Vous venez de déballer une Surface Pro 7+ flambant neuve, mais dès l’allumage, Windows bloque la configuration tant que vous n’entrez pas les identifiants d’un compte « Work or School ». Panique ? Pas forcément ! Cet article explique en détail pourquoi cet écran apparaît, ce que cela révèle sur l’état réel de l’appareil, et surtout comment résoudre proprement la situation ou éviter qu’elle ne se reproduise.
Pourquoi votre Surface Pro 7+ réclame un compte d’entreprise ?
Dès le premier démarrage, Windows lance l’interface dite Out‑Of‑Box Experience (OOBE). Dans un scénario normal pour le grand public, vous avez le choix entre un compte Microsoft personnel et un compte hors‑ligne. Or, certaines machines vendues comme « neuves » arrivent déjà pré‑provisionnées pour une organisation (entreprise, université, administration). Le fabricant ou un revendeur B2B les a déclarées dans Microsoft Autopilot, l’outil de déploiement de masse géré par Intune et Azure AD.
Lorsqu’un appareil figure dans cette base, Windows reconnaît son numéro de série au tout premier allumage : il applique alors le profil OOBE défini par le service informatique concerné. Résultat : l’écran « Work or School » est obligatoire et exige les identifiants Azure AD de l’entité propriétaire ; rien ne permet de passer sur un compte personnel tant que l’appareil n’est pas retiré du tenant.
Un clavier virtuel volontairement bridé
La frustration s’aggrave souvent parce que le clavier logiciel ne réagit pas aux combinaisons système (Touche Windows, Ctrl + Alt + Suppr, etc.). C’est une protection : tant que Windows n’est pas pleinement installé, l’environnement OOBE limite les interactions pour prévenir les détournements.
L’origine du blocage : Autopilot/Intune
Pour dissiper les doutes, résumons le comportement :
- Exigence d’un compte professionnel ➜ Tenant Azure AD encore actif.
- Absence totale d’option “compte Microsoft personnel” ➜ Profil OOBE piloté par Autopilot.
- Touches système inopérantes dans OOBE ➜ Sécurité Windows par design.
La machine n’est donc pas « verrouillée » de façon malveillante ; elle suit simplement la feuille de route qu’un administrateur IT lui a assignée.
Trois scénarios pour débloquer la situation
| Option | Détails | Niveau de difficulté | Risques |
|---|---|---|---|
| 1. Ré‑image complète (clé USB de récupération) | Noter le numéro de série (étiquette au dos ou boîte). Télécharger l’image officielle sur la page « Surface Recovery Image » de Microsoft. Préparer une clé USB (≥ 16 Go) via l’outil « Surface Recovery ». Éteindre la tablette, insérer la clé, maintenir Volume – puis appuyer sur Power. L’assistant de récupération réinstalle Windows intact, hors Intune. | Moyen (suivre la documentation pas à pas). | Faible : effacement total, mais aucune manipulation du firmware. |
| 2. Retour au vendeur | Profiter du droit de rétractation (14 jours chez la plupart des e‑commerçants) et demander une unité garantie « non enrôlée ». | Facile | Quasi nul, hors frais de renvoi éventuels. |
| 3. Contournement OOBE (commande cachée) | Au premier écran OOBE, taper Shift + F10 pour ouvrir l’Invite de commandes. Entrer OOBE\BYPASSNRO puis Entrée. Le PC redémarre ; une option « I don’t have Internet » apparaît, permettant un compte local. | Élevé pour un néophyte : requiert commandes système et timing précis. | Si le profil Intune impose un verrouillage après installation, l’astuce peut échouer. |
Décision la plus sûre : le retour produit
L’auteur du cas pratique a finalement choisi l’option 2 pour éviter tout risque de procédure longue ou d’échec. C’est souvent la meilleure approche si vous venez d’acheter la machine et que l’annonce promettait un produit « neuf grand public ».
Étape‑par‑étape : ré‑image complète
Pour celles et ceux qui préfèrent repartir d’une installation propre, voici un guide détaillé :
- Identifier la bonne image
Rendez‑vous (depuis un autre PC) sur le portail de téléchargement Microsoft Surface, sélectionnez « Surface Pro 7+ » et entrez le numéro de série. Téléchargez le fichier ZIP (~ 6 Go). - Créer la clé bootable
Lancez l’utilitaire « Surface Recovery » ; il formate la clé en FAT32, copie les fichiers EFI et WIM nécessaires. - Démarrer en mode récupération
Tablette éteinte et clavier branché, maintenez Volume –, puis appuyez brièvement sur Power. Relâchez Volume – quand le logo Surface s’affiche ; l’UEFI bootera sur la clé. - Suivre l’assistant
Choisissez « Installer Windows » → supprimez toutes les partitions existantes lorsqu’il le demande. L’assistant recrée automatiquement la structure GPT saine (Recovery, EFI, MSR, Windows). - Premier démarrage
À l’issue, OOBE se lance sans la contrainte « Work or School ». Vous pouvez alors opter pour un compte Microsoft personnel ou un compte local.
