La fin de support Windows ne vous oblige pas à tout migrer en un week-end, mais elle vous oblige à décider, poste par poste et serveur par serveur, comment chaque machine sera protégée sans correctifs. Ce tutoriel vous donne la méthode en six étapes : inventorier, prolonger quand c’est possible, isoler ce qui ne peut pas l’être, puis planifier une sortie datée.
Le calendrier presse : les mises à jour de sécurité étendues (ESU) de Windows Server 2012 et 2012 R2 s’arrêtent le 13 octobre 2026, Windows Server 2016 sort du support étendu le 12 janvier 2027, et Microsoft prévient que les systèmes non supportés perdront l’accès à Windows Update lors de la rotation des certificats de mai et juin 2027.
Ce que change vraiment la fin de support Windows
Une machine hors support continue de démarrer, d’imprimer et de faire tourner votre logiciel métier. Ce qui disparaît, ce sont les correctifs de sécurité : chaque faille publiée après la date de fin reste ouverte pour toujours sur cette machine. Or les attaquants comparent justement les correctifs publiés pour les versions récentes avec le code des anciennes pour trouver ce qui n’a pas été corrigé.
Le risque n’est donc pas le jour de la fin de support, mais les mois qui suivent. Un serveur Windows Server 2012 exposé ou joint au domaine devient un point d’entrée stable, que l’attaquant peut garder en réserve. Pour une PME, l’enjeu se résume à trois questions : quelles machines sont concernées, lesquelles peuvent encore recevoir des correctifs payants, et comment contenir les autres.
Étape 1 : inventorier les systèmes obsolètes en une journée
Vous ne pouvez pas protéger ce que vous ne voyez pas. Commencez par une liste exhaustive des versions de Windows en service, postes et serveurs confondus.
- Dans l’Active Directory : la commande PowerShell
Get-ADComputer -Filter * -Properties OperatingSystem,OperatingSystemVersion,LastLogonDateexportée en CSV donne la version de chaque machine jointe au domaine et sa dernière connexion. - Dans Intune ou votre outil RMM : filtrez le parc par version de système d’exploitation ; c’est souvent plus fiable pour les portables rarement connectés au réseau.
- Hors domaine : pensez aux PC de production, aux postes qui pilotent une machine-outil, aux serveurs de vidéosurveillance et aux machines virtuelles oubliées sur l’hyperviseur.
Pour chaque machine, notez trois informations : la version exacte (Windows 10 22H2, Server 2012 R2, Server 2016…), le rôle métier, et l’exposition (accessible depuis Internet, joint au domaine, ou isolé).
Étape 2 : classer chaque machine en trois catégories
Avec l’inventaire, classez chaque système selon ce que vous pouvez faire dans les trois prochains mois :
- Migrable rapidement : un poste Windows 10 compatible Windows 11, un serveur de fichiers qu’on peut remplacer. Planifiez la migration, c’est la solution la moins chère à terme.
- Prolongeable : la machine peut recevoir des correctifs étendus (ESU) le temps de migrer.
- Bloqué : un logiciel métier qui n’existe que pour cette version, un automate livré avec son PC, un éditeur disparu. Cette catégorie demande des mesures de confinement.
Cette étape est aussi le moment de faire valider le classement par la direction : maintenir un système obsolète est une décision de risque, pas une décision technique.
Étape 3 : prolonger avec les correctifs étendus quand c’est possible
Le programme ESU de Microsoft fournit uniquement les correctifs de sécurité critiques et importants, sans nouvelles fonctionnalités ni support général.
- Windows 10 : les postes en version 22H2 peuvent être inscrits à l’ESU commercial, facturé 61 dollars par poste la première année, avec un prix qui double chaque année et un maximum de trois ans après la fin de support d’octobre 2025.
- Windows Server 2012 et 2012 R2 : la troisième et dernière année d’ESU se termine le 13 octobre 2026. Au-delà, il n’existe plus de correctif officiel, même payant.
- Windows Server 2016 : il reste quelques mois de support étendu standard. C’est la fenêtre idéale pour migrer sans payer d’ESU.
Avant de payer, vérifiez que les postes concernés sont bien à jour : un poste Windows 10 qui n’a pas installé les mises à jour récentes ne pourra pas recevoir les nouveaux certificats de Windows Update avant 2027.
Étape 4 : isoler les systèmes Windows bloqués
Pour les machines de la catégorie « bloqué », l’objectif est simple : qu’une compromission de ce système ne puisse pas se propager au reste du réseau.
- Segmentez : placez ces machines dans un VLAN dédié, avec des règles de pare-feu qui n’autorisent que les flux strictement nécessaires (le serveur applicatif vers sa base, l’automate vers son poste de pilotage).
- Coupez Internet : un système obsolète n’a presque jamais besoin de naviguer. Bloquez les sorties directes et passez par un proxy si une mise à jour d’éditeur est indispensable.
- Retirez-le du domaine si possible : un serveur ancien joint à l’Active Directory peut servir de tremplin vers vos comptes d’administration. Si le retrait est impossible, interdisez les connexions des comptes administrateurs du domaine sur cette machine.
- Supprimez l’exposition : aucun bureau à distance (RDP) ni partage de fichiers ouvert vers Internet. Un accès distant passe par un VPN ou un bastion, avec double authentification.
Étape 5 : réduire la surface d’attaque de la machine elle-même
Sur chaque système conservé, désinstallez les rôles et logiciels inutiles, désactivez SMBv1 s’il est encore actif, et retirez les droits d’administrateur local aux utilisateurs. Faites tourner un antivirus ou un EDR encore compatible avec la version : de nombreux éditeurs maintiennent un agent sur les anciennes versions de Windows quelques années de plus que Microsoft, mais vérifiez la date de fin de support de l’agent lui-même.
Ajoutez une sauvegarde déconnectée de ces machines. Si un rançongiciel les chiffre, vous devez pouvoir les reconstruire, surtout quand l’installateur du logiciel métier n’existe plus.
Étape 6 : surveiller et dater la sortie
Un système obsolète isolé reste un système vulnérable : ce qui compte ensuite, c’est de voir rapidement ce qui s’y passe. Centralisez ses journaux d’événements (connexions, création de comptes, nouveaux services) et définissez des alertes simples sur ces machines. Ce type de poste à risque se surveille idéalement en continu : c’est précisément ce que permet un processus de priorisation des correctifs couplé à une détection active.
Enfin, donnez une date de sortie à chaque machine bloquée et inscrivez-la dans le registre des risques. Une exception sans échéance devient une installation permanente. Pour les postes, comparez le coût de trois années d’ESU avec celui d’un renouvellement : passé la deuxième année, le calcul penche presque toujours vers le remplacement. Si vous hésitez sur le niveau de protection à conserver sur les postes, notre comparatif EDR ou antivirus en PME détaille les différences.
Un serveur ancien qu’on ne peut pas encore remplacer se détecte et se contient avec une surveillance continue : découvrez notre SOC managé 24/7 pour PME et ETI.
Ce qu’il faut retenir
- Les correctifs étendus de Windows Server 2012 et 2012 R2 s’arrêtent le 13 octobre 2026, sans prolongation possible.
- L’ESU Windows 10 achète du temps, pas une solution : son prix double chaque année.
- Les systèmes bloqués doivent être segmentés, coupés d’Internet et éloignés des comptes d’administration.
- Les machines non supportées perdront l’accès à Windows Update avec la rotation des certificats de 2027.
- Chaque exception doit avoir une date de sortie validée par la direction.