Surface Studio : démarrer en mode sans échec et réparer Windows après désactivation de services (msconfig, WinRE, Hello/PIN)

Votre Surface Studio refuse l’ouverture de session après la désactivation de services via msconfig ? Voici un guide pas‑à‑pas pour entrer dans WinRE, démarrer en mode sans échec, réparer Windows et réactiver proprement les services critiques (Windows Hello, PIN, etc.).

Sommaire

Vue d’ensemble du problème

Après avoir tenté de corriger un plantage BEX64 en désactivant des services avec msconfig, l’ouverture de session peut devenir impossible : caméra Windows Hello inactive, code PIN indisponible, et le raccourci Maj + Alimentation > Redémarrer ne montre pas les Paramètres de démarrage. L’objectif est de retrouver l’accès au système sans réinitialiser l’appareil :

forcer l’entrée dans l’Environnement de récupération Windows (WinRE),
démarrer en mode sans échec ou lancer une réparation automatique,
réactiver les services désactivés responsables du blocage.

Procédure rapide (vue synthétique)

Étape	Procédure	Objectif
1. Forcer l’accès à WinRE	Maintenir Power 10 s pour éteindre le Surface. Rallumer ; dès que le logo Surface apparaît, couper l’alimentation avant le chargement de Windows. Répéter trois fois ; au 3ᵉ démarrage, WinRE se lance automatiquement.	Afficher les options de dépannage si Maj + Redémarrer est inopérant.
2. Essayer le mode sans échec	WinRE → Dépannage → Options avancées → Paramètres de démarrage → Redémarrer → touche F4/F5.	Démarrer avec un minimum de pilotes/services pour corriger la configuration.
3. Réactiver les services	Une fois connecté : a) msconfig : onglet Services → Masquer tous les services Microsoft → cocher ce qui est nécessaire → OK → redémarrer. b) services.msc : clic droit → Propriétés → Type de démarrage (Automatique/Manuel) → Démarrer.	Restaurer la configuration sans réinstallation.
4. Utiliser la réparation automatique	WinRE → Dépannage → Réparation du démarrage.	Corriger automatiquement BCD, fichiers système et réglages de démarrage.

Détails étape par étape

Accéder à WinRE par interruption de démarrage

Maintenez le bouton Power ~10 s jusqu’à extinction complète.
Allumez, attendez le logo Surface, et coupez à nouveau l’alimentation avant l’animation de Windows.
Répétez trois fois : Windows déclenche alors Réparation automatique et charge WinRE.

Remarques Surface : Sur certains modèles, Volume + + Power pendant ~15 s ouvre l’UEFI. Sur Surface Studio, privilégiez l’interruption de démarrage ; l’UEFI est utile pour diagnostiquer, mais pas indispensable pour WinRE.

BitLocker : si votre disque est chiffré, WinRE peut demander la clé de récupération. Assurez‑vous de l’avoir (compte Microsoft/entreprise ou sauvegarde hors‑ligne).

Démarrer en mode sans échec depuis WinRE

WinRE → Dépannage → Options avancées → Paramètres de démarrage.
Cliquez Redémarrer, puis appuyez sur 4 (F4) : Mode sans échec, 5 (F5) : Mode sans échec avec réseau.
Connectez‑vous (mot de passe compte local/Microsoft). Si Hello/PIN sont inactifs, cliquez sur Options de connexion et choisissez Mot de passe.

Réactiver les services nécessaires (Windows Hello, session, réseau)

Une fois sur le Bureau :

Ouvrez msconfig → Général → sélectionnez Démarrage normal (recommandé pour tout remettre par défaut) ou Démarrage sélectif si vous souhaitez conserver un « clean boot ».
Onglet Services : cochez Masquer tous les services Microsoft pour éviter les désactivations critiques, puis réactivez progressivement les services tiers dont vous avez besoin.
Validez puis redémarrez.

Si vous préférez un réglage fin, utilisez services.msc : pour chaque service listé dans la section « Services critiques » ci‑dessous, vérifiez que le Type de démarrage n’est pas Désactivé et que l’État est En cours d’exécution quand requis.

Si le mode sans échec n’apparaît pas ou démarre en mode normal

Forcer un prochain démarrage en mode sans échec (bcdedit)

Dans WinRE → Options avancées → Invite de commandes :

bcdedit /set {default} safeboot minimal

Redémarrez ; Windows forcera le mode sans échec. Après vos corrections, supprimez l’option :

bcdedit /deletevalue {default} safeboot

Réparation du démarrage

Si le Safe Mode ne se lance pas, exécutez : WinRE → Dépannage → Réparation du démarrage. L’outil vérifie la configuration BCD, des fichiers système, des clés de registre importantes et des paramètres de démarrage susceptibles d’avoir été corrompus par la désactivation de services.

Restauration du système (si disponible)

Toujours dans WinRE : Options avancées → Restauration du système. Choisissez un point de restauration antérieur à vos modifications msconfig. C’est souvent le moyen le plus rapide de retrouver un état fonctionnel.

