Politique de verrouillage de compte Windows et 3 méthodes de récupération Guide complet
Cinq mots de passe erronés et le compte se ferme brusquement : c'est la politique de verrouillage du compte qui fait son travail. Le problème commence lorsque le compte verrouillé est le seul administrateur du PC. Ce guide explique correctement la politique, puis présente les 3 méthodes de récupération que tout administrateur informatique devrait connaître.
🎥 Regardez la vidéo complète — Politique de verrouillage de compte Windows et les 3 méthodes de récupération, démontrées étape par étape
La politique de verrouillage de compte est l’une des politiques de sécurité les plus courantes sous Windows. C’est aussi l’un des plus incompris. Lorsqu’il est bien configuré, il arrête silencieusement les attaques par devinette de mot de passe. Lorsqu'il est mal configuré – ou lorsque personne n'a prévu le jour où l'administrateur est également verrouillé – une erreur de mot de passe de deux minutes se transforme en un arrêt de travail complet. Vous trouverez ci-dessous ce que font réellement les trois valeurs de stratégie, où les définir et les 3 méthodes de récupération de la vidéo : déverrouillage via un autre compte administrateur, récupération hors ligne WinPE et itinéraires de dernier recours pour les contrôleurs de domaine. Chaque méthode ici concerne les machines que vous possédez ou que vous êtes autorisé à administrer.
Windows sign-in screen — the message every locked user sees
Sign-in
Le compte référencé est actuellement verrouillé et il est impossible de se connecter.
👆 Cette formulation exacte signifie verrouillage – pas un mauvais mot de passe ni un compte désactivé (écran de connexion recréé avec le vrai message Windows)
1
Ce que fait réellement la politique de verrouillage de compte
La politique comporte exactement trois parties fonctionnelles. Tous les trois se trouvent sous Politiques de compte → Politique de verrouillage de compte — dans secpol.msc sur un seul PC, ou dans la Politique de domaine par défaut pour un domaine entier :
Seuil de verrouillage du compte : combien de mots de passe erronés sont autorisés avant le verrouillage du compte. Réglez-le sur 5 et la 5ème tentative erronée verrouille le compte. Réglez-le sur 0 et le verrouillage est complètement désactivé : il s'agit de la valeur par défaut de Windows lors d'une nouvelle installation.
Durée de verrouillage du compte : combien de minutes le compte reste verrouillé. Passé ce délai, il se déverrouille tout seul. Définissez 0 ici et le verrou n’expire jamais – seul un administrateur peut le déverrouiller.
Réinitialiser le compteur de verrouillage de compte après : durée pendant laquelle Windows se souvient des tentatives infructueuses. Si le seuil est de 5 et cette fenêtre est de 30 minutes, l'attaquant (ou l'utilisateur oublieux) doit commettre les 5 erreurs en 30 minutes pour déclencher le verrouillage. Cette valeur ne peut jamais être supérieure à la durée.
Un détail important : sur un domaine, chaque contrôleur de domaine compte séparément les mauvais mots de passe pour un compte, et le verrouillage est enregistré sur le contrôleur de domaine qui a traité les échecs. C'est pourquoi un DC peut afficher un compte comme verrouillé tandis qu'un autre n'affiche que quelques mauvaises tentatives – et pourquoi l'émulateur PDC est toujours le premier endroit à vérifier.
2
Méthode 1 - Déverrouiller via un autre compte administrateur
La récupération la plus rapide et la plus propre est celle par laquelle commence la vidéo : connectez-vous avec n'importe quel autre compte administrateur et désactivez simplement le verrouillage. Cela fonctionne également à distance : un ingénieur d'assistance informatique peut le faire lors d'une session d'assistance sans se rendre au bureau.
PC autonome : connectez-vous avec un deuxième compte administrateur, ouvrez lusrmgr.msc, double-cliquez sur l'utilisateur verrouillé et décochez Le compte est verrouillé. Sous Windows Home (pas de lusrmgr), utilisez une fenêtre d'administration PowerShell : Unlock-LocalUser -Name "Ravi"
PC de domaine : ouvrez Utilisateurs et ordinateurs Active Directory, recherchez l'utilisateur, ouvrez Propriétés → onglet Compte et cochez Déverrouiller le compte. Ou une ligne de PowerShell : Unlock-ADAccount -Identity ravi.kumar
Pas de deuxième administrateur à portée de main, mais la durée est définie ? Attendre est une solution légitime. Si la durée est de 30 minutes, le compte se libère en 30 minutes : personne ne doit toucher à quoi que ce soit.
