10 modifications utiles avec gpedit¶

Petit rappel : gpedit.msc, c'est quoi ?¶

Si vous arrivez directement sur ce chapitre, un petit rappel s'impose. gpedit.msc est l'editeur de strategies de groupe locales de Windows. Il permet de modifier le comportement de Windows sur un seul PC, sans avoir besoin d'un serveur Active Directory.

Pour l'ouvrir : Win+R → tapez gpedit.msc → Enter.

L'interface se divise en deux grandes branches :

• Configuration ordinateur : les parametres qui s'appliquent a la machine entiere, quel que soit l'utilisateur connecte.
• Configuration utilisateur : les parametres qui s'appliquent au profil de l'utilisateur qui est connecte.

Dans ce chapitre, on va toucher aux deux branches. Pour chaque modification, on precisera laquelle est concernee.

Avant de commencer : notez tout !¶

Bonne nouvelle : contrairement au registre ou une erreur peut avoir des consequences graves, gpedit offre un filet de securite naturel. Chaque parametre a trois etats possibles, et revenir en arriere est toujours simple.

• Non configure : Windows utilise son comportement par defaut. C'est l'etat initial de tous les parametres.
• Active : la strategie est appliquee. Windows respecte la regle que vous definissez.
• Desactive : la strategie est explicitement desactivee. Ce n'est pas la meme chose que "Non configure" — on y reviendra.

Pour annuler une modification, il suffit de remettre le parametre sur Non configure. C'est simple et sans risque.

Une derniere chose avant de plonger : apres avoir modifie un parametre, il peut etre necessaire de fermer et rouvrir la session, voire de redemarrer le PC, pour que le changement prenne effet. La plupart des parametres des "Modeles d'administration" prennent effet immediatement ou apres un gpupdate /force. Les parametres de securite peuvent necessiter un redemarrage.

gpupdate /force

Mise à jour de la stratégie de l'ordinateur effectuée.
Mise à jour de la stratégie de l'utilisateur effectuée.

Maintenant, passons aux choses serieuses. On commence par les modifications les plus simples et on monte progressivement en complexite.

Chaque modification suit le meme format :

1. Pourquoi c'est utile (le contexte)
2. Ou trouver le parametre (le chemin exact dans gpedit)
3. Comment l'appliquer (pas a pas)
4. Comment verifier et annuler

1. Interdire l'acces au Panneau de configuration¶

Vous partagez un PC avec d'autres personnes ? Vous ne voulez pas qu'elles aillent fouiller dans les reglages systeme ? Cette strategie verrouille completement l'acces au Panneau de configuration et a l'application Parametres.

C'est probablement la premiere strategie que les administrateurs activent sur les postes partages. Et pour cause : un utilisateur curieux dans les Parametres peut desactiver l'antivirus, changer la configuration reseau ou modifier les parametres de mise a jour. Autant de choses qu'on prefere eviter.

Cette operation a ete annulee en raison de restrictions
en vigueur sur cet ordinateur. Contactez votre
administrateur systeme.

Notez que ce parametre bloque aussi bien l'ancien Panneau de configuration (l'interface classique avec les icones) que la nouvelle application Parametres (l'interface moderne de Windows 10/11). Un seul parametre, deux interfaces bloquees.

Premiere modification terminee. Vous voyez le principe ? On navigue, on active, on verifie. C'est toujours le meme schema. Les 9 suivantes fonctionnent exactement pareil.

2. Desactiver le telechargement automatique de pilotes¶

Windows a une facheuse habitude : il adore telecharger des pilotes tout seul via Windows Update. Parfois, c'est formidable — vous branchez un nouveau peripherique, et hop, ca fonctionne en quelques secondes sans rien faire. Parfois, c'est un cauchemar — Windows remplace votre pilote NVIDIA optimise par un pilote generique Microsoft, et votre ecran passe en resolution 800x600. Ou votre imprimante de bureau cesse de fonctionner du jour au lendemain.

