Installation Windows : cauchemars d’activation — la solution propre sans réinstaller

Ce que vérifie réellement l’activation Windows (et pourquoi elle échoue)

L’activation n’est pas une impression. C’est un ensemble d’affirmations de licence validées par Windows et (généralement) par les services d’activation de Microsoft ou l’infrastructure d’activation de votre organisation (activation KMS/AD). Lorsqu’elle échoue, c’est presque toujours parce que l’un des éléments suivants est en discordance :

• Mauvais édition : vous avez installé Pro alors que vous possédez Home, ou installé Enterprise sans licence en volume appropriée.
• Mauvais canal : OEM vs Retail vs Volume (KMS/MAK) ne correspond pas à la clé installée et au chemin d’activation attendu.
• Changement d’identité matérielle : le « périphérique » que Microsoft reconnaît n’est pas celui que vous avez maintenant (les changements de carte mère sont le coupable habituel).
• Clé bloquée/surexploitée : les clés retail sont transférables mais pas indéfiniment ; les MAK ont des limites de comptage d’activation ; certaines clés sont mises sur liste noire.
• Problèmes de temps, DNS ou réseau : si la machine ne peut pas atteindre le service d’activation nécessaire, vous obtiendrez de faux signaux de « clé invalide ».
• Corruption du magasin de licences : rare, mais réel — surtout après imagerie, instantanés ou outils de « nettoyage » agressifs.
• Mauvaise cible d’activation : une clé client KMS sur une machine qui n’est pas sur le réseau d’entreprise, ou une clé retail sur une build Enterprise jointe au domaine.

En interne, Windows suit l’état de la licence via le service Software Protection Platform (sppsvc), un magasin de licences (souvent vu comme tokens.dat), les informations de clé produit installée et la télémétrie qui aide à associer une licence numérique à un ID matériel spécifique. Votre objectif n’est pas de « pirater l’activation ». Votre objectif est d’amener le système à présenter une histoire cohérente.

Une citation qui vieillit bien en exploitation : « L’espoir n’est pas une stratégie. » — Général Gordon R. Sullivan. Le dépannage de l’activation est un endroit parfait pour s’en inspirer.

Blague courte #1 : L’activation Windows, c’est comme la sécurité à l’aéroport : c’est surtout là pour arrêter les tentatives occasionnelles, et ça gâche toujours la matinée de tout le monde.

Playbook de diagnostic rapide (vérifiez ceci en premier)

Voici la séquence « stopper l’hémorragie ». Faites ceci avant de commencer à désinstaller des services, réinitialiser le Store ou réimaginer quoi que ce soit.

Première étape : identifier l’édition + le canal + l’état actuel de la licence

1. Vérifiez l’édition/build (Pro/Home/Enterprise) et confirmez qu’elle correspond à ce que vous possédez ou que votre organisation fournit.
2. Vérifiez le canal d’activation (Retail/OEM/Volume:KMS/Volume:MAK).
3. Vérifiez si Windows pense qu’il est licencié, en période de grâce, en notification ou non licencié.

Deuxième étape : décidez quel chemin d’activation doit s’appliquer

• Périphérique personnel : licence numérique liée au compte Microsoft, clé retail ou clé OEM intégrée au firmware.
• Périphérique d’entreprise : KMS (nécessite une visibilité réseau vers l’hôte KMS), activation basée sur AD (join au domaine + contact DC), ou MAK (activation contre Microsoft, mais gérée).

Troisième étape : confirmez que la machine peut atteindre son autorité d’activation

• Les clients KMS ont besoin de la découverte DNS SRV ou d’une configuration explicite de l’hôte KMS et d’un accès réseau.
• L’activation Microsoft nécessite une connectivité sortante basique, une heure cohérente et l’absence d’un proxy « trop serviable » effectuant un MITM.

Quatrième étape : seulement alors réparez ou réinitialisez les composants de licence

Réparer le magasin de licences est efficace, mais c’est invasif comparé à une erreur de « mauvaise clé » ou « mauvaise édition », que vous pouvez corriger proprement.

Faits intéressants et petite histoire (vous arrêterez de blâmer les fantômes)

