Désactiver l’approbation BitLocker de l’Environnement de récupération Windows (WinRE)
Vérifié avec Windows 11 25H2 — mis à jour le 15 septembre 2026 Pris en charge sur : Au minimum Windows Server 2012 R2, Windows 8.1 ou Windows RT 8.1
Livrée par une mise à jour Windows : absente du paquet ADMX officiel (Administrative Templates (.admx) for Windows 11 Oct 2025 Update), présente au plus tard dans KB5124008 (build 26200.9445).
Chemin dans la console GPO
Configuration ordinateur\Modèles d'administration\Composants Windows\Chiffrement de lecteur BitLocker\Lecteurs du système d’exploitation Registre
Software\Policies\Microsoft\FVE - Nom de valeur :
-
DisableWinRETrustREG_DWORD - Activé :
1- Désactivé :
0
Description
Ce paramètre de stratégie contrôle si BitLocker fait confiance à l’Environnement de récupération Windows (WinRE). Lorsque BitLocker fait confiance à l’Environnement de récupération Windows (WinRE), celui-ci peut accéder au volume du système d’exploitation protégé par BitLocker sans nécessiter la clé de récupération BitLocker. Cela prend en charge les opérations de récupération qui nécessitent l’accès au volume du système d’exploitation. Important : l’activation de cette stratégie modifie le comportement de récupération. Si vous activez ce paramètre de stratégie, BitLocker ne fait pas confiance à l’Environnement de récupération Windows (WinRE). La clé de récupération BitLocker est requise pour toute opération d’Environnement de récupération Windows (WinRE) qui doit accéder au volume du système d’exploitation protégé par BitLocker. Les opérations de récupération qui reposent sur l’accès de l’Environnement de récupération Windows (WinRE) au volume du système d’exploitation peuvent nécessiter l’intervention de l’utilisateur ou de l’administrateur et ne pas s’effectuer automatiquement, notamment la réparation du démarrage, la récupération rapide de la machine, la récupération par bouton-poussoir et la réinitialisation à distance initiée par MDM ou l’effacement à distance à l’aide du fournisseur de services de configuration RemoteWipe. Si vous désactivez ce paramètre de stratégie ou si vous ne le configurez pas, BitLocker fait confiance à une image d’Environnement de récupération Windows (WinRE) validée pour que l’Environnement de récupération Windows (WinRE) puisse accéder au volume du système d’exploitation protégé par BitLocker sans clé de récupération. Ce paramètre de stratégie est appliqué seulement lorsque BitLocker ou le chiffrement de l’appareil est activé.
Générateur d'exports
BETAConfigurez l'état, la portée et les options, puis générez les sorties .reg, PowerShell, Intune et SCCM — ou ajoutez le paramètre à une collection multi-paramètres.
Ces exports écrivent le registre — ce n'est pas une GPO managée. ⓘ
Fichier .reg
Windows Registry Editor Version 5.00
; Exported from gporais.com
; Policy: Désactiver l’approbation BitLocker de l’Environnement de récupération Windows (WinRE)
; State: Enabled
; Supported on: Au minimum Windows Server 2012 R2, Windows 8.1 ou Windows RT 8.1
[HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\FVE]
"DisableWinRETrust"=dword:00000001Autres formats (PowerShell, Intune, SCCM)
PowerShell
# Exported from gporais.com
# Policy: Désactiver l’approbation BitLocker de l’Environnement de récupération Windows (WinRE)
# State: Enabled
# Supported on: Au minimum Windows Server 2012 R2, Windows 8.1 ou Windows RT 8.1
$path = 'HKLM:\Software\Policies\Microsoft\FVE'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'DisableWinRETrust' -Value 1 -Type DWordIntune XML
Aucune correspondance directe Policy CSP / OMA-URI pour cette stratégie. Utilisez l'onglet Intune Remediation, ou importez l'ADMX dans Intune.Intune Remediation
# === Detection script ===
# Exported from gporais.com
# Policy: Désactiver l’approbation BitLocker de l’Environnement de récupération Windows (WinRE)
# State: Enabled
# Supported on: Au minimum Windows Server 2012 R2, Windows 8.1 ou Windows RT 8.1
function Test-RegistryValue {
