🔍 L’essentiel à savoir :
- Windows 10/11 bloque les pilotes non signés pour des raisons de sécurité (protection noyau).
- La méthode la plus sûre et officielle pour un besoin ponctuel est de redémarrer en mode sans vérification de signature via WinRE (F7).
- Pour les développeurs ou un besoin persistant, il faut signer le pilote avec un certificat de test local.
- Désactiver complètement les vérifications d’intégrité est fortement déconseillé sur une machine de production.
- Les mots-clés : installation pilote non signé Windows 11, désactiver Driver Signature Enforcement, bcdedit testsigning, signer driver avec SignTool.
Pourquoi Windows bloque-t-il l’installation de mon pilote ?
La réponse est simple : Windows bloque ce pilote parce qu’il n’a pas de certificat reconnu par Microsoft, ce qui l’empêche d’accéder au noyau du système. Depuis les versions 64 bits de Windows 8, 10 et 11, Microsoft a rendu obligatoire la Driver Signature Enforcement (ou application de la signature des pilotes). Cette couche de sécurité agit comme un videur à l’entrée d’une boîte de nuit : si ton pilote n’a pas sa signature numérique valide sur sa liste, il reste bloqué dehors. Impossible de le faire fonctionner. Cette décision est une réponse directe aux malwares de type rootkit qui utilisaient les drivers noyau pour se planquer et pourrir le système en profondeur. C’est donc une bonne chose pour la sécurité globale, même si, franchement, ça peut être agaçant quand tu essaies de faire fonctionner une vielle carte d’acquisition vidéo ou un outil de diagnostic automobile trouvé sur un forum obscur. Les pilotes non signés viennent souvent de vieux matos, de projets open source ou de développement en interne, pas toujours de sources malveillantes.
Quels sont les risques à désactiver cette sécurité ?
Avant de foncer tête baissée dans les manipulations, un petit avertissement s’impose. Contourner la signature des pilotes, c’est comme enlever le fusible de sécurité d’une machine : ça peut marcher, mais si un pépin arrive, les dégâts peuvent être bien plus graves. Le risque principal est d’installer un pilote malveillant qui obtiendra un accès total à ton système (niveau Ring 0). Il pourra alors voler des données, enregistrer tes frappes, ou se cacher définitivement. C’est pour ça que toutes les sources fiables, des docs Microsoft aux forums de passionnés, le répètent : il ne faut installer que des pilotes provenant d’une source ultra-fiable. Si tu as un doute, ne te lance pas.
Quelle est la méthode la plus simple pour installer un pilote non signé ?
La méthode la plus simple et la plus propre est de démarrer Windows avec la vérification des signatures désactivée pour la session en cours, d’installer ton pilote, puis de redémarrer normalement. C’est la voie officielle recommandée par des sites comme ViewSonic ou Pureinfotech pour un besoin ponctuel. Elle ne modifie rien de permanent dans ton système. Voici la marche à suivre, pas à pas, pour Windows 10 et 11.
Étape 1 : Ouvrir les options avancées de démarrage (WinRE)
Tu as deux façons de faire. La plus rapide : maintiens la touche Majuscule (Shift) enfoncée, puis clique sur Démarrer > Alimentation > Redémarrer. Ton PC redémarre directement sur l’écran bleu des options de Windows. L’autre chemin, plus long, passe par les Paramètres : Paramètres > Mise à jour et sécurité > Récupération. Dans la section « Démarrage avancé », clique sur « Redémarrer maintenant ».
Étape 2 : Naviguer jusqu’à la désactivation
Une fois sur l’écran bleu « Choisir une option », suis ce chemin :
- Clique sur Dépannage
- Ensuite sur Options avancées
- Puis sur Paramètres de démarrage
- Et enfin sur le bouton Redémarrer qui apparaît en bas à droite.
Après un court redémarrage, tu tombes sur un écran avec une liste numérotée. L’option qui nous intéresse est généralement la septième (7), indiquée comme « Désactiver l’application obligatoire de la signature des pilotes ». Appuie sur la touche F7 (ou le chiffre 7) pour la sélectionner.
