Depuis Proxmox VE 9.2, un avertissement Secure Boot peut apparaître au démarrage de vos machines virtuelles, et il ne faut pas l’ignorer. Ce message signale que le disque EFI de la VM ne contient pas encore les nouveaux certificats UEFI émis par Microsoft en 2023, alors que les anciens certificats de 2011 ont commencé d’expirer depuis juin 2026.
Ce scénario est courant aussi bien dans un homelab, où l’on fait tourner quelques VM Windows ou Linux sur un serveur Proxmox, qu’en production, où des VM Windows Server installées de longue date se retrouvent avec un disque EFI vieillissant. Dans les deux cas, tant que rien n’est fait, la VM continue de démarrer normalement, ce qui donne un faux sentiment de sécurité. Surtout, comme je viens de le mentionner, ce changement impacte autant les VM Windows que Linux, même s’il est question de certificats Microsoft.
Dans cet article, je vous propose de voir comment enrôler les certificats Secure Boot 2023 sur vos VM Proxmox. Si le sujet d’expiration des certificats du Secure Boot ne vous est pas encore familier, je vous recommande de commencer par la lecture de cet article dédié : anticiper la mise à jour des certificats Secure Boot en 2026.
Pourquoi enrôler les certificats Secure Boot 2023 sur Proxmox
Le Secure Boot est une fonctionnalité du firmware UEFI qui vérifie la signature numérique des composants chargés au démarrage, afin d’empêcher l’exécution d’un bootkit ou d’un rootkit avant le système d’exploitation. Pour valider ces signatures, l’UEFI s’appuie sur une base de certificats de confiance. Le problème, c’est que plusieurs certificats émis par Microsoft en 2011 arrivent à expiration en 2026, à des dates échelonnées. Ils sont remplacés par de nouveaux certificats émis en 2023, valides jusqu’en 2035 et au-delà.
Microsoft Corporation KEK CA 2011 : expiré depuis le 24 juin 2026.
Microsoft Corporation UEFI CA 2011 : expiré depuis le 27 juin 2026.
Microsoft Windows Production PCA 2011 : expiration le 19 octobre 2026.
Sur une machine physique récente, le firmware de la carte mère embarque déjà ces nouveaux certificats, ou les reçoit via Windows Update. Sur Proxmox VE, la situation est différente : le firmware d’une VM (OVMF) et son magasin de variables EFI sont figés dans un disque EFI dédié, créé au moment de la configuration de la machine virtuelle. Si ce disque EFI a été généré avant l’intégration des certificats 2023, il ne contient que les certificats de 2011.
L’avertissement affiché par Proxmox VE 9.2
Proxmox VE 9.2, disponible depuis le 21 mai 2026, a introduit un mécanisme de contrôle qui vérifie l’état des certificats à chaque démarrage d’une VM disposant d’un disque EFI avec clés pré-inscrites. Lorsque les certificats 2023 sont absents, un message de ce type s’affiche.
WARN: EFI disk without ‘ms-cert=2023k’ option, suggesting that not all
UEFI 2023 certificates from Microsoft are enrolled yet.
Cela signifie que Proxmox surveille désormais ce petit détail à votre place, et qu’il vous invite à agir. C’est une bonne chose, mais il faut agir.
Ce que signifie le marqueur ms-cert=2023k
Proxmox ajoute un marqueur à la ligne du disque EFI dans la configuration de la VM, pour indiquer quel jeu de certificats est inscrit. Trois valeurs sont possibles, et il est utile de bien les distinguer.
ms-cert=2023k : l’inscription est complète. Le disque EFI contient les certificats Microsoft et Windows UEFI CA 2023 dans la base de signatures (DB), ainsi que la clé Microsoft KEK 2023. C’est l’état recherché.
ms-cert=2023w ou ms-cert=2023 : l’enrôlement est partiel. Les autorités de certification 2023 sont présentes, mais la clé KEK 2023 manque encore. Une réinscription est nécessaire pour avoir l’état complet.
Aucun marqueur : seul le jeu de certificats de 2011 est présent.
Le marqueur ms-cert=2023k est apparu avec Proxmox VE 9.2 justement pour distinguer l’enrôlement complet, KEK comprise, des états partiels antérieurs. Pour vérifier l’état d’une VM, il suffit d’afficher sa configuration.
qm config
Ici, nous voyons bien qu’un disque EFI est utilisé car il y a la mention efidisk0.
Prérequis
Avant de vous lancer, assurez-vous de respecter les prérequis suivants :
Un serveur Proxmox VE à jour, en version 9.2 ou supérieure, afin de bénéficier de l’action d’enrôlement dans l’interface web et de l’enrôlement de la KEK 2023.