• Windows XP a rendu l’activation grand public pour les consommateurs. Avant cela, beaucoup d’installations Windows vivaient sans appel réseau.
• Les clés OEM résident souvent dans le firmware (table ACPI). Les systèmes modernes peuvent les lire automatiquement lors de l’installation sans que vous tapiez quoi que ce soit.
• Les licences numériques sont apparues avec Windows 10, passant de « la clé comme identité » à « le droit du périphérique ». C’est pourquoi une réinstallation sur le même matériel s’active souvent automatiquement.
• KMS existe pour éviter de toucher chaque périphérique. C’est « activer localement, renouveler périodiquement », ce qui est excellent jusqu’à ce que l’ordinateur portable ne retourne jamais sur le réseau d’entreprise.
• Les éditions Enterprise ne sont pas « Pro en mieux » en termes de licence. Elles sont généralement sous licence en volume et ne se comportent pas comme des activations retail.
• Microsoft dispose de plusieurs chemins d’activation : activation en ligne, activation par téléphone (toujours possible), KMS et activation basée sur Active Directory. Une même erreur d’interface peut masquer des échecs sur des chemins différents.
• Les changements matériels sont pondérés. Changer la RAM importe rarement. Changer la carte mère généralement oui. Les changements de stockage peuvent compter selon ce qui a été modifié autour.
• Sysprep et l’imagerie peuvent déclencher la licence s’ils sont mal utilisés. Généraliser au mauvais moment peut créer des flottes d’appareils partageant le même état de licence bizarre.
• Les codes d’erreur d’activation sont souvent trompeurs. Certains codes semblent dire « mauvaise clé » alors que le vrai problème est une discordance d’édition ou un service d’activation injoignable.

Modes de défaillance : licence numérique, clé produit, KMS, MAK, OEM

Licence numérique (Windows 10/11 grand public)

C’est le cas courant du « je ne me rappelle pas d’avoir tapé une clé ». Si Windows était activé sur ce matériel auparavant, Microsoft peut avoir une attribution numérique pour cette combinaison exacte. Si vous avez changé la carte mère, l’attribution peut ne plus correspondre — sauf si vous avez lié l’activation à un compte Microsoft et pouvez utiliser l’Outil de résolution des problèmes d’activation pour réaffecter la licence.

Signes typiques d’échec : erreur d’activation après changement matériel ; Paramètres indique « Windows n’est pas activé » ; erreur comme 0x803F7001 (aucune licence valide trouvée) ou 0xC004F213 (aucune clé produit trouvée) même si ça s’activait auparavant automatiquement.

Clé retail

La clé retail est transférable dans une certaine mesure. Elle est aussi la plus simple à valider avec la sortie de slmgr et l’interface « Changer la clé produit ». Si la clé est déjà utilisée ailleurs, vous devrez peut‑être faire une activation par téléphone ou la retirer de l’autre appareil.

OEM (licence constructeur)

L’OEM est censé rester avec l’appareil d’origine. Sur de nombreux systèmes la clé est intégrée au firmware, ce qui facilite la réinstallation sur le matériel d’origine et complique les choses sur un « presque identique » après un changement de carte mère (sauf si le fournisseur a fourni une carte compatible ou réinjecté la clé).

Licences en volume : KMS

Les clients KMS s’activent auprès d’un hôte KMS et doivent se renouveler périodiquement. Si votre appareil reste hors réseau suffisamment longtemps, il perd l’activation et passe en mode notification. La solution habituelle : le remettre sur un chemin réseau vers KMS, assurer la découverte DNS et exécuter l’activation.

Autre chose : installer une clé client KMS sur une machine qui devrait être retail est une blessure autoinfligée. Cela arrive plus souvent qu’on ne l’admet.

Licences en volume : MAK

Le MAK s’active contre Microsoft, mais est géré par les organisations. L’échec MAK est souvent « limite d’activation atteinte » ou interférence proxy/firewall. Le correctif est souvent administratif : réémettre la clé, augmenter les activations ou arrêter de cloner des images non généralisées.

Tâches pratiques (commandes, sorties, décisions) — la trousse de réparation

Voici des tâches réelles que vous pouvez exécuter sur un système en production. Chacune inclut une commande, une sortie réaliste, ce que cela signifie et la décision suivante. Exécutez les commandes dans une invite de commandes ou PowerShell élevées. (Oui, l’invite ci‑dessous a l’air de Linux. Non, Windows ne s’en soucie pas dans un billet.)

Tâche 1 : Confirmer l’édition et le canal d’installation via DISM

cr0x@server:~$ dism /online /Get-CurrentEdition
Deployment Image Servicing and Management tool
Version: 10.0.22621.1

Image Version: 10.0.22631.3007

Current Edition : Professional

The operation completed successfully.

Ce que cela signifie : Vous exécutez Windows Pro. Si vous possédez Home, l’activation échouera tant que vous ne changerez pas d’édition ou n’utiliserez pas une licence Pro.

Décision : Si l’édition est incorrecte, corrigez l’appariement édition/clé avant de toucher au magasin de licences.

Tâche 2 : Obtenir l’état d’activation détaillé (la commande que tout le monde devrait connaître)

cr0x@server:~$ slmgr /dlv

Software licensing service version: 10.0.22621.1

Name: Windows(R), Professional edition
Description: Windows(R) Operating System, RETAIL channel
Activation ID: 11111111-2222-3333-4444-555555555555
Application ID: 55c92734-d682-4d71-983e-d6ec3f16059f
Partial Product Key: 3V66T
License Status: Notification
Notification Reason: 0xC004F034
Remaining Windows rearm count: 1000
Trusted time: 2/4/2026 10:22:11 AM

Ce que cela signifie : Canal retail, mais actuellement en Notification. La raison suggère que l’activation n’a pas pu être complétée (souvent discordance clé/serveur d’activation, ou mauvaise clé pour l’édition).

