# La fin des certificats Secure Boot en 2026 : tout savoir et préparer son PC **URL:** \ **Category:** Pause Café\ **Tags:** secure-boot\ **Created:** [Février 14, 2026, 2:18 UTC](https://www.debian-fr.org/t/la-fin-des-certificats-secure-boot-en-2026-tout-savoir-et-preparer-son-pc/92052 "2026-02-14T14:18:31Z")\ **Posts on this page:** 20\ **Page:** 1
**Author:** ![Necromago](https://www.debian-fr.org/user_avatar/www.debian-fr.org/necromago/32/15111_2.png) [@Necromago](https://www.debian-fr.org/u/Necromago)\ **Post date:** [Février 14, 2026, 2:18 UTC](https://www.debian-fr.org/t/la-fin-des-certificats-secure-boot-en-2026-tout-savoir-et-preparer-son-pc/92052/1 "2026-02-14T14:18:31Z")
> **[La fin des certificats Secure Boot en 2026 : tout savoir et préparer son PC](https://assistouest.fr/la-fin-des-certificats-secure-boot-en-2026-tout-savoir-et-preparer-son-pc/)** > > La fin des certificats UEFI 2011 approche. Apprenez à installer les nouveaux certificats Secure Boot 2023 et évitez un blocage en 2026. ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Février 14, 2026, 2:26 UTC](https://www.debian-fr.org/t/la-fin-des-certificats-secure-boot-en-2026-tout-savoir-et-preparer-son-pc/92052/2 "2026-02-14T14:26:30Z")
Normalement, sous Linux il n’y a pas besoin des certificats microsoft. D’ailleurs sur mon ordinateur, je n’ai aucune clef microsoft. Par contre j’ai des clefs du constructeur de ma carte mère ASUSTek. Pour voir vos clefs, il faut utiliser l’utilitaire mokutil. Pour l’installer: ```auto apt install mokutil ``` Pour visualiser les clefs PK: ```auto mokutil --pk ``` Celle ci est unique chez moi, de ASUSTek Pour les clefs KEK: ```auto mokutil --kek ``` Là j’ai encore de l’ASUSTek et du Microsoft (je suis en train de voir pour les supprimer, étant donné que je n’utiliserais plus jamais Microsoft). Les clef DB: ```auto mokutil --db ``` Pareil ASUSTek et Microsoft Pour les clefs DBX: ```auto mokutil --dbx ``` Clef dont le owner est Micorosft (une des clefs db). Pour information, une de mes clef KEK Microrostf est invalide depuis janvier, sans aucun impact sur mon système et le fonctionnement de mon ,PC. ```auto Certificate: Data: Version: 3 (0x2) Serial Number: ******* Signature Algorithm: sha256WithRSAEncryption Issuer: C=US, ST=Washington, L=Redmond, O=Microsoft Corporation, CN=Microsoft Corporation Third Party Marketplace Root Validity Not Before: Jun 24 20:41:29 2011 GMT Not After : Jun 24 20:51:29 2026 GMT ``` Sur les vieux PC, la question ne se pose quasiment pas car ils n’y a pas le plus souvent de secure boot. Les mises à jour du BIOS peuvent mettre à jour ces clefs. Attention, pour ce qui est de la signature DKMS, ou de vos executable uefi et les modules du kernel, ce ne sont pas ces clefs qui sont utilisées, mais celles qui sont listées avec: ```auto mokutil --list-enrolled ``` D’ailleurs, c’est là que vous verrez la clefs Debian, enrollée lors de l’instalaltion: ```auto [key 1] Owner: ******* SHA1 Fingerprint: ******* Certificate: Data: Version: 3 (0x2) Serial Number: ******* Signature Algorithm: sha256WithRSAEncryption Issuer: CN=Debian Secure Boot CA Validity Not Before: Aug 16 18:09:18 2016 GMT Not After : Aug 9 18:09:18 2046 GMT Subject: CN=Debian Secure Boot CA Subject Public Key Info: ``` Chez moi, j’ai ma propre clef, ce qui fait que je n’utilise pas la clef Debian: ```auto Owner: ****** SHA1 Fingerprint: ****** Certificate: Data: Version: 3 (0x2) Serial Number: 18:51:7a:00:62:bc:c2:0c:c0:20:0c:42:5d:2e:43:77:65:de:0e:73 Signature Algorithm: sha256WithRSAEncryption Issuer: C=FR, ST= ***, L=*** , O= ******, OU=Secure Boot Cert, CN=****** Validity Not Before: Jan 25 00:00:00 2026 GMT Not After : Jan 25 00:00:00 2056 GMT Subject: C=FR, ST= ***, L=*** , O= ******, OU=Secure Boot Cert, CN=****** Subject Public Key Info: Public Key Algorithm: rsaEncryption Public-Key: (4096 bit) ``` ---
