.0
Graphique	DirectX 12 ou ultérieur, pilote WDDM 2.0
Écran	Haute définition 720p, 9 pouces ou plus

Pour la mise à niveau directe, le poste doit aussi exécuter Windows 10 version 2004 ou ultérieure, avec la mise à jour de sécurité du 14 septembre 2021 ou une plus récente. Ce sont des minimums : un PC à 4 Go de mémoire respecte la règle, mais il sera pénible pour un utilisateur de Microsoft 365 et d’un navigateur très sollicité.

Côté outils, l’application Contrôle d’intégrité du PC (PC Health Check) convient aux éditions Famille, Pro et Pro for Workstations. Pour un parc géré, Microsoft renvoie vers les rapports de ses outils d’administration, comme Endpoint analytics dans Intune. Sur un petit parc, un inventaire classique suffit, à condition de relever le processeur, le TPM, le mode de démarrage UEFI et l’état du Secure Boot.

Attention aux faux négatifs : un TPM présent mais désactivé dans le micrologiciel, ou un PC encore démarré en mode BIOS hérité, peut apparaître comme incompatible. Contrôlez ces réglages avant de condamner une machine. Le passage d’un disque au format UEFI se prépare, et il mérite une sauvegarde préalable.

L’ESU en entreprise : ce qu’il couvre et ses pièges

ESU signifie Extended Security Updates. Le programme commercial concerne les éditions Enterprise, Education et Pro en usage professionnel, et se limite aux postes en Windows 10 version 22H2.

Période ESU	Couverture jusqu’au
Année 1	13 octobre 2026 (terminée)
Année 2	12 octobre 2027
Année 3, la dernière	10 octobre 2028

Ce qu’il apporte. Les mises à jour de sécurité classées critiques et importantes, rien de plus. Pas de nouvelles fonctions, pas de correctif non lié à la sécurité sur demande. L’assistance se limite à l’activation de la licence, à l’installation des mises à jour et à leurs éventuelles régressions.

Les pièges que nous rencontrons :

1. Croire que l’entrée en deuxième année ne coûte qu’une année. Les licences sont cumulatives : entrer aujourd’hui oblige à payer aussi l’année 1, et le tarif double à chaque année. On ne peut pas acheter de période partielle.
2. Oublier l’activation. Acheter la licence ne suffit pas. Chaque poste doit recevoir la clé MAK, puis l’identifiant d’activation propre à chaque année, après l’installation des mises à jour préalables (KB5066791 ou ultérieure, puis le paquet de préparation KB5072653). Un poste non activé reste sans correctifs, même si la licence est payée.
3. Prendre l’ESU grand public. Il ne peut pas être utilisé dans un cadre professionnel et n’est pas proposé aux appareils joints à Active Directory ou à Microsoft Entra, ni à ceux gérés par un MDM.
4. Confondre ESU et support. Un problème d’application ou d’impression sur Windows 10 ne sera pas pris en charge par Microsoft.
5. Oublier la date de sortie. Après le 10 octobre 2028, plus aucune prolongation n’est prévue pour ces éditions.

Le programme s’achète dans le cadre des licences en volume de Microsoft, dès une licence. Le prix se demande à votre revendeur au moment de la décision, car il varie selon le contrat et la période.

Une alternative à connaître. Microsoft inclut l’ESU sans coût supplémentaire pour Windows 10 exécuté dans Windows 365 ou Azure Virtual Desktop, et sur les machines virtuelles Azure. Un PC Windows 10 qui se connecte à des PC cloud Windows 365 y a également droit, jusqu’à trois ans, avec un abonnement actif. Cette voie peut convenir à une application métier qui ne migre pas, à étudier dans le cadre d’un projet cloud Microsoft 365 et Azure.

Quelle version de Windows 11 viser

Ne migrez pas vers une version déjà proche de sa fin de service. Microsoft publie ces échéances dans son cycle de vie :

Version	Famille et Pro : fin de service	Enterprise et Education : fin de service
23H2	Terminée	Novembre 2026
24H2	Octobre 2026 (terminée)	Octobre 2027
25H2	Octobre 2027	Octobre 2028
26H2	Octobre 2028	Octobre 2029

Pour un parc en édition Pro, la 26H2 offre la plus longue durée, si vos applications et vos pilotes sont validés. Sans outil de gestion, surveillez aussi les postes déjà passés à Windows 11 : un poste Pro resté en 24H2 n’est plus à jour lui non plus. Notre guide sur la gestion des correctifs en entreprise explique comment suivre ces versions.

Réussir la migration vers Windows 11

1. Faire l’inventaire : matériel, édition, version, applications, imprimantes et périphériques.
2. Valider les applications critiques : ERP, logiciels comptables, client VPN, antivirus ou EDR, pilotes de scanners et d’imprimantes. Demandez un avis écrit à l’éditeur quand c’est nécessaire.
3. Sauvegarder les données et vérifier que la restauration fonctionne, surtout pour les fichiers restés sur le disque local. Voir nos solutions de sauvegarde et de continuité d’activité.
4. Vérifier BitLocker : les clés de récupération doivent être conservées et accessibles avant toute modification. Notre guide sur BitLocker en entreprise détaille ce point.
5. Tester sur un groupe pilote représentatif de chaque métier, avant toute généralisation.
6. Déployer par vagues, en évitant les périodes sensibles comme les clôtures comptables. La mise à niveau représente un téléchargement volumineux : planifiez-la pour ne pas saturer un lien Internet partagé.
7. Conserver une marche arrière : l’option de retour à la version précédente n’est disponible que pendant 10 jours après la mise à niveau.
8. Contrôler après coup : version, activation, protection active, chiffrement et applications métier.

Avec quels outils ? Sur un parc géré par Intune, une stratégie de mises à jour de fonctionnalités permet de cibler une version précise de Windows. Elle demande Intune Plan 1 et une licence Windows donnant droit à Autopatch, à vérifier sur votre abonnement, comme expliqué dans notre guide Microsoft Intune pour PME. Les stratégies Windows Update (anciennement Windows Update for Business) évitent de proposer la mise à niveau aux appareils non conformes. Sur quelques postes non gérés, l’opération peut se faire à la main, mais c’est aussi le bon moment pour mettre en place une gestion centralisée.

Une question de droits peut aussi se poser. Si vos utilisateurs sont encore administrateurs de leur poste, profitez de la migration pour corriger ce point, comme l’explique notre guide sur les comptes administrateurs et LAPS.

Trois sujets souvent oubliés

Les éditions LTSC. Elles ont leur propre calendrier et ne sont pas couvertes par l’ESU Windows 10 classique. Windows 10 Enterprise LTSC 2021 arrive en fin de support le 12 janvier 2027. Microsoft recommande de passer à Windows 11 Enterprise LTSC 2024 et propose une offre ESU distincte pour cette édition. Windows 10 IoT Enterprise LTSC reste pris en charge jusqu’au 13 janvier 2032. Vérifiez donc l’édition exacte des postes industriels et des bornes.

Les certificats Secure Boot. Plusieurs certificats Microsoft de démarrage sécurisé sont arrivés à expiration entre juin et octobre 2026. Un appareil qui n’a pas reçu les certificats de 2023 continue de démarrer et d’installer les mises à jour standard de Windows, mais il ne reçoit plus les nouvelles protections du démarrage. La plupart des appareils les reçoivent automatiquement, parfois avec une mise à jour du micrologiciel du constructeur. Contrôlez ce point sur les postes conservés, notamment les plus anciens.

Les certificats de Windows Update. Microsoft annonce aussi l’expiration, en mai et en juin 2027, de certificats utilisés pour les connexions de confiance à Windows Update. Aucune action n’est demandée à partir de Windows 11 25H2 ; pour les autres versions, consultez les conditions du centre de messages Windows.

Si certains postes doivent rester sous Windows 10

Il arrive qu’un logiciel ou une machine spécialisée bloque la migration. Réduisez alors l’exposition :

• inscrivez et activez le poste à l’ESU, ou coupez-le d’Internet si son usage le permet ;
• isolez-le dans un VLAN dédié, avec des flux strictement nécessaires ;
• retirez les droits d’administrateur et l’usage de la messagerie et de la navigation ;
• vérifiez que votre protection reste prise en charge : Microsoft Defender for Business ne couvre Windows 10 que tant que le système reçoit des mises à jour, et les autres éditeurs ont leur propre calendrier ;
• documentez le risque, le responsable et la date de sortie.

Ces mesures relèvent de la cybersécurité des entreprises au Maroc, et ne remplacent pas la sortie de Windows 10.

Les erreurs que nous corrigeons

1. Découvrir des postes oubliés : un PC d’accueil, une machine de production ou un portable rarement allumé, jamais inventoriés.
2. Contourner les exigences matérielles avec une manipulation trouvée sur Internet, alors que Microsoft ne garantit plus les mises à jour de ces appareils.
3. Acheter l’ESU sans l’activer, ou sans vérifier que les correctifs mensuels s’installent réellement.
4. Migrer vers une version en fin de service, ce qui oblige à refaire le travail rapidement.
5. Négliger le recyclage des anciens PC : disques à effacer, licences à réaffecter, inventaire à mettre à jour.
6. Lancer la migration un jour de clôture ou sans groupe pilote.

Comment nous procédons

Nous commençons par l’inventaire des postes et le tri décrit plus haut. Vous recevez la liste des PC à migrer, à remplacer ou à placer sous ESU, avec les points à valider auprès de vos éditeurs. Nous testons ensuite sur un groupe pilote, déployons par vagues, puis contrôlons chaque poste. Après la migration, les postes sont supervisés 24/7, et un incident critique est pris en charge en moins de 15 minutes.

Vous avez encore des postes sous Windows 10, ou vous ne savez pas combien il en reste ? Demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.