Décision : Déterminez le chemin de clé correct (retail vs KMS vs OEM) et validez la connectivité/le temps.

Tâche 3 : Vérification rapide « suis‑je activé ? » (lisible)

cr0x@server:~$ slmgr /xpr
The machine is in notification mode.

Ce que cela signifie : Vous n’êtes pas activé.

Décision : Continuez le diagnostic ; ne supposez pas que « c’est juste cosmétique ». Certaines politiques d’entreprise et fonctions de personnalisation resteront bloquées ; dans certains environnements cela déclenche des alertes de conformité.

Tâche 4 : Récupérer la clé OEM depuis le firmware (si elle existe)

cr0x@server:~$ wmic path softwarelicensingservice get OA3xOriginalProductKey
OA3xOriginalProductKey
VK7JG-NPHTM-C97JM-9MPGT-3V66T

Ce que cela signifie : Le firmware expose une clé OEM. Cela correspond souvent à Home/Pro selon ce qui était fourni.

Décision : Si vous avez remplacé la carte mère et que ceci renvoie vide, vous avez probablement perdu la clé intégrée et devez utiliser votre licence numérique/compte MS, une clé retail ou la remédiation du vendeur.

Tâche 5 : Vérifier que le service Software Protection est en cours

cr0x@server:~$ sc query sppsvc

SERVICE_NAME: sppsvc
        TYPE               : 20  WIN32_SHARE_PROCESS
        STATE              : 4  RUNNING
                                (STOPPABLE, NOT_PAUSABLE, ACCEPTS_SHUTDOWN)
        WIN32_EXIT_CODE    : 0  (0x0)
        SERVICE_EXIT_CODE  : 0  (0x0)
        CHECKPOINT         : 0x0
        WAIT_HINT          : 0x0

Ce que cela signifie : Le service de licence est vivant. S’il est arrêté/désactivé, l’activation ne se comportera pas de manière prévisible.

Décision : S’il n’est pas RUNNING, remettez‑le par défaut et démarrez‑le ; s’il refuse, cherchez une corruption de fichiers système ou un renforcement de politique gone wrong.

Tâche 6 : Vérifier une discordance d’édition via les indices de canal de clé produit

cr0x@server:~$ slmgr /dli

Name: Windows(R), Professional edition
Description: Windows(R) Operating System, VOLUME_KMSCLIENT channel
Partial Product Key: 3V66T
License Status: Notification

Ce que cela signifie : Vous êtes sur Pro mais utilisez une clé client KMS. Sur une machine personnelle hors réseau d’entreprise, ceci ne s’activera jamais.

Décision : Remplacez la clé par la clé retail/OEM appropriée ou rejoignez le réseau/VPN d’entreprise adéquat et pointez vers l’hôte KMS.

Tâche 7 : Supprimer une clé produit incorrectement installée (nettoyer la slate)

cr0x@server:~$ slmgr /upk
Uninstalled product key successfully.

Ce que cela signifie : La clé installée est retirée du système local. Cela ne « supprime » pas votre licence numérique, mais empêche Windows d’essayer la mauvaise clé de façon répétée.

Décision : Utilisez ceci quand la machine est clairement sur le mauvais canal (par ex., clé KMS sur un appareil retail) avant d’installer la bonne clé.

Tâche 8 : Effacer la clé du registre (utile dans des cas d’imagerie)

cr0x@server:~$ slmgr /cpky
Product key from registry cleared successfully.

Ce que cela signifie : Réduit les fuites accidentelles de clé et force une ré‑clé propre. Utile si vous êtes sur le point de remettre la machine à un nouveau propriétaire ou corriger une mauvaise image.

Décision : Faites ceci sur les systèmes où vous suspectez que des clés obsolètes sont réappliquées par l’automatisation ou des images plus anciennes.

Tâche 9 : Installer la clé produit correcte

cr0x@server:~$ slmgr /ipk W269N-WFGWX-YVC9B-4J6C9-T83GX
Installed product key W269N-WFGWX-YVC9B-4J6C9-T83GX successfully.

Ce que cela signifie : Clé acceptée localement. Cela ne garantit pas que l’activation a réussi, seulement que le format et le canal/édition paraissent plausibles.

Décision : Tentez immédiatement l’activation puis inspectez l’état avec /dlv ou /xpr.

Tâche 10 : Forcer une tentative d’activation (et interpréter l’échec)

cr0x@server:~$ slmgr /ato
Activating Windows(R), Professional edition...
Error: 0xC004F074 The Software Licensing Service reported that the computer could not be activated. No Key Management Service (KMS) could be contacted.

