Changement de mot de passe Windows : la méthode et les pièges

Sommaire

La méthode qui ne casse rien : Ctrl+Alt+Suppr

Session ouverte, clavier sous la main : tapez Ctrl+Alt+Suppr, choisissez « Modifier un mot de passe », saisissez l'ancien puis deux fois le nouveau. Windows connaît alors les deux valeurs en même temps, et il en profite pour rechiffrer la clé qui protège vos données locales. C'est tout l'intérêt de cette voie, et c'est ce qu'aucune autre ne fait.

Dans une session RDP, Ctrl+Alt+Suppr est intercepté par la machine physique devant vous. Utilisez Ctrl+Alt+Fin.

L'écran Paramètres > Comptes > Options de connexion affiche bien un bouton pour un compte Microsoft, mais il ouvre une page web et exige une connexion sortante. Hors ligne, il ne sert à rien.

Si l'entrée « Modifier un mot de passe » a disparu de l'écran sécurisé, ce n'est pas une panne : la stratégie Configuration utilisateur > Modèles d'administration > Système > Options Ctrl+Alt+Suppr l'a retirée, et elle se traduit par la valeur DisableChangePassword sous HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System.

Compte local : le mot de passe ne vit que dans la base SAM du poste, aucune synchronisation nulle part.
Compte Microsoft : il vit chez Microsoft, le poste n'en garde qu'une empreinte en cache pour les ouvertures de session hors ligne.
Compte de domaine ou Entra ID : il vit dans l'annuaire, et le poste conserve par défaut les 10 dernières ouvertures de session en cache (CachedLogonsCount).

Changer et réinitialiser, la différence coûte des fichiers

Windows protège vos secrets locaux avec DPAPI, dont la clé maîtresse est dérivée de l'empreinte de votre mot de passe. Un changement classique fournit l'ancienne valeur, donc la chaîne se recompose. Une réinitialisation ne la fournit pas.

Sur un compte local en groupe de travail, la perte est définitive.

En domaine, c'est plus doux : la clé maîtresse DPAPI est sauvegardée auprès des contrôleurs de domaine, et l'utilisateur récupère ses données après une réinitialisation par l'administrateur. Beaucoup d'administrateurs généralisent à tort ce comportement aux postes autonomes, et découvrent le problème sur le poste d'un indépendant qui avait activé EFS trois ans plus tôt.

Avant toute réinitialisation sur un poste hors domaine, passez `cmdkey /list` dans la session de l'utilisateur pour voir ce qui va disparaître.

Le code PIN Windows Hello, lui, ne bouge pas. Il est lié au poste et scellé dans le TPM, il n'est pas dérivé du mot de passe : changez votre mot de passe depuis un autre appareil, le PIN continue d'ouvrir la session de celui-ci.

Fichiers chiffrés EFS et clés privées des certificats du magasin personnel
Identifiants du Gestionnaire d'identification, donc les lecteurs réseau mappés et les connexions RDP enregistrées
Mots de passe enregistrés dans Chrome et Edge, dont la clé de chiffrement locale repose sur DPAPI

En ligne de commande

Une seule des commandes ci-dessous demande l'ancien mot de passe. Les autres sont des réinitialisations, avec les conséquences de la section précédente.

`net user jdupont *` masque la saisie et redemande une confirmation, ce qui évite de laisser le mot de passe dans l'historique de la console. La commande refuse au-delà de 127 caractères, limite propre à `net user` et non à l'annuaire.

N'attendez plus rien de `wmic` : déprécié depuis Windows 10 21H1, il n'est plus installé par défaut sur Windows 11 24H2.

Commande	Effet réel	Contexte
net user jdupont *	Réinitialise un compte local, saisie masquée	Invite de commandes en administrateur
net user jdupont * /domain	Réinitialise un compte de l'annuaire	Poste joint au domaine
Set-LocalUser -Name jdupont -Password (Read-Host -AsSecureString)	Réinitialise un compte local	PowerShell 5.1, module LocalAccounts
Set-ADAccountPassword jdupont -OldPassword ... -NewPassword ...	Change vraiment le mot de passe, la chaîne DPAPI suit	Module ActiveDirectory (RSAT)
net accounts	Affiche la politique réellement appliquée au poste	Invite standard
cmdkey /list	Inventorie les identifiants enregistrés	Session de l'utilisateur concerné

Compte Microsoft : deux mots de passe qui se croisent

Le mot de passe d'un compte Microsoft se change sur account.microsoft.com/security, pas sur la machine. Il doit faire au moins 8 caractères et mélanger au moins deux des quatre catégories (majuscules, minuscules, chiffres, symboles).

Scénario que tout le monde vit une fois : vous changez le mot de passe depuis votre téléphone, vous revenez au PC, et l'ancien ouvre encore la session. Le poste n'a pas revu le service d'authentification depuis, il valide contre son cache. La bascule se fait à la première ouverture de session réussie en ligne avec la nouvelle valeur, et il faut parfois la saisir une fois en étant connecté au réseau pour rafraîchir ce cache.

