Microsoft Defender est activé par défaut sur Windows 10 et 11. L’interface affiche un écran vert rassurant, la mention « Aucune action nécessaire ». Pour autant, plusieurs réglages restent désactivés ou dégradés sur une installation standard, et l’antivirus gratuit de Microsoft peut fonctionner en mode partiel sans qu’aucune alerte visible ne le signale.
Signatures de sécurité obsolètes : un Defender actif mais aveugle
Le premier signe d’une configuration défaillante ne se voit pas sur l’écran d’accueil de Sécurité Windows. Il se cache dans la date de dernière mise à jour des signatures antivirus. Microsoft Defender s’appuie sur des fichiers de définitions (appelés « security intelligence updates ») pour reconnaître les menaces. Si ces fichiers ne se téléchargent plus, l’antivirus tourne à vide.
A lire en complément : Interdictions avec un drone : ce qu'il faut savoir pour voler en toute légalité
Microsoft documente une procédure de dépannage spécifique pour ce cas de figure. Plusieurs codes d’erreur (0x8024402c, 0x80240022, 0x80070422 entre autres) peuvent apparaître lors d’une tentative de mise à jour manuelle, mais un Defender dont les signatures sont obsolètes ne génère pas toujours d’alerte. L’interface peut continuer d’afficher un statut « protégé » alors que les définitions datent de plusieurs jours, voire semaines.
Pour vérifier, ouvrez Sécurité Windows, puis « Protection contre les virus et menaces ». Sous « Mises à jour de la protection », la date de dernière mise à jour est indiquée. Si elle remonte à plus de 48 heures, la protection est dégradée. Les causes les plus fréquentes : un service Windows Update bloqué, une connexion réseau restreinte, ou un conflit avec un logiciel tiers.
A lire également : Durée de vie des certificats SSL : tout ce qu'il faut savoir
Exclusions trop larges dans Microsoft Defender : le point aveugle
Les exclusions permettent d’empêcher l’antivirus d’analyser certains fichiers, dossiers ou processus. La fonctionnalité existe pour éviter les faux positifs sur des logiciels légitimes. En pratique, des exclusions mal calibrées réduisent fortement la couverture réelle de l’antivirus.
La documentation Microsoft sur les exclusions et indicateurs insiste sur la nécessité de contrôler précisément chaque entrée configurée. Un utilisateur qui a ajouté une exclusion pour un dossier entier (par exemple C:\Téléchargements ou C:\Program Files) sans raison technique précise laisse un chemin libre aux logiciels malveillants qui s’y installeraient.
Comment repérer des exclusions problématiques
Dans Sécurité Windows, accédez à « Protection contre les virus et menaces », puis « Paramètres de protection contre les virus et menaces », et enfin « Exclusions ». Vérifiez chaque entrée de la liste :
- Une exclusion sur un dossier utilisateur complet (Bureau, Téléchargements, Documents) supprime la protection sur les fichiers les plus exposés aux menaces
- Une exclusion sur un type de fichier exécutable (.exe, .dll, .bat) neutralise la détection sur les formats les plus exploités par les malwares
- Une exclusion ajoutée par un logiciel tiers lors de son installation, puis oubliée après désinstallation du programme, persiste et élargit la surface d’attaque sans contrepartie
Si vous ne vous souvenez pas pourquoi une exclusion existe, supprimez-la. Defender la signalera à nouveau en cas de faux positif sur un programme légitime, et vous pourrez alors la recréer de façon ciblée.
Protection anti-altération désactivée : Defender modifiable par un malware
La fonctionnalité Tamper Protection (protection anti-altération) empêche des logiciels ou des scripts de modifier les paramètres de sécurité de Defender sans intervention de l’utilisateur. Microsoft la présente comme un mécanisme clé de la configuration, car sans Tamper Protection, un malware peut désactiver Defender silencieusement.
Cette protection est normalement activée par défaut sur les installations récentes de Windows 11. En revanche, sur des machines mises à jour depuis Windows 10, ou sur des postes où des scripts d’administration ont été exécutés, elle peut se retrouver désactivée.
Pour vérifier son état : Sécurité Windows, « Protection contre les virus et menaces », « Paramètres de protection contre les virus et menaces ». Le commutateur « Protection contre les falsifications » doit être sur « Activé ». S’il est grisé ou désactivé, la configuration de Defender est vulnérable à une modification externe.
Détection des applications potentiellement indésirables : le réglage oublié
Microsoft Defender distingue les malwares des applications potentiellement indésirables (PUA, aussi appelées PUP). Les premiers sont bloqués par défaut. Les secondes, pas toujours. La protection PUA peut être en mode Audit sans que l’utilisateur le sache, ce qui signifie que Defender détecte ces applications mais ne les bloque pas.
Sur Windows 11 22H2 ou version ultérieure, Microsoft documente ce mode Audit comme une option distincte. Un Defender qui laisse passer des barres d’outils intrusives, des logiciels publicitaires ou des installateurs groupés (bundleware) n’est pas nécessairement « infecté » : il applique peut-être un réglage qui se contente de journaliser ces détections sans intervenir.
Activer le blocage PUA dans Sécurité Windows
Ouvrez « Contrôle des applications et du navigateur », puis « Protection fondée sur la réputation ». Vérifiez que le blocage des applications potentiellement indésirables est activé, et non simplement en mode surveillance. Ce réglage seul peut expliquer pourquoi un ordinateur protégé par Defender accumule des logiciels parasites malgré un antivirus en apparence fonctionnel.
Protection en temps réel et protection cloud : deux commutateurs à surveiller
La protection en temps réel analyse les fichiers au moment de leur ouverture ou téléchargement. La protection cloud envoie des échantillons suspects aux serveurs Microsoft pour une analyse plus poussée. Ces deux modules fonctionnent ensemble, et désactiver l’un des deux diminue la capacité de détection de façon significative.
Certaines manipulations courantes désactivent ces protections sans que l’utilisateur s’en rende compte :
- L’installation d’un antivirus tiers (même en version d’essai expirée) peut faire basculer Defender en mode passif, où la protection en temps réel se désactive automatiquement
- Un script trouvé en ligne pour « optimiser » Windows désactive parfois la protection cloud ou la soumission automatique d’échantillons
- Une stratégie de groupe (GPO) appliquée en entreprise ou par un tutoriel mal adapté peut verrouiller ces paramètres sur « Désactivé »
Dans les paramètres de protection contre les virus et menaces, les trois commutateurs (protection en temps réel, protection dans le cloud, envoi automatique d’échantillons) doivent tous être actifs pour une configuration complète.
Un Defender qui affiche « Aucune action nécessaire » avec des signatures à jour, des exclusions maîtrisées, la Tamper Protection active, le blocage PUA activé et les trois modules de protection en temps réel allumés couvre l’essentiel des besoins d’un poste personnel. La plupart des configurations dégradées ne provoquent aucune alerte visible, ce qui rend la vérification manuelle de ces points indispensable au moins une fois par trimestre.
