Sécurité Windows ne s’ouvre plus, ou la protection est désactivée : les 4 causes

↑ Ce conseil fait partie du guide : Ordinateur et appareils piratés

Sécurité Windows ne s’ouvre plus, que faire ?

Faites le seul test qui tranche : rallumez la protection en temps réel, puis regardez si elle tient dix minutes. Windows la rallume toujours de lui-même ; une protection qui reste éteinte est tenue éteinte par quelque chose. Trois suspects, par fréquence : un antivirus tiers encore enregistré, une stratégie posée dans le registre, l’application abîmée. Le journal Windows Defender désigne lequel.

1. Tapez sécurité dans le Menu Démarrer pour ouvrir Sécurité Windows
2. Protection contre les virus et les menaces → Gérer les paramètres, puis rallumez l’interrupteur
3. Revenez dix minutes plus tard : est-il resté sur Activé ?
4. Regardez qui protège vraiment : Qui me protège ? → Gérer les fournisseurs
5. Lisez l’événement 5007 du journal Windows Defender

Le test qui tranche : une protection éteinte doit se rallumer seule

Presque aucun tutoriel ne l’écrit. Sur un Windows sain, la protection en temps réel ne reste pas coupée : Microsoft l’indique dans son aide, « la protection en temps réel ne tarde pas à se réactiver automatiquement pour protéger votre appareil ». L’interrupteur n’est qu’une pause.

Deux scénarios opposés. Si elle tient, rien de grave : quelqu’un l’avait coupée pour installer un logiciel et a oublié de la remettre. Si elle se rééteint, ou si l’interrupteur est grisé, ce n’est pas un bug : c’est un réglage imposé par autre chose que vous.

Mesurez au lieu de supposer. Tapez powershell dans le Menu Démarrer, puis cette ligne, qui ne modifie rien :

Get-MpComputerStatus | select AMRunningMode, RealTimeProtectionEnabled, AntivirusEnabled, IsTamperProtected, AntivirusSignatureAge

La colonne AMRunningMode est la réponse. Microsoft précise qu’on doit y lire Normal, Passive ou EDR Block Mode quand la protection antivirus fonctionne ; toute autre valeur veut dire qu’elle ne tourne pas. Et AntivirusSignatureAge donne l’âge des mises à jour de signatures en jours : au-delà de deux ou trois, la protection existe sur le papier mais ne reconnaît plus rien de récent.

En mode actif, l’antivirus analyse le disque dur et corrige ; en mode passif, il analyse sans corriger ; désactivé, « les fichiers ne sont pas analysés ».

Dernier contrôle, visuel : ouvrez le Gestionnaire des tâches, onglet Détails, et cherchez MsMpEng.exe. Microsoft en fait sa propre méthode de vérification : ce processus présent, le moteur tourne, même si la fenêtre refuse de s’afficher.

Les quatre causes, et comment les distinguer

Quatre situations très différentes donnent le même écran inquiétant. Le tableau les sépare ; chacune a sa section plus bas.

La marche officielle de cybermalveillance.gouv.fr commence par « si vous avez un antivirus installé sur votre appareil, commencez par le lancer ». Elle suppose qu’il s’ouvre : ici, il ne s’ouvre pas.

La cause n° 1 : un antivirus tiers enregistré, parfois expiré

Sur Windows 10 et Windows 11, l’antivirus de Microsoft s’efface dès qu’un autre produit s’annonce. La documentation le formule ainsi : avec une solution tierce comme principale, l’antivirus intégré passe en « mode désactivé (se produit automatiquement) ». Ni panne ni piratage : c’est prévu, et ça explique la majorité des écrans « protection désactivée » que je vois passer.

Le chemin de clic qui le démontre : Sécurité Windows → Protection contre les virus et les menaces → Qui me protège ? → Gérer les fournisseurs. La page Fournisseurs de sécurité liste, sous Antivirus, qui tient le poste. Le nom d’une suite oubliée est votre réponse.

Le vrai danger est ailleurs : l’abonnement expiré. Beaucoup d’ordinateurs de magasin arrivent avec une suite préinstallée en version d’essai. Quand elle expire, Microsoft indique que l’antivirus intégré peut se réactiver automatiquement si le produit tiers « expire, est désinstallé ou cesse de fournir une protection en temps réel ». Le mot important est peut : une désinstallation faite à moitié laisse l’enregistrement en place. La suite ne protège plus, l’antivirus intégré croit qu’un collègue travaille, et la machine reste nue des mois.

