Comment activer ou désactiver SMBv3 dans Windows 11

Dans l’ombre des partages de fichiers et des NAS qui tournent sans bruit derrière les cloisons des PME, le protocole SMB règne, souvent discret mais omniprésent. Demandez à un vieil admin ce qu’il pense de la sécurité réseau liée aux vieux partages Windows non sécurisés : il grognera en repensant aux failles et aux ransomwares du passé. Aujourd’hui, avec Windows 11, Microsoft a enfin compris que le blindage du protocole ne pouvait plus se limiter à la simple signature numérique.

Le chiffrement SMB s’impose donc comme la nouvelle norme, bouleversant les habitudes autant que les pratiques des administrateurs système. Les attaques “man-in-the-middle” ne sont plus seulement le scénario de formation : elles se produisent réellement sur les réseaux mal entretenus, là où l’on croit que personne ne regarde. Exiger que le client et le serveur SMB parlent un langage chiffré n’est plus une coquetterie, mais une nécessité à l’heure où les données transitent dans tous les sens, sur site comme en cloud.

Entre PowerShell, stratégie de groupe et éditeur de registre, l’activation du chiffrement SMB sur Windows 11 exige un minimum de discipline. Il ne s’agit pas que d’appliquer la recette : il faut mesurer les impacts sur la compatibilité, vérifier la présence du support côté serveur et garder un œil sur les vieilles applications. En suivant les étapes clés, il devient possible de renforcer la sécurité des échanges sur le réseau, sans transformer un simple partage de fichiers en cauchemar d’interruptions inopinées.

Pourquoi activer le chiffrement SMB sur Windows 11 ? Importance et bénéfices pour la sécurité réseau

Le protocole SMB (Server Message Block) se cache derrière la quasi-totalité des échanges de fichiers, d’accès à l’imprimante et d’interactions entre ordinateurs sur Windows. Son héritage remonte à des décennies, d’un temps où la sécurité n’était qu’une option, pas une exigence. Sans chiffrement, le trafic SMB traverse le réseau en clair : une véritable aubaine pour quiconque souhaite intercepter ou écouter les échanges, surtout sur des environnements moins cloisonnés (Wi-Fi public, bureaux hybrides, VPN mal configurés…).

L’arrivée de SMB 3.x – depuis Windows 8 et Windows Server 2012 – a tout changé : le protocole sait enfin envelopper chaque paquet dans une couche chiffrée moderne, utilisant notamment AES-256-GCM sous Windows 11. Fini les échanges vulnérables, bonjour les connexions protégées contre les manipulations ou l’écoute, même en cas d’attaque dite “man-in-the-middle”. Cet ajout limite d’emblée le rayon d’action d’un pirate, même sur un réseau interne où tout le monde s’imagine à l’abri.

• Protection complète des données échangées sur le réseau local comme distant : le chiffrement empêche la lecture et la modification des fichiers lors du transit.

• Conformité accrue aux standards modernes de la cybersécurité, indispensable dans tout audit sérieux.

• Réduction drastique des risques liés à la compromission d’un serveur d’impression, de fichiers ou de sauvegarde, points d’entrée souvent exploités.

En clair, activer le chiffrement SMB sur Windows 11 n’est plus une question de prudence, c’est le minimum syndical pour rester à niveau sur la sécurité des entreprises ou des labs personnels.

Comprendre le protocole SMB et les enjeux du chiffrement sur Windows 11

Sur le papier, le schéma “partage de dossiers” semble anodin. Mais chaque connexion SMB entre un PC et un NAS ou un serveur partage potentiellement des mots de passe, des fichiers sensibles et – parfois – des scripts d’automatisation. Problème : les versions historiques du protocole (SMBv1, v2…) sont aussi poreuses qu’une vieille passoire.

La solution ? Imposer un chiffrement robuste, non juste une signature. C’est là toute la différence qu’apporte SMBv3 dans Windows 11 :

• Les données transmises sont véritablement illisibles, même pour un administrateur réseau mal intentionné ou un intrus sur le switch.

• Les attaques par injection ou manipulation deviennent quasiment inexploitables en production.

• Compatibilité ascendante : la plupart des serveurs modernes (Windows Server 2012 et plus récents) supportent cette sécurisation sans devoir bricoler chaque poste.

Chez un client fictif, “Alu System”, passé récemment sous Windows 11, de multiples incidents de fichiers corrompus sur le réseau ont disparu comme par magie suite à l’application du chiffrement SMB. Comme quoi, la sécurité évite aussi de perdre du temps en débogage stérile.

Différences entre chiffrement SMB et signature SMB : sécurité, performances et compatibilité

On mélange trop souvent signature et chiffrement SMB. La signature, active depuis bien plus longtemps, garantit juste que chaque paquet reçu n’a pas été modifié. En revanche, les données circulent toujours en clair, prêtes à être interceptées. Avec le chiffrement SMB, c’est l’intégralité du trafic qui est indéchiffrable sans la clé du serveur ou du client.

• Signature SMB : légère sur la ressource, protège contre la falsification mais aucun effet sur la confidentialité.

• Chiffrement SMB : protection de bout en bout, mais consommation processeur accrue sur les postes et parfois impact visible sur les performances, notamment avec des vieux NAS ou PC sous-dimensionnés.

• Compatibilité : tous les serveurs ne suivent pas – certains équipements anciens restent incompatibles avec SMB 3.x.

Pour les environnements pointus, la bascule vers le chiffrement SMB doit donc s’accompagner d’un audit matériel et applicatif ; personne n’a envie de découvrir que le NAS fonctionne soudain moins vite, ou qu’un logiciel métier plante sans message compréhensible.

Comment activer le chiffrement SMB sur Windows 11 : guide complet étape par étape

Depuis la version Insider Preview Build 25982 de Windows 11, Microsoft offre un contrôle accru aux administrateurs : il devient possible d’exiger que le client SMB chiffre obligatoirement toutes ses connexions sortantes. Si le serveur SMB ne cause pas en SMB 3.x ou ne comprend pas le chiffrement, la connexion échoue net. Fini les compromis – ce qui veut dire : attention aux surprises côté partenaires et vieux équipements.

Les méthodes pour activer cette exigence sont diverses, chacune adaptée au niveau d’un environnement :

• Pour des modifications rapides sur un PC pilote : utilisation de PowerShell, efficace et immédiate.

• Pour un déploiement centralisé : passage par l’éditeur de registre ou la stratégie de groupe (GPO) sur plusieurs postes ou serveurs.

• Pour des audits ou tests : la commande PowerShell permet aussi de vérifier d’un coup d’œil la configuration en place.

Dans tous les cas, il faut savoir ce que l’on fait : modifier le comportement de SMB sans sauvegarder ni prévenir, c’est l’assurance d’un appel à minuit d’un utilisateur furieux.

Configurer le chiffrement SMB côté client : PowerShell, Éditeur de Registre et Stratégie de groupe

Attention : toute commande PowerShell doit être saisie dans un “Windows Terminal” lancé en mode administrateur. Un oubli, et l’action sera ignorée – ou pire, partiellement appliquée, laissant l’environnement dans un état hybride. Même chose pour la modification du registre : une sauvegarde préalable (via “Export” du Registre) évite bien des sueurs froides en cas de fausse manœuvre.

• PowerShell : permet de vérifier, activer ou désactiver la configuration en ligne de commande.

• Éditeur de registre : autorise la modification profonde, touche à tous les utilisateurs.

• Stratégie de groupe : impose la règle à un parc complet d’ordinateurs.

Concrètement, “Alu System” a choisi la configuration par GPO pour s’assurer que chaque nouvelle machine chiffrerait d’office ses échanges. Résultat : cohérence sur les postes, moins de tickets de support.

PowerShell : commandes à exécuter en mode administrateur pour gérer le chiffrement SMB

Vérifier l’état du chiffrement côté client SMB, c’est simple : ouvrez PowerShell avec les droits admin (clic droit sur Windows Terminal, “Exécuter en tant qu’administrateur”) puis tapez :

• Get-SmbClientConfiguration | FL RequireEncryption : affiche l’état actuel du paramètre, vrai (True) ou faux (False).

Pour activer l’exigence de chiffrement :

• Set-SmbClientConfiguration -RequireEncryption $true -Confirm:$false

Pour la désactiver :

• Set-SmbClientConfiguration -RequireEncryption $false -Confirm:$false

Destinée aux petits malins qui passent par le registre : la clé à ajuster se trouve ici :
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanWorkstationParameters
Il faut créer ou modifier “RequireEncryption” (DWORD), lui attribuer la valeur 1 pour activer, 0 pour désactiver. Un redémarrage s’impose pour une application propre du réglage.

• Après toute modification du registre, redémarrer le PC pour garantir la prise en compte.

Dans la stratégie de groupe (GPO) locale, le chemin est : Configuration ordinateur > Modèles d’administration > Réseau > Lanman Workstation, puis activer le paramètre “Exiger le cryptage”. Que ce soit “Activé” (force le chiffrement), “Désactivé” (aucune exigence) ou “Non configuré” (hérite de la config système), surveillez l’homogénéité sur l’ensemble du parc. Et dans le doute : redémarrage obligatoire.

Points clés à vérifier avant d’exiger le chiffrement SMB sur Windows 11 et bonnes pratiques

Avant de se précipiter pour forcer le chiffrement SMB, il reste quelques checkpoints imposés par le bon sens et par l’expérience. A commencer par l’évaluation de la compatibilité : une palanquée de vieux NAS ou d’imprimantes multifonctions planquées sous le bureau fonctionneront encore en SMBv1 ou SMBv2, et lâcheront l’affaire si on leur parle chiffrement ou SMBv3. Refuser ces connexions, c’est garantir la sécurité… mais c’est accessoirement engendrer des interruptions non anticipées.

Les recommandations : désactiver d’office SMBv1 dès que possible ; il n’est plus installé par défaut sur Windows 11 (hormis exceptions). D’un point de vue “ménage de printemps réseau”, il faut aussi :

• Faire l’inventaire de chaque serveur et application qui se connecte via SMB.

• Vérifier que tous supportent SMBv2/3 et le chiffrement ; sinon, planifier leur mise à niveau ou leur remplacement.

• Tester la désactivation de SMBv1 dans un environnement pilote avant de généraliser.

On notera que Windows Server, la PowerShell et le gestionnaire de fonctionnalités Windows permettent tous d’activer ou désactiver chaque version du protocole SMB à la volée, mais chaque modification peut nécessiter un redémarrage. Privilégier les ajustements quand le réseau est calme, histoire d’éviter la crise le lundi matin.

Évaluer la compatibilité, désactiver SMBv1, renforcer la sécurité globale avec BitLocker et le chiffrement d’appareil

Un serveur ou des clients encore bloqués sur SMBv1, c’est comme laisser la porte du garage grande ouverte en espérant que personne ne remarque la Ferrari à l’intérieur. Il faut donc éliminer au plus vite cette faille béante. Dans PowerShell, la commande compatible même avec Windows 10 pour déceler SMBv1, c’est :
Get-WindowsOptionalFeature -Online -FeatureName « SMB1Protocol »
Pour l’activer ou le désactiver à la main, depuis l’invite administrateur :
Disable-WindowsOptionalFeature -Online -FeatureName « SMB1Protocol »

• Migrer ses équipements et applications vers SMBv2/3, test inclus sur chaque lot.

• Sauvegarder la configuration du registre et des stratégies de groupe avant toute mise à jour critique.

• Adopter BitLocker pour les postes mobiles : une couche supplémentaire de protection sur les données stockées, indépendante du chiffrement SMB.

Le chiffrement d’appareil Windows 11, accessible pour les machines modernes avec modules TPM, offre une protection automatique des données hors réseau. À la différence de BitLocker (plus complet, paramétrable, disponible dès Pro), le chiffrement d’appareil agit dès l’installation, mais requiert la sauvegarde soigneuse de la clé de récupération (OneDrive, Active Directory, impression papier).

Migrer vers SMBv2/3 et sauvegarder ses configurations avant toute modification

Quand vient le moment de migrer massivement d’une version du protocole SMB à une autre, la méthode de cow-boy ne pardonne pas. Un cas classique : une PME suréquipée de scanners-réseau restés en SMBv1 – la bascule, brutale, coupe net l’accès à un outil crucial. Solution : inventorier, tester, ajuster en douceur, avec retour arrière possible. Toujours garder sous le coude une sauvegarde du registre et des GPO concernées.

• Pilotage de la migration en lab avant diffusion générale.

• Journalisation des changements, pour remonter les causes en cas de pépin.

• Ajustement progressif du niveau de chiffrement activé : commencer par les groupes sensibles avant d’imposer sur tout le réseau.

Au final, la sécurité SMB dans Windows 11, c’est un ensemble de paramètres – versions du protocole SMB, niveau de chiffrement, signature, audit – qu’il faut superviser avec méthode. Un environnement où chaque modification est testée, documentée et vérifiée : voilà la garantie d’éviter à la fois le trou de sécurité et l’interruption sauvage.