Si vous avez deja vecu le moment ou votre ecran passe en 800x600 apres une mise a jour, ou celui ou votre webcam a cesse de fonctionner juste avant une reunion importante, vous comprenez l'interet de cette strategie.

C'est un parametre de la branche Configuration ordinateur, ce qui signifie qu'il s'applique a tous les utilisateurs de la machine. Peu importe qui est connecte, Windows ne telechargera plus de pilotes tout seul.

Les deux premieres modifications etaient des blocages "invisibles" — on empeche quelque chose de se produire. La suivante est beaucoup plus visuelle : on va changer ce que l'utilisateur voit sur son ecran.

3. Forcer un fond d'ecran¶

Besoin d'imposer un fond d'ecran precis ? Les cas d'usage sont nombreux :

• En entreprise, pour afficher le logo de la societe ou un rappel de securite
• En famille, pour eviter les fonds d'ecran inappropries sur le PC du salon
• Sur un poste de demonstration, pour maintenir une apparence professionnelle
• Dans un laboratoire informatique, pour identifier visuellement les postes (fond rouge pour les postes admin, bleu pour les postes etudiants, etc.)

Ce parametre est un grand classique de l'administration Windows. Il impose une image et empeche l'utilisateur de la changer. L'option de personnalisation du fond d'ecran dans les Parametres sera completement grisee.

Attention au double dossier Bureau → Bureau dans le chemin. Ce n'est pas une erreur, c'est vraiment la structure de l'arborescence dans gpedit. Le premier "Bureau" est la categorie, le second contient les parametres specifiques au Bureau Windows.

Vous remarquerez que ce parametre, contrairement a la plupart des autres, demande de saisir des informations supplementaires (le chemin de l'image et le style). C'est le cas de nombreux parametres dans gpedit : certains sont de simples interrupteurs (on/off), d'autres offrent des options de configuration plus detaillees.

4. Masquer les lecteurs dans l'Explorateur¶

Vous avez un disque de sauvegarde que les utilisateurs n'ont pas besoin de voir ? Ou un lecteur reseau que vous voulez garder discret ? Cette strategie masque les lecteurs dans le Poste de travail.

C'est particulierement utile dans plusieurs scenarios :

• Sur les postes partages ou les bornes en libre-service : les utilisateurs voient uniquement le lecteur C: et rien d'autre
• Sur les PC avec un disque de sauvegarde : plus de risque qu'un utilisateur supprime accidentellement des fichiers sur votre disque D:
• En entreprise avec des lecteurs reseau : masquer les lecteurs qui ne sont pas pertinents pour l'utilisateur simplifie l'interface

On passe a une modification un peu plus "musclee" : le blocage de programmes. C'est le genre de parametre qui impressionne les collegues quand on leur montre.

5. Interdire l'execution de certains programmes¶

Vous voulez empecher un utilisateur de lancer certaines applications ? Bloquer un jeu installe en douce sur un poste de travail, empecher l'utilisation d'un navigateur non approuve par la politique de securite, ou interdire l'acces a l'invite de commandes ? C'est possible, et c'est etonnamment simple.

Imaginez un poste dans une salle informatique d'ecole. Vous ne voulez pas que les eleves lancent Steam ou Fortnite entre deux exercices. Ou dans une entreprise, vous ne voulez pas que les employes utilisent Spotify sur le PC pro, ou qu'ils lancent un logiciel telecharge depuis un site douteux. Cette strategie fait exactement ca.

Le principe est simple : une liste noire. Vous listez les programmes interdits, tout le reste est autorise.

Cette operation a ete annulee en raison de restrictions
en vigueur sur cet ordinateur. Contactez votre
administrateur systeme.

Un detail important : cette methode est une liste noire. Vous bloquez ce que vous listez, tout le reste est autorise. Si vous preferez une approche inverse — tout bloquer sauf ce que vous autorisez explicitement — utilisez plutot le parametre Executer uniquement les applications Windows specifiees, juste en dessous dans la meme section.