Contournement OOBE : quand et pourquoi ?
La procédure OOBE\BYPASSNRO fut popularisée après l’ajout, dans Windows 11, de l’obligation pour les éditions Home de disposer d’une connexion Internet et d’un compte Microsoft. Elle insère une étape réseau facultative et réactive l’option « Offline Account ». Cependant, si Intune ré‑applique un profil dès la première synchronisation, votre installation fraiche se verrouillera à nouveau. Utilisez cette méthode uniquement pour un test, ou si vous savez que personne ne ré‑enrôlera la machine.
Vérifier le statut Autopilot avant l’achat
Mieux vaut prévenir que guérir. Avant d’acheter une Surface (ou tout PC) auprès d’un revendeur tiers :
- Demandez le numéro de série et contactez le support Microsoft Surface : ils peuvent confirmer si l’appareil figure dans la base Autopilot.
- Exigez une attestation de désinscription Autopilot fournie par le service IT vendeur le cas échéant.
- Privilégiez un canal « Consumer » (modèles listés “for Home” ou “grand public”). Les versions “for Business” ne sont pas systématiquement provisionnées, mais la vérification devient indispensable.
Faut‑il toucher au BIOS ou désactiver Secure Boot ?
Non. Le blocage OOBE ne vient pas d’une restriction firmware mais du service Autopilot. Changer les paramètres UEFI (Secure Boot, TPM, etc.) ne résout rien, au contraire : cela peut empêcher l’image officielle de s’installer ou altérer BitLocker.
Et le clavier visuel dans tout ça ?
Beaucoup d’utilisateurs se demandent si l’inactivité du clavier virtuel (on‑screen keyboard) est un dysfonctionnement matériel. Pas du tout : dans l’environnement OOBE, seules les zones de saisie autorisées l’appellent. Tant que vous n’êtes pas passé à l’étape « Set up PIN » ou que l’OOBE est bridé, Windows réduit sciemment les interactions tactiles.
Comment repérer un produit authentiquement « neuf » ?
Un appareil jamais provisionné :
- Affiche l’assistant OOBE classique, avec la possibilité de sélectionner la région et la méthode de clavier dès les premières secondes.
- Propose alternativement « Set up for personal use » ou « Set up for organization » si vous êtes sur Windows 11 Pro.
- N’impose pas la saisie des identifiants d’emblée et permet, hors connexion Internet, de créer un compte hors‑ligne.
Si l’une de ces étapes manque, suspectez un enrôlement.
FAQ express
Mon vendeur assure que la tablette est « neuve », comment est‑ce possible ?
Elle peut être physiquement neuve, mais le lot a été acheté via un contrat entreprise. Dès qu’un numéro de série passe dans Autopilot, il est associé au tenant jusqu’à ce qu’un administrateur l’en retire.
Existe‑t‑il un moyen « officiel » de sortir soi‑même du tenant ?
Non, seul l’administrateur du tenant peut supprimer l’enrôlement, ou vous devez réinstaller Windows à partir d’une image non provisionnée.
La mise à jour vers Windows 11 retail suffirait‑elle ?
Pas si l’image d’origine provient d’Autopilot : les métadonnées d’enrôlement persistent dans la partition de récupération. Il faut effacer cette partition ou la remplacer par une image saine.
Checklist avant de renvoyer l’appareil
Vous hésitez entre ré‑image et retour ? Posez‑vous ces questions :
- Avez‑vous déjà installé des logiciels/licences non transférables ?
- Le vendeur propose‑t‑il un échange sans frais ?
- Préférez‑vous investir du temps (ré‑image) ou gérer une logistique de retour ?
- Votre niveau d’aisance technique est‑il suffisant pour manipuler l’UEFI ?
Conclusion pratique
Un écran « Sign in with work or school account » au premier démarrage d’une Surface Pro 7+ révèle quasi à coup sûr un enrôlement Autopilot restant. Deux portes de sortie sérieuses :
- Réinstaller Windows via l’image de récupération pour purger toute configuration Intune.
- Faire valoir la garantie ou le droit de retour et exiger un appareil désenrôlé.
La meilleure défense reste la prévention : exigez trace écrite d’une désinscription Autopilot avant l’achat, surtout sur les places de marché. Ainsi vous profiterez pleinement de votre Surface, sans frontières ni comptes imposés.
L’essentiel à retenir
- Règle n° 1 : Exigence « Work or School » = enrôlement Autopilot/Intune actif.
- Règle n° 2 : Seuls un ré‑image propre ou le retrait officiel du tenant éliminent le blocage.
- Règle n° 3 : Achetez auprès de revendeurs certifiés et validez à l’avance l’état « non‑enrôlé ».