Le piège contre lequel la vidéo met en garde : cette méthode disparaît lorsque le seul compte administrateur est celui verrouillé - et un utilisateur sur un écran de connexion peut également verrouiller absolument l'administrateur, simplement en tapant suffisamment de fois le mauvais mot de passe sur le compte administrateur. C'est exactement à ce moment-là que vous passez à la méthode 2.
3
Avant la méthode 2 - Le BIOS et les vérifications de démarrage qui le font ou le défont
La récupération hors ligne signifie démarrer le PC à partir de quelque chose autre que son propre Windows — de sorte que la configuration BIOS/UEFI fait partie du travail :
Ouvrez le menu de démarrage unique (généralement F12, F9 ou Esc selon la marque) et sélectionnez votre clé USB WinPE. Si la clé n'apparaît jamais, le mode de démarrage est le suspect habituel : une clé conçue pour UEFI ne s'affichera pas en mode Legacy/CSM et inversement.
Si le support de récupération refuse de démarrer en raison du démarrage sécurisé, notez le paramètre, modifiez uniquement ce dont vous avez besoin, puis remettez-le en place. Sur les machines de bureau, vérifiez votre politique de modification avant d'y toucher.
Pendant la configuration, jetez un œil à l'horloge système. Une batterie CMOS à plat et une horloge extrêmement erronée interrompront ultérieurement les connexions au domaine en raison d'erreurs de temps Kerberos - une cause classique d'échecs de connexion mystérieux au niveau du BIOS.
4
Méthode 2 - Récupération hors ligne WinPE lorsqu'aucun administrateur ne peut se connecter
Lorsque chaque compte administrateur est verrouillé et qu'attendre n'est pas une option, démarrez le PC dans un environnement de récupération WinPE à partir d'un port USB et réparez le compte hors ligne, exactement comme démontré dans la vidéo. Étant donné que Windows lui-même ne fonctionne pas, son verrouillage ne peut pas vous arrêter.
Démarrez à partir de WinPE USB (menu de démarrage, comme indiqué ci-dessus) sur la machine que vous possédez ou administrez.
L'outil de Microsoft pour ce travail est l'assistant Serrurier de la boîte à outils de récupération DaRT : il existe précisément pour déverrouiller et réinitialiser les comptes locaux sur un PC qui ne laissera personne entrer. Les outils d'édition SAM hors ligne font le même travail en effaçant l'indicateur de verrouillage du compte directement dans la base de données des comptes locaux.
Supprimez le verrou (ou définissez un nouveau mot de passe sur l'administrateur local), retirez la clé USB et démarrez Windows normalement. Connectez-vous, définissez immédiatement un mot de passe approprié et revérifiez la politique.
Deux limites honnêtes. Premièrement, si le disque est protégé par BitLocker, vous aurez besoin de la clé de récupération avant même qu'un outil hors ligne puisse lire le lecteur. Sans elle, cette méthode ne fonctionne tout simplement pas, de par sa conception. Deuxièmement, cela répare uniquement les comptes locaux. Le verrou d'un compte de domaine réside sur les contrôleurs de domaine, pas sur ce PC, donc les outils hors ligne ne peuvent pas y toucher - les verrous de domaine sont effacés dans la méthode 1 ou la méthode 3.
5
Méthode 3 — Lorsque le verrou est sur un contrôleur de domaine
La pire version de ce problème se produit sur un serveur : les comptes d'administrateur sont verrouillés sur l'ensemble du domaine et personne ne peut se connecter pour résoudre le problème. Les itinéraires restants sont plus lents mais réels :
Tout autre administrateur de domaine : cela semble évident, mais les bureaux oublient le deuxième compte administrateur jusqu'au jour où ils en ont besoin. Un administrateur de domaine en activité peut débloquer tous les autres depuis ADUC ou PowerShell.
Attendez la durée : les verrouillages de domaine expirent également d'eux-mêmes lorsqu'une durée est définie. Mieux vaut une heure inopportune qu’un piratage risqué d’un contrôleur de production.
Mode de restauration des services d'annuaire (DSRM) : redémarrez le contrôleur de domaine et choisissez DSRM dans les options de démarrage (F8 / Paramètres de démarrage). Vous vous connectez avec le mot de passe administrateur DSRM qui a été défini lors de la promotion du contrôleur de domaine. DSRM vous donne le contrôle local du serveur pendant qu'Active Directory est hors ligne, afin que vous puissiez réparer la situation et redémarrer normalement. Si personne dans l'organisation ne connaît le mot de passe DSRM, c'est un problème qui mérite d'être corrigé aujourd'hui, avant que vous en ayez besoin.
Remarquez ce qui ne figure pas dans cette liste : il n'existe aucun moyen pris en charge pour "réinitialiser" le verrouillage d'un compte de domaine depuis le poste de travail. Quiconque vous en vend un vous vend un problème.
6
Définissez la politique pour que cela ne devienne plus jamais une urgence ⭐
La récupération est la première étape. La deuxième étape consiste à ajuster la politique afin que les erreurs honnêtes restent minimes et que les véritables attaques restent bloquées :
Choisissez un seuil raisonnable : 5 à 10 tentatives erronées. Un seuil de 2 ou 3 verrouille généralement les utilisateurs légitimes avec une clé persistante Caps Lock.
Donnez-lui une durée réelle : 15 à 30 minutes. Évitez la durée 0 à moins qu'une équipe d'administrateurs à temps plein déverrouille réellement les comptes toute la journée.
Réglez le compteur de réinitialisation égal à la durée : simple, prévisible et identique à la plupart des références.
Conservez deux comptes d'administrateur sur chaque machine importante et notez le mot de passe DSRM dans le coffre-fort de mots de passe de l'entreprise.
Activez l'audit de verrouillage (événements 4740 et 4625) pour que le prochain verrouillage arrive avec sa propre explication en pièce jointe.
Chacun de ces suivis a sa propre page détaillée sur ce site – recherchez ce qui continue de verrouiller un compte, choisissez les numéros de police ou configurez l'audit – de sorte que le prochain appel « Monsieur, ordinateur portable verrouillé ho gaya » prend deux minutes, pas deux heures.
🔴 Uniquement sur les machines que vous possédez ou administrez : chaque méthode de récupération présentée dans ce guide est destinée aux administrateurs informatiques et aux propriétaires qui récupèrent leurs propres systèmes. N'utilisez jamais d'outils de récupération hors ligne sur un ordinateur que vous ne possédez pas ou dont vous n'avez pas l'autorisation écrite de le réparer.
🎥 Voir les méthodes de récupération de verrouillage dans la vidéo
La présentation complète de la politique de verrouillage et les 3 méthodes de récupération, présentées en direct sur un véritable système Windows : voici la vidéo sur laquelle ce guide est basé.
Un compte Windows verrouillé se déverrouille-t-il tout seul ?
Oui — si la durée de verrouillage est définie sur une valeur supérieure à 0, le compte se déverrouille automatiquement une fois ce délai écoulé. La durée 0 est l'exception : le compte reste alors verrouillé jusqu'à ce qu'un administrateur le déverrouille manuellement.
Mon compte est verrouillé et je suis le seul administrateur. Qu’est-ce qui fonctionne réellement ?
L'attente fonctionne si une durée est définie. Sinon, les véritables itinéraires sont la récupération hors ligne : démarrez le PC à partir d'une clé USB WinPE et supprimez le verrouillage du compte local (DaRT Locksmith de Microsoft est l'outil officiel pour cela) ou, pour les problèmes d'administration de domaine, le mode de restauration des services d'annuaire sur un contrôleur de domaine. Les deux sont abordés étape par étape dans le guide principal ci-dessus et dans la vidéo.
Le compte administrateur intégré est-il protégé contre le verrouillage ?
Pas automatiquement. Il existe une option de sécurité spécifique – Autoriser le verrouillage du compte administrateur – qui décide si l'administrateur intégré peut être verrouillé, et depuis les mises à jour Windows d'octobre 2022, les nouveaux systèmes peuvent verrouiller l'administrateur intégré par défaut après de mauvais mots de passe répétés. C'est exactement le piège de la vidéo : le compte verrouillé peut être l'administrateur lui-même.
Ce guide est basé sur la vidéo Technical Anshu sur la politique de verrouillage de compte Windows. • Vous êtes bloqué sur une étape ? Demandez dans les commentaires de la vidéo – vous obtiendrez une réponse 🙏