# Virer Grub **URL:** \ **Category:** Support Debian\ **Tags:** refind, grub\ **Created:** [Mars 18, 2026, 3:56 UTC](https://www.debian-fr.org/t/virer-grub/92142 "2026-03-18T15:56:46Z")\ **Posts on this page:** 9\ **Page:** 2
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Avril 3, 2026, 6:04 UTC](https://www.debian-fr.org/t/virer-grub/92142/21 "2026-04-03T06:04:40Z")
le fait d’activer ou pas le secure boot ne touche pas à tes installations. ---
**Author:** ![Thierz](https://www.debian-fr.org/user_avatar/www.debian-fr.org/thierz/32/15124_2.png) [@Thierz](https://www.debian-fr.org/u/Thierz)\ **Post date:** [Avril 3, 2026, 6:10 UTC](https://www.debian-fr.org/t/virer-grub/92142/22 "2026-04-03T06:10:45Z")
Je sais pas si je passe du temps à rendre mon boot sécurisé, ou si je laisse comme ça, peut-être pour plus tard… J’ai l’impression que je risque d’en baver quand même. Bon, de ce que je comprends, virer `shim-signed` en même temps que `grub` ne sera pas problématique, vu que je ne suis pas en secure boot et que rEFInd n’utilise pas `shim`. ---
**Author:** ![Thierz](https://www.debian-fr.org/user_avatar/www.debian-fr.org/thierz/32/15124_2.png) [@Thierz](https://www.debian-fr.org/u/Thierz)\ **Post date:** [Avril 3, 2026, 6:16 UTC](https://www.debian-fr.org/t/virer-grub/92142/23 "2026-04-03T06:16:11Z")
> [@Zargos](#): > > Si ton système n’ pas été installé avec secure boot activé, il ne démarrera pas si tu actives le secure boot. Une petite question bête : pourquoi quand on installe Debian sans secure boot activé, il installe une version qui ne peut pas démarrer en secure boot activé ? Je me disais que ce serait plus simple pour tous si Debian s’installait systématiquement avec tout ce qu’il faut de certificats et de signatures, afin qu’il n’y ait « plus qu’à » déclarer ses clés dans le setup UEFI, non ? Il y a probablement des trucs qui m’échappent. ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Avril 3, 2026, 6:28 UTC](https://www.debian-fr.org/t/virer-grub/92142/24 "2026-04-03T06:28:24Z")
> [@Thierz](#): > > Une petite question bête : pourquoi quand on installe Debian sans secure boot activé, il installe une version qui ne peut pas démarrer en secure boot activé ? Parce que les modules de ton noyau ne sont pas signés. Et du coup, au démarrage il ne peut pas charger les modules concernés. ---
**Author:** ![Thierz](https://www.debian-fr.org/user_avatar/www.debian-fr.org/thierz/32/15124_2.png) [@Thierz](https://www.debian-fr.org/u/Thierz)\ **Post date:** [Avril 3, 2026, 6:35 UTC](https://www.debian-fr.org/t/virer-grub/92142/25 "2026-04-03T06:35:19Z")
Mais pourtant c’est bien Debian qui compile et package le noyau et ses modules, si je ne dis pas de bêtise ? ---
**Author:** ![Thierz](https://www.debian-fr.org/user_avatar/www.debian-fr.org/thierz/32/15124_2.png) [@Thierz](https://www.debian-fr.org/u/Thierz)\ **Post date:** [Avril 3, 2026, 6:40 UTC](https://www.debian-fr.org/t/virer-grub/92142/26 "2026-04-03T06:40:08Z")
Je viens de faire un test intéressant : j’ai activé le Windows UEFI mode. Au boot, message d’erreur disant que mon premier choix (rEFInd) ne peut pas démarrer, il me propose d’appuyer sur une touche pour passer au second choix qui est Grub. Et là, bim, Grub démarre sans souci ! J’ai lancé mon Debian qui a pourtant été installé sans secure boot. ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Avril 3, 2026, 6:41 UTC](https://www.debian-fr.org/t/virer-grub/92142/27 "2026-04-03T06:41:33Z")
> [@Thierz](#): > > Mais pourtant c’est bien Debian qui compile et package le noyau et ses modules, si je ne dis pas de bêtise ? la compilation consiste à transformer un fichier de code en un executable. La signature d’un fichier/module/noyau n’a rien à voir avec. D’autant que tu ne peux préjuger du certificat et de la clef qui vont servir à la signature. Ensuite si ton grub a été installé sans tenir compte complètement il va démarrer, mais tu n’as rien de la sécurité liée à Secure Boot. Et ton test prouve sans conteste que rEFInd n’est pas un bootloader. ---
**Author:** ![Thierz](https://www.debian-fr.org/user_avatar/www.debian-fr.org/thierz/32/15124_2.png) [@Thierz](https://www.debian-fr.org/u/Thierz)\ **Post date:** [Avril 3, 2026, 6:46 UTC](https://www.debian-fr.org/t/virer-grub/92142/28 "2026-04-03T06:46:51Z")
> [@Zargos](#): > > Ensuite si ton grub a été installé sans tenir compte complètement il va démarrer, mais tu n’as rien de la sécurité liée à Secure Boot. Et pourtant je vois ça une fois démarré en secure boot via Grub : ``` $ mokutil --sb-state SecureBoot enabled ``` Je sais qu’il existe des moyens de sécuriser le démarrage par rEFInd, je vais creuser un peu. ---
**Author:** ![Thierz](https://www.debian-fr.org/user_avatar/www.debian-fr.org/thierz/32/15124_2.png) [@Thierz](https://www.debian-fr.org/u/Thierz)\ **Post date:** [Avril 7, 2026, 5:32 UTC](https://www.debian-fr.org/t/virer-grub/92142/29 "2026-04-07T05:32:02Z")
Alors, j’ai encore fait un pas dans la bonne direction. J’ai simplement récupéré le binaire de `shim-signed` (shimx64.efi) et l’ai copié dans le répertoire EFI de mon rEFInd. Puis j’ai ajouté dans mes clés MOK le certificat avec lequel est signé rEFInd (c’est un certificat perso au nom de l’auteur de rEFInd, Rod Smith). Avec tout ça : - `shim` est lancé par l’EFI en secure boot comme il est signé avec le certificat de Microsoft (celui de 2011, en attendant la mise à jour de shim avec la signature 2023) présent dans mes clés DB - `refind` est lancé par `shim` en secure boot comme il est signé par le certificat de son auteur présent dans mes clés MOK - `linux-image-xxxxx` ainsi que Windows Boot Loader sont lancés en secure boot par `refind` comme ils sont signés respectivement par le certificat Debian de mes clés MOK et la clé Microsoft de mes DB Et du coup je n’utilise plus la séquence de démarrage shim \> grub. Je vais la garder installée encore quelque temps, juste au cas où, avant de la virer. [Page précédente](https://www.debian-fr.org/t/virer-grub/92142.md?page=1)