« Le Gestionnaire des tâches a été désactivé par votre administrateur » : le rouvrir

↑ Ce conseil fait partie du guide : Ordinateur et appareils piratés

Le Gestionnaire des tâches a été désactivé par votre administrateur, que faire ?

Rouvrez-le en remettant une seule valeur du registre à zéro : DisableTaskMgr, dans la clé Policies\System de HKEY_CURRENT_USER. À 1, le Gestionnaire des tâches est bloqué ; à 0, ou supprimée, il revient tout de suite. Sur un poste personnel, ce message vient presque toujours d’un programme malveillant, jamais d’un vrai administrateur.

1. Essayer d’abord Ctrl + Maj + Échap
2. Ouvrir l’Éditeur du Registre avec regedit
3. Mettre DisableTaskMgr à 0, ou la supprimer
4. Fermer la session Windows, puis la rouvrir
5. Lancer une analyse Microsoft Defender hors ligne

« Désactivé par votre administrateur » : qui est cet administrateur ?

Le libellé exact, en français, est : « Le Gestionnaire des tâches a été désactivé par votre administrateur. » En anglais, « Task Manager has been disabled by your administrator. » Il s’affiche dans une petite fenêtre, sans bouton d’aide, et il n’a pas changé depuis Windows XP : même libellé sous Windows Vista, sous Windows 7, et encore sous Windows 11. Sur une installation de Windows neuve, le Gestionnaire des tâches est activé par défaut : cette fenêtre ne peut apparaître que si quelque chose a écrit la valeur après coup.

Cet « administrateur » n’est pas forcément une personne. Windows appelle ainsi n’importe quel réglage de stratégie inscrit dans le registre, d’où qu’il vienne. Sur un poste d’entreprise, c’est le service informatique. Sur l’ordinateur personnel que vous avez acheté seul, personne n’a rien réglé : la valeur a été posée par un programme malveillant.

C’est l’un des gestes les plus anciens des logiciels malveillants sous Windows, et sa logique est simple : si vous ne pouvez pas ouvrir le Gestionnaire des tâches, vous ne voyez pas le processus qui tourne, et vous ne l’arrêtez pas. Même tactique chez les faux antivirus et les pages de faux support technique qui bloquent le navigateur.

Tout tient dans une seule valeur, de type DWORD 32 bits, nommée DisableTaskMgr. Elle vit à l’un de ces deux endroits :

• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System — elle ne bloque que votre session. C’est le cas le plus fréquent, parce qu’elle ne demande aucun droit d’administrateur pour être écrite.
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System — elle bloque tous les comptes de la machine. Son écriture, elle, a exigé une élévation : quelqu’un, ou quelque chose, a cliqué « Oui » sur une fenêtre de contrôle de compte d’utilisateur.

À 1, l’outil est coupé. À 0, ou quand la valeur n’existe pas du tout, il fonctionne. Il n’y a pas d’autre état, et aucune mise à jour de Windows ne la pose d’elle-même.

Les quatre façons de rouvrir le Gestionnaire des tâches

Avant tout, le test qui prend trois secondes : Ctrl + Maj + Échap. Ce raccourci ouvre le Gestionnaire des tâches sans passer par l’écran de Ctrl + Alt + Suppr. S’il affiche le même message, voici les quatre voies, de la plus simple à la plus lourde.

Deux autres chemins mènent au même utilitaire : un clic du bouton droit sur la barre des tâches, puis Gestionnaire des tâches ; et son fichier exe, taskmgr.exe, rangé dans C:\Windows\System32. Les trois butent sur la même valeur — mais si l’un des trois s’ouvre, le blocage n’est pas celui de cette fiche.

Une précaution qui fait gagner du temps : savoir laquelle des deux clés porte la valeur avant d’y toucher. Deux lignes dans l’invite de commandes le disent, sans rien modifier :

reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v DisableTaskMgr
reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v DisableTaskMgr

La ligne DisableTaskMgr    REG_DWORD    0x1 signale la clé coupable ; « ERREUR : le système n’a pas trouvé la clé ou la valeur de Registre spécifiée. » signale celle qui est saine. Si c’est la seconde qui répond 0x1, la suite demandera une invite ouverte en administrateur.

1. L’Éditeur du Registre

1. Touche Windows + R, tapez regedit, validez.
2. Collez ce chemin dans la barre d’adresse : HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System.
3. Double-cliquez sur DisableTaskMgr, remplacez 1 par 0, validez. Un clic droit puis Supprimer fait aussi bien, et laisse la clé plus propre.
4. Si la clé System n’existe pas à cet endroit, recommencez sous HKEY_LOCAL_MACHINE\SOFTWARE\…, avec un regedit lancé en administrateur.
5. Fermez la session Windows et rouvrez-la. Un redémarrage complet marche aussi.

2. La ligne de commande, en dix secondes

Plus rapide, et sans risque de cliquer à côté dans le registre. Tapez cmd dans le Menu Démarrer ; si la valeur est du côté machine, faites un clic du bouton droit sur le résultat et choisissez Exécuter en tant qu’administrateur. Sous Windows 11, l’invite de commandes s’ouvre à l’intérieur du Terminal Windows : même invite, mêmes commandes. Puis :

reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v DisableTaskMgr /f

Deux réponses, et les deux sont des bonnes nouvelles. « Opération réussie. » : la valeur était là, elle est partie. L’erreur de clé introuvable : elle n’y était pas, et le blocage vient de la partie machine — recommencez avec HKLM.

3. L’éditeur de stratégie de groupe local

1. Windows + R, puis gpedit.msc.
2. Configuration utilisateur → Modèles d’administration → Système → Options Ctrl+Alt+Suppr.
3. Double-clic sur Supprimer le Gestionnaire des tâches, cochez Non configuré, appliquez.
4. Dans l’invite de commandes ou le Terminal : gpupdate /force. Comptez une minute.

4. Le mode sans échec, ou un second compte

Il reste le cas où regedit refuse de s’ouvrir lui aussi. Dans l’atelier, la commande reg delete passe le plus souvent quand l’éditeur graphique est bloqué ; quand les deux refusent, on redémarre en mode sans échec : touche Maj enfoncée pendant que vous cliquez sur Redémarrer, puis Dépannage → Options avancées → Paramètres de démarrage → Redémarrer, et la touche 4. Dans ce mode, les programmes lancés au démarrage ne tournent pas, et la valeur se retire sans être réécrite derrière vous. Un second compte administrateur local sert aussi de test : si l’outil s’ouvre sous un autre nom d’utilisateur, la valeur est bien dans HKEY_CURRENT_USER et ne concerne qu’une session.

Une fois l’outil rouvert, deux onglets méritent un regard immédiat : Démarrage, qui liste ce qui se lance avec la session, et Détails, qui donne le nom exact de chaque exécutable. Et dans l’onglet Processus, un clic du bouton droit sur Explorateur Windows puis Redémarrer remet le bureau en route quand il reste figé — c’est explorer.exe qui repart.

Windows Famille : gpedit.msc n’existe pas, et c’est normal

Sur une édition Windows Famille — celle de l’immense majorité des ordinateurs vendus en grande surface —, taper gpedit.msc renvoie : « Windows ne trouve pas “gpedit.msc”. » Ce n’est pas une panne : l’éditeur de stratégie de groupe n’est fourni qu’avec les éditions Professionnel, Entreprise et Éducation.

Pour savoir où vous en êtes : Windows + R, puis winver, qui affiche l’édition et la version. Si c’est Famille, passez par la méthode 1 ou 2 : la stratégie de groupe ne fait elle-même qu’écrire dans le registre.

Et surtout, n’installez pas les « activateurs de gpedit » des tutoriels de forum : des fichiers batch inconnus lancés avec les droits les plus élevés de la machine, pour un résultat que deux lignes de commande donnent gratuitement. Typiquement le téléchargement qu’il vaut mieux faire analyser avant de l’ouvrir.

La valeur revient toute seule après le redémarrage

C’est le vrai sujet. Retirer DisableTaskMgr prend dix secondes ; si elle revient au démarrage suivant, quelque chose la réécrit, et ce quelque chose est toujours en place. On ne cherche plus la valeur, on cherche ce qui la pose.

• Les programmes lancés au démarrage. Clés Run de HKCU et de HKLM, dossier Démarrage, services. Autoruns, publié par Microsoft, les montre tous d’un coup : les lignes sans éditeur vérifié et au nom aléatoire d’abord.
• Les tâches planifiées. Ouvrez le Planificateur de tâches, ou tapez schtasks /query /fo LIST /v. Une tâche créée le jour du problème et déclenchée à l’ouverture de session est un candidat sérieux.
• Une vraie stratégie de groupe. La commande gpresult /r liste les objets de stratégie appliqués. Sur un ordinateur de maison, cette liste doit être vide.
• Une analyse hors ligne. L’analyse Microsoft Defender hors ligne travaille un quart d’heure avant Windows, donc avant que le programme n’ait repris la main. C’est elle qui attrape ce qui résiste aux analyses classiques, et pourquoi une menace semble ne jamais partir tient souvent à ça.

Tant que la source n’est pas trouvée, la machine est à considérer comme compromise : un programme capable de poser une stratégie lit aussi ce que vous tapez. On change les mots de passe depuis un autre appareil sain, en commençant par la boîte mail — l’ordre exact est dans la fiche « mon ordinateur a été piraté ». Et si vous soupçonnez une surveillance, lisez ce qui distingue un vrai logiciel espion sur un ordinateur d’une simple publicité envahissante.

Les autres outils coupés en même temps

DisableTaskMgr voyage rarement seule : ses voisines vivent dans les mêmes clés Policies, et chacune a son message. Si vous en reconnaissez un, c’est le même ménage, au même endroit.

Même logique du côté des consoles : une stratégie MMC interdit les composants enfichables un par un, et le Gestionnaire de périphériques (devmgmt.msc) comme l’Observateur d’événements refusent alors de s’ouvrir. Ce n’est plus Policies\System mais Software\Policies\Microsoft\MMC ; le ménage, lui, est le même.

Une dernière, plus discrète et plus grave : une exclusion ajoutée dans Sécurité Windows pour que l’antivirus ignore un dossier. Vérifiez-la dans l’onglet Protection contre les virus et menaces → Gérer les paramètres → Exclusions : cette liste est vide par défaut. Une exclusion que personne n’assume est un signal sérieux, au même titre qu’un accès à distance resté ouvert.

Ce qui ne sert à rien

• Télécharger un « Task Manager Fixer ». Ces utilitaires font la ligne de commande du point 2, et plusieurs sont eux-mêmes des programmes indésirables.
• Désactiver la protection en temps réel « le temps de la manipulation ». Rien n’empêche de modifier le registre pendant que Microsoft Defender tourne. Le couper laisse seulement la machine nue, pendant que le programme responsable continue.
• Créer un nouveau compte Windows. Cela ne marche que si la valeur est sous HKEY_CURRENT_USER, et jusqu’à ce que le programme recommence sur le nouveau compte. On traite la cause, pas la session.
• Démarrer sur une clé Ubuntu pour éditer le registre hors ligne. Certains tutoriels le proposent : changer l’ordre de boot, démarrer sur un live USB Ubuntu, monter la partition Windows et ouvrir la ruche avec chntpw. La méthode sert quand Windows ne démarre plus du tout ; pour une valeur de stratégie, le mode sans échec fait la même chose en trois clics.
• Restaurer le système à une date antérieure, en premier geste. La restauration du système ramène le registre tel qu’il était, donc retire la valeur — mais pas le fichier qui l’avait écrite ; et vos documents supprimés depuis cette date ne reviennent pas pour autant. À tenter après l’analyse, pas avant.
• Appeler le numéro affiché à l’écran. Une fenêtre qui réclame un appel « au support Microsoft » est une fausse alerte : Microsoft n’affiche jamais de numéro dans une alerte de sécurité.
• Réinitialiser le PC, ou réinstaller Windows dans la foulée. C’est parfois la bonne décision, jamais la première. Réinitialiser ce PC remet les logiciels à zéro, et son option Supprimer tout efface vos documents si la sauvegarde n’est pas faite. Quand une installation de Windows propre a vraiment un sens, c’est détaillé dans la fiche sur la réinstallation.

Quand s’arrêter et appeler

Deux cas où je préfère qu’on me téléphone plutôt que de vous voir multiplier les manipulations : la valeur qui revient après chaque redémarrage, et le blocage posé sous HKEY_LOCAL_MACHINE, qui signale une élévation accordée à quelque chose.

Le diagnostic est gratuit, 15 minutes au téléphone : vous me lisez le message exact et le chemin de la clé, et je vous dis s’il y a du travail. Si oui, l’assistance à distance débute à 19 € la demi-heure, et le nettoyage d’une machine infectée à 39 €. Déroulé et tarifs affichés d’avance, ou décrivez votre situation par écrit.

Questions fréquentes

Je suis seul sur ce PC et je suis administrateur : comment est-ce possible ?

Parce que Windows appelle « administrateur » toute stratégie inscrite dans le registre, sans se demander qui l’a écrite. Votre compte a bien tous les droits ; c’est une valeur posée par un programme qui parle à votre place. Elle se retire comme n’importe quelle autre.

Est-ce risqué pour Windows de retirer cette valeur ?

Non. DisableTaskMgr n’existe pas sur une installation neuve : la supprimer remet la machine dans son état d’origine, et rien d’autre n’en dépend. Par prudence, un clic droit sur la clé System puis Exporter garde une copie avant toute modification.

Le Gestionnaire des tâches s’ouvre et se referme aussitôt

Ce n’est pas le même problème : là, un processus surveille et ferme la fenêtre dès qu’elle apparaît. La parade est l’analyse hors ligne, qui travaille avant le démarrage de Windows. En attendant, tasklist dans une invite de commandes donne la liste des processus sans ouvrir d’interface.

Puis-je utiliser un fichier .reg trouvé sur un forum ?

Techniquement oui, mais un fichier .reg s’exécute sans rien montrer de ce qu’il change. Deux lignes qu’on relit valent mieux qu’un fichier qu’on ne lit pas. Si vous y tenez, ouvrez-le d’abord avec le Bloc-notes : son contenu est du texte lisible.

Après le correctif, Ctrl + Alt + Suppr renvoie toujours le message

La session n’a pas été rouverte. Les valeurs de Policies sont lues à l’ouverture de session : tant que vous ne vous êtes pas déconnecté puis reconnecté, Windows applique encore l’ancien réglage. Un redémarrage complet lève le doute.

Faut-il changer mes mots de passe après ça ?

Oui si la valeur est revenue au moins une fois, ou si elle était sous HKEY_LOCAL_MACHINE : dans les deux cas, un programme a tourné avec des droits étendus. On commence par la boîte mail, depuis un autre appareil, en activant la double authentification — la marche à suivre est détaillée ici.

À lire aussi : la fenêtre noire qui s’ouvre et se ferme toute seule · un PC lent, virus ou usure · savoir qui a utilisé l’ordinateur.