Analyse et réparation hors‑ligne des fichiers système

Dans WinRE → Invite de commandes. D’abord, identifiez la lettre du volume Windows (souvent D: dans WinRE) :

diskpart
list vol
exit

Puis lancez SFC et DISM hors‑ligne :

sfc /scannow /offbootdir=D:\ /offwindir=D:\Windows
DISM /Image:D:\ /Cleanup-Image /RestoreHealth

Ces commandes réparent des fichiers corrompus susceptibles d’empêcher l’ouverture de session ou l’accès au Safe Mode.

Méthodes alternatives pour entrer en WinRE

Depuis une session ouverte : Menu Démarrer ▶ Alimentation → maintenir Maj en cliquant sur Redémarrer.
Invite de commandes/PowerShell : shutdown /r /o /f /t 0.
Sur certains Surface : maintenir Volume + + Power ~15 s.
Clé USB de Récupération créée depuis un autre PC Windows 10/11 (compatible architecture).

Services critiques pour l’ouverture de session et Windows Hello

Ne désactivez jamais les services ci‑dessous. Si l’un d’eux est à Désactivé, remettez‑le au minimum en Manuel (3) ou Automatique (2) selon le cas :

Service (nom visible)	Nom système	Rôle principal	Démarrage par défaut
Windows Biometric Service	WbioSrvc	Caméra/biométrie Windows Hello	Manuel (déclenché)
Microsoft Passport	NgcSvc	Gestion du PIN/Hello (clés)	Manuel (déclenché)
Microsoft Passport Container	NgcCtnrSvc	Conteneur de clés Hello	Manuel (déclenché)
Credential Manager	VaultSvc	Stockage des informations d’identification	Manuel (déclenché)
Cryptographic Services	CryptSvc	Chiffrement, certificats, signature	Automatique
Group Policy Client	gpsvc	Application des stratégies (Hello for Business, sécurité)	Automatique
User Profile Service	ProfSvc	Chargement du profil utilisateur	Automatique
Windows Event Log	EventLog	Journalisation système (dépendances multiples)	Automatique
Security Accounts Manager	SamSs	Gestion comptes locaux, logon	Automatique
Remote Procedure Call	RpcSs	Infrastructure d’appels système	Automatique

Astuce : dans msconfig ▶ Services, cochez Masquer tous les services Microsoft pour ne désactiver que des éléments tiers, bien moins risqués.

Réactivation rapide via PowerShell (quand Windows démarre)

Exécutez en PowerShell Administrateur :

sc.exe config WbioSrvc start= demand
sc.exe config NgcSvc start= demand
sc.exe config NgcCtnrSvc start= demand
sc.exe config VaultSvc start= demand
sc.exe config CryptSvc start= auto
sc.exe config ProfSvc start= auto
sc.exe config gpsvc start= auto
sc.exe start  WbioSrvc
sc.exe start  NgcSvc
sc.exe start  NgcCtnrSvc
sc.exe start  CryptSvc

Le mot‑clé après start= (auto/demand) remet le type de démarrage. sc.exe start lance immédiatement le service.

(Avancé) Réactiver les services en modifiant le Registre hors‑ligne

Si Windows ne démarre jamais, vous pouvez rétablir les services depuis WinRE :

WinRE → Invite de commandes → repérez la lettre du Windows installé (diskpart → list vol → exit).
Chargez la ruche SYSTEM :

reg load HKLM\OFFLINE_SYSTEM D:\Windows\System32\Config\SYSTEM
reg query HKLM\OFFLINE_SYSTEM\Select

Notez la valeur Current (ex. 1 signifie ControlSet001). Puis ajustez la valeur Start des services (2 = Automatique, 3 = Manuel, 4 = Désactivé) :

reg add HKLM\OFFLINE_SYSTEM\ControlSet001\Services\WbioSrvc     /v Start /t REG_DWORD /d 3 /f
reg add HKLM\OFFLINE_SYSTEM\ControlSet001\Services\NgcSvc       /v Start /t REG_DWORD /d 3 /f
reg add HKLM\OFFLINE_SYSTEM\ControlSet001\Services\NgcCtnrSvc   /v Start /t REG_DWORD /d 3 /f
reg add HKLM\OFFLINE_SYSTEM\ControlSet001\Services\VaultSvc     /v Start /t REG_DWORD /d 3 /f
reg add HKLM\OFFLINE_SYSTEM\ControlSet001\Services\CryptSvc     /v Start /t REG_DWORD /d 2 /f
reg add HKLM\OFFLINE_SYSTEM\ControlSet001\Services\ProfSvc      /v Start /t REG_DWORD /d 2 /f
reg add HKLM\OFFLINE_SYSTEM\ControlSet001\Services\gpsvc        /v Start /t REG_DWORD /d 2 /f

Déchargez ensuite la ruche :

reg unload HKLM\OFFLINE_SYSTEM

Attention : une erreur dans le Registre peut aggraver la situation. Sauvegardez avant toute modification (voir plus bas).

