J’ai vu ça échouer chez au moins 15 PME rennaises rien que cette année : le dirigeant attend le dernier trimestre avant la fin du support de Windows 10, lance le Media Creation Tool sur ses postes de 2016, et découvre en pleine mise à jour que la moitié du parc refuse tout net. Le message est toujours le même : « Ce PC ne peut pas exécuter Windows 11. » Et là, panique, appels en urgence, devis de remplacement à cinq chiffres négociés en 48 heures dans de mauvaises conditions. On peut faire beaucoup mieux, à condition de s’y prendre trois mois avant, pas trois jours.
Le contexte, pour ceux qui n’ont pas suivi : Microsoft a arrêté le support gratuit de Windows 10 en octobre 2025. Au-delà, c’est soit la bascule vers Windows 11, soit le programme ESU (Extended Security Updates) qui vous vend un sursis d’un an, facturé et limité. J’ai eu ce débat avec un client de Saint-Grégoire, douze salariés, qui pensait que l’ESU était une solution pérenne. Ce n’est pas un plan, c’est un pansement. Ça achète du temps, pas de la sécurité durable, et le coût par poste grimpe chaque année du programme. Autant l’utiliser pour organiser une vraie migration plutôt que pour repousser indéfiniment un problème qu’on connaît depuis 2021, date d’annonce des specs de Windows 11.
Ce que fait réellement le Media Creation Tool (et ce qu’il ne fait pas)
Le Media Creation Tool, c’est l’utilitaire officiel de Microsoft, gratuit, qui télécharge l’image ISO de Windows 11 et la transforme en clé USB bootable ou en support d’installation direct. Rien de plus, rien de moins. Ce n’est pas un outil de diagnostic de compatibilité, ce n’est pas un outil de migration de données, et ce n’est certainement pas la baguette magique que certains prestataires vous vendent en facturant une « prestation de modernisation du parc » à 400 € par poste pour appuyer sur un bouton.
Concrètement : vous téléchargez l’outil depuis le site officiel Microsoft (jamais un site tiers, jamais un lien reçu par email — c’est la porte d’entrée numéro un des malwares déguisés en outils système), vous avez besoin d’une clé USB d’au moins 8 Go, et d’une connexion correcte parce que l’ISO pèse autour de 5 à 6 Go selon la version. Sur la fibre d’un bureau standard, comptez 15 à 20 minutes. Sur une connexion ADSL résiduelle en zone rurale — j’en ai encore trois clients en Ille-et-Vilaine dans ce cas — comptez plutôt une heure, et testez-le un jour sans visioconférence en cours.
Le piège TPM 2.0 : le vrai sujet que personne ne détaille assez
Voici où ça bloque en pratique. Windows 11 exige un module TPM (Trusted Platform Module) en version 2.0 activé, plus un processeur figurant sur la liste de compatibilité Microsoft, plus le Secure Boot activé au niveau du BIOS/UEFI. Le TPM, en deux mots, c’est une puce de sécurité qui stocke des clés de chiffrement et vérifie l’intégrité du démarrage de la machine — un composant que personne n’achetait pour lui-même avant 2021, donc absent ou désactivé par défaut sur une bonne partie du parc professionnel antérieur à 2018.
Chez un client de Cesson-Sévigné, 22 postes au total : le diagnostic a montré que 9 postes, achetés entre 2015 et 2017, n’avaient tout simplement pas de puce TPM physique, et 4 autres avaient un TPM 2.0 présent mais désactivé dans le BIOS — donc récupérables sans changer le matériel. Sur les 9 bloqués en dur, le remplacement complet (poste + install + migration des données) est revenu à 780 € en moyenne par machine, soit 7 020 € pour l’ensemble. Face à ça, l’option ESU sur ces 9 postes coûtait 61 € par machine la première année, avec un doublement annoncé chaque année suivante. Autrement dit : l’ESU n’est rentable que si vous l’utilisez comme sas de 12 à 18 mois pour étaler le remplacement, pas comme solution à trois ans.
Attention à un point que beaucoup de dirigeants ignorent : certains outils circulant sur des forums permettent de contourner la vérification TPM et d’installer Windows 11 sur du matériel non certifié. Je le dis clairement à mes clients : ne le faites jamais sur un poste professionnel. Microsoft a clairement indiqué que ces machines ne recevront pas nécessairement les mises à jour de sécurité de la même manière, et vous vous retrouvez avec un système non supporté, sans documentation, sur un poste qui gère potentiellement des données clients ou comptables. La sécurité qu’apporte justement le TPM, vous venez de la désactiver pour gagner six mois. C’est l’inverse de l’objectif.
Comment vérifier avant d’agir, pas après
Avant même d’ouvrir le Media Creation Tool, l’outil PC Health Check de Microsoft (gratuit, séparé) vous dit en 30 secondes si un poste est compatible ou non, et surtout pourquoi il ne l’est pas — TPM absent, processeur trop ancien, Secure Boot désactivé. Sur les 4 postes de Cesson-Sévigné où le TPM était juste désactivé, la bascule dans le BIOS a pris 10 minutes par machine, zéro euro de matériel. C’est le genre de vérification qu’un prestataire pressé ne fait jamais parce que ça ne se facture pas cher, alors que ça change complètement le budget final.
Une fois la compatibilité confirmée poste par poste, la clé USB créée par le Media Creation Tool permet une mise à niveau sur place, avec conservation des fichiers et applications si vous le choisissez au lancement de l’installation — mais je recommande systématiquement une sauvegarde complète avant, sur un support externe, indépendamment de cette option. J’ai vu une mise à niveau plantée à 73 % chez un cabinet comptable de Vitré, faute de place disque suffisante ; sans sauvegarde préalable, ça aurait été deux jours de facturation clients perdus, pas juste une mise à jour ratée.
Alors, la vraie question à se poser n’est pas « quel outil pour installer Windows 11 ? » — c’est : combien de mes postes sont réellement bloqués par le TPM, et le coût de leur remplacement est-il inférieur à deux ans d’ESU cumulés ? Tant que vous n’avez pas ce chiffre noir sur blanc, tout devis de migration est une estimation à l’aveugle.
Mon conseil pour demain matin : lancez PC Health Check sur chaque poste de votre parc avant de commander quoi que ce soit, listez les postes réellement bloqués par le matériel versus ceux juste mal configurés dans le BIOS, chiffrez les deux scénarios (remplacement immédiat vs ESU transitoire), et ne touchez au Media Creation Tool que sur les machines déjà confirmées compatibles. Je sais que ce n’est pas le discours pressé qu’on vous sert pour vendre un renouvellement de parc complet, mais c’est ce qui évite de payer deux fois — une fois en urgence, une fois pour rien.