Ce que cela signifie : C’est un échec sur le chemin KMS : le client ne peut pas contacter un hôte KMS.

Décision : Pointez vers un hôte KMS et assurez la connectivité/DNS, ou cessez d’utiliser une clé client KMS et passez au type de licence approprié.

Tâche 11 : Découvrir les enregistrements SRV KMS via DNS (réalité d’entreprise)

cr0x@server:~$ nslookup -type=srv _vlmcs._tcp.corp.example
Server:  resolver.corp.example
Address:  10.10.0.53

_vlmcs._tcp.corp.example     SRV service location:
          priority       = 0
          weight         = 0
          port           = 1688
          svr hostname   = kms01.corp.example

Ce que cela signifie : La découverte DNS fonctionne et l’hôte KMS est annoncé.

Décision : Si cela échoue, corrigez le suffixe/liste de recherche DNS, le DNS split‑VPN, ou définissez temporairement l’hôte KMS en dur.

Tâche 12 : Tester la connectivité vers l’hôte KMS

cr0x@server:~$ Test-NetConnection kms01.corp.example -Port 1688
ComputerName           : kms01.corp.example
RemoteAddress          : 10.10.20.15
RemotePort             : 1688
InterfaceAlias         : Ethernet
TcpTestSucceeded       : True

Ce que cela signifie : Le port est joignable. Si l’activation échoue encore, c’est probablement la configuration KMS, la clé client, un décalage horaire ou l’hôte KMS mal licencié/publié.

Décision : Si TcpTestSucceeded est False, ne touchez pas au magasin de licences — corrigez d’abord le routage/firewall/VPN.

Tâche 13 : Définir explicitement l’hôte KMS (quand DNS est cassé ou pour override)

cr0x@server:~$ slmgr /skms kms01.corp.example:1688
Key Management Service machine name set to kms01.corp.example:1688 successfully.

Ce que cela signifie : Le client ciblera cet hôte KMS au lieu de la découverte DNS.

Décision : Utilisez‑le comme solution tactique ; corrigez DNS à long terme pour que les portables ne deviennent pas des « flocons de neige ».

Tâche 14 : Réessayer l’activation KMS

cr0x@server:~$ slmgr /ato
Activating Windows(R), Professional edition...
Product activated successfully.

Ce que cela signifie : L’activation a réussi. Vérifiez qu’elle persiste et que l’intervalle de renouvellement est adapté à votre environnement.

Décision : Suivez avec /xpr et capturez les détails /dlv pour la clôture de l’incident.

Tâche 15 : Vérifier la synchronisation temporelle (parce que la licence déteste les voyages dans le temps)

cr0x@server:~$ w32tm /query /status
Leap Indicator: 0(no warning)
Stratum: 3 (secondary reference - syncd by (S)NTP)
Precision: -23 (119.209ns per tick)
Root Delay: 0.0312500s
Root Dispersion: 0.1193389s
ReferenceId: 0x0A0A0A01 (source IP: 10.10.10.1)
Last Successful Sync Time: 2/4/2026 10:18:42 AM
Source: time01.corp.example
Poll Interval: 10 (1024s)

Ce que cela signifie : Le temps est synchronisé. Si vous voyez « Free-running system clock » ou des temps de sync très anciens, corrigez NTP avant de poursuivre le dépannage d’activation.

Décision : Si l’heure est incorrecte, corrigez‑la et retentez l’activation. Le décalage horaire casse TLS, l’authentification de domaine et parfois les flux d’activation.

Tâche 16 : Réparer les fichiers système (quand les services se comportent mal)

cr0x@server:~$ sfc /scannow
Beginning system scan. This process will take some time.

Beginning verification phase of system scan.
Verification 100% complete.

Windows Resource Protection found corrupt files and successfully repaired them.

Ce que cela signifie : Des fichiers de base étaient corrompus et ont été réparés. Cela peut corriger indirectement des composants de licence cassés.

Décision : Après les réparations SFC, redémarrez, puis revérifiez sppsvc et l’état d’activation.

Tâche 17 : Réparer la santé du magasin de composants (quand SFC n’y arrive pas)

cr0x@server:~$ dism /online /cleanup-image /restorehealth
Deployment Image Servicing and Management tool
Version: 10.0.22621.1

Image Version: 10.0.22631.3007

[==========================100.0%==========================]
The restore operation completed successfully.
The operation completed successfully.

Ce que cela signifie : Le magasin de composants est réparé. Sur des systèmes mal entretenus, c’est souvent la différence entre « l’activation échoue sans cesse » et « l’activation fonctionne après redémarrage ».

Décision : Si DISM échoue, vous faites face à des dégâts OS plus profonds ou à des problèmes de pile de service — l’activation n’est pas votre problème principal.