**Author:** ![Necromago](https://www.debian-fr.org/user_avatar/www.debian-fr.org/necromago/32/15111_2.png) [@Necromago](https://www.debian-fr.org/u/Necromago)\ **Post date:** [Février 14, 2026, 2:33 UTC](https://www.debian-fr.org/t/la-fin-des-certificats-secure-boot-en-2026-tout-savoir-et-preparer-son-pc/92052/3 "2026-02-14T14:33:24Z")
Pour le fun, j’ai regardé mes PC dont aucun n’est sous µ$oft 😅 Le plus récent a les 2 : CA 2011 et CA 2023. Les autres ont au mieux le CA 2011 ou rien. ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Février 14, 2026, 2:46 UTC](https://www.debian-fr.org/t/la-fin-des-certificats-secure-boot-en-2026-tout-savoir-et-preparer-son-pc/92052/4 "2026-02-14T14:46:42Z")
Il faut faire attention par contre aux clefs constructeurs, car elles peuvent avoir servit à valider les bios, et donc les mises à jour du bios. Celles-ci sont encore plus importante que les clefs microsoft. ---
**Author:** ![fran.b](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/f/d78d45/32.png) [@fran.b](https://www.debian-fr.org/u/fran.b)\ **Post date:** [Février 14, 2026, 3:28 UTC](https://www.debian-fr.org/t/la-fin-des-certificats-secure-boot-en-2026-tout-savoir-et-preparer-son-pc/92052/5 "2026-02-14T15:28:09Z")
Pour le moment le shim-signed de bookworm-backport n’est pas signé par CA2023, seulement par CA2011, c’est ennuyeux à moyen terme pour faire une clef boutant sur toute machine d’autant plus que désormais, avec bitlocker activé par défaut, enlever le secure boot d’une machine windows torpille le démarrage à venir sous windows y compris si on remet le secure boot. ---
**Author:** ![Necromago](https://www.debian-fr.org/user_avatar/www.debian-fr.org/necromago/32/15111_2.png) [@Necromago](https://www.debian-fr.org/u/Necromago)\ **Post date:** [Février 14, 2026, 3:53 UTC](https://www.debian-fr.org/t/la-fin-des-certificats-secure-boot-en-2026-tout-savoir-et-preparer-son-pc/92052/6 "2026-02-14T15:53:32Z")
Si les constructeurs ne sont pas trop idiots, ils proposeront des « mises à jours » des Certificats dans les UEFI. J’ai déjà vérifié pour deux modèles de marque Lenovo via les numéros de série. Mais je n’ai pas le souci des « dual-boot » car je n’en ai pas. ---
**Author:** ![josephtux](https://www.debian-fr.org/user_avatar/www.debian-fr.org/josephtux/32/3985_2.png) [@josephtux](https://www.debian-fr.org/u/josephtux)\ **Post date:** [Février 19, 2026, 11:23 UTC](https://www.debian-fr.org/t/la-fin-des-certificats-secure-boot-en-2026-tout-savoir-et-preparer-son-pc/92052/7 "2026-02-19T11:23:13Z")
Clevo NS5x\_NS7xAU, encore sous bookworm, bientôt… sous Trixie en dual-boot `mokutil --db` indique: Not After : Oct 19 18:51:42 2026 GMT à quoi correspond --db, et que faire de cette information? Que peut-il se passer le 19 octobre à 18h52 ? ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Février 19, 2026, 11:37 UTC](https://www.debian-fr.org/t/la-fin-des-certificats-secure-boot-en-2026-tout-savoir-et-preparer-son-pc/92052/8 "2026-02-19T11:37:34Z")
> [@josephtux](#): > > `mokutil --db` > indique: Not After : Oct 19 18:51:42 2026 GMT > > à quoi correspond --db, et que faire de cette information? De quelle clef s’agit-il? si c’est Microsoft, et que tu n’as pas windows sur cette machine, ça n’aura aucun effet normalement. Sinon, la sécurité sera simplement dégradée, mais à terme elle peut ne plus fonctionner du tout. Microsoft va normalement déployer des mises à jour qui vont mettre à jour le secure boot aussi. D’une façon générale, faite très attention aux différents site qui proposes des solutions pas forcement toute correcte. Sur Windows, Microsoft déploie les mises à jour; donc ne faites rien d’autre. Pour Linux pas d’impact (j’ai déjà un certificat à date dépassé sans impacts car n’ayant pas Windows, ces certificat ne me servent pas). ---