L'approche "liste blanche" est beaucoup plus restrictive mais aussi beaucoup plus securisee. A vous de choisir selon votre contexte.

On a couvert la moitie des modifications. Les cinq suivantes touchent a la securite et au confort d'utilisation. On continue.

6. Desactiver les notifications toast¶

Les notifications qui apparaissent en bas a droite de l'ecran (ou en haut a droite sur Windows 11) peuvent etre utiles au quotidien. Mais sur un PC de presentation, un kiosque ou simplement si elles vous distraient, cette strategie les fait taire.

Imaginez : vous etes en pleine presentation devant des clients. Votre ecran est projete. Et la, une notification Teams s'affiche avec un message de votre collegue qui dit "T'as vu la tete du directeur ce matin ?". Voila pourquoi ce parametre existe.

Le terme toast vient du fait que ces notifications "sautent" du bas de l'ecran (ou du haut sur Windows 11) comme un toast qui sort du grille-pain. Oui, c'est vraiment l'origine du nom. Les developpeurs Microsoft avaient le sens de l'humour ce jour-la.

Ce parametre est le favori des administrateurs qui gerent des salles de reunion ou des postes de demonstration. Zero distraction, zero risque de message embarrassant.

On entre maintenant dans le domaine de la securite. Les quatre dernieres modifications sont celles que tout administrateur systeme connait par coeur. Elles sont un peu plus "serieuses" que les precedentes — on touche aux mots de passe, au verrouillage de session, a l'acces au registre — mais elles restent tout aussi simples a mettre en place.

La securite, ca n'a pas besoin d'etre complique. Souvent, quelques parametres bien choisis suffisent a couvrir 80% des risques courants. Et les quatre modifications qui suivent font partie de ces "quelques parametres".

7. Forcer le verrouillage de session apres inactivite¶

Vous quittez votre poste pour un cafe et vous oubliez de verrouiller votre session ? Cette strategie le fait pour vous. Apres un certain temps d'inactivite — pas de mouvement de souris, pas de frappe clavier — Windows verrouille automatiquement l'ecran.

C'est un classique absolu de la securite en entreprise. Meme si l'utilisateur oublie de taper Win+L avant de quitter son poste, la session se verrouille toute seule.

Ce parametre se trouve dans la branche Configuration ordinateur. Il s'applique donc a tous les utilisateurs de la machine, quel que soit le compte connecte. C'est exactement le comportement souhaite : la securite ne devrait pas dependre de la bonne volonte de chaque utilisateur.

Vous aurez peut-etre remarque que ce parametre ne se trouve pas dans "Modeles d'administration" comme les precedents, mais dans "Parametres Windows → Parametres de securite". C'est une section differente de gpedit, dediee aux reglages de securite. L'interface est un peu differente (pas d'onglet "Expliquer"), mais le principe reste le meme.

8. Empecher les utilisateurs d'acceder au registre¶

Le registre Windows est un outil puissant — mais aussi un outil dangereux entre de mauvaises mains. Cette strategie bloque l'acces a regedit.exe pour les utilisateurs qui n'en ont pas besoin.

Si vous avez des utilisateurs qui aiment "optimiser" leur PC en suivant des tutoriels trouves sur Internet — du genre "supprimez cette cle pour booster votre PC de 300%" — ce parametre pourrait vous eviter bien des appels au support et des reinstallations le vendredi a 17h.

L'edition du Registre a ete desactivee par votre
administrateur.

Petite subtilite : l'option "Desactiver l'execution silencieuse de regedit" merite votre attention. Si vous la laissez sur Non, un utilisateur pourrait toujours importer un fichier .reg en double-cliquant dessus — les modifications du registre contenues dans le fichier seraient appliquees sans que regedit ne s'ouvre visuellement. Mettez-la sur Oui pour un blocage complet.

