Windows 11 sous le capot : démarrage, noyau, services, registre et droits

Ce guide explique ce qui se passe réellement dans Windows 11, du bouton marche au bureau. Le comprendre permet de diagnostiquer plus vite, d'optimiser sans casser et de lire correctement ce qu'affichent les outils système.

1. Les couches de Windows

Le processeur fonctionne selon deux niveaux de privilège :

C'est pour cela qu'un pilote défectueux provoque un écran bleu alors qu'une application qui plante se contente de se fermer : le pilote vit dans l'espace du noyau, sans cloison.

Quand la sécurité basée sur la virtualisation (VBS) est active, ce qui est le cas par défaut sur la plupart des PC récents, un hyperviseur s'insère sous le noyau. Il crée une zone isolée, inaccessible même au noyau, qui héberge notamment la vérification d'intégrité du code (« Intégrité de la mémoire ») et la protection des identifiants (Credential Guard). Le guide sécurité de cette série y reviendra en détail.

2. Le démarrage, étape par étape

1. Firmware UEFI. Le PC teste son matériel puis cherche une entrée de démarrage dans la partition système EFI (une petite partition FAT32 cachée).
2. Secure Boot. Le firmware vérifie que le chargeur de démarrage est signé par une autorité de confiance inscrite dans sa base de certificats. Un chargeur modifié par un logiciel malveillant (bootkit) est refusé.
3. Windows Boot Manager (bootmgfw.efi) lit la base de configuration de démarrage (BCD) : quel système lancer, avec quelles options.
4. winload.efi charge le noyau, la couche HAL, la ruche SYSTEM du registre et les pilotes marqués « démarrage ».
5. Le noyau initialise la mémoire, les processeurs et les pilotes, puis lance le premier processus en mode utilisateur.
6. smss.exe (gestionnaire de sessions) crée le fichier d'échange, les variables d'environnement et les sessions.
7. wininit.exe démarre services.exe (qui lance les services) et lsass.exe (qui gère l'authentification).
8. winlogon.exe affiche l'écran de connexion. Une fois l'utilisateur authentifié, la session se charge et explorer.exe affiche le bureau.

Le démarrage mesuré. En parallèle, chaque composant chargé est « mesuré » (une empreinte est calculée) et enregistrée dans la puce TPM. Secure Boot bloque ce qui n'est pas signé ; le TPM garde la trace de ce qui a été chargé. BitLocker s'appuie sur ces mesures : si la chaîne de démarrage change, le TPM refuse de libérer la clé et Windows demande la clé de récupération. C'est pour cela qu'une mise à jour du BIOS ou un changement de réglage du firmware peut déclencher cette demande.

Observer sa chaîne de démarrage :

Étape 1. Lancez msinfo32 : les lignes « Mode BIOS » (doit indiquer UEFI) et « État du démarrage sécurisé » (Activé) résument la situation.

Étape 2. Dans un PowerShell en administrateur :

Confirm-SecureBootUEFI          # True si Secure Boot est actif
Get-Tpm                         # présence et état de la puce TPM
bcdedit /enum                   # contenu de la configuration de démarrage

[Text.Encoding]::ASCII.GetString(
  (Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

Le piège du démarrage rapide. Par défaut, « Arrêter » ne ferme pas vraiment Windows : la session utilisateur est fermée, mais le noyau et les pilotes sont mis en hibernation dans hiberfil.sys, pour accélérer le démarrage suivant. Conséquence : un problème de pilote survit à un arrêt, mais pas à un redémarrage, qui recharge tout. Pour un vrai arrêt complet :

shutdown /s /t 0

Le démarrage rapide se désactive dans Panneau de configuration › Options d'alimentation › Choisir l'action des boutons d'alimentation. Désactivez-le sur un PC en double démarrage avec Linux, car il laisse le disque Windows verrouillé.

3. Les processus système à connaître

Le Gestionnaire des tâches (onglet Détails) affiche des dizaines de processus. Ceux-ci sont normaux et indispensables :

4. Les services

Un service est un programme qui tourne en arrière-plan, sans fenêtre, souvent avant même la connexion d'un utilisateur : Windows Update, l'impression, le réseau, l'audio, les sauvegardes.

Les types de démarrage (visibles dans services.msc) :

Pourquoi tant de svchost.exe ? Beaucoup de services sont des bibliothèques (DLL) qui ont besoin d'un processus hôte. Sur un PC disposant de suffisamment de mémoire, Windows donne à chaque service son propre svchost.exe : un service qui plante n'emporte pas les autres, et la consommation de chacun devient visible.

Observer les services :

# Services en cours d'exécution
Get-Service | Where-Object Status -eq Running

# Détail d'un service (ici Windows Update)
Get-CimInstance Win32_Service -Filter "Name='wuauserv'" |
  Select-Object Name, StartMode, State, ProcessId

# Quel service tourne dans quel svchost
tasklist /svc /fi "imagename eq svchost.exe"

Les tâches planifiées (taskschd.msc) sont l'autre grand moteur des activités en arrière-plan : maintenance automatique, défragmentation et optimisation des SSD, télémétrie, mises à jour des logiciels tiers. Beaucoup de logiciels y installent leur propre programme de mise à jour.

5. Le registre

Le registre est la base de données de configuration de Windows : réglages du système, des pilotes, des services, des applications et de chaque utilisateur. L'éditeur regedit en présente une vue unifiée, mais les données sont stockées dans des fichiers appelés ruches.

• HKLM (HKEY_LOCAL_MACHINE) concerne toute la machine et demande des droits administrateur pour être modifié.
• HKCU (HKEY_CURRENT_USER) concerne uniquement l'utilisateur connecté.
• Les stratégies de groupe (GPO locales ou d'Active Directory) écrivent leurs réglages dans des clés Policies du registre : modifier ces clés à la main revient à appliquer une stratégie.

Sauvegarder avant de modifier :

reg export "HKCU\Software\MonLogiciel" "$env:USERPROFILE\Desktop\sauvegarde.reg"

Un double-clic sur le fichier .reg restaure la clé. Pour une modification importante, créez aussi un point de restauration.

6. Les pilotes

Un pilote est le traducteur entre Windows et un périphérique. La plupart tournent en mode noyau, d'où leur importance pour la stabilité.

• Sur Windows 64 bits, un pilote en mode noyau doit être signé par Microsoft pour être chargé.
• Windows conserve chaque pilote installé dans un magasin : C:\Windows\System32\DriverStore\FileRepository. C'est ce qui permet de revenir à une version précédente dans le Gestionnaire de périphériques (devmgmt.msc, onglet Pilote › Revenir à la version précédente).
• Windows tient une liste de blocage des pilotes vulnérables, connus pour être détournés par des attaquants.

pnputil /enum-drivers                  # pilotes tiers présents dans le magasin
driverquery /v /fo table | more        # pilotes chargés

En règle générale, gardez les pilotes de Windows Update pour le quotidien, et prenez sur le site du fabricant ceux des composants critiques : carte graphique, chipset, réseau, ainsi que le BIOS.

7. Comptes, droits et UAC

Chaque compte a une identité unique : le SID. Les noms peuvent changer, le SID reste. Les permissions des fichiers et du registre référencent des SID, pas des noms.

whoami /user        # votre SID
whoami /groups      # vos groupes et votre niveau d'intégrité
whoami /priv        # vos privilèges

Les SID se terminant par -500 désignent le compte Administrateur intégré (désactivé par défaut) et ceux en -501 le compte Invité.

Le contrôle de compte d'utilisateur (UAC). Quand un administrateur se connecte, Windows lui crée deux jetons :

• un jeton filtré, aux droits d'un utilisateur standard, utilisé pour tout ce qu'il lance ;
• un jeton complet, utilisé seulement après la fenêtre de confirmation UAC (« Voulez-vous autoriser cette application… »).

Chaque processus porte aussi un niveau d'intégrité : bas (navigateur en bac à sable), moyen (applications normales), élevé (programme lancé en administrateur), système (services). Un processus ne peut pas modifier un processus de niveau supérieur.

8. Le système de fichiers et l'arborescence

NTFS, le système de fichiers de Windows, apporte notamment :

• des permissions (ACL) sur chaque fichier et dossier (onglet Sécurité des propriétés, ou icacls) ;
• un journal qui permet de retrouver un état cohérent après une coupure de courant ;
• des flux de données alternatifs : c'est là que Windows inscrit la « marque du web » (Zone.Identifier) sur les fichiers téléchargés, qui déclenche les avertissements de sécurité à l'ouverture.

Get-Item .\fichier.exe -Stream *                  # flux d'un fichier
Get-Content .\fichier.exe -Stream Zone.Identifier # d'où il vient

Le Dev Drive, basé sur le système de fichiers ReFS, est un volume optimisé pour le code et les compilations.

Les dossiers à connaître :

Dism /Online /Cleanup-Image /AnalyzeComponentStore
Dism /Online /Cleanup-Image /StartComponentCleanup

La fiche Libérer de l'espace disque sous Windows détaille les autres nettoyages sûrs.

9. Le rythme des mises à jour

Depuis plusieurs versions, Windows 11 reçoit ses nouvelles fonctions au fil des mises à jour mensuelles, désactivées. La version annuelle (26H2, sortie le 29 septembre 2026) est alors un simple paquet d'activation : un petit fichier qui allume les fonctions déjà présentes et remet le compteur de support à zéro. La mise à jour est rapide, sans réinstallation complète. Chaque version est supportée 24 mois pour les éditions grand public et 36 mois pour les éditions Entreprise et Éducation.

winver                     # version et build
Get-HotFix | Sort-Object InstalledOn -Descending |
  Select-Object -First 5   # dernières mises à jour

Windows 10 n'est plus pris en charge depuis octobre 2025, et le programme de mises à jour de sécurité étendues pour les particuliers a pris fin en octobre 2026. Un PC sous Windows 10 encore connecté à internet doit être migré vers Windows 11 ou vers un autre système.

10. Les outils pour observer Windows

Les outils Sysinternals sont gratuits, édités par Microsoft, et s'installent avec winget install Microsoft.Sysinternals.Suite. Autoruns est le meilleur point de départ pour comprendre ce qui ralentit un démarrage ou repérer un programme indésirable.

Les autres guides de cette série s'appuient sur ces bases : optimisation, sécurité, maintenance et réparation, puis la boîte à outils avancée. En attendant, la fiche Réinitialiser Windows 11 reste la solution de dernier recours quand le système est trop abîmé.