Tâche 18 : Réinitialiser le magasin de licences (dernier recours, mais parfois la réparation propre)

Ceci fait peur à beaucoup. Ne le faites qu’après avoir confirmé que vous avez une voie d’activation valide (édition correcte, droit/clée/digital entitlement correct, réseau/heure OK). Aussi : vous modifiez une base de données d’état locale ; planifiez un redémarrage et une étape de vérification.

cr0x@server:~$ net stop sppsvc
The Software Protection service is stopping.
The Software Protection service was stopped successfully.

cr0x@server:~$ ren %windir%\System32\spp\store\2.0\tokens.dat tokens.dat.bak
cr0x@server:~$ net start sppsvc
The Software Protection service was started successfully.

Ce que cela signifie : Vous avez forcé Windows à reconstruire les tokens de licence. Cela peut effacer la corruption ou l’état mis en cache incorrect.

Décision : Redémarrez, puis réinstallez la clé correcte (si nécessaire) et exécutez slmgr /ato. Si l’activation échoue encore alors que réseau/édition sont corrects, c’est probablement un problème d’entitlement réel (mauvaise licence, clé bloquée ou problème côté organisation).

Tâche 19 : Capturer les journaux d’événements de licence (parce que les captures d’écran mentent)

cr0x@server:~$ wevtutil qe Microsoft-Windows-Security-SPP/SoftwareProtectionPlatform /c:10 /rd:true /f:text
Event[0]:
  Log Name: Microsoft-Windows-Security-SPP/SoftwareProtectionPlatform
  Source: Microsoft-Windows-Security-SPP
  Date: 2026-02-04T10:25:03.123
  Event ID: 8198
  Task: None
  Level: Error
  Opcode: Info
  Keyword: Classic
  User: N/A
  User Name: N/A
  Computer: WS-1432
  Description:
  License Activation (slui.exe) failed with the following error code:
  0xC004F074

Ce que cela signifie : Vous avez maintenant des détails forensiques : quel composant a échoué et avec quel code d’erreur, horodaté.

Décision : Si vous escaladez aux administrateurs/licences IT, envoyez cette sortie. Cela évite la boucle « avez‑vous essayé de redémarrer ? » qui vous bouffe la vie.

Tâche 20 : Si vous soupçonnez une interférence proxy/TLS, testez la connectivité basique

cr0x@server:~$ netsh winhttp show proxy
Current WinHTTP proxy settings:

    Direct access (no proxy server).

Ce que cela signifie : WinHTTP n’utilise pas de proxy. Si vous voyez un proxy d’entreprise ici, le trafic d’activation peut être bloqué ou intercepté selon la politique.

Décision : Si le proxy est défini de façon inattendue, alignez‑le avec votre environnement. Pour des flottes gérées, corrigez la source de la politique, pas le symptôme sur une seule machine.

Trois mini-récits d’entreprise depuis le terrain

Mini-récit 1 : L’incident causé par une mauvaise hypothèse

Ils ont migré un groupe de postes d’ingénierie vers de nouveaux NVMe. Même machines, mêmes utilisateurs, même domaine. La chaîne d’imagerie a restauré à partir d’une « image connue bonne » et l’équipe s’attendait à ce que la licence numérique « suive le périphérique ». Pourquoi pas ? Nous sommes en 2026, nous avons l’IA, nous avons des voitures autonomes, Windows doit bien se souvenir d’un PC.

La mauvaise hypothèse : ils n’utilisaient pas du tout des licences numériques grand public. Il s’agissait de builds Enterprise reposant sur KMS, et les nouveaux disques ont été envoyés à du personnel distant qui n’avait pas encore connecté le VPN. L’activation KMS n’a jamais eu lieu, le renouvellement non plus, et les machines sont passées en mode notification comme des nageurs synchronisés.

Les tickets de support ont explosé. Les ingénieurs ont commencé à « corriger » les choses : échanger des clés, lancer des scripts au hasard, désactiver des services qui « semblai(en)t suspects ». Une personne a réinitialisé le magasin de licences sur une machine qui était en fait correctement configurée, puis n’a plus pu réactiver parce que le client VPN était cassé. Ça a été une panne d’un seul appareil.

La vraie réparation était douloureusement ennuyeuse : imposer « VPN actif avant la première ouverture de session » pour ce lot de déploiement, confirmer que la liste de suffixes de recherche DNS incluait la zone d’entreprise pour que la découverte _vlmcs._tcp fonctionne, puis exécuter un slmgr /ato contrôlé après synchronisation temporelle. L’incident s’est terminé quand ils ont cessé de traiter l’activation comme de la magie et l’ont traitée comme de la disponibilité réseau.

Mini-récit 2 : L’optimisation qui a eu des effets pervers

Une équipe desktop voulait un provisionnement plus rapide. Ils ont optimisé leur image golden en « nettoyant » tout ce qui ressemblait à un état mis en cache : dossiers temporaires, caches de mise à jour, anciens logs. Quelqu’un a ajouté une étape pour supprimer ce qu’il considérait comme « anciens fichiers de licence » parce que ça raccourcissait l’arrêt de Sysprep et rendait l’image « plus propre ».