Une VM configurée avec un disque EFI et le Secure Boot. Si votre VM n’utilise pas de disque EFI avec clés pré-enrôlées, il n’y a rien à enrôler et l’avertissement ne vous concerne pas.
Un accès administrateur à l’hôte Proxmox (interface web ou shell root sur le nœud) et au système invité Windows.
Une sauvegarde ou un instantané de la VM avant toute manipulation du disque EFI. C’est une précaution simple qui vous permettra de revenir en arrière en cas de problème.
Si vous débutez avec cette solution, notre guide pour bien débuter avec Proxmox VE pose les bases de l’installation et de la création d’une première VM. Pour la partie invité Windows, notre tutoriel pour créer une VM Windows 11 sur Proxmox VE détaille la configuration OVMF, TPM et UEFI.
La première partie de l’opération consiste à injecter les certificats 2023 dans le disque EFI de la VM, depuis l’hôte Proxmox. Deux méthodes sont possibles, l’interface web et la ligne de commande, pour un résultat identique. Dans les deux cas, la VM doit être arrêtée, car le disque EFI ne peut pas être modifié pendant que la machine tourne.
Via l’interface web
Côté hôte Proxmox, arrêtez la VM concernée, puis effectuez cette action : Hardware > EFI Disk > Disk Action > Enroll Updated Certificates.
Validez l’opération. S’il s’agit d’une machine Windows et que BitLocker est activé, lisez bien l’avertissement. Et surtout, veillez à bien disposer de la clé de récupération BitLocker avant de continuer.
On voit bien que Proxmox VE a effectué un changement sur le disque (ligne en orange sur l’image ci-dessous). Si ce n’est pas très lisible, voici la ligne avant/après :
local-lvm:vm-201-disk-0,efitype=4m,pre-enrolled-keys=1,size=4M
local-lvm:vm-201-disk-0,efitype=4m,ms-cert=2023k,pre-enrolled-keys=1,size=4M
Proxmox met alors à jour le disque EFI et ajoute le marqueur ms-cert=2023k à la configuration. Vous pouvez ensuite redémarrer la VM.
Via la ligne de commande
Pour ceux qui préfèrent le shell, ou pour scripter l’opération sur plusieurs VM, la commande qm enroll-efi-keys fait exactement la même chose. Connectez-vous en SSH au nœud, ou ouvrez la console du nœud depuis l’interface web.
Voici la commande intégrée à Proxmox VE 9.2 pour inscrire les certificats UEFI CA 2023 dans le disque EFI de la VM. Remplacez simplement le bloc vmid par l’identifiant de la VM ciblée.
qm enroll-efi-keys
Quand c’est fait, lancez la VM.
Cette étape se limite à préparer le firmware virtuel. Pour un système invité Linux, elle suffit généralement, car le certificat 2023 est désormais présent dans la base de confiance de l’UEFI. Pour Windows, en revanche, une seconde phase est nécessaire à l’intérieur du système, comme nous allons le voir.
Finaliser la mise à jour côté Windows
Le système d’exploitation Windows doit lui aussi appliquer la mise à jour dans son environnement UEFI actif, via un mécanisme de servicing dédié.
Le registre AvailableUpdates et la tâche Secure-Boot-Update
Windows s’appuie sur une valeur de registre nommée AvailableUpdates, située sous la clé suivante :
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot
Cette valeur indique à Windows quelles actions de mise à jour du Secure Boot appliquer. Elle est complétée par une tâche planifiée chargée d’exécuter les actions. On la trouve dans le Planificateur de tâches à cet emplacement : \Microsoft\Windows\PI\Secure-Boot-Update.
Pour déclencher le déploiement complet des certificats 2023 et le passage au gestionnaire de démarrage signé en 2023, Microsoft indique qu’il faut utiliser la valeur 0x5944. J’en avais parlé dans mon article dédié à ce changement.
Si vous souhaitez auditer l’état de votre machine avant de commencer, vous pouvez accéder à l’application Sécurité Windows. Elle intègre désormais une section qui indique précisément l’état de la mise à jour des certificats. Vous pouvez aussi exécuter les deux commandes ci-dessous, elles listent les certificats, ce qui permet de voir si ceux de 2023 sont présents.
