Chaque PC Windows 10 encore en service doit avoir, cette semaine, l'une de ces trois choses : une licence ESU payante, un plan d'isolation documenté ou une date de remplacement signée par un responsable. Le support a pris fin le 14 octobre 2025, et une machine qui ne remplit aucune des trois conditions est un poste non patché avec un utilisateur dessus.
Les pages de Microsoft décrivent la première année de deux façons. La couverture commence à la date de fin de support, tandis que l'année d'achat est présentée comme démarrant en novembre 2025. Fiez-vous à votre propre registre de licences plutôt qu'à une supposition.
Établir ce que l'ESU couvre réellement
L'ESU est un abonnement annuel payant qui fournit les mises à jour de sécurité classées critiques et importantes. Il n'inclut ni nouvelles fonctionnalités, ni mises à jour hors sécurité demandées par les clients, ni demandes de modification de conception. Le support technique se limite à l'activation de la licence, à l'installation et aux régressions de l'ESU lui-même, et il nécessite un plan de support actif.
Un appareil n'est éligible que s'il fonctionne sous Windows 10 version 22H2. La page de cycle de vie de Microsoft indique que la 21H2 s'est terminée en juin 2023 et la 21H1 en décembre 2022 : un PC sous l'une de ces versions doit donc d'abord recevoir une mise à jour de fonctionnalités. Les versions LTSC suivent leurs propres cycles de vie au-delà d'octobre 2025, écartez-les donc de cet exercice.
Vérifier l'éligibilité et les clés
Extrayez de votre outil d'inventaire la version de fonctionnalités Windows 10 de chaque machine hors LTSC, et marquez comme inéligible tout ce qui est inférieur à 22H2 tant que la mise à jour n'a pas été faite. Vérifiez ensuite les clés. Les clés d'activation multiple ESU du centre d'administration Microsoft 365 n'étaient pas utilisables avant la date de fin de support : une clé qui s'y trouve ne prouve donc pas que vous êtes couvert.
Confirmez l'activation sur chaque appareil et consignez le résultat. La présentation du programme ESU par Microsoft ne donne aucune procédure d'activation. Elle renvoie vers une autre page, « Enable Extended Security Updates (ESU) » : suivez celle-ci pour les environnements professionnels.
Faire le calcul
La première année coûte 61 $ par appareil via les licences en volume. Le prix double chaque année, pour un maximum de trois ans, si bien que le coût total s'élève à 61 $ + 122 $ + 244 $ = 427 $ par appareil. Il est impossible d'acheter des années partielles, et les ESU sont cumulatives.
Cette règle de cumul détermine le calendrier. Un appareil enrôlé pour la première fois en deuxième année coûte 183 $, car la première année doit aussi être payée. Comparez le montant correspondant à votre année avec un devis de remplacement, augmenté du temps nécessaire pour imager la machine et migrer l'utilisateur.
La couverture a aussi une limite stricte. Les PC professionnels enrôlés reçoivent des mises à jour pendant trois ans maximum après la fin du support : chaque date « Remplacer avant le » doit donc tomber avant la fin de la dernière année ESU payée.
Les machines virtuelles Windows 10 dans Windows 365, Azure Virtual Desktop et les machines virtuelles Azure bénéficient de l'ESU sans coût supplémentaire. Vérifiez si certains postes retardataires peuvent y migrer.
Isoler ce que l'ESU ne couvrira pas
Pour tout PC sans ESU, appuyez-vous sur les recommandations du NCSC sur les produits obsolètes. Sa position est sans détour : rien dans ce document ne rend l'utilisation continue sans risque, et la seule solution pleinement efficace est de cesser d'utiliser le produit.
Commencez par couper les voies par lesquelles du contenu non fiable atteint la machine : messagerie, navigation web, partages de fichiers, ports réseau et supports amovibles. Appliquez ces mesures par des moyens techniques, car des contrôles qui ne sont pas appliqués techniquement ne fonctionnent pas. Si le PC doit accéder à un navigateur ou à des applications bureautiques, transformez-le en thin client d'un bureau distant exécutant des logiciels à jour, avec le partage du presse-papiers et le transfert de fichiers désactivés.
Prenons le cas d'un PC de contrôleur CNC resté sous Windows 10 parce que le pilote du fabricant n'a jamais été porté sous Windows 11. Je lui donnerais sa propre zone, n'autoriserais le trafic que vers le serveur de fichiers contenant les programmes de la machine, bloquerais purement et simplement internet et la messagerie, désactiverais les ports USB et ferais passer les fichiers par une passerelle d'analyse.
Traitez chacun de ces PC comme non géré et non fiable, un peu comme un appareil BYOD. Définissez les flux de trafic entre les zones, et ne partez pas du principe que le pare-feu logiciel d'un appareil compromis fonctionne encore. Dans la mesure du possible, placez les clients Windows obsolètes dans une forêt Active Directory distincte de celle du service de bureau distant.
Une réinstallation peut éliminer un malware résident pour un temps, mais la vulnérabilité qu'il exploitait demeure. Ne la comptez pas comme un correctif.
Détection et personnes autour des machines
Les antivirus et la détection d'intrusion repèrent encore une partie du code malveillant, mais leurs signatures ne sont peut-être pas adaptées aux attaques visant des systèmes obsolètes. Ne vous reposez pas dessus.
Journaliser sans alerter apporte peu, car de nombreuses organisations enregistrent des événements de sécurité sans jamais y donner suite. Assurez-vous que quelqu'un est alerté lorsqu'une machine ancienne se comporte de façon inhabituelle, et convenez à l'avance de qui l'isole et de quelle manière. Notre service de réponse aux incidents peut vous aider à vous y entraîner, et la supervision managée peut prendre en charge l'alerte elle-même.
Vérifiez aussi les tiers. Les fournisseurs qui connectent leurs propres appareils utilisent peut-être eux aussi un Windows non supporté : posez la question avant un incident et placez leurs connexions dans une zone séparée.
Établir la liste de remplacement datée
Les recommandations du NCSC sur la gestion des vulnérabilités qualifient la décision de ne pas mettre à jour de décision de risque de niveau dirigeant. Inscrivez chacune d'elles dans votre registre des risques, avec son délai et son budget, afin que le responsable soit identifiable. Lorsqu'une nouvelle vulnérabilité touche une machine que vous ne pouvez pas patcher, faites-en d'abord le tri ; notre calculateur CVSS facilite la notation. Construisez ensuite un tableau comme celui-ci, avec une ligne par machine :
| Actif | Responsable | Pourquoi encore sous Windows 10 | Statut ESU | Mesures appliquées | Remplacer avant le | Risque accepté par |
|---|---|---|---|---|---|---|
| (nom d'hôte) | (nom) | (application, pilote, budget) | (oui / non) | (zone, pas de web, pas de messagerie) | (date, avant la fin de l'ESU) | (nom) |
Chaque ligne exige une vraie date et un approbateur nommé. Réexaminez la liste régulièrement, car de nouvelles menaces et vulnérabilités peuvent changer la réponse.
Par où commencer
- Exportez votre inventaire Windows 10, écartez les appareils LTSC et marquez tout ce qui est inférieur à la version 22H2.
- Vérifiez dans vos registres de licences la présence de clés ESU, confirmez que chaque appareil est activé, et comparez 427 $ (ou 183 $ si vous vous enrôlez en deuxième année) par appareil avec votre devis de remplacement.
- Déplacez ce que vous pouvez vers Windows 365 ou des machines virtuelles Windows 10 hébergées sur Azure, où l'ESU n'entraîne aucun frais supplémentaire.
- Pour le reste, bloquez la messagerie, la navigation web, les partages de fichiers, les supports amovibles et les ports inutiles, et placez ces machines dans une zone séparée.
- Activez l'alerte pour cette zone, pas seulement la journalisation, et consignez par écrit qui contient un incident et comment.
- Remplissez le tableau de remplacement avec des responsables et des dates comprises dans la période ESU payée, et faites signer l'acceptation du risque par une personne de niveau dirigeant.