• Mesurez d’abord. Date de la dernière analyse complète dans la suite tierce, et AntivirusSignatureAge côté Microsoft. Deux chiffres anciens = personne ne surveille.
• Désinstallez proprement. Paramètres → Applications → Applications installées, les trois points en face du programme, puis Désinstaller, et enchaînez avec l’outil de suppression de l’éditeur.
• Redémarrez, puis vérifiez. Gérer les fournisseurs doit afficher que l’antivirus Microsoft Defender est activé.
• N’en gardez qu’un actif. Microsoft écrit que deux protections actives provoquent des conflits, et que ce n’est pas pris en charge.

Si c’est un mail de renouvellement qui vous a alerté, méfiance : le même prétexte sert d’hameçon, et la différence se lit sur le relevé bancaire — c’est le sujet de la facture d’antivirus non commandée. Et la question « faut-il vraiment payer » est traitée dans antivirus payant ou Windows Defender.

« Page non disponible » : une stratégie a masqué la section

Deuxième écran : la section a disparu, ou Windows répond « Page non disponible. Votre administrateur informatique a limité l’accès à certaines zones de cette application. » Vous êtes seul sur un ordinateur de grande surface. Le message est pourtant exact.

Un réglage officiel fait exactement ça, sur les éditions Professionnel et Entreprise : Windows + R, gpedit.msc, puis Configuration ordinateur → Modèles d’administration → Composants Windows → Sécurité Windows → Protection contre les virus et les menaces, paramètre Masquer la zone de protection contre les virus et les menaces. Microsoft en décrit l’effet : la section « n’apparaît pas sur la page d’accueil de Sécurité Windows et son icône n’est pas affichée sur la barre de navigation sur le côté ». Le bouclier manquant à gauche est la signature du réglage, qui existe depuis Windows 10 version 1709.

Derrière, il n’y a qu’une valeur de registre, publiée dans la documentation de gestion de Microsoft : clé SOFTWARE\Policies\Microsoft\Windows Defender Security Center\Virus and threat protection, valeur UILockdown. À 1 la section est masquée ; à 0 ou absente, elle s’affiche. Deux lignes dans l’invite de commandes le disent sans rien modifier :

reg query "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender Security Center\Virus and threat protection"
gpresult /r

La première affiche UILockdown    REG_DWORD    0x1 si la valeur est là ; la seconde liste les stratégies appliquées, et sur un ordinateur de maison cette liste doit être vide. Un clic droit sur la clé puis Exporter garde une copie, et la valeur se retire comme celle de la fiche sur le Gestionnaire des tâches désactivé.

Sur une édition Windows Famille, gpedit.msc n’existe pas ; tapez winver pour le savoir. La valeur du registre est lue dans tous les cas — un utilitaire d’« optimisation » téléchargé un soir a pu l’écrire. Même mécanique que le bandeau « navigateur géré par votre organisation », à ne pas confondre avec une vraie perte des droits d’administrateur.

L’événement 5007 nomme le réglage qui a changé

Voilà le vrai outil de cette fiche, et il est déjà là : l’antivirus intégré tient son propre journal, qui garde des semaines d’historique. Chemin : Windows + R, eventvwr.msc, puis Journaux des applications et des services → Microsoft → Windows → Windows Defender → Opérationnel. Dans le volet Actions, Filtrer le journal actuel accepte une liste d’identifiants.

Le 5007 est celui qu’il faut lire en entier : il affiche une ligne Ancienne valeur et une ligne Nouvelle valeur, donc le réglage touché et dans quel sens. Microsoft ajoute une phrase à prendre au sérieux : « Si cet événement est inattendu, vous devez examiner les paramètres, car l’événement peut être le résultat d’un programme malveillant. » Un 5007 daté de la nuit, ou de dix minutes avant l’ouverture d’une pièce jointe, raconte une histoire complète.