Sur le papier, c’était propre. En pratique, cela a créé une boucle de licence subtile. Certaines machines démarrèrent correctement ; d’autres arrivèrent non activées, puis s’activèrent, puis repassèrent après redémarrage. L’effet était assez intermittent pour être exaspérant et assez constant pour être réel.

Ils ont finalement corrélé au build exact de l’image. L’étape de « nettoyage » supprimait ou renommait des éléments dans le magasin Software Protection Platform d’une manière incompatible avec les attentes de Windows. Quand le système a reconstruit les tokens, il l’a fait dans un état en conflit avec la clé volume installée et le timing des stratégies de join au domaine. Quelques appareils se sont retrouvés dans un état de grâce semi‑activé qui semblait OK jusqu’au premier cycle de renouvellement.

Le rollback a été immédiat : supprimer le nettoyage, reconstruire l’image correctement et accepter que gagner 20 secondes au provisioning ne vaut pas une semaine de bizarreries d’activation à l’échelle de l’entreprise. Les optimisations sont excellentes — jusqu’à ce qu’elles ciblent les parties de l’OS qui définissent l’identité.

Mini-récit 3 : La pratique ennuyeuse mais correcte qui a sauvé la mise

Le service financier avait une petite flotte d’ordinateurs portables, rien d’extraordinaire. Mais leur responsable IT avait une habitude : chaque ticket de réparation matérielle incluait un « instantané d’état de licence » capturé avant et après l’intervention : édition, canal et sortie slmgr /dlv. Archivés avec le ticket. Aucune exception.

Quand un fournisseur a remplacé plusieurs cartes mères sous garantie, quelques portables sont revenus « non activés ». Le fournisseur insistait sur le fait qu’il avait installé des pièces équivalentes. Les utilisateurs disaient qu’ils « n’avaient rien fait ». Le CFO disait que c’était une crise parce que le filigrane faisait « non professionnel ».

L’IT n’a pas argumenté. Ils ont comparé les instantanés pré‑réparation et post‑réparation. Le pré‑réparation montrait le canal OEM avec clé firmware présente ; le post‑réparation montrait aucune clé OEM dans le firmware et Windows était retombé dans un état générique. La cause racine était évidente : les cartes de remplacement n’avaient pas la clé intégrée d’origine.

Parce qu’ils avaient des preuves, la remédiation fut propre : le fournisseur corrigea la licence dans le firmware (ou fournit une licence de remplacement adéquate), et pour quelques machines urgentes l’IT appliqua temporairement une clé retail en stock, documenta l’action et réconcilia ensuite correctement les licences. La pratique ennuyeuse, victoire ennuyeuse. Ce sont les meilleures.

Erreurs courantes : symptômes → cause racine → correctif

1) « J’ai installé ma clé, ça dit réussi, mais l’activation échoue »

Symptôme : slmgr /ipk réussit ; slmgr /ato échoue.

Cause racine : La clé est syntaxiquement valide mais sur le mauvais canal/chemin (par ex., clé client KMS sur appareil retail) ou l’autorité d’activation est injoignable.

Correctif : Confirmez le canal avec slmgr /dli. Si KMS, corrigez DNS/VPN/hôte KMS et exécutez slmgr /ato. Si retail/OEM, installez la clé correcte pour l’édition et activez en ligne.

2) « Windows dit aucune clé produit trouvée après une restauration »

Symptôme : Erreur comme 0xC004F213.

Cause racine : L’imagerie/la restauration a retiré la clé installée et le système ne peut pas récupérer une clé OEM depuis le firmware ; la licence numérique ne correspond pas au matériel.

Correctif : Lisez la clé firmware via WMIC ; si vide, utilisez l’Outil de résolution des problèmes d’activation avec le compte Microsoft ou appliquez votre clé retail/MAK. Ne réinstallez pas.

3) « C’était activé hier ; aujourd’hui ça ne l’est plus » (surtout sur portables)

Symptôme : Appareils d’entreprise tombent en notification hors réseau.

Cause racine : Le renouvellement KMS a échoué trop longtemps ; l’appareil n’a pas contacté l’hôte KMS.

Correctif : Connectez‑vous au réseau d’entreprise/VPN, vérifiez la recherche SRV _vlmcs et le port 1688, puis slmgr /ato. Ne pas utiliser KMS sur des appareils qui ne retournent jamais au KMS — utilisez un modèle adapté aux appareils nomades.

4) « J’ai changé la carte mère ; maintenant l’activation a disparu »

Symptôme : La licence numérique n’est plus reconnue.

Cause racine : L’ID matériel a changé au‑delà de la tolérance ; la clé OEM a été perdue si la carte était l’ancre.