C'est une distinction importante. "L'execution silencieuse" designe l'importation de fichiers .reg via la ligne de commande (regedit /s fichier.reg) ou par double-clic, sans que l'interface graphique de regedit ne s'ouvre. Les modifications du registre sont appliquees en arriere-plan, sans aucune confirmation. Bloquer uniquement l'interface graphique tout en laissant l'importation silencieuse active, c'est comme fermer la porte d'entree tout en laissant la fenetre grande ouverte.

Plus que deux modifications. La suivante est la plus complete de toutes — elle regroupe plusieurs parametres dans une meme section. Et la derniere est celle que tout le monde attend avec impatience.

9. Configurer la politique de mot de passe¶

Soyons honnetes : la plupart des utilisateurs choisissent des mots de passe lamentables. "123456", "motdepasse", "azerty", le prenom du chien, la date de naissance du petit dernier... Vous connaissez la chanson.

Les statistiques sont sans appel : les mots de passe les plus utilises au monde restent "123456", "password" et "qwerty" — et ce, annee apres annee. Dans une entreprise, un seul mot de passe faible peut compromettre tout le reseau. Un attaquant n'a besoin que d'un point d'entree. Cette section de gpedit regroupe plusieurs parametres pour imposer une politique de mots de passe solide.

Contrairement aux modifications precedentes qui sont de simples interrupteurs, celle-ci est une famille de parametres qui travaillent ensemble pour definir une politique coherente. On va les configurer un par un.

Voici les parametres disponibles dans cette section et les valeurs recommandees :

Pourquoi une duree de vie minimale de 1 jour ? C'est pour empecher un utilisateur malin de changer son mot de passe 5 fois de suite pour "epuiser" l'historique et remettre son ancien mot de passe. Avec un delai d'un jour entre chaque changement, cette ruse devient tres penible.

Derniere modification, et pas des moindres. Celle-ci, c'est celle qui sauvera votre travail non sauvegarde un jour ou l'autre.

10. Desactiver le redemarrage automatique apres mise a jour¶

On a tous vecu ca au moins une fois. Certains d'entre nous l'ont vecu plusieurs fois. Et certains ont appris la dure lecon avec un document important non sauvegarde.

Voici le scenario : vous etes en plein travail. Vous partez cinq minutes chercher un cafe. Quand vous revenez, votre ecran affiche "Mise a jour en cours... ne pas eteindre votre ordinateur". Travail non sauvegarde ? Perdu. Onglets de navigateur ? Disparus. Bonne humeur ? Evaporee.

Le pire, c'est que Windows vous avait prevenu. Mais la notification etait apparue pendant votre pause dejeuner, et le compte a rebours s'est ecoule sans que vous la voyiez. Quand vous etes revenu, le redemarrage etait deja en cours.

Ce scenario est tellement courant qu'il a engendre des milliers de memes sur Internet. Et une strategie de groupe pour y remedier.

Cette strategie empeche ce scenario cauchemardesque. Les mises a jour continuent a s'installer normalement, mais c'est vous qui choisissez le moment du redemarrage. Plus de surprise.

Le chemin de navigation pour ce parametre est assez long. Si vous avez du mal a le trouver, voici une astuce : dans gpedit.msc, vous pouvez utiliser le filtre. Cliquez sur Action → Filtrage... et cherchez les mots "redemarrage automatique" pour trouver le parametre plus rapidement.

Ce parametre est un favori absolu des utilisateurs avances. C'est souvent le tout premier qu'on active sur une nouvelle installation de Windows.