# Certificats de la base DB avec leurs dates de validité
Get-SecureBootUEFI -Name db -Decoded | Select-Object Subject, ValidFrom, ValidTo | Format-Table -AutoSize
# Clés d’échange de clés
Get-SecureBootUEFI -Name KEK -Decoded | Select-Object Subject, ValidFrom, ValidTo | Format-Table -AutoSize
Note : le paramètre -Decoded a été ajouté par la mise à jour cumulative du 14 avril 2026. Sur une machine plus ancienne, la commande retourne une erreur de paramètre. Vous pouvez alors utiliser Get-SecureBootUEFI -Name db seul, qui renvoie les données brutes.
Par exemple :
Ouvrez une console PowerShell en administrateur et exécutez les commandes suivantes.
La première commande à exécuter demande le déploiement complet des certificats 2023 et du Boot Loader signé en 2023.
Set-ItemProperty -Path “HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot” -Name “AvailableUpdates” -Value 0x5944
La seconde commande exécute immédiatement la tâche de mise à jour (sinon elle tourne toutes les 12 heures).
Start-ScheduledTask -TaskName “\Microsoft\Windows\PI\Secure-Boot-Update”
Il faut ensuite redémarrer la VM, souvent à deux reprises, pour que les certificats soient réellement inscrits dans le firmware. La suite de l’article détaille chaque étape et vous explique comment vérifier le résultat.
Suivre la progression de la mise à jour
La mise à jour ne se termine pas en une seule passe. Après l’exécution de la tâche, la valeur AvailableUpdates évolue au fil des redémarrages, ce qui permet de suivre l’avancement.
La valeur passe d’abord de 0x5944 à 0x4100. À ce stade, un redémarrage est requis.
Après le redémarrage, relancez la tâche Secure-Boot-Update. Le gestionnaire de démarrage est alors mis à jour et la valeur devient 0x4000.
Une fois la valeur stabilisée à 0x4000, la mise à jour est aboutie.
Vous pouvez également suivre l’état via des clés de registre de suivi introduites avec les mises à jour Windows de fin 2025, sous HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\.
La commande ci-dessous est d’ailleurs destinée à afficher l’état d’avancement de l’application du certificat UEFI CA 2023.
Get-ItemProperty -Path “HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\” -Name UEFICA2023Status | Select-Object UEFICA2023Status
UEFICA2023Status
—————-
Updated
Cas particulier de BitLocker
Si le chiffrement BitLocker est actif sur le disque système de la VM Windows, une modification du Secure Boot peut déclencher une demande de clé de récupération au démarrage. Pour éviter cette situation, désactivez temporairement les protecteurs BitLocker avant de lancer la procédure.
manage-bde -protectors -disable C:
Les protecteurs se réactivent automatiquement au redémarrage suivant. Pensez tout de même à garder votre clé de récupération BitLocker à portée de main, par sécurité. Cette précaution vaut aussi bien pour un poste Windows 11 que pour un serveur Windows Server sur lequel BitLocker protège le volume système.
Et pour les VM Linux ?
Les VM Linux ne sont pas épargnées par cette transition, mais la marche à suivre est plus simple. Les distributions qui utilisent le Secure Boot s’appuient sur un composant appelé shim, signé par Microsoft. Lorsque ce shim sera signé uniquement avec le certificat UEFI CA 2023, une VM dont le disque EFI ne connaît que les certificats de 2011 refusera de démarrer avec le Secure Boot activé.
La bonne nouvelle est que l’enrôlement effectué sur l’hôte Proxmox, avec qm enroll-efi-keys ou l’action équivalente dans l’interface web, suffit pour ajouter le certificat Microsoft UEFI CA 2023 à la base de confiance de la VM Linux. Il n’y a pas d’équivalent de la manipulation du registre Windows à réaliser dans le système invité. Après l’enrôlement côté hôte et un redémarrage, la VM est prête à démarrer un shim signé en 2023.
Conclusion
La gestion des certificats Secure Boot est une opération à entreprendre dès maintenant si ce n’est pas déjà fait. Il est important de vérifier l’état de vos machines virtuelles afin de ne pas remettre en question la sécurité du Secure Boot à cause d’une histoire de certificats. La bonne nouvelle, c’est que Proxmox VE est déjà prêt pour cette transition, comme nous l’avons vu dans cet article.
En effet, l’hôte Proxmox fournit les autorités Windows et Microsoft UEFI CA 2023 ainsi que la clé KEK 2023, ce que résume le marqueur ms-cert=2023k. Windows apporte ensuite le certificat Option ROM UEFI CA 2023 et remplace le gestionnaire de démarrage. Aucune des deux phases ne se suffit à elle-même sur une VM Windows.
Pour aller plus loin :
FAQ
Pourquoi Proxmox affiche-t-il un avertissement Secure Boot au démarrage d’une VM ?