Correctif : Utilisez l’Outil de résolution des problèmes d’activation avec le compte Microsoft si la licence est liée ; sinon transfert retail/activation par téléphone ; pour OEM, impliquez le vendeur ou acceptez que l’OEM peut ne pas transférer.

5) « J’ai essayé plein de scripts ; maintenant rien ne marche »

Symptôme : sppsvc échoue, erreurs UI de licence, statut incohérent.

Cause racine : Magasin de licences endommagé ou services/politiques modifiés.

Correctif : Annulez les changements de politique, vérifiez l’état de sppsvc, exécutez SFC/DISM, puis faites une réinitialisation contrôlée des tokens. Documentez ce que vous avez changé pour éviter de recommencer.

6) « Le code d’erreur d’activation ressemble à une mauvaise clé, mais c’est un problème réseau »

Symptôme : Échec d’activation aléatoire sur une flotte par ailleurs valide.

Cause racine : DNS split‑brain, interférence proxy, portail captif ou décalage horaire provoquant des échecs TLS/auth.

Correctif : Testez SRV DNS pour KMS, testez la reachabilité du port, vérifiez le proxy WinHTTP, confirmez la synchronisation temporelle. Ne changez pas de clés comme première réponse.

Blague courte #2 : La seule chose plus persistante qu’un filigrane d’activation Windows est un acteur qui demande si vous « avez essayé d’éteindre et rallumer ».

Listes de contrôle / plans étape par étape

Plan A : PC personnel (licence numérique ou retail) — réparer sans réinstaller

1. Vérifiez l’édition avec dism /online /Get-CurrentEdition. Si incorrecte, arrêtez et corrigez l’édition (Home vs Pro compte).
2. Vérifiez l’état avec slmgr /dlv et slmgr /xpr. Notez le canal et la raison d’erreur.
3. Essayez la découverte de la clé OEM avec wmic ... OA3xOriginalProductKey. Si présente, installez‑la (ou utilisez Paramètres « Changer la clé produit ») et activez.
4. Si vous avez changé du matériel majeur, utilisez l’Outil de résolution des problèmes d’activation (Paramètres → Système → Activation) et connectez‑vous avec le compte Microsoft qui détenait précédemment la licence. Choisissez « J’ai changé le matériel de cet appareil récemment. »
5. Si vous avez une clé retail, exécutez slmgr /upk, puis slmgr /ipk <key>, puis slmgr /ato.
6. Si l’activation échoue toujours, vérifiez l’heure (w32tm) et le proxy (netsh winhttp show proxy) et réessayez.
7. Uniquement si l’état semble corrompu, effectuez une réinitialisation contrôlée des tokens (stop sppsvc, renommer tokens.dat, démarrer le service), redémarrez, puis réappliquez la clé correcte et activez.
8. Validez avec slmgr /xpr (« permanently activated » ou état d’expiration valide).

Plan B : Appareil d’entreprise (KMS) — arrêtez de deviner, vérifiez le chemin

1. Confirmez qu’il doit être KMS en vérifiant que slmgr /dli montre VOLUME_KMSCLIENT.
2. Confirmez la découverte DNS avec nslookup -type=srv _vlmcs._tcp.<corp-domain>. Si manquante, corrigez l’enregistrement DNS sur l’hôte KMS ou la liste de suffixes DNS client.
3. Confirmez la reachabilité réseau avec Test-NetConnection <kms-host> -Port 1688. Si bloqué, corrigez le firewall/route VPN.
4. Définissez l’hôte KMS explicitement avec slmgr /skms <kms-host>:1688 comme contournement tactique.
5. Forcez l’activation avec slmgr /ato. Capturez les échecs depuis le journal d’événements avec wevtutil.
6. Vérifiez la synchronisation temporelle (les appareils joint au domaine doivent synchroniser la hiérarchie du domaine). Corrigez l’heure avant de réessayer.
7. Uniquement après que le réseau soit propre, envisagez une réinitialisation des tokens pour des clients bizarres. Si beaucoup de clients échouent, arrêtez : c’est probablement un problème d’hôte KMS, DNS ou de politique, pas « chaque portable est corrompu ».

Plan C : Après remplacement de la carte mère (le scénario « même portable, nouvelle âme »)

1. Lire la clé OEM depuis le firmware. Si elle a disparu, acceptez la réalité : la nouvelle carte peut ne pas inclure la clé OA3 d’origine.
2. Vérifier si la licence est Retail ou OEM via les données de canal de slmgr /dlv (avant d’effacer toute preuve).
3. Si Retail, retirez la clé obsolète (/upk), appliquez la clé retail, activez. Si l’activation en ligne échoue à cause d’un réemploi, escaladez vers l’activation téléphonique ou le support licences.
4. Si licence numérique, connectez‑vous avec le compte Microsoft lié et utilisez l’Outil de résolution des problèmes d’activation pour réassigner.
5. Si OEM, pressez le vendeur pour corriger la licence dans le firmware ou fournir une licence de remplacement appropriée. Ne passez pas des heures à essayer de faire fonctionner OEM comme du retail.