param(
[Parameter(Mandatory = $true)][string]$Path,
[Parameter(Mandatory = $true)][string]$Name,
[object]$Expected,
[ValidateSet('String', 'DWord', 'MultiString')][string]$Kind = 'String',
[switch]$Absent
)
try {
$item = Get-ItemProperty -LiteralPath $Path -Name $Name -ErrorAction Stop
} catch {
return $Absent.IsPresent
}
if ($Absent.IsPresent) { return $false }
$actual = $item.$Name
if ($Kind -eq 'DWord') { return ([int64]$actual) -eq ([int64]$Expected) }
if ($Kind -eq 'MultiString') {
$actualValues = @($actual)
$expectedValues = @($Expected)
if ($actualValues.Count -ne $expectedValues.Count) { return $false }
for ($i = 0; $i -lt $expectedValues.Count; $i++) {
if ([string]$actualValues[$i] -ne [string]$expectedValues[$i]) { return $false }
}
return $true
}
return [string]$actual -eq [string]$Expected
}
$checks = @(
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Microsoft\FVE' -Name 'DisableWinRETrust' -Expected 1 -Kind DWord)
)
if ($checks -notcontains $false) {
Write-Output 'Compliant'
exit 0
}
Write-Output 'Non-compliant'
exit 1
# === Remediation script ===
# Exported from gporais.com
# Policy: Désactiver l’approbation BitLocker de l’Environnement de récupération Windows (WinRE)
# State: Enabled
# Supported on: Au minimum Windows Server 2012 R2, Windows 8.1 ou Windows RT 8.1
$path = 'HKLM:\Software\Policies\Microsoft\FVE'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'DisableWinRETrust' -Value 1 -Type DWordScripts SCCM
# Exported from gporais.com
# Policy: Désactiver l’approbation BitLocker de l’Environnement de récupération Windows (WinRE)
# State: Enabled
# Supported on: Au minimum Windows Server 2012 R2, Windows 8.1 ou Windows RT 8.1
# SCCM Configuration Item guidance:
# Create a Configuration Item of type "Setting: Script".
# Discovery script: use the Detection script below.
# Remediation script: use the Remediation script below.
# Compliance rule: the Discovery script output equals 'Compliant'.
# === Detection script ===
# Exported from gporais.com
# Policy: Désactiver l’approbation BitLocker de l’Environnement de récupération Windows (WinRE)
# State: Enabled
# Supported on: Au minimum Windows Server 2012 R2, Windows 8.1 ou Windows RT 8.1
function Test-RegistryValue {
param(
[Parameter(Mandatory = $true)][string]$Path,
[Parameter(Mandatory = $true)][string]$Name,
[object]$Expected,
[ValidateSet('String', 'DWord', 'MultiString')][string]$Kind = 'String',
[switch]$Absent
)
try {
$item = Get-ItemProperty -LiteralPath $Path -Name $Name -ErrorAction Stop
} catch {
return $Absent.IsPresent
}
if ($Absent.IsPresent) { return $false }
$actual = $item.$Name
if ($Kind -eq 'DWord') { return ([int64]$actual) -eq ([int64]$Expected) }
if ($Kind -eq 'MultiString') {
$actualValues = @($actual)
$expectedValues = @($Expected)
if ($actualValues.Count -ne $expectedValues.Count) { return $false }
for ($i = 0; $i -lt $expectedValues.Count; $i++) {
if ([string]$actualValues[$i] -ne [string]$expectedValues[$i]) { return $false }
}
return $true
}
return [string]$actual -eq [string]$Expected
}
$checks = @(
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Microsoft\FVE' -Name 'DisableWinRETrust' -Expected 1 -Kind DWord)
)
if ($checks -notcontains $false) {
Write-Output 'Compliant'
exit 0
}
Write-Output 'Non-compliant'
exit 1
# === Remediation script ===
# Exported from gporais.com
# Policy: Désactiver l’approbation BitLocker de l’Environnement de récupération Windows (WinRE)
# State: Enabled
# Supported on: Au minimum Windows Server 2012 R2, Windows 8.1 ou Windows RT 8.1
$path = 'HKLM:\Software\Policies\Microsoft\FVE'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'DisableWinRETrust' -Value 1 -Type DWordVous construisez une collection multi-paramètres ? Ajoutez ce paramètre et générez des exports combinés (.reg, PowerShell, GPO).