À l’inverse, une rafale de 1150 toutes les heures prouve que le moteur tourne, et un 5013 veut dire que la défense a tenu ; en cas de doute sur un visiteur, l’autre journal utile est l’événement 4624 des ouvertures de session. Si une menace a bien été détectée mais semble revenir, c’est un autre problème, traité dans Windows Defender ne supprime pas la menace ; et si des fichiers ont disparu au passage, la fiche Defender a supprimé mes fichiers explique la corbeille de la quarantaine.

La protection contre les falsifications rend les vieux tutoriels inutiles

Depuis Windows 10 version 1903, toutes les éditions embarquent une protection contre les falsifications, active par défaut chez les particuliers. Son rôle : empêcher qu’on éteigne l’antivirus par la porte de service. Activée, elle verrouille la protection en temps réel, la surveillance du comportement et les mises à jour de signatures, et « les tentatives de modification des paramètres antivirus Microsoft Defender via le registre sont bloquées ».

Le détail qui piège tout le monde suit : avec la falsification active, une modification faite par un outil de gestion, stratégie de groupe comprise, « peut sembler avoir réussi » alors qu’elle est bloquée. Vous pouvez passer vingt minutes dans gpedit.msc, tout voir appliqué, et constater que rien n’a changé.

Même sort pour les tutoriels qui parlent de DisableAntiSpyware. Cette valeur visait les fabricants ; Microsoft écrit qu’elle n’est plus nécessaire « puisque l’antivirus Microsoft Defender s’éteint automatiquement quand il détecte un autre programme antivirus », et ajoute avoir supprimé ces clés de registre. La chercher aujourd’hui, c’est chercher ce qui n’existe plus.

Ça sert à trancher. Vérifiez l’état dans Protection contre les virus et les menaces → Gérer les paramètres → Protection contre les falsifications, ou avec IsTamperProtected dans la commande du début.

• Falsification activée et protection éteinte : cherchez du côté du fournisseur tiers ou de la stratégie, pas d’un programme qui aurait triché dans le registre — il n’aurait pas pu.
• Falsification sur Désactivé alors que vous n’y avez jamais touché : là, il faut regarder. C’est l’un des premiers gestes d’un logiciel espion installé sur l’ordinateur, et celui qu’on retrouve derrière les faux écrans d’installation décrits dans la fiche sur les fausses mises à jour.

Là, le réflexe utile n’est pas de bricoler l’antivirus mais de savoir ce qui a été lancé : un fichier téléchargé la veille se fait analyser gratuitement avant d’être ouvert, et une extension de navigateur malveillante fait autant de dégâts.

Réparer l’application quand c’est la fenêtre qui est abîmée

Troisième cas, le plus rassurant : le moteur tourne, la vitrine est cassée. Trois symptômes — la fenêtre qui se referme aussitôt, la page blanche, l’interface en anglais dans un Windows français. L’antivirus travaille toujours : ce sont MsMpEng.exe et le service qui comptent, pas l’affichage.

La réparation officielle passe par les Paramètres et ne touche à aucun de vos fichiers : Paramètres → Applications → Applications installées, cherchez Sécurité Windows, cliquez les trois points, Options avancées, puis Réparer. Si l’écran revient identique, le bouton Réinitialiser juste en dessous la remet à son état d’origine.

Ensuite, deux commandes dans un Terminal ouvert en administrateur — clic droit sur le Menu Démarrer, puis Terminal (administrateur) :

sfc /scannow
DISM /Online /Cleanup-Image /RestoreHealth

La première répare les fichiers système abîmés, la seconde l’image qui lui sert de référence. Comptez un quart d’heure et un redémarrage.

Côté services, services.msc en affiche trois qui comptent ici : le Service Antivirus Microsoft Defender (WinDefend), le Service de sécurité Windows (SecurityHealthService) et le Centre de sécurité (wscsvc). Microsoft est catégorique : ne pas les désactiver, les arrêter ni les modifier, car « la modification manuelle de ces services peut entraîner une instabilité grave sur vos appareils et rendre votre réseau vulnérable ». On vérifie seulement qu’ils démarrent.

Quand rien ne s’ouvre, même pas services.msc, le mode sans échec laisse travailler sans que les programmes du démarrage reprennent la main. Et l’analyse hors ligne de Microsoft Defender travaille un quart d’heure avant Windows : le seul passage où rien de malveillant ne tourne en face. Avant tout retour en arrière, lisez ce que la restauration du système après un virus ne remet pas en place.