**Author:** ![josephtux](https://www.debian-fr.org/user_avatar/www.debian-fr.org/josephtux/32/3985_2.png) [@josephtux](https://www.debian-fr.org/u/josephtux)\ **Post date:** [Février 19, 2026, 11:53 UTC](https://www.debian-fr.org/t/la-fin-des-certificats-secure-boot-en-2026-tout-savoir-et-preparer-son-pc/92052/9 "2026-02-19T11:53:31Z")
Je n’ai aucune idée de tout ça, c’est en lisant ce nouveau fil que je suis allé voir. Je n’ai jamais eu windows, mais le vendeur avait utilisé ubuntu pour son installation de Debian (j’avais trouvé des traces sous ce nom). Il pourrait correspondre à un firmware, car j’ai perdu au moins quelques commandes pour gérer l’éclairage du clavier en réinstallant moi-même Bookworm) bref je suis dans le noir complet sur cette question ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Février 19, 2026, 11:57 UTC](https://www.debian-fr.org/t/la-fin-des-certificats-secure-boot-en-2026-tout-savoir-et-preparer-son-pc/92052/10 "2026-02-19T11:57:11Z")
> [@josephtux](#): > > Il pourrait correspondre à un firmware, car j’ai perdu au moins quelques commandes pour gérer l’éclairage du clavier en réinstallant moi-même Bookworm) dans ce sujet, ceci n’a rien à voir. Les éclairages de clavier nécessitent souvent une configuration manuelle post installation du système. ---
**Author:** ![josephtux](https://www.debian-fr.org/user_avatar/www.debian-fr.org/josephtux/32/3985_2.png) [@josephtux](https://www.debian-fr.org/u/josephtux)\ **Post date:** [Février 19, 2026, 12:05 UTC](https://www.debian-fr.org/t/la-fin-des-certificats-secure-boot-en-2026-tout-savoir-et-preparer-son-pc/92052/11 "2026-02-19T12:05:15Z")
En regardant de plus près: `mokutil --db | egrep -i 'Issuer|not after'` ``` Issuer: C=US, ST=Washington, L=Redmond, O=Microsoft Corporation, CN=Microsoft Root Certificate Authority 2010 Not After : Oct 19 18:51:42 2026 GMT CA Issuers - URI:http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt Issuer: C=US, ST=Washington, L=Redmond, O=Microsoft Corporation, CN=Microsoft Corporation Third Party Marketplace Root Not After : Jun 27 21:32:45 2026 GMT CA Issuers - URI:http://www.microsoft.com/pki/certs/MicCorThiParMarRoo_2010-10-05.crt Issuer: CN=Secure Certificate Not After : Dec 31 23:59:59 2039 GMT Issuer: CN=Cus CA Not After : Dec 31 23:59:59 2039 GMT ``` Donc pour 2026, que du microsoft. ---
**Author:** ![yatta](https://www.debian-fr.org/user_avatar/www.debian-fr.org/yatta/32/12132_2.png) [@yatta](https://www.debian-fr.org/u/yatta)\ **Post date:** [Février 20, 2026, 12:00 UTC](https://www.debian-fr.org/t/la-fin-des-certificats-secure-boot-en-2026-tout-savoir-et-preparer-son-pc/92052/12 "2026-02-20T00:00:29Z")
Pour une utilisation perso, je vais même pas regarder ni essayer de creuser le sujet. Si je suis impacté, on aura plus d’infos et je pense qu’il n’y aura pas de problème pour trouver la procédure adéquat. Ce qui peut être gênant, ça peut être pour ceux qui aident à l’utilisation de linux certaines personnes. Je viens de voir [https://github.com/fwupd/fwupd/issues/9731](https://github.com/fwupd/fwupd/issues/9731) est-ce que ça pourrait être une solution ? ---
**Author:** ![Necromago](https://www.debian-fr.org/user_avatar/www.debian-fr.org/necromago/32/15111_2.png) [@Necromago](https://www.debian-fr.org/u/Necromago)\ **Post date:** [Février 20, 2026, 10:24 UTC](https://www.debian-fr.org/t/la-fin-des-certificats-secure-boot-en-2026-tout-savoir-et-preparer-son-pc/92052/13 "2026-02-20T10:24:01Z")
J’utilise ceci pour [fwupdmgr](https://www.linuxtricks.fr/wiki/fwupd-mettre-a-jour-les-firmwares-et-uefi-depuis-linux) c’est très pratique. ---