Spécificités Surface Studio

La caméra IR (Windows Hello) dépend des services WbioSrvc, NgcSvc et NgcCtnrSvc. S’ils sont désactivés, Hello et le PIN disparaissent.
Le firmware Surface installe des pilotes « Surface Camera Windows Hello » : après réparation, laissez Windows Update réinstaller les composants Surface s’ils manquent.
Si la connexion par mot de passe n’est pas proposée, cliquez sur Options de connexion sur l’écran de logon (icône clé) pour basculer du PIN/Hello vers Mot de passe.

À propos du plantage BEX64 (contexte)

BEX64 indique le plus souvent une exception de type « buffer overflow » interceptée par la protection (DEP/ASLR), généralement liée à un module tiers (extension, pilote, codec, overlay graphique, antivirus). Désactiver au hasard des services système n’est pas la bonne réponse. Préférez :

Identifier le module fautif dans l’Observateur d’événements ou le Moniteur de fiabilité (nom du module en erreur : Faulting Module).
Mettre à jour l’application, ses bibliothèques (VC++ Redistributable) et pilotes (GPU, audio, capture).
Tester en clean boot (désactiver uniquement les services non‑Microsoft via msconfig).
Réinstaller proprement l’application concernée si le module incriminé est embarqué.

Bonnes pratiques pour éviter le blocage d’ouverture de session

Avant toute expérimentation : créez un point de restauration et exportez HKLM\SYSTEM\CurrentControlSet\Services.
Dans msconfig : cochez toujours Masquer tous les services Microsoft avant de désactiver quoique ce soit.
Documentez chaque changement (capture d’écran, liste des services modifiés) pour pouvoir revenir en arrière.
Conservez votre clé BitLocker dans un emplacement sûr et accessible hors‑ligne.

Étude de cas : issue constatée

Le mode sans échec n’a pas démarré (Windows a démarré « normalement » malgré la sélection).
La Réparation du démarrage a détecté et corrigé le problème.
L’ordinateur a redémarré et fonctionne de nouveau normalement.

Scripts utiles (annexe)

Forcer Safe Mode puis revenir à la normale

:: Depuis WinRE &gt; Invite de commandes
bcdedit /set {default} safeboot minimal
:: ... redémarrez, corrigez, puis :
bcdedit /deletevalue {default} safeboot

Réinitialiser msconfig au démarrage normal

:: À exécuter après connexion
start msconfig
:: Onglet "Général" &gt; "Démarrage normal" &gt; OK &gt; Redémarrer

Réparer fichiers système hors‑ligne (chemins à adapter)

diskpart
list vol
exit
sfc  /scannow /offbootdir=D:\ /offwindir=D:\Windows
DISM /Image:D:\ /Cleanup-Image /RestoreHealth

FAQ

Le menu « Paramètres de démarrage » n’apparaît pas dans WinRE.
Utilisez la méthode bcdedit /set {default} safeboot minimal depuis l’Invite de commandes, puis redémarrez. Vous pourrez revenir à la normale avec bcdedit /deletevalue {default} safeboot.

WinRE me demande une clé BitLocker.
Il s’agit de la clé de récupération liée au disque. Vous devez la récupérer (compte Microsoft/organisation ou sauvegarde personnelle) pour accéder aux outils de réparation.

Je n’ai plus ni PIN ni Hello et aucun mot de passe ne s’affiche.
Sur l’écran de connexion, cliquez sur Options de connexion (icône clé) et choisissez Mot de passe. Si l’option est absente, réactivez WbioSrvc, NgcSvc, NgcCtnrSvc, VaultSvc, CryptSvc et relancez.

Réparation du démarrage a échoué.
Essayez Restauration du système, puis SFC/DISM hors‑ligne. En dernier recours, un In‑place upgrade depuis une clé d’installation conserve vos fichiers tout en réinstallant Windows.

Checklist finale de sortie de panne

Vous avez pu accéder à WinRE (par interruption de démarrage ou autre méthode).
Le mode sans échec a démarré (ou la Réparation du démarrage a été menée à bien).
Dans msconfig : Démarrage normal ou Masquer tous les services Microsoft + réactivation des services nécessaires.
Les services WbioSrvc, NgcSvc, NgcCtnrSvc, VaultSvc, CryptSvc, ProfSvc, gpsvc ne sont plus désactivés.
Windows Hello/PIN et/ou Mot de passe sont à nouveau proposés sur l’écran de connexion.
Le crash BEX64 a été traité en mettant à jour ou en remplaçant le module responsable (pas en désactivant des services système).

Résumé opératoire

En bref : provoquez WinRE en interrompant trois démarrages, testez le Mode sans échec. Si l’option est introuvable, forcez‑le via bcdedit. Si Windows refuse toujours, lancez Réparation du démarrage puis SFC/DISM. Une fois sur le Bureau, remettez Démarrage normal dans msconfig, réactivez les services critiques et vérifiez Windows Hello/PIN.

Annexes : modèles de procédures

Modèle « retour à l’état d’origine » avec msconfig

msconfig → Général → Démarrage normal.
Services : Masquer tous les services