Chiffrer les disques est l’une des rares mesures dont le bénéfice est immédiat et incontestable : un portable volé devient un presse-papier plutôt qu’une fuite de données. Mais BitLocker mal déployé crée un risque symétrique — celui de perdre définitivement l’accès aux données de vos propres utilisateurs. Tout se joue sur un point : le séquestre des clés de récupération.
Le point critique : la clé de récupération
BitLocker chiffre le disque à l’aide d’une clé protégée, dans le cas standard, par la puce TPM de la machine. Tant que le poste démarre normalement, l’utilisateur ne voit rien.
Mais certains événements déclenchent une demande de clé de récupération : mise à jour du firmware, changement matériel, modification de l’ordre de démarrage, réinitialisation du TPM. L’écran bleu de récupération BitLocker s’affiche alors et réclame 48 chiffres.
Si cette clé n’a pas été sauvegardée, les données sont définitivement perdues. Aucun support, aucun outil, aucune procédure ne permet de les récupérer. C’est le seul vrai danger de BitLocker, et il est entièrement évitable.
D’où la règle absolue : vérifiez que le séquestre fonctionne avant de généraliser le chiffrement, jamais après.
Les prérequis
- Windows Professionnel, Entreprise ou Éducation. L’édition Famille ne gère que le « chiffrement de l’appareil », plus limité.
- Une puce TPM 2.0 activée dans le firmware. Sans TPM, le déverrouillage exige la saisie d’un code à chaque démarrage — inacceptable en usage courant.
- Un démarrage en mode UEFI, avec Secure Boot activé de préférence.
- Des appareils inscrits dans Intune et joints à Entra ID, pour que le séquestre soit possible.
Sur du matériel professionnel récent, ces conditions sont réunies d’origine. Sur un parc hétérogène ou ancien, un inventaire préalable évite les mauvaises surprises.
Configurer la stratégie
La stratégie se crée dans Intune, sous les stratégies de sécurité du disque. Les réglages qui comptent :
Chiffrement du lecteur système
Activez le chiffrement du lecteur d’exploitation avec le TPM comme protecteur. Choisissez de chiffrer l’espace utilisé uniquement plutôt que le disque entier : sur une machine neuve, le résultat est équivalent en sécurité et le chiffrement prend quelques minutes au lieu de plusieurs heures.
Séquestre des clés — le réglage à ne pas manquer
Trois options à activer conjointement :
- Enregistrer les informations de récupération dans Entra ID
- Ne pas activer BitLocker tant que le stockage des informations n’a pas réussi — c’est le garde-fou essentiel : la machine ne se chiffre pas si la clé n’a pas pu être sauvegardée
- Masquer les options de récupération à l’utilisateur pendant l’assistant
Ce deuxième réglage est celui qui distingue un déploiement sûr d’un pari risqué. Sans lui, une machine hors réseau au mauvais moment se chiffre sans que sa clé ne soit nulle part.
Algorithme
Retenez XTS-AES 256 bits pour les disques fixes. Pour les supports amovibles, préférez AES-CBC 128, compatible avec les versions antérieures de Windows.
Vérifier que le séquestre fonctionne réellement
Ne vous fiez pas au rapport Intune seul. Effectuez cette vérification sur un poste pilote :
- Attendez la fin du chiffrement.
- Dans le centre d’administration Entra ID, ouvrez la fiche de l’appareil.
- Vérifiez qu’une clé de récupération BitLocker y figure bien, avec son identifiant.
- Notez cette clé et testez une récupération réelle : redémarrez en modifiant temporairement l’ordre de démarrage dans le firmware pour provoquer l’écran de récupération.
Cette dernière étape prend dix minutes et vous évite de découvrir le problème sur le poste du directeur financier, six mois plus tard.
Qui peut consulter les clés
Par défaut, un utilisateur peut consulter la clé de son propre appareil sur le portail de comptes Microsoft. Selon votre politique, ce comportement peut être restreint dans les paramètres d’appareils Entra ID.
Côté administration, la consultation des clés doit être réservée aux rôles qui en ont besoin — un accès aux clés de récupération équivaut à un accès aux données de tout le parc. Cette consultation est journalisée : vérifiez que ces journaux sont conservés.
Cas particuliers fréquents
- Machines déjà chiffrées manuellement. Intune ne rechiffre pas mais peut récupérer et séquestrer la clé existante. Vérifiez appareil par appareil que le séquestre a bien eu lieu.
- Postes sans TPM. Traitez-les à part plutôt que d’assouplir la stratégie générale : une exception globale affaiblit tout le parc.
- Mises à jour de firmware. Elles déclenchent fréquemment la récupération. Prévenez les utilisateurs avant une campagne de mise à jour BIOS et assurez-vous que le support peut fournir les clés rapidement.
- Réaffectation d’un poste. Un poste transmis à un autre utilisateur doit être réinitialisé, pas simplement déchiffré : les données de l’ancien utilisateur resteraient accessibles.
Articulation avec la conformité
BitLocker prend toute sa valeur comme critère de conformité : un poste non chiffré est déclaré non conforme et, via l’accès conditionnel, perd l’accès aux données de l’entreprise. La démarche est détaillée dans notre article sur la première stratégie de conformité Intune.
En résumé
BitLocker via Intune est simple à déployer, mais la seule erreur possible est irréversible. Activez impérativement l’option qui empêche le chiffrement tant que la clé n’a pas été sauvegardée, vérifiez la présence effective des clés dans Entra ID, et testez une récupération réelle sur un poste pilote avant toute généralisation. Pour le contexte global, voyez notre guide complet de Microsoft Intune.