Ce qui ne sert à rien

• Télécharger un « Defender Control » ou un « réparateur » d’antivirus. Ces utilitaires servent d’abord à éteindre l’antivirus, pas à le rallumer, et plusieurs sont eux-mêmes classés indésirables.
• Suivre un tutoriel qui parle de DisableAntiSpyware. La clé a été retirée par Microsoft, et la falsification bloquerait l’écriture de toute façon.
• Installer un second antivirus « pour compenser ». Deux protections actives se gênent et Microsoft ne prend pas cette configuration en charge. On en répare une, on n’en empile pas deux.
• Appeler le numéro affiché dans la fenêtre d’alerte. Microsoft n’affiche jamais de numéro de téléphone dans une alerte de sécurité : c’est la mécanique du faux support technique et des fausses alertes antivirus.
• Réinitialiser le PC en premier geste. Parfois la bonne décision, jamais la première : l’option Supprimer tout efface vos documents si la sauvegarde n’est pas faite. Le bon moment est détaillé dans la fiche sur la réinstallation de Windows.

Et si la machine est par ailleurs lente ou envahie de fenêtres, ce n’est pas forcément l’antivirus : voir un PC lent, virus ou usure et les publicités qui s’ouvrent seules.

Quand s’arrêter et appeler

Deux situations où je préfère un appel à dix manipulations : la protection qui se rééteint après chaque redémarrage malgré un fournisseur unique, et un 5007 que vous ne vous expliquez pas. Quelque chose tourne alors avec des droits étendus : la suite logique est de changer les mots de passe depuis un autre appareil — l’ordre exact est dans la fiche « mon ordinateur a été piraté », en commençant par la boîte mail. Un accès à distance resté ouvert mérite aussi le détour.

Le diagnostic est gratuit, 15 minutes au téléphone : vous me lisez le message exact, la valeur de AMRunningMode et la date du 5007, et je vous dis s’il y a du travail. Si oui, l’assistance à distance débute à 19 € la demi-heure, et le nettoyage d’une machine infectée à 39 €. Déroulé et tarifs affichés d’avance, ou décrivez votre situation par écrit.

Questions fréquentes

La protection s’est rallumée toute seule : faut-il quand même chercher ?

Non, si elle était restée sur Désactivé après une manipulation : Microsoft écrit qu’elle se réactive d’elle-même. Oui, si personne n’y a touché. L’événement 5007 du journal Windows Defender dit quel réglage a changé, et quand.

Mon antivirus payant est expiré : suis-je protégé ou pas ?

À vérifier, et c’est le piège le plus courant. Quand un antivirus tiers expire ou est désinstallé, Microsoft indique que Defender peut se réactiver automatiquement. Il faut le constater : Gérer les fournisseurs doit afficher que l’antivirus Microsoft Defender est activé, et l’âge des signatures doit être de zéro ou un jour.

Faut-il désactiver la protection contre les falsifications pour réparer ?

Non, et surtout pas en premier geste. Elle est active par défaut chez les particuliers depuis Windows 10 version 1903, et c’est elle qui empêche un programme de couper l’antivirus par le registre. Réparer l’application et relancer les services ne demandent pas d’y toucher.

Le tutoriel parle de DisableAntiSpyware, mais la valeur n’existe pas

C’est normal : Microsoft a retiré cette clé, destinée aux fabricants, et indique qu’elle n’est plus nécessaire puisque Defender s’éteint seul quand il détecte un autre antivirus. Les tutoriels qui s’appuient dessus sont périmés.

La fenêtre Sécurité Windows s’affiche en anglais, ou reste blanche

C’est un problème d’application, pas de protection : l’antivirus tourne derrière une fenêtre abîmée. Réparez puis réinitialisez Sécurité Windows depuis Paramètres → Applications → Applications installées, et vérifiez l’état réel avec Get-MpComputerStatus.

Après la réparation, faut-il changer ses mots de passe ?

Oui si une stratégie avait masqué la section, ou si la protection se rééteignait seule : un programme a tourné avec des droits étendus. On change depuis un autre appareil sain, en commençant par la boîte mail, et on active la double authentification.

À lire aussi : la fenêtre noire qui s’ouvre et se ferme toute seule · faut-il installer les mises à jour.