Ce n'est pas un défaut de synchronisation. C'est le mécanisme qui vous permet d'ouvrir votre session dans un train.

Sur un poste joint à Entra ID, Ctrl+Alt+Suppr reste valable mais exige d'atteindre le tenant ; la réinitialisation en libre-service, quand l'administrateur l'a activée, passe par passwordreset.microsoftonline.com.

Après le changement, ce qui tombe en panne

Une tâche planifiée qui s'exécute sous le compte, un service configuré avec ce compte, un lecteur réseau mappé avec des identifiants enregistrés, un client de messagerie sur téléphone : tous continuent à présenter l'ancien mot de passe, à intervalle régulier, sans prévenir. Sur un domaine avec un seuil de verrouillage, le compte se bloque, l'utilisateur le débloque, et il se rebloque dix minutes plus tard.

Le coupable se trouve dans le journal Sécurité de l'émulateur PDC : événement 4740, champ « Nom de l'ordinateur appelant ». Complétez avec les 4771 dont le code d'échec vaut 0x18 (mot de passe Kerberos incorrect) et les 4625 en sous-statut 0xC000006A.

Autre surprise du jour même : la durée de vie minimale à 1 jour interdit un second changement dans les 24 heures, et Windows répond que le mot de passe ne remplit pas les exigences, sans citer la vraie raison.

Les valeurs ci-dessous sont celles de la stratégie de domaine par défaut, pas des recommandations : Microsoft a retiré l'expiration périodique de ses lignes de base de sécurité à partir de Windows 10 1903, faute de bénéfice démontré.

Paramètre	Valeur par défaut	Portée
Durée de vie maximale	42 jours	Stratégie de domaine par défaut
Durée de vie minimale	1 jour	Stratégie de domaine par défaut
Longueur minimale	7 caractères	Stratégie de domaine par défaut
Historique conservé	24 mots de passe	Stratégie de domaine par défaut
Seuil de verrouillage	10 tentatives, 10 minutes	Comptes locaux, installations Windows 11 22H2 et ultérieures

Sur une session ouverte, Ctrl+Alt+Suppr puis « Modifier un mot de passe » fonctionne pour un compte local, un compte Microsoft et un compte de domaine, et c'est la seule voie que Windows traite comme un changement. Tout le reste (net user, lusrmgr, un autre administrateur) est une réinitialisation, avec des dégâts collatéraux sur les fichiers chiffrés et les identifiants enregistrés.

Questions fréquentes

L’option « Modifier un mot de passe » n’apparaît pas dans Ctrl+Alt+Suppr, que faire ?

Elle a été retirée par stratégie de groupe (Configuration utilisateur > Modèles d'administration > Système > Options Ctrl+Alt+Suppr), ou par la valeur DisableChangePassword à 1 sous HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System. En entreprise, cela signifie que le changement passe par un portail interne ou par le support. Vérifiez avec `gpresult /h rapport.html` quelle GPO l'applique avant de toucher au registre.

Changer mon mot de passe casse-t-il mon code PIN Windows Hello ?

Non. Le PIN est propre à l'appareil et protégé par le TPM, il n'est pas dérivé du mot de passe. Il continue de fonctionner après un changement effectué ailleurs. L'inverse est vrai aussi : réinitialiser le PIN ne change pas le mot de passe du compte.

Combien de temps avant que le nouveau mot de passe fonctionne partout dans un domaine ?

Le changement est répliqué en urgence vers l'émulateur PDC, et un contrôleur qui rejette une authentification la revérifie auprès de lui avant de la refuser. En pratique la nouvelle valeur est utilisable presque tout de suite. Les postes gardent en revanche l'ancienne empreinte en cache pour les ouvertures hors ligne jusqu'à une ouverture de session réussie sur le réseau.

Puis-je changer mon mot de passe deux fois dans la même journée ?

Pas avec la durée de vie minimale par défaut de 1 jour, qui existe pour empêcher de faire défiler l'historique des 24 mots de passe mémorisés et de revenir à l'ancien. Un administrateur peut passer outre par une réinitialisation, ou abaisser le paramètre dans la stratégie. Lisez la valeur appliquée avec `net accounts`.

Mot de passe oublié sur un compte local Windows Home, sans compte Microsoft ?

Depuis Windows 10 1803, la création d'un compte local impose trois questions de sécurité : elles s'affichent sur l'écran de connexion après une saisie erronée et permettent de définir un nouveau mot de passe. Sinon, un autre compte administrateur du poste, ou un disque de réinitialisation créé à l'avance, fait l'affaire. Dans les deux cas il s'agit d'une réinitialisation : les fichiers EFS et les identifiants enregistrés de ce compte sont perdus.

Testez vos connaissances

Quiz rapide Question 1 sur 3

Quelle méthode préserve les fichiers chiffrés EFS d'un compte local ?