Depuis Proxmox VE 9.2, l’hôte vérifie à chaque démarrage si le disque EFI d’une VM contient les certificats UEFI Microsoft 2023. Si seuls les certificats de 2011 sont présents, un avertissement indique l’absence du marqueur ms-cert=2023k. Il invite à enrôler les nouveaux certificats avant l’expiration des anciens en 2026 (ce qui est déjà le cas puisqu’ils sont expirés depuis juin 2026).
Que signifie le marqueur ms-cert=2023k dans la configuration d’une VM Proxmox ?
Ce marqueur, ajouté à la ligne du disque EFI, indique que l’enrôlement des certificats 2023 est complet. Le disque EFI contient alors les autorités Microsoft et Windows UEFI CA 2023 dans la base DB, ainsi que la clé KEK 2023. Les valeurs ms-cert=2023w ou ms-cert=2023 correspondent à un enrôlement partiel, sans la KEK.
Mes VM vont-elles cesser de démarrer si je n’enrôle pas les certificats 2023 ?
Pas immédiatement. Une VM dont le disque EFI ne connaît que les certificats de 2011 continue de démarrer tant que son chargeur d’amorçage reste signé avec ces certificats. Le blocage survient le jour où le bootloader est signé uniquement avec le certificat 2023, par exemple après une mise à jour majeure de Windows ou du shim Linux. L’anticipation évite ce blocage.
La commande qm enroll-efi-keys nécessite-t-elle d’arrêter la VM ?
Oui. Le disque EFI d’une machine virtuelle ne peut pas être modifié pendant son exécution. Vous devez donc arrêter la VM avant de lancer qm enroll-efi-keys, ou avant d’utiliser l’action Enroll Updated Certificates dans l’interface web. La VM peut être redémarrée une fois l’enrôlement terminé.
L’enrôlement côté hôte Proxmox suffit-il pour Windows ?
Non. L’enrôlement côté hôte injecte les certificats dans le disque EFI, mais Windows doit ensuite appliquer la mise à jour dans son environnement UEFI actif. Cela passe par la valeur de registre AvailableUpdates réglée sur 0x5944 et l’exécution de la tâche planifiée Secure-Boot-Update, suivies de plusieurs redémarrages.
Comment vérifier que les certificats 2023 sont bien appliqués sous Windows ?
Consultez l’application Sécurité Windows puisqu’elle contient une section dédiée pour afficher l’état du Secure Boot. Sinon, passez par le Registre et regardez la clé UEFICA2023Status sous HKLM\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing, et vérifiez que la valeur AvailableUpdates est définie sur 0x4000. Dans le journal d’événements système, la disparition de l’événement 1801 confirme que les certificats mis à jour ont bien été appliqués au firmware.
Que faire si BitLocker est activé sur la VM Windows ?
Désactivez temporairement les protecteurs BitLocker avant la procédure, avec la commande manage-bde -protectors -disable C:, en adaptant la lettre du lecteur. Cela évite une demande de clé de récupération liée à la modification du Secure Boot. Les protecteurs se réactivent au redémarrage suivant.
Les VM Linux sont-elles concernées par cette mise à jour ?
Oui, dès lors qu’elles utilisent le Secure Boot avec un shim signé par Microsoft. Lorsque ce shim sera signé uniquement avec le certificat UEFI CA 2023, une VM ne connaissant que les certificats de 2011 refusera de démarrer. L’enrôlement effectué sur l’hôte Proxmox suffit dans la plupart des cas, sans manipulation à réaliser dans le système invité.
Dois-je désactiver le Secure Boot pour éviter ce problème ?
Ce n’est pas conseillé. Le Secure Boot protège la VM contre les bootkits et rootkits qui se chargent avant le système d’exploitation. Le désactiver pour contourner l’enrôlement reviendrait à supprimer une protection bas niveau importante. Il est préférable d’enrôler les certificats 2023, ce qui règle le problème durablement tout en conservant la sécurité.
Cette procédure fonctionne-t-elle pour Windows Server sur Proxmox ?
Oui. La démarche est identique pour une VM Windows Server disposant d’un disque EFI avec Secure Boot. Vous enrôlez les certificats côté hôte Proxmox, puis vous appliquez la mise à jour dans le système via AvailableUpdates et la tâche Secure-Boot-Update. Pensez à gérer BitLocker si le volume système est chiffré.
Cofondateur d’IT-Connect et Microsoft MVP “Cloud and Datacenter Management”. Mon obsession depuis près de 15 ans ? Rendre l’administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu’un métier, l’IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.