Dans un commerce de Saint-Julien-en-Genevois, le poste de caisse tourne encore sous une ancienne version de Windows parce que le logiciel d'encaissement a été installé avec la machine et que personne n'a envie d'y toucher. Au premier étage, la comptabilité utilise deux ordinateurs plus récents, et le portable du gérant a été acheté l'an dernier. Quand un fournisseur informatique appelle pour annoncer qu'il « faut passer en Windows 11 », le dirigeant entend un argument commercial. C'est pourtant une question de calendrier de parc, et elle se traite poste par poste.
La bonne question n'est pas de savoir si Windows 11 est meilleur que Windows 10. Elle consiste à déterminer, pour chaque machine, si elle recevra encore des correctifs de sécurité dans les mois qui viennent, si son matériel accepte la version suivante, et si les logiciels métier qui y tournent ont été validés dessus. Nous tenons ce relevé dans la gestion de parc informatique, à partir de 120 HT / mois. Les licences du système restent achetées auprès de Microsoft ou du constructeur, et nous ne fixons aucun prix à leur place.
Ce qu'un système qui ne reçoit plus de correctifs change concrètement
Le calendrier de fin de support de chaque version de Windows est publié par Microsoft, il évolue selon les éditions et les programmes de prolongation payants, et il doit être vérifié à la source avant de bâtir un plan. Nous ne vous donnerons donc pas de date dans cet article, mais nous pouvons décrire précisément la conséquence d'une machine sortie du support.
Un poste qui ne reçoit plus de correctifs continue de démarrer et de faire son travail. Rien ne se casse le jour où le support s'arrête, et c'est exactement ce qui rend la situation trompeuse. Ce qui change, c'est que les vulnérabilités découvertes après cette date ne sont plus corrigées sur cette version. Les attaques automatisées cherchent en priorité les systèmes qui ne peuvent plus être réparés, parce que la faille y reste exploitable indéfiniment. Un antivirus ou un EDR posé par-dessus détecte des comportements suspects, mais il ne rebouche pas un trou dans le système : nous expliquons cette limite dans notre article sur ce que fait réellement un EDR.
À cela s'ajoutent deux effets pratiques. Les éditeurs de logiciels métier cessent progressivement de certifier leurs produits sur une version abandonnée, et vous vous retrouvez sans recours en cas de dysfonctionnement. Votre assureur, de son côté, pose désormais la question du niveau de mise à jour du parc dans son questionnaire, comme nous le détaillons dans notre article sur la cyberassurance en PME.
Tous les postes ne présentent pas le même risque. Une machine d'atelier qui pilote un équipement, sans messagerie, sans navigation et isolée sur son propre segment réseau, se discute au cas par cas et se maintient parfois en l'état pendant que l'équipement est amorti. Un poste de comptabilité qui reçoit des pièces jointes et se connecte à une banque ne se discute pas.
Pourquoi certaines machines refusent la mise à niveau
Windows 11 impose des prérequis matériels que Windows 10 n'exigeait pas. Les deux principaux sont la présence d'un module de sécurité TPM en version 2.0, une puce qui stocke les clés de chiffrement à l'écart du disque, et le démarrage sécurisé Secure Boot, qui empêche le chargement d'un système non signé au démarrage. Microsoft publie en outre une liste de processeurs pris en charge, et un ordinateur parfaitement fonctionnel peut s'y trouver exclu alors qu'il possède le TPM requis.
Dans la pratique, une bonne partie des machines professionnelles achetées ces dernières années passent, parfois après activation du TPM dans le firmware de la carte mère, où il est resté désactivé par défaut. Les autres ne passent pas, et il existe des contournements techniques pour installer le système malgré tout. Nous ne les utilisons pas sur un parc d'entreprise : une machine installée hors des configurations prises en charge n'a aucune garantie de recevoir les mises à jour ultérieures, ce qui vous ramène au problème que vous cherchiez à résoudre. Une machine incompatible se remplace ou s'isole.
Les applications métier freinent plus souvent que le matériel
Le point de blocage réel d'une migration n'est presque jamais le système d'exploitation. Ce sont les logiciels de comptabilité, de gestion de production, de dessin technique, ainsi que les périphériques spécialisés : lecteurs de cartes professionnelles, terminaux de paiement, balances, scanners de codes-barres, imprimantes d'étiquettes. Certains pilotes n'ont jamais été mis à jour par leur fabricant.
C'est la raison pour laquelle l'inventaire précède l'achat. Nous listons les applications réellement utilisées poste par poste, nous interrogeons les éditeurs sur la compatibilité annoncée, et nous testons sur deux machines témoins avant d'engager le reste du parc. Cette étape évite la situation classique où quinze postes sont migrés un week-end et où le logiciel de paie refuse de démarrer le lundi matin. Si votre parc comprend aussi des Mac, la question se pose en parallèle et nous la traitons dans notre article sur Windows et Mac dans la même PME.
Notre plan de bascule par lots sur un parc de PME
Nous construisons d'abord le tableau de bord du parc : pour chaque poste, sa version de système, son âge, son rôle dans l'entreprise, sa compatibilité avec la version suivante et les applications critiques qui y tournent. Ce tableau permet de trier les machines en trois groupes : celles qui migrent, celles qui se remplacent, et celles qui restent en place mais que nous isolons sur le réseau avec des règles précises.
Nous planifions ensuite la bascule par lots de deux à cinq postes, en dehors des heures d'ouverture ou des périodes de clôture comptable. Chaque lot commence par une sauvegarde vérifiée du poste, se poursuit par la migration, et se termine par un contrôle des points sensibles : accès aux partages, impression, messagerie, connexion au VPN, logiciels métier. Nous reposons le chiffrement du disque et nous vérifions que la clé de récupération est bien remontée dans l'annuaire de l'entreprise. L'antivirus et l'outil de prise en main à distance sont réinstallés dans la foulée, et le poste n'est rendu à l'utilisateur qu'une fois ces contrôles passés. Sur un parc équipé de Microsoft Intune, une partie de ces réglages se pousse automatiquement, ce qui accélère nettement les lots suivants.
Les interventions sur les machines se font sur site dans le Bassin Genevois, à Saint-Julien-en-Genevois, Genève, Annemasse et alentours, avec le même montant hors taxes en euros et en francs. Si un poste refuse de démarrer alors que vous n'avez pas de contrat, l'intervention relève de l'urgence à 230 HT / h.
Si vous ne savez plus quelles machines sont encore sur une version ancienne, l'inventaire constitue la première étape et se fait en quelques heures. Écrivez-nous : nous vous rendrons la liste, la répartition entre migration, remplacement et isolement, et un calendrier réaliste qui ne bloque pas votre activité.