Introduction rapide : Perdre le mot de passe UEFI d’un Surface Studio 2 bloque la plupart des actions concrètes : impossible d’accéder aux réglages firmware, de charger une image de récupération ou même, parfois, de démarrer sur une clé USB. Cet article détaille pas à pas les méthodes fiables pour réinstaller Windows ou, à défaut, obtenir une intervention officielle de Microsoft, le tout sans lien externe et en français.
Pourquoi ce verrouillage UEFI est-il si solide ?
Depuis la génération Surface Studio 2, Microsoft a renforcé la sécurité firmware : le mot de passe UEFI est stocké dans un composant chiffré et n’est pas sauvegardé dans la partie effaçable du SSD. En clair, même un formatage « bas niveau » ou le retrait du disque ne supprime pas la protection. Cette logique suit le modèle de sécurité TPM 2.0 et fait écho à la certification Secured-core PC de Microsoft : tout est pensé pour résister aux attaques locales, y compris celles menées par le propriétaire de l’appareil s’il n’est plus authentifié.
Scénario type et pièges rencontrés
- Le mot de passe UEFI est défini, puis oublié.
- L’utilisateur efface ou remplace complètement le SSD, effaçant ainsi toute partition de récupération.
- Il crée une clé USB d’installation Windows 10 ou 11, mais l’écran revient systématiquement sur un message d’erreur « Secure Boot Policy ».
- Il télécharge l’image BMR officielle fournie par Microsoft : l’UEFI exige… le même mot de passe pour autoriser la restauration.
Tableau récapitulatif des options
| Objectif | Solution pratique | Commentaires utiles |
|---|---|---|
| Réinitialiser ou contourner le mot de passe UEFI | Impossible par l’utilisateur : seul le support Microsoft peut générer un code de déverrouillage ou remplacer la carte‑mère. | Le firmware est chiffré ; Microsoft exige une preuve d’achat et traite l’opération en atelier. |
| Démarrer sur une clé USB malgré Secure Boot | 1. Créer la clé avec Media Creation Tool ou Rufus en mode UEFI/GPT. 2. Formater en FAT32 (Secure Boot ne charge pas d’image NTFS). 3. Utiliser le raccourci d’amorçage : maintenir Volume – puis appuyer sur Power. | Une image officielle Windows signée par Microsoft est acceptée ; l’erreur provient souvent d’une clé NTFS ou d’un fichier install.wim › 4 Go (limite FAT32). Rufus découpe automatiquement l’image si besoin. |
| Restaurer l’image BMR | Même procédure qu’au‑dessus : clé FAT32, exécutable signé. Si l’option « USB boot » n’avait pas été désactivée, aucun mot de passe n’est demandé. | Si l’option est verrouillée, l’intervention Microsoft reste la seule issue. |
| Obtenir une assistance officielle | Contacter le Support Surface : rubrique Surface → Démarrage/UEFI → Contacter le support (chat ou téléphone). | Préparez le numéro de série et une preuve d’achat. Hors garantie, le remplacement de carte‑mère peut être facturé. |
| Préparer la réinstallation | Une fois démarré sur USB : 1. Supprimer toutes les partitions, puis laisser l’installeur recréer la table GPT. 2. Choisir Windows 11 Pro (licence numérique embarquée). 3. Installer les pilotes via Surface Recovery ou Windows Update. | Le certificat d’activation injecté dans l’UEFI réactive Windows dès la première connexion Internet. |
Étape 1 : recréer correctement la clé USB (FAT32 obligatoire)
Le point qui bloque la majorité des utilisateurs est le format FAT32. Pourquoi ? Secure Boot ne charge que des exécutables signés présents sur une partition FAT. Or, un ISO Windows récent dépasse 4 Go ; si vous copiez directement l’image, la limite intrinsèque de FAT32 est franchie, provoquant :
« Windows cannot be loaded because the Secure Boot policy is missing or contains errors ».
La parade : utilisez Rufus (version 4.x ou plus récente) en mode « Partition type : GPT », « Target System : UEFI (non CSM) » et laissez l’option « Définir le format FAT32 pour les fichiers > 4 Go » cochée. Rufus scinde alors automatiquement install.wim en plusieurs segments (install.swm). Cette opération est 100 % supportée par le programme d’installation Windows.
Étape 2 : forcer le démarrage sur USB
Avec la clé en place :
- Éteignez complètement le Studio 2 (maintenir Power 10 s ).
- Touchez Volume –, maintenez‑le, puis pressez Power.
- Laissez le logo Surface apparaître ; relâchez Volume – quand le menu de démarrage s’affiche.
- Sélectionnez votre clé (elle apparaît souvent sous le nom du fabricant du contrôleur USB).
Important : si ce menu ne s’affiche pas et que vous revenez instantanément sur le logo puis une erreur, l’option Enable Alternate Boot Sequence ou USB Boot a probablement été désactivée dans l’UEFI avant la perte du mot de passe. Vous êtes alors dans le cas irréversible coté utilisateur ; passez directement à l’assistance Microsoft.
Étape 3 : installation ou restauration
Option A : installation propre de Windows 11 Pro
Une fois l’installateur lancé :
- Choisissez la langue et la disposition du clavier.
- À l’écran des partitions, supprimez tout : EFI, MSR, Recovery, systèmes éventuels. Vous ne devez voir qu’un espace non alloué.
- Cliquez sur Nouveau et laissez l’assistant créer les partitions correctes (recovery 750 Mo, EFI 100 Mo, MSR 16 Mo, principal le reste).
- La phase de copie se lance ; l’appareil redémarre plusieurs fois. Ne retirez la clé USB qu’au premier redémarrage auto (lorsque l’écran affiche « Préparation des périphériques »).
- Au premier démarrage, connectez‑vous à Internet ; l’activation numérique s’effectue en arrière‑plan.
- Installez ensuite Surface UEFI Firmware Update depuis Windows Update ; il réinjecte les profils de ventilateur, la gestion d’alimentation haute fréquence et le micrologiciel précis au Studio 2.
Option B : restauration BMR officielle
L’image BMR (Bare Metal Recovery) inclut Windows + tous les pilotes d’usine ; elle est donc plus volumineuse (≈ 13 Go). Une fois extraite, répétez la création de clé en FAT32 ; si votre clé est trop petite, utilisez-en une de 32 Go ou plus. Le démarrage et la procédure se font en mode « Surface Recovery Options », reconnaissable à la barre de progression turquoise plutôt qu’au logo Windows violet.
La restauration formate systématiquement le disque et réimplante la partition de récupération OEM (≈ 1 Go). Si vous aviez personnalisé la taille de votre SSD NTFS, prévoyez de réallouer l’espace libre après coup via Gestion des disques.
Que faire si USB Boot est désactivé ?
La seule voie passe par Microsoft. La procédure dure en moyenne 7 à 10 jours ouvrés :
- Contacter le support Surface (téléphone pour la France : numéro dédié, lundi‑vendredi).
- Fournir le n° de série imprimé sous la base rotative du Studio 2.
- Envoyer le justificatif d’achat (facture PDF ou photo).
- Après validation, deux cas :
- Code de déverrouillage : Microsoft génère une suite de caractères unique à entrer dans le champ mot de passe. Ce code n’est donné qu’une fois et ne fonctionne qu’avec votre carte‑mère actuelle (identifiant fuse).
- Échange matériel : si le module de sécurité TPM est suspecté d’être endommagé ou si l’appareil est hors garantie étendue, un remplacement complet de la carte‑mère est proposé. Les données SSD sont alors irrécupérables.
Note : la plupart des centres de service agréés exigent que la machine soit expédiée, même si une boutique Microsoft existe ; préparez un emballage sécurisé.
Bonnes pratiques pour l’avenir
- Conserver le mot de passe UEFI dans un gestionnaire sécurisé : un fichier Keepass synchronisé sur OneDrive chiffré est un compromis idéal.
- Créer une image BMR après chaque mise à jour majeure : ainsi, vous bénéficiez d’un système propre et à jour sans attendre un nouveau média sur le site Microsoft.
- Ne jamais désactiver « USB Boot » tant que vous n’êtes pas certain de retenir le mot de passe UEFI ; garder cette porte de secours simplifie toute récupération future.
- Activer BitLocker uniquement après UEFI vérifié : sinon, vous risquez de cumuler un mot de passe UEFI et une clé BitLocker introuvable.
FAQ express
Le Surface Studio 2 supporte‑t‑il Windows 11 ?
Oui ; Microsoft fournit un bundle de pilotes W11 optimisés via Windows Update depuis 2022. La licence OEM couvre les éditions Home et Pro.
Puis‑je rétrograder vers Windows 10 ?
Oui, en recréant simplement la clé d’installation Windows 10 22H2 via Media Creation Tool. La licence s’active automatiquement.
Le remplacement de carte‑mère efface‑t‑il la licence Adobe ou Office ?
La licence Office 365 étant liée au compte Microsoft, elle se réactive. Pour Adobe, pensez à désactiver l’ancien appareil dans le compte Adobe avant l’envoi.
Raccourcis clavier et ports utiles
| Fonction | Combinaison | Quand l’utiliser ? |
|---|---|---|
| Menu UEFI | Volume + + Power | Changer l’ordre de démarrage ou vérifier Secure Boot (nécessite le mot de passe). |
| Menu Boot | Volume – + Power | Démarrer directement depuis USB ou réseau. |
| Maintenance Batterie | Volume + + Volume – + Power | Calibrer la batterie interne (Battery Limit Mode). |
Conclusion
Dans près de 75 % des cas, l’échec de réinstallation d’un Surface Studio 2 « verrouillé » tient à une simple clé NTFS ou à un Secure Boot pointilleux plutôt qu’à un véritable blocage firmware. Une préparation rigoureuse en FAT32, le bon raccourci d’amorçage et la patience suffisent généralement à relancer l’installation. En revanche, une fois l’option USB Boot désactivée sans mot de passe UEFI, l’utilisateur n’a plus de marge : seul Microsoft possède l’outil ou le matériel nécessaire pour débrider l’appareil. Anticipez : sauvegardez vos clés, créez des images système et gardez une copie physique de vos mots de passe.