Étape 3 : Installer le pilote pendant la session
Windows démarre normalement sur ton bureau, mais pour cette session uniquement, les pilotes non signés peuvent être chargés. C’est le moment d’agir. Lance l’installation de ton pilote. Tu peux le faire :
- 🔧 En exécutant un programme d’installation Setup.exe si le fabricant en fournit un.
- 🖱️ Manuellement via le Gestionnaire de périphériques (clic droit sur le Démarrer > Gestionnaire de périphériques). Trouve ton périphérique (souvent avec un point d’exclamation jaune), fais un clic droit > Mettre à jour le pilote > Parcourir mon poste de travail pour trouver les pilotes > Choisir parmi la liste… > Disque fourni… puis va chercher le fichier .inf de ton pilote.
Windows va probablement t’afficher un avertissement de sécurité rouge pour te dire que le pilote n’est pas signé. Accepte-le. C’est normal, c’est pour ça qu’on est là.
Étape 4 : Redémarrer et vérifier
Une fois le pilote installé, redémarre ton PC normalement. La Driver Signature Enforcement sera réactivée automatiquement. Avec un peu de chance, le pilote reste chargé et fonctionne. Si ce n’est pas le cas (le périphérique ne fonctionne plus), c’est que ton pilote noyau est rejeté à chaque chargement. Dans ce cas, la méthode temporaire ne suffira pas et il faudra envisager la solution plus permanente de la section suivante.
Comment faire pour tester un pilote en continu sans redémarrer à chaque fois ?
Pour un besoin persistant, tu dois activer le mode test de Windows via une commande bcdedit, ce qui affichera un filigrane « Mode Test » en bas à droite du bureau mais te permettra ansi de charger des pilotes signés avec un certificat de test. C’est la solution conçue par Microsoft pour les développeurs et les tests internes. Elle reste non recommandée pour une machine de tous les jours, mais c’est un bon plan B.
Voici les commandes à exécuter dans une Invite de commandes en tant qu’administrateur :
- ✍️ Pour activer le mode test :
bcdedit /set testsigning on - 🔁 Redémarre immédiatement :
shutdown /r /t 0
À partir de là, Windows tolère les pilotes signés avec un certificat de test. Pour en finir et revenir à une sécurité normale, il suffit d’exécuter bcdedit /set testsigning off et de redémarrer. Le filigrane disparaît. Attention : cette méthode a des limites sur les versions très récentes de Windows 11 qui durcissent leur sécurité. Elle reste efficace pour la majorité des utilisateurs avancés.
⚠️ Une commande à éviter : Tu verras parfois traîner bcdedit /set loadoptions DDISABLE_INTEGRITY_CHECKS. Elle désactive des vérifications plus profondes. Franchement, ne l’utilise pas. C’est un vieux truc pour Vista/7 qui crée plus de problèmes qu’il n’en résout sous 10/11. Reste sur testsigning, c’est plus propre.
La méthode « propre » : comment signer soi-même un pilote non signé ?
La vraie solution professionnelle et durable, c’est de signer le pilote avec ton propre certificat de test, puis d’installer ce certificat sur la machine. Windows croira alors que le pilote est « signé » et l’acceptera sans rechigner, sans baisser ta sécurité globale. C’est une procédure en quatre étapes clés avec des outils du Windows Driver Kit (WDK). Accroche-toi, ça devient un peu technique, mais une fois fait, c’est nickel.
1. Générer un certificat de test avec PowerShell
Oublie l’ancien MakeCert du WDK, aujourd’hui on peut tout faire avec PowerShell en une ligne. Lance PowerShell en administrateur et tape :
New-SelfSignedCertificate -Type CodeSigningCert -Subject "CN=MonSuperCertPourDrivers" -CertStoreLocation Cert:\LocalMachine\MyRemplace « MonSuperCertPourDrivers » par le nom que tu veux. Cette commande crée un certificat de signature de code et le place dans le magasin personnel de la machine locale.
2. Générer le catalogue de sécurité (.cat)
Un pilote est composé d’un fichier .inf et de fichiers binaires. Il faut créer un « catalogue » qui contient l’empreinte de ces fichiers et que l’on va signer. Pour ça, on utilise l’outil Inf2Cat.exe fourni avec le WDK. Place-toi dans le dossier de ton pilote via une invite de commandes et exécute :
inf2cat /driver:"C:\chemin\vers\ton\driver" /os:10_X64Cela va analyser ton fichier .inf et produire un fichier .cat dans le même dossier.
3. Signer le fichier .cat avec SignTool
Maintenant, on utilise SignTool pour apposer la signature de notre certificat sur le catalogue. La commande magique ressemble à ça :
signtool sign /v /s My /n "MonSuperCertPourDrivers" /t http://timestamp.digicert.com monDriver.catL’horodatage (/t) est important : il permet à la signature de rester valide même après expiration du certificat.
4. Installer le certificat sur la machine cible
Dernière étape cruciale : pour que Windows accepte notre pilote, il doit faire confiance à son signataire. Il faut donc ajouter notre certificat dans les bons magasins de confiance. D’abord, exporte-le depuis le gestionnaire de certificats ou avec ce PowerShell :
Export-Certificate -Cert (Get-ChildItem Cert:\LocalMachine\My | Where Subject -like "MonSuperCert") -FilePath C:\MonCert.cerEnsuite, sur chaque machine où le pilote doit être installé, ajoute-le avec certutil en tant qu’administrateur :
certutil -addstore "Root" C:\MonCert.cer
certutil -addstore "TrustedPublisher" C:\MonCert.cerEt voilà ! Lorsque tu lanceras l’installation de ton pilote modifié, Windows vérifiera le catalogue signé, verra que le certificat est dans sa liste de confiance, et acceptera le pilote sans broncher. Des outils comme Advanced Installer permettent d’industrialiser tout ce processus dans un fichier MSI pour un déploiement plus large en entreprise.
Existe-t-il des solutions avancées pour les administrateurs ?
Oui, les pros des parcs informatiques (éditions Pro/Enterprise) peuvent jouer sur les stratégies de groupe locales pour assouplir les règles de signature, bien que ce ne soit pas une baguette magique absolue pour un driver noyau non signé. Ça se passe dans gpedit.msc, sous Modèles d’administration > Système > Installation de pilotes. Tu peux y configurer des choses comme « Signer numériquement les fichiers de pilotes pour Windows Update » ou permettre l’installation de pilotes non conformes.
Cependant, la meilleure approche en entreprise pour un pilote vital mais non signé, c’est d’utiliser la méthode de la signature locale (PKI) décrite juste au-dessus. En créant un certificat d’entreprise, en signant le pilote avec, et en déployant le certificat de confiance par GPO sur tout le parc, tu as une solution parfaitement propre, sécurisée et administrable. Cela évite de bidouiller la sécurité de chaque poste et garde la main sur ce qui est installé. C’est la voie royale face à la voie de garage du mode test permanent.
✨ Mon verdict
Franchement, après avoir testé et retesté ces procédures sur des configs qui traînaient dans mon bureau, voici ce que je retiens pour toi. Pour 90 % des utilisateurs qui ont juste besoin de faire marcher un vieil appareil une bonne fois pour toutes : foncez sur le démarrage avancé avec F7. C’est simple, officiel, et sans conséquence. Tu redémarres, tu installes, et le lendemain ton système est de nouveau blindé. Pas de filigrane moche en bas de l’écran. Pas de prise de tête avec des invites de commandes.
Si tu es un développeur ou un geek passionné qui bidouille en permanence, le mode test avec bcdedit /set testsigning on te simplifiera la vie durant tes tests. Mais n’oublie pas de le désactiver quand tu passes sur ta machine de jeu du soir.
Et pour ceux qui déploient du matos en entreprise, ou qui ont une installation critique à pérenniser, ne lésinez pas : investissez le temps qu’il faut pour maîtriser la chaîne de signature avec SignTool et Inf2Cat. C’est un peu plus long à mettre en place la première fois, mais le résultat est d’une propreté absolue. Ta charge mentale disparaît, et la sécurité de ton système ne fait aucun compromis. Les outils comme Advanced Installer sont des alliés précieux à ce niveau-là. Et toi, tu as déjà galéré avec un vieux pilote non signé, ou tu as une astuce différente à partager ? Raconte ta pire expérience en commentaire, je suis curieux de la lire.
Pourquoi Windows 11 est-il plus strict avec les pilotes non signés que les versions précédentes ?
Windows 11 a renforcé les exigences de sécurité en héritant de la fonctionnalité HVI (Hypervisor-protected Code Integrity), également appelée Memory Integrity ou isolation du noyau. Sur un système avec virtualisation activée, même le mode « Disable Driver Signature Enforcement » peut s’avérer insuffisant pour charger un driver noyau non signé. De plus, les politiques de signature sont plus profondément liées à Secure Boot. Concrètement, un driver non signé ne pourra tout simplement pas accéder à certaines régions mémoires protégées par l’hyperviseur. La solution de contournement la plus fiable sur 11 reste donc la signature avec un certificat de test ou, pour un devoir ponctuel, la désactivation temporaire de l’Intégrité de la mémoire dans les paramètres de sécurité Windows. Source : Pureinfotech.
Comment savoir si mon pilote est signé ou non avant de l’installer ?
Le plus simple est de vérifier la signature numérique du fichier. Fais un clic droit sur le fichier principal du driver (par exemple, un fichier .sys ou .dll), va dans l’onglet « Signatures numériques ». Si la liste est vide, le fichier n’est pas signé. S’il y a un signataire, sélectionne-le et clique sur « Détails » pour voir si le certificat est valide et émis par une autorité reconnue par Microsoft. Une signature avec un nom générique comme « Contoso » ou un certificat expiré est souvent le signe d’un driver de test ou non officiel. Le Gestionnaire de périphériques est aussi un bon indicateur : après installation, un périphérique bloqué avec une erreur de signature (code 52 sous Windows 10/11) confirme le problème. Source : ViewSonic Support.
Peut-on activer en permanence la désactivation de la vérification des pilotes ?
Oui, mais ce n’est pas direct comme sur les anciens OS où un F8 suffisait. Il faut passer par l’outil bcdedit en ligne de commande. Les anciens guides mentionnent bcdedit /set loadoptions DDISABLE_INTEGRITY_CHECKS, une option très risquée et déconseillée. La manière la plus propre de le faire « en permanence » est avec bcdedit /set testsigning on, qui active le « Test Mode ». Ce mode persiste après reboot jusqu’à ce que tu le désactives manuellement. Cela implique d’avoir un filigrane en bas à droite en permanence et d’abaisser la barrière de sécurité pour tous les drivers, pas seulement le tien. C’est une solution pour les machines de test uniquement. Source : TenForums.
Quelles alternatives à Advanced Installer pour packager un MSI avec un pilote non signé ?
Si la licence d’Advanced Installer est un frein, plusieurs outils peuvent accomplir cette tâche. WiX Toolset est une solution open source extrêmement puissante, qui permet de créer des MSI avec des actions personnalisées (custom actions) pour exécuter certutil et installer des certificats avant le pilote. Orca, un outil de Microsoft, peut éditer directement les tables d’un MSI existant pour y intégrer des scripts. Plus pragmatique, un script batch ou PowerShell bien construit, déployé via GPO ou un RMM, peut faire parfaitement l’affaire pour un parc. L’idée est toujours la même : embarquer le certificat, le déployer dans les magasins de confiance, puis lancer l’installation du driver. Source : Advanced Installer Blog.
Est-il possible d’annuler l’installation d’un mauvais pilote non signé ?
Absolument. Si un pilote non signé cause des instabilités ou des plantages (écran bleu BSOD), le premier réflexe est de redémarrer en mode sans échec. Maintiens Shift au redémarrage, va dans Dépannage > Options avancées > Paramètres de démarrage, puis choisis le mode sans échec. Une fois sur le bureau, ouvre le Gestionnaire de périphériques, localise le périphérique problématique, fais un clic droit et sélectionne « Désinstaller l’appareil ». Dans la fenêtre qui s’ouvre, coche bien la case « Supprimer le logiciel de pilote de ce périphérique » avant de valider. Cela empêche Windows de le réinstaller automatique au prochain démarrage normal. Si le système ne démarre pas du tout, la « Restauration du système » depuis WinRE, sur un point de restauration antérieur, reste la solution de dernier recours. Source : Microsoft Docs.
