Windows refuse mon code confidentiel : les 4 écrans, et ce qu’ils disent vraiment

↑ Ce conseil fait partie du guide : Ordinateur et appareils piratés

Code confidentiel refusé par Windows, que faire ?

Lisez le message mot pour mot, et repérez à quel moment il s’affiche. Avant le logo Windows, souris inerte : c’est le code de démarrage du disque chiffré. Après, avec votre nom à l’écran : c’est le code Windows Hello. Trois des quatre écrans se règlent avec le mot de passe du compte, sans effacer un fichier.

1. Notez le message exact, et s’il apparaît avant ou après le logo Windows
2. Regardez le voyant Verr. num et la langue du clavier, en bas à droite
3. Sur l’écran de verrouillage, ouvrez Options de connexion : l’icône clé propose le mot de passe
4. Sinon, J’ai oublié mon code confidentiel — il réclame le mot de passe du compte Microsoft
5. Une fois rentré, passez les quatre contrôles de la fin : c’est là qu’on écarte vraiment une intrusion

Les quatre écrans, et ce que chacun veut dire

Le mot « code confidentiel » désigne deux choses différentes sur un PC, et c’est la source de la moitié des paniques : l’une déverrouille le disque avant que Windows démarre, l’autre ouvre votre session. Chacune a sa section plus bas.

Un cinquième écran existe et se confond avec le premier : le fond bleu qui réclame une suite de 48 chiffres. Là, ce n’est plus un code à quatre chiffres qu’on vous demande, c’est la clé de récupération du chiffrement — tout est expliqué dans la fiche sur BitLocker et sa clé de récupération.

Pourquoi ce n’est presque jamais un pirate

Le code confidentiel Windows Hello n’est pas un petit mot de passe : c’est un mécanisme différent, et c’est pour ça qu’un pirate ne peut à peu près rien en faire. Microsoft le formule sans détour dans sa documentation : « le code confidentiel ne quitte jamais l’appareil ». Il n’est envoyé à aucun serveur, il n’est stocké nulle part ailleurs.

La phrase suivante vaut de l’or quand on vient de voir son mot de passe dans une fuite : « Il n’existe aucun secret symétrique (mot de passe) qui peut être volé à un serveur ou hameçonné d’un utilisateur et utilisé à distance. » Le contenu d’une fuite n’ouvre pas votre session. Et un attaquant « doit avoir à la fois l’appareil et la biométrie ou le code confidentiel ».

Trois conséquences très concrètes :

• Personne ne change votre code à distance. Quelqu’un qui aurait pris votre compte Microsoft peut lire vos mails et bloquer des services en ligne, pas réécrire le code de cet ordinateur.
• Un code refusé n’est pas un compte bloqué. Les deux situations n’ont ni la même cause ni le même guichet ; le blocage du compte en ligne est traité dans compte Microsoft bloqué.
• Le risque réel est physique : il faut avoir eu la machine en main. C’est le cas d’un ordinateur portable volé ou d’un appareil surveillé par un proche, pas d’une attaque venue d’Internet.

Reste le fantasme du code deviné. Le minimum est de quatre caractères — Microsoft écrit que « le nombre le plus bas que vous pouvez configurer pour ce paramètre de stratégie est 4 » —, mais la puce de sécurité bloque les essais en rafale : c’est la « protection par force brute intégrée », et c’est elle qui déclenche l’écran suivant.

Le clavier, avant tout le reste

C’est la cause numéro un, et celle qu’on écarte en dix secondes. Sur l’écran d’ouverture de session, le code s’écrit en aveugle : des points, pas de caractères, et aucune alerte si la machine écrit autre chose que ce que vous tapez. Quatre vérifications, dans l’ordre :

• Le voyant Verr. num. Éteint, le pavé numérique n’écrit rien du tout. Sur un portable sans pavé séparé, les chiffres partagent les touches des lettres : un Verr. num resté actif transforme j k l en 1 2 3, et l’inverse.
• La langue du clavier, affichée en bas à droite sous la forme FRA ou ENG. En disposition anglaise, l’azerty devient qwerty : un code contenant des lettres n’a plus aucune chance. On la change d’un clic, ou avec Windows + Barre d’espace.
• Le clavier lui-même. Sans fil, une pile vide ne donne aucun signe ; en Bluetooth, l’appairage n’est parfois pas rétabli avant l’ouverture de session. Un clavier filaire branché en USB tranche en une minute.
• Le clavier visuel. L’icône d’accessibilité, en bas à droite, ouvre un clavier à la souris : il contourne une touche morte et affiche la disposition réelle.

La plupart des codes « qui ne marchent plus » sont des codes bien tapés sur un clavier qui a changé d’avis.

« Votre code confidentiel n’est plus disponible » : ce que Windows a fait

Ce message — « Quelque chose s’est produit et votre code confidentiel n’est plus disponible » — est le plus angoissant et le plus bénin. Il ne dit pas qu’on vous l’a pris : il dit que Windows ne peut plus s’en servir, et qu’il faut en créer un autre par le bouton Configurer mon code confidentiel juste en dessous.

Les déclencheurs habituels : une mise à jour de fonctionnalité, une mise à jour du microprogramme de la carte mère qui remet la puce de sécurité à zéro, un profil utilisateur abîmé — le même mécanisme que dans le profil temporaire Windows — ou un ordinateur d’entreprise qui a perdu le contact avec son domaine. Microsoft publie d’ailleurs la liste des codes d’erreur correspondants, dont un 0x80090029 qui signifie simplement « TPM n’est pas configuré ».

Sur une machine fournie par un employeur, on ne lance pas cette opération seul : une stratégie peut piloter le code, et la remise à zéro réclame alors le réseau de l’entreprise. Même principe que pour un poste personnel utilisé au travail.

« Trop de tentatives » : un verrou matériel, pas une sanction

Cet écran apparaît avant Windows, sur un fond uni. Le message publié par Microsoft est : « Trop de tentatives d’entrée de code confidentiel ». Ni votre compte ni votre session ne bloquent : c’est la puce de sécurité soudée sur la carte mère qui compte les erreurs et ferme la porte un moment. Elle ne sait pas qui vous êtes.

Le cas le plus déroutant est documenté noir sur blanc, et il concerne les machines neuves : le compteur peut être déjà plein en sortie de carton, parce que le fabricant « ne réinitialise pas le nombre de verrouillages avant d’expédier l’appareil ». Un ordinateur acheté la veille refuse alors le premier essai. Rien n’est cassé, rien n’a été piraté.

Les deux sorties proposées par Microsoft sont simples, et aucune ne consiste à acheter quoi que ce soit : « Entrez la clé de récupération BitLocker », ou « Attendez que la période de déverrouillage expire ». La patience fonctionne ; le redémarrage en rafale, non — il peut rallonger le délai. Profitez-en pour aller chercher la clé depuis votre compte, sur un autre appareil.

Rentrer : deux routes, selon le type de compte

Sur l’écran de verrouillage, le lien Options de connexion affiche de petites icônes : une clé pour le mot de passe Windows, un pavé pour le code confidentiel, parfois une empreinte. L’icône clé est la sortie de secours la plus directe, et elle ouvre la session sans toucher au code. Ensuite, tout dépend de la nature de votre compte utilisateur — et beaucoup de gens ignorent lequel ils ont. Le nom d’utilisateur écrit sous votre photo tranche en une seconde : une adresse mail complète (@outlook.fr, @hotmail.com, @gmail.com) signale un compte Microsoft ; un simple prénom, sans votre adresse, signale un compte local.

Microsoft est explicite sur ce point : l’option J’ai oublié mon code confidentiel « n’est disponible que pour les comptes Microsoft, pas pour les comptes locaux ». Une fois la session ouverte, cliquez sur Démarrer → Paramètres → Comptes → Options de connexion → Code confidentiel (Windows Hello) : c’est le seul endroit qui permette d’en changer, d’en créer un, ou de le désactiver. Sachez ce que vous perdez en le supprimant : vous revenez à une demande de mot de passe au démarrage, plus longue à taper et moins sûre sur un portable qui sort de chez vous, puisque le mot de passe, lui, fonctionne aussi à distance.

Et si vous n’avez ni le code ni le mot de passe ? Il reste la page de récupération du compte, celle qu’ouvre le lien Oublié votre mot de passe ? : vous y entrez votre nom d’utilisateur, puis un code de vérification arrive sur un second moyen enregistré d’avance. Deux précisions qui évitent des erreurs. Cette page ne réclame jamais le mot de passe actuel — c’est même ce qui la distingue d’une page d’hameçonnage, qui demande l’ancien et le nouveau. Et réinitialiser le mot de passe ne recrée pas le code confidentiel : une fois rentré, il faut encore repasser par les Options de connexion.

Deux pièges à cet endroit. D’abord, modifier le mot de passe depuis un téléphone ne débloque pas le code : deux secrets séparés, et le PC réclamera le nouveau une fois en ligne. Ensuite, si l’authentification en deux étapes repose sur un appareil que vous n’avez plus, il faut d’abord lire la fiche sur le téléphone des codes perdu : sans second facteur, la route du compte Microsoft se referme.

Enfin, un réflexe qui ne sert à rien ici : le mode sans échec ne contourne pas l’ouverture de session. Il réclame le même code ou le même mot de passe, parce qu’il allège les pilotes, pas l’identification du compte utilisateur.

Le code confidentiel par défaut n’existe pas

C’est l’une des recherches les plus fréquentes, et la réponse tient en une ligne : il n’y a ni 0000, ni 1234, ni code du constructeur. Le code se choisit à la première configuration. Si vous ne l’avez jamais choisi, demandez qui a installé l’ordinateur — un magasin, un proche, un ancien employeur. Ce n’est pas un piratage, c’est une mémoire.

Ce vide est exactement ce qu’exploitent les pages promettant un code universel, un logiciel de déblocage ou un « service » à appeler. Ce qu’on y trouve :

• Un numéro affiché en gros. Microsoft n’affiche jamais de numéro de téléphone dans un écran de connexion : c’est la mécanique du faux support technique, parfois couplée à une fausse alerte antivirus, et la facture arrive par la ligne surtaxée.
• Un utilitaire à télécharger. Il faudrait déjà pouvoir ouvrir la session pour l’installer. Et un fichier ramassé dans ce contexte mérite d’être analysé gratuitement avant d’être ouvert.
• Une astuce pour créer un compte de secours. Ouvrir un nouveau compte administrateur depuis l’invite de récupération ouvre bien une session — mais une session vide. Vos documents restent dans l’ancien profil, et rien ne suit : ni vos informations personnelles, ni les mots de passe enregistrés dans le navigateur, dont on ne ressort pas si facilement : voir où le navigateur range ses copies. On récupère un bureau, pas un ordinateur.
• Un tutoriel qui finit en réinstallation. Il efface vos documents si la sauvegarde n’est pas faite. Le bon moment pour en arriver là est décrit dans la fiche sur la réinstallation de Windows.

Les quatre contrôles qui écartent vraiment l’intrusion

Une fois rentré, si le doute persiste, on va lire les quatre endroits où une intrusion laisse une trace. Comptez dix minutes.

• Les méthodes de connexion actives. Paramètres → Comptes → Options de connexion. Une empreinte, un visage ou une clé de sécurité que vous n’avez pas enregistrés sont le seul signe qui prouve un accès physique — même logique que pour les clés d’accès.
• Les autres utilisateurs. Paramètres → Comptes → Autres utilisateurs. Un compte utilisateur en trop, surtout si c’est un compte administrateur, change tout : c’est le sujet de la fiche sur les droits d’administrateur perdus.
• L’activité du compte en ligne. Connectez-vous depuis un autre appareil sur account.microsoft.com, rubrique Sécurité : l’historique des connexions donne les dates, le type d’appareil et le pays, et la page Vos informations montre si quelqu’un a touché aux informations personnelles du compte. Un appareil inconnu s’y traite comme décrit dans appareil inconnu connecté à mon compte, et les alertes reçues par courriel sont triées dans mail « connexion inhabituelle ».
• Le journal des ouvertures de session. Windows + R, puis eventvwr.msc, journal Sécurité : l’événement 4624 horodate chaque ouverture réussie. La méthode complète est dans quelqu’un a utilisé mon ordinateur.

Si l’un des quatre sort positif, le code devient le moindre des problèmes : on suit l’ordre des gestes de mon ordinateur a été piraté, en commençant par la boîte mail depuis un autre appareil, et on referme un éventuel accès à distance.

Quand s’arrêter et appeler

Deux situations méritent un appel plutôt que dix manipulations : un écran de démarrage qui réclame un code que personne n’a jamais choisi, et un code refusé sur une machine dont vous n’avez ni le mot de passe, ni la clé de récupération. Chaque tentative referme un peu la porte, et les outils vendus en ligne n’ouvrent rien.

Le diagnostic est gratuit, 15 minutes au téléphone : vous me lisez le message exact et me dites s’il arrive avant ou après le logo Windows. Si oui, l’assistance à distance débute à 19 € la demi-heure. Déroulé et tarifs affichés d’avance, ou décrivez votre situation par écrit.

Questions fréquentes

Changer le mot de passe de mon compte Microsoft va-t-il débloquer le code confidentiel ?

Non, deux secrets différents. Le mot de passe ouvre le compte en ligne ; le code PIN ouvre cet ordinateur-là, et lui seul. Le nouveau mot de passe sera simplement demandé une fois sur le PC, à la première connexion à Internet.

Mon code marchait hier et je n’ai rien fait : que s’est-il passé ?

Le plus souvent, une mise à jour de Windows, une mise à jour du microprogramme de la carte mère, ou un profil utilisateur abîmé. Le code n’a pas été volé, il a été invalidé par la machine : c’est ce que dit le message « n’est plus disponible ».

Existe-t-il un code confidentiel Windows par défaut ?

Non. Aucun 0000, aucun 1234, aucun code du fabricant. Il est choisi à la première configuration, par la personne qui a installé la machine. Les pages promettant un code universel vendent un logiciel ou un numéro, jamais une solution.

Un PC tout neuf affiche « trop de tentatives » dès le premier essai

C’est documenté : Microsoft explique que le fabricant « ne réinitialise pas le nombre de verrouillages avant d’expédier l’appareil ». Le compteur est déjà au bout en sortie de carton. Les contournements proposés sont la clé de récupération, ou l’attente.

Je n’ai pas de compte Microsoft, seulement un compte local

Le lien J’ai oublié mon code confidentiel n’apparaît pas : Microsoft indique qu’il n’est proposé que pour les comptes Microsoft. Restent le mot de passe local, puis les questions de sécurité. Sans l’un ni l’autre, aucune procédure en ligne n’existe.

Faut-il réinstaller Windows pour en sortir ?

Presque jamais, et jamais en premier geste. Trois des quatre écrans se règlent avec le mot de passe du compte, sans toucher à un fichier. Et la réinstallation ne résout rien si le disque est chiffré et la clé introuvable.

À lire aussi : le mode sans échec de Windows 11 · Sécurité Windows ne s’ouvre plus.