Tableau recapitulatif¶

Vous avez traverse les 10 modifications. Bravo ! Voici un tableau qui resume tout en un coup d'oeil. Gardez-le sous la main comme reference rapide :

Quelques observations sur ce tableau :

• 6 modifications sur 10 se trouvent dans la branche Configuration utilisateur. Ce sont celles qui controlent le comportement d'un profil specifique. Si vous faites une erreur, vous pouvez toujours vous connecter avec un autre compte pour corriger.
• 4 modifications se trouvent dans la branche Configuration ordinateur. Elles affectent le systeme pour tous les utilisateurs de la machine. Soyez un peu plus prudent avec celles-ci.
• La plupart sont de difficulte — un simple clic suffit. Seule la politique de mot de passe () demande de configurer plusieurs parametres.
• Les modifications demandent de saisir des informations supplementaires (liste de programmes, chemin d'image, option de configuration).

Si vous debutez, commencez par les modifications pour vous familiariser avec l'interface. Une fois a l'aise, passez aux puis aux .

Vous pouvez aussi imprimer ce tableau ou le garder en signet — c'est une reference utile quand on veut retrouver rapidement un parametre.

Et surtout : toutes ces modifications sont reversibles. Il suffit de remettre le parametre sur Non configure pour retrouver le comportement par defaut de Windows.

Et apres ?¶

Vous avez maintenant 10 modifications concretes dans votre boite a outils. Mais gpedit.msc contient des milliers de parametres. Ceux qu'on a vu ici ne sont que la partie emergee de l'iceberg.

Quelques pistes pour aller plus loin par vous-meme :

• Explorez les descriptions : dans gpedit, quand vous double-cliquez sur un parametre, l'onglet Expliquer (ou Commentaire selon la version de Windows) contient une description detaillee de ce que fait le parametre, quelles versions de Windows le supportent, et quels sont les effets de chaque option. Lisez-la, c'est une mine d'informations souvent meconnue.
• Commencez par "Configuration utilisateur" : les parametres utilisateur sont moins risques que les parametres ordinateur. Si quelque chose tourne mal, il suffit de se connecter avec un autre compte pour corriger. C'est votre filet de securite.
• Ne touchez pas a ce que vous ne comprenez pas : c'est la regle d'or. Si la description d'un parametre ne vous parle pas, laissez-le tranquille. Mieux vaut un parametre non configure qu'un parametre mal configure.
• Testez sur un compte secondaire : si vous avez peur de casser quelque chose, creez un compte utilisateur local de test. Appliquez vos modifications dessus, verifiez le resultat, et seulement ensuite appliquez au compte reel. C'est la methode utilisee par les professionnels — meme les administrateurs experimentes testent avant de deployer en production.

Date : 2025-01-15
Parametre : Verrouillage apres inactivite
Chemin : Config ordinateur > Parametres Windows > Securite > Options de securite
Etat avant : 0
Etat apres : 900
Raison : Securisation du poste d'accueil

Date : 2025-01-20
Parametre : Longueur minimale du mot de passe
Chemin : Config ordinateur > Parametres Windows > Securite > Strategie de mot de passe
Etat avant : 0
Etat apres : 12
Raison : Renforcement de la politique de securite
```

Ce petit reflexe vous fera gagner des **heures** de diagnostic le jour ou quelque chose ne fonctionne plus comme prevu. Un probleme apparait ? Consultez votre journal, identifiez la derniere modification, annulez-la, et testez a nouveau.

gpresult /h C:\Users\%USERNAME%\Desktop\rapport-gpo.html

Vous avez desormais 10 modifications concretes sous la main, un journal pour les suivre, la commande gpupdate /force pour appliquer vos changements immediatement, et la commande gpresult pour les retrouver. Pas mal pour un seul chapitre, non ?

Dans le chapitre suivant, on quitte le monde du PC local pour decouvrir la console de gestion des strategies de groupe (GPMC) — l'outil qui permet de gerer les GPO a l'echelle d'un domaine Active Directory. On passera de la gestion d'un seul PC a la gestion de centaines de machines.

C'est le grand saut. Mais avec les bases solides que vous venez d'acquerir dans ce chapitre — naviguer dans gpedit, activer des parametres, verifier les effets, annuler proprement — vous avez tous les reflexes necessaires pour aborder la suite sereinement.