Secure Boot et TPM 2.0 pour l'anti-triche (VALORANT, FACEIT) : vérifier et activer

VALORANT s'arrête sur VAN 9001 ou VAN 9003, Battlefield 6 affiche une erreur Secure Boot, Call of Duty signale un Failed Attestation Status, ou FACEIT affiche une erreur. Tous veulent le TPM 2.0 et Secure Boot activés dans le firmware du PC. Microsoft note que la plupart des cartes mères vendues au détail pour les PC montés soi-même sont livrées avec le TPM désactivé "even though it is almost always available to be enabled" (alors qu'il est quasiment toujours possible de l'activer), donc vérifie avant d'acheter quoi que ce soit. Les pièges en chemin sont BitLocker et un disque système en MBR. Si FACEIT signale plutôt des mises à jour de sécurité Windows manquantes ou un pilote PawnIO interdit, ce n'est pas un réglage du firmware ; les deux cas sont traités plus bas.

Ce que vérifie l'anti-triche

Selon Microsoft, Secure Boot aide à empêcher les logiciels malveillants de se charger au démarrage d'un PC Windows, en ne laissant s'exécuter pendant le démarrage que des logiciels de confiance, signés numériquement. Sa cible, ce sont les rootkits : Microsoft explique qu'ils démarrent avant le système d'exploitation, ce qui leur permet de se cacher complètement.

Le TPM transforme ça en preuve. FACEIT explique que le TPM effectue un "Measured Boot" (démarrage mesuré), en enregistrant une empreinte de chaque composant de la chaîne de démarrage, et qu'il peut remettre à l'anti-triche un rapport signé, appelé attestation, montrant que le démarrage était propre. FACEIT affirme aussi que le TPM et Secure Boot n'ont pas d'impact sur les performances.

Qui demande quoi, en octobre 2026

Windows 11 ne demande qu'un PC "Secure Boot capable" (compatible Secure Boot), pas que Secure Boot soit activé.

Vérifie ce que tu as

Informations système. Appuie sur Windows + R, tape msinfo32, appuie sur Entrée et lis Mode BIOS et État du démarrage sécurisé. Le guide de Riot les lit ainsi :

Gestion du module de plateforme sécurisée. Lance tpm.msc : tu veux voir Le module de plateforme sécurisée (TPM) est prêt à être utilisé, et une Version de la spécification 2.0 sous Informations du fabricant du du module de plateforme sécurisée. Microsoft interprète Module de plateforme sécurisée compatible introuvable comme le signe d'un TPM peut-être désactivé.

Sécurité Windows. Sous Sécurité des appareils > Détails du processeur de sécurité, FACEIT veut qu'Attestation et Stockage indiquent tous les deux Prêt. L'absence de toute entrée Processeur de sécurité, d'après Microsoft, signifie probablement qu'il n'y a pas de TPM ou qu'il est désactivé dans le firmware.

Sur un PC en Legacy, la Gestion des disques affiche le Type de partition du disque Windows : dans le volet du bas, fais un clic droit sur le numéro de ce disque, par exemple Disque 0, puis Propriétés > Volumes.

w0a lit les six prérequis et montre où se trouve chaque interrupteur ; FPS bas et saccades dans CS2 détaille la liste.

Avant de changer quoi que ce soit : BitLocker

BitLocker protège le disque contre le vol ou l'exposition de données sur des appareils perdus, volés ou mal mis hors service, selon Microsoft, et des changements dans la façon dont le PC démarre peuvent lui faire demander sa clé de récupération à 48 chiffres. Parmi les déclencheurs cités par Microsoft figurent l'effacement du TPM, les changements du gestionnaire de démarrage et de la table de partitions, et une mise à jour du firmware BIOS ou UEFI ; plusieurs étapes ci-dessous sont donc sur la liste. Le chiffrement de l'appareil, la forme automatique de BitLocker, peut s'activer de lui-même dès qu'un PC remplit les conditions, par exemple en activant Secure Boot, précise Microsoft.

1. Avant le premier redémarrage dans le firmware, trouve ta clé de récupération et garde-la ailleurs que sur ce PC. Pour un compte Microsoft, la page de Microsoft renvoie à aka.ms/myrecoverykey ; d'après cette page, le support Microsoft n'a pas la possibilité de récupérer, de fournir ni de recréer une clé de récupération BitLocker perdue.
2. Si Panneau de configuration > Chiffrement de lecteur BitLocker montre le disque protégé, sélectionne Suspendre la protection avant chaque redémarrage dans le firmware. Le disque reste chiffré, mais sa clé est conservée en clair jusqu'à ce que la protection reprenne automatiquement au redémarrage suivant.

Active-les, dans cet ordre

1. Si le disque est en MBR, convertis-le d'abord, depuis Windows. Riot prévient que si tu passes ton BIOS en UEFI sans avoir d'abord converti ton disque, Windows ne démarrera pas. L'outil MBR2GPT de Microsoft convertit le disque système sans modifier ni supprimer les données du disque, d'après Microsoft, mais sa sortie avertit "These changes cannot be undone!" (ces modifications sont irréversibles), donc fais d'abord une sauvegarde et assure-toi que le PC prend en charge l'UEFI. Sur un disque chiffré, MBR2GPT a besoin que BitLocker soit suspendu et que ses protecteurs soient recréés ensuite ; Riot et Activision demandent plutôt de désactiver le chiffrement, ce qui laisse le disque sans protection jusqu'à ce qu'il soit réactivé. Dans une invite de commandes administrateur, lance mbr2gpt /validate /allowFullOS, puis, si la validation réussit, mbr2gpt /convert /allowFullOS, et va directement dans le firmware.
2. Ouvre les paramètres du firmware. Sous Windows 11, va dans Paramètres > Système > Récupération et sélectionne Redémarrer maintenant à côté de Démarrage avancé (Windows 10 : Paramètres > Mise à jour et sécurité > Récupération), puis Dépannage > Options avancées > Changer les paramètres du microprogramme UEFI > Redémarrer. Ou appuie sur la touche du firmware à l'allumage ; Riot cite Suppr, F2 ou F10.
3. Mode de démarrage UEFI, CSM désactivé. Là où UEFI et Legacy/CSM peuvent être activés tous les deux, Microsoft dit de choisir UEFI comme première ou seule option ; Riot et Activision disent de désactiver le CSM si le réglage existe.
4. Active le TPM du firmware. Microsoft dit qu'il se trouve parfois sous Advanced, Security ou Trusted Computing, avec un libellé comme Security Device, Security Device Support, TPM State, AMD fTPM switch, AMD PSP fTPM, Intel PTT ou Intel Platform Trust Technology. Pour VAN: RESTRICTION, Riot a besoin du TPM du firmware, pas seulement d'un module TPM séparé.
5. Mets Secure Boot sur Enabled. Sur les cartes ASUS, FACEIT dit d'utiliser "Windows UEFI Mode". S'il est grisé, Activision dit de sélectionner le mode UEFI, d'enregistrer et de rouvrir le firmware ; s'il reste grisé, la solution de Riot est Restore Factory Keys sous Key Management, ce qui, avec BitLocker actif, modifie selon Riot les mesures de ton TPM et déclenche la récupération BitLocker au prochain démarrage.
6. Enregistre, démarre Windows, vérifie à nouveau. Mode BIOS UEFI, État du démarrage sécurisé Activé, TPM prêt en version 2.0 ; EA note que certaines versions de Windows peuvent demander un redémarrage de plus.

S'il est activé et que le jeu refuse encore

• Un firmware ancien. Riot explique qu'un vieux BIOS peut indiquer Secure Boot comme activé tout en échouant aux vérifications de stratégie qu'exige Vanguard. Installe le dernier BIOS de ta carte exacte, que msinfo32 indique sous Fabricant de la carte de base et Produit de la carte de base.
• Version de TPM AMD 3.*.0.*. Si tpm.msc affiche AMD avec une Version du fabricant comme 3.92.0.5, FACEIT et Activision renvoient tous deux vers une mise à jour du BIOS.
• Boucles de démarrage ou plantages après un changement. Le conseil de FACEIT : annule le dernier changement fait dans le firmware, mets à jour le BIOS, puis réactive les fonctions une par une.
• "Secure Boot Violation" ou "Invalid Signature Detected". FACEIT dit que les certificats Secure Boot de la carte sont périmés, et que les mises à jour de BIOS récentes apportent les certificats Microsoft 2023 requis. Sa méthode ne désactive Secure Boot que le temps de démarrer et de faire la mise à jour ; tant qu'il est désactivé, le PC n'a pas cette protection, et Microsoft recommande de le réactiver une fois le problème résolu.
• "Your system is missing important Windows security updates." FACEIT dit qu'il manque à ce Windows des correctifs de sécurité que l'anti-triche exige. Lance Windows Update et installe ce qu'il propose ; si rien n'arrive, les étapes suivantes de FACEIT sont l'outil de Microsoft pour passer à Windows 11 ou un téléchargement manuel depuis l'historique des mises à jour de Microsoft. Si un guide de tweaks a désactivé les services de mise à jour, la carte Windows Update de w0a les remet aux valeurs par défaut de Windows ; FACEIT ne prend pas en charge un Windows modifié qui bloque les mises à jour. Sous Windows 10, FACEIT exige la version 22H2 (build 19045) ; le support a pris fin le 14 octobre 2025, donc les correctifs de sécurité n'arrivent plus que par le programme Extended Security Updates, que Microsoft maintient jusqu'au 12 octobre 2027. Si le matériel remplit les conditions, FACEIT présente la mise à niveau gratuite vers Windows 11 comme une solution durable.

FACEIT et le pilote PawnIO

PawnIO est le pilote facultatif que w0a propose pour lire la température du processeur et les timings de la RAM ; une installation par défaut de w0a ne charge aucun pilote noyau. La liste des pilotes bloqués de FACEIT cite PawnIO.sys avec une seule consigne : mettre PawnIO à jour vers la dernière version. Tant qu'un pilote bloqué est chargé, l'anti-triche ne se lance pas et affiche l'erreur "Forbidden driver" ; d'après FACEIT, un redémarrage bloque alors le pilote et laisse tourner l'anti-triche, et FACEIT recommande de supprimer les pilotes de la liste ou, si tu as besoin du logiciel, de le mettre à jour. Sur une machine, PawnIO 2.2.0 a tourné à côté de FACEIT, avec des matchs joués sans blocage. C'est une seule observation, pas une garantie : la liste de FACEIT cite toujours PawnIO.

w0a n'installe PawnIO que si tu le demandes et confirmes l'éditeur vérifié par Windows, et télécharge toujours la dernière version. Si tu lui demandes d'installer ou de réparer PawnIO alors que FACEIT est installé et qu'un PawnIO antérieur à 2.2.0 est présent, w0a te prévient d'abord et ne continue que si tu acceptes. Pour enlever PawnIO, désinstalle-le depuis la liste des applications installées de Windows ; comme le dit Désinstaller w0a, enlever w0a ne l'enlève pas.

Le changement de certificats de 2026

Les certificats Microsoft sur lesquels s'appuie Secure Boot ont été émis en 2011 et ont commencé à expirer le 24 juin 2026 ; le dernier expire le 19 octobre. Les remplaçants de 2023 arrivent par Windows Update : selon Microsoft, pour la plupart des utilisateurs de systèmes Windows pris en charge, aucune action n'est nécessaire. Depuis avril 2026, Sécurité Windows déploie un état des certificats sous Sécurité des appareils > Démarrage sécurisé ; Microsoft prévient qu'une coche verte seule ne confirme pas que tes certificats sont à jour, donc cherche la ligne qui indique que toutes les mises à jour de certificats requises ont été appliquées.

Ce qui n'aide pas

• Désactiver Secure Boot pour faire taire un avertissement. Microsoft dit que Secure Boot ne doit pas être désactivé pour contourner l'expiration des certificats, et que le désactiver réduit considérablement la protection de l'appareil et supprime les garde-fous contre les logiciels malveillants au niveau du démarrage. Les jeux ci-dessus s'arrêtent aussi.
• Désactiver le fTPM d'AMD pour guérir des saccades. Riot dit qu'AMD a corrigé les saccades liées au fTPM des premiers systèmes Ryzen dans des mises à jour de BIOS ultérieures, et que désactiver le fTPM te coûte les jeux qui utilisent Vanguard.
• Effacer le TPM comme première correction. Ça peut déclencher la récupération BitLocker, et Microsoft dit de sauvegarder tes données d'abord.

À lire aussi

• FPS bas et saccades dans CS2 : une liste de contrôle mesurée
• Réactiver l'intégrité de la mémoire
• Resizable BAR et Smart Access Memory : ce que c'est, comment vérifier
• Plantages Intel 13e et 14e génération en jeu : la correction qui compte
• Les réglages de Windows 11 qui comptent vraiment pour le jeu