Checklist opérationnelle : quoi capturer pour l’escalade (et votre futur vous)

• dism /online /Get-CurrentEdition
• slmgr /dlv et slmgr /xpr
• sc query sppsvc
• w32tm /query /status
• KMS : recherche SRV DNS et résultats Test-NetConnection
• Extrait du journal d’événements d’activation via wevtutil
• Tous changements matériels récents (en particulier carte mère), actions d’imagerie ou modifications de politique

FAQ

1) Puis‑je corriger l’activation sans réinstaller Windows ?

Oui, la plupart du temps. L’activation est généralement une discordance (édition/canal/clé) ou de la connectivité (KMS/VPN/DNS/heure). Réinstaller ne fait que réinitialiser les symptômes tout en conservant la même discordance sous‑jacente.

2) Quelle est la commande la plus utile pour diagnostiquer l’activation ?

slmgr /dlv. Elle montre l’édition, le canal, l’état de licence et les raisons d’échec. Associez‑la à slmgr /xpr pour un état rapide.

3) Je vois « VOLUME_KMSCLIENT » mais je ne suis pas en environnement d’entreprise. Que faire ?

Retirez la mauvaise clé (slmgr /upk), effacez‑la du registre (slmgr /cpky), installez votre clé légitime retail/OEM et activez. Une clé client KMS a besoin d’un hôte KMS ; sans lui c’est une impasse.

4) Remplacer un SSD casse‑t‑il l’activation ?

Généralement non en soi. Les changements de carte mère sont le facteur majeur. Mais si le changement de SSD fait partie d’une reconstruction plus large (nouvelle carte/CPU), l’ID matériel peut changer suffisamment pour casser une attribution numérique.

5) Est‑il sûr de réinitialiser tokens.dat ?

C’est une étape de dépannage légitime, pas un tour de fête. C’est aussi perturbant : ne le faites qu’après avoir confirmé que vous avez une voie de licence valide et que le vrai problème n’est pas l’édition/le canal/le réseau. Redémarrez et revalidez systématiquement après.

6) Pourquoi l’activation échoue alors que la clé est « valide » ?

Parce que « format valide » n’est pas égal à « droits pour cet appareil/édition/canal ». De plus, l’activation peut échouer à cause du réseau/TLS/temps et apparaître comme un problème de clé.

7) Mon portable s’active au bureau mais pas à la maison. Que se passe‑t‑il ?

Dépendance KMS ou activation basée sur AD. À la maison, l’appareil ne peut pas résoudre ou atteindre l’infrastructure d’activation d’entreprise, ou le DNS split‑VPN n’est pas configuré. Corrigez le VPN/DNS, ne changez pas de clés.

8) Comment savoir si ma licence est OEM ou Retail ?

slmgr /dlv inclut une description de canal telle que RETAIL ou OEM ou VOLUME. Vous pouvez aussi vérifier si une clé OA3 existe via WMIC ; les clés firmware indiquent généralement une provision OEM.

9) Et si l’erreur indique que les serveurs d’activation sont indisponibles ?

Vérifiez d’abord la synchronisation horaire, les paramètres proxy et la connectivité basique. Si tout local est sain, il peut s’agir d’un blocage sortant par politique gérée ou d’une indisponibilité côté service — rare, mais possible.

10) Puis‑je transférer une licence Windows vers un nouveau PC ?

Les licences retail sont généralement transférables ; les licences OEM généralement non (elles sont liées à l’appareil d’origine). Les licences en volume dépendent de votre contrat. Le mécanisme d’activation reflétera ces règles — souvent de manière peu diplomatique.

Conclusion : prochaines étapes pour éviter ce chaos

Les problèmes d’activation sont ressentis comme personnels parce que le filigrane est bruyant et que les correctifs ne le sont pas. Le chemin propre est simple : identifiez l’édition et le canal, confirmez l’autorité d’activation prévue, vérifiez la reachabilité, puis corrigez la clé/l’entitlement. Réparez le magasin de licences seulement après avoir rendu l’histoire cohérente.

Prochaines étapes pratiques :

• Sur toute machine problématique, capturez slmgr /dlv, slmgr /xpr et les 10 derniers événements SPP. Ne dépannez pas à l’aveugle.
• Si vous gérez des flottes, standardisez un chemin d’activation par classe d’appareil (portables nomades vs postes fixes) et documentez‑le comme s’il s’agissait de production — parce que c’en est une.
• Avant tout travail matériel (surtout carte mère), enregistrez l’état courant du canal/licence. Après l’intervention, comparez. Des preuves transforment un « mystère » en « ticket ».
• Cessez d’« optimiser » les images en supprimant des composants de licence. Si vous cherchez la vitesse, optimisez des étapes de provisioning qui ne définissent pas l’identité.