**Author:** ![nicola](https://www.debian-fr.org/user_avatar/www.debian-fr.org/nicola/32/8969_2.png) [@nicola](https://www.debian-fr.org/u/nicola)\ **Post date:** [Février 20, 2026, 11:08 UTC](https://www.debian-fr.org/t/la-fin-des-certificats-secure-boot-en-2026-tout-savoir-et-preparer-son-pc/92052/14 "2026-02-20T11:08:17Z")
Donc si j’ai bien compris, si on n’utilise pas Windows, on s’en fout ? ---
**Author:** ![Thierz](https://www.debian-fr.org/user_avatar/www.debian-fr.org/thierz/32/15124_2.png) [@Thierz](https://www.debian-fr.org/u/Thierz)\ **Post date:** [Février 20, 2026, 11:18 UTC](https://www.debian-fr.org/t/la-fin-des-certificats-secure-boot-en-2026-tout-savoir-et-preparer-son-pc/92052/15 "2026-02-20T11:18:34Z")
Non non : > - Sans le **Microsoft UEFI CA 2023** , les distributions Linux (GRUB, shim) et les applications EFI tierces échoueront à charger. > > Un ordinateur non préparé affichera au démarrage des messages du type « [Secure Boot violation](https://assistouest.fr/violation-secure-boot-que-faire-et-comment-corriger-lerreur-sur-windows-ou-linux/) » empêchant complètement le lancement du système d’exploitation. ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Février 20, 2026, 11:24 UTC](https://www.debian-fr.org/t/la-fin-des-certificats-secure-boot-en-2026-tout-savoir-et-preparer-son-pc/92052/16 "2026-02-20T11:24:30Z")
je ne suis pas d’accord, car la distribution linux n’est pas signée avec Microsoft. La seule chose qui peut impacter c’est au niveau du bios, où si des modules sont des modules microsoft il peut y avoir un impact. j’ai un tuto à étudier avec d’autres documents techniques qui permettent de faire en sorte de ne plus avoir Microsoft y compris dans le secure boot. Pour avoir fait le test, je n’ai aucun fichier sur mon installation linux qui ne soit signé par Microsoft à aucun niveau que ce soit. Cette affaire est exactement du même type que le soit disant bug de l’an 2000 ---
**Author:** ![Necromago](https://www.debian-fr.org/user_avatar/www.debian-fr.org/necromago/32/15111_2.png) [@Necromago](https://www.debian-fr.org/u/Necromago)\ **Post date:** [Février 20, 2026, 12:25 UTC](https://www.debian-fr.org/t/la-fin-des-certificats-secure-boot-en-2026-tout-savoir-et-preparer-son-pc/92052/17 "2026-02-20T12:25:54Z")
Tout va bien sur mon Thinkpad, j’ai 0 certificat dedans 😇 ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Février 20, 2026, 12:59 UTC](https://www.debian-fr.org/t/la-fin-des-certificats-secure-boot-en-2026-tout-savoir-et-preparer-son-pc/92052/18 "2026-02-20T12:59:16Z")
Ca veut dire que ton secure boot n’est pas activé ou qu’il est en mode dégradé (ou éventuellement en mode maintenance). ---
**Author:** ![nicola](https://www.debian-fr.org/user_avatar/www.debian-fr.org/nicola/32/8969_2.png) [@nicola](https://www.debian-fr.org/u/nicola)\ **Post date:** [Février 20, 2026, 5:44 UTC](https://www.debian-fr.org/t/la-fin-des-certificats-secure-boot-en-2026-tout-savoir-et-preparer-son-pc/92052/19 "2026-02-20T17:44:41Z")
> [@Thierz](#): > > Non non : OK. Si une commande comme `mokutil --db` répond `EFI variables are not supported on this system`, on s’en fout ? ---
**Author:** ![Necromago](https://www.debian-fr.org/user_avatar/www.debian-fr.org/necromago/32/15111_2.png) [@Necromago](https://www.debian-fr.org/u/Necromago)\ **Post date:** [Février 20, 2026, 5:52 UTC](https://www.debian-fr.org/t/la-fin-des-certificats-secure-boot-en-2026-tout-savoir-et-preparer-son-pc/92052/20 "2026-02-20T17:52:00Z")
C’est juste que j’ai vidé les clefs lors d’une installation. [Page suivante](https://www.debian-fr.org/t/la-fin-des-certificats-secure-boot-en-2026-tout-savoir-et-preparer-son-pc/92052.md?page=2)