Microsoft va imposer une attestation TPM aux serveurs KMS utilisés par les organisations. Une protection destinée à sécuriser l’activation en volume, pas à désactiver en bloc les copies pirates de Windows installées sur les PC personnels.
En novembre 2025, Microsoft neutralisait KMS38, méthode frauduleuse qui permettait d’activer Windows 10 et Windows 11 jusqu’en 2038. Huit mois plus tard, le 22 juillet dernier, l’entreprise présentait KMS Hardware-Secured, un dispositif conçu pour vérifier par TPM l’identité et l’intégrité des serveurs en charge de l’activation des parcs Windows. Une annonce aussitôt interprétée comme un nouveau tour de vis contre les copies pirates de l’OS, voire comme le prélude à une désactivation généralisée des PC concernés. Les précisions publiées depuis révèlent toutefois une mesure bien plus ciblée.
Une protection réservée aux serveurs KMS des entreprises
Pour rappel, KMS, pour Key Management Service, est le système utilisé par les organisations pour activer en volume les PC Windows de leur parc. L’entreprise installe un serveur KMS sur son réseau et l’authentifie auprès de Microsoft à l’aide de sa clé de licence. Les postes se tournent ensuite vers ce serveur pour obtenir leur activation, sans contacter directement Microsoft. Celle-ci reste valable 180 jours, mais Windows tente de la renouveler tous les sept jours.
Or, si elle est bien pratique pour les entreprises, cette dépendance aux serveurs KMS peut aussi être exploitée par des fraudeurs, capables de déployer de faux serveurs ou de cloner des hôtes légitimes afin d’activer des machines non couvertes par les licences de l’organisation. KMS Hardware-Secured doit donc limiter ces détournements en obligeant chaque serveur à prouver son identité matérielle grâce au TPM. La puce devra aussi attester que la plateforme n’a pas été altérée depuis son enregistrement.
La transition débutera en août 2026. Windows Server 2025 indiquera alors si le serveur est compatible avec cette protection, sans encore bloquer les activations. L’attestation TPM ne deviendra obligatoire qu’avec la prochaine version LTSC de Windows Server, dont la date de sortie n’a pas encore été communiquée.
Pas encore une arme générale contre le piratage de Windows
Lorsque l’attestation deviendra obligatoire, les entreprises devront disposer d’un serveur KMS conforme pour continuer à activer leurs postes. En cas d’échec de la vérification, les nouvelles machines ne pourront plus obtenir de licence, tandis que celles déjà activées conserveront leur statut jusqu’à l’expiration du délai de 180 jours. Sans renouvellement d’ici là, elles finiront par perdre leur activation.
Ce scénario ne s’applique cependant qu’aux postes qui dépendent réellement du serveur KMS officiel d’une organisation. Les copies pirates installées sur les PC personnels reposent généralement sur d’autres procédés, qui n’ont pas besoin de cette infrastructure.
Les outils d’activation qui imitent KMS font ainsi répondre un serveur local factice ou distant aux demandes de Windows. Comme Microsoft n’annonce aucune vérification de l’attestation TPM par le PC client, ils ne sont pas directement visés. La méthode KMS38 ne reposait même pas sur un serveur actif, puisqu’elle falsifiait localement la durée de validité de la licence. Quant aux outils qui cherchent à faire reconnaître une fausse licence numérique ou modifient directement les données d’activation, ils échappent eux aussi à la nouvelle protection.
KMS Hardware-Secured pourra donc empêcher une partie des détournements qui touchent les infrastructures d’entreprise, mais pas provoquer une désactivation généralisée des copies pirates de Windows.
