Temps de lecture : 2 min
Points clés à retenir
- Sécurité renforcée : Le nouveau mécanisme KMS Hardware-Secured exige que le serveur KMS possède une puce TPM pour prouver son identité matérielle à Microsoft.
- Pas de chasse aux particuliers : Les méthodes de piratage courantes (HWID, TSforge, Online KMS) ne sont pas impactées par cette évolution.
- Préparation des administrateurs : Les organisations doivent vérifier la compatibilité TPM via PowerShell dès maintenant, même si l’obligation n’interviendra qu’avec la prochaine version LTSC de Windows Server.
Pourquoi Microsoft impose-t-il une puce TPM aux serveurs KMS ?
Le 22 juillet, Microsoft a publié un document annonçant une nouvelle exigence pour ses serveurs KMS (Key Management Service), appelée KMS Hardware-Secured. En résumé, cette mise à jour lie les serveurs d’activation en volume à la présence d’une puce TPM (Trusted Platform Module).
Plusieurs lecteurs m’ont demandé si c’était le signe d’une offensive généralisée contre les copies piratées de Windows 11. La confusion vient de certains articles techniques qui ont bien rapporté l’aspect attestation TPM, mais l’ont ensuite lié à la fin de la méthode KMS38 (novembre 2025), en prédisant la fin des activations pirates. Rassurez-vous : ce n’est pas le cas.
D’après le document de Microsoft, des attaquants utilisaient des serveurs KMS factices ou clonés pour activer des machines sans licence au sein d’organisations possédant une infrastructure KMS légitime. Un serveur pirate, suffisamment crédible sur le réseau, répondait aux demandes d’activation comme un vrai hôte KMS. KMS Hardware-Secured oblige désormais l’hôte KMS à prouver deux choses grâce à son TPM avant que Microsoft ne valide ses demandes :
- L’identité matérielle de l’hôte via le TPM.
- L’intégrité de la plateforme : le TPM vérifie que rien n’a été modifié depuis l’établissement de cette identité.
Un hôte qui échoue à l’un de ces tests ne peut plus distribuer de licences.
Comment les organisations doivent se préparer
Pour un serveur KMS physique, Microsoft recommande :
- Vérifier qu’il est certifié sur le Windows Server Catalog.
- S’assurer que le TPM est installé et activé dans le BIOS/UEFI.
Pour un serveur KMS virtuel, les instructions ne sont pas encore publiées. L’administrateur peut tester la compatibilité en ouvrant une session PowerShell en mode administrateur et en exécutant :
Get-TpmSupportedFeature -FeatureList "Key Attestation"Si la machine répond avec « key attestation », tout est en ordre. À partir d’août 2026, Windows Server 2025 affichera l’état de préparation via slmgr /dlv. Aujourd’hui, rien ne bloque les activations en cours.
Les méthodes de piratage actuelles restent opérationnelles
KMS38 (désactivée en novembre 2025) n’avait rien à voir avec le TPM. Elle exploitait un fichier utilitaire de mise à jour pour prolonger indéfiniment la période d’activation. L’activation HWID, méthode par défaut de la plupart des outils de piratage (comme Massgrave), enregistre un identifiant matériel directement chez Microsoft sans passer par KMS. TSforge écrit des données de licence falsifiées directement dans les fichiers de la plateforme Software Protection de Windows. Aucune de ces méthodes n’utilise KMS.
Pourquoi Microsoft ne s’attaque-t-il pas aux particuliers ?
Une licence Windows 11 Home coûte 139 $ chez Microsoft, Windows 11 Pro 199 $. Pour un PC à budget serré, ce montant est prohibitif. L’objectif de Redmond n’est pas de traquer avec des actions juridiques coûteuses, surtout quand chaque utilisateur reste un client potentiel pour les services (OneDrive, Microsoft 365, Copilot, publicités MSN).
Pour conclure, la sécurité des serveurs KMS se renforce, mais votre copie piratée individuelle n’a aucune raison de s’inquiéter. Si vous souhaitez garder un œil sur ces évolutions, suivez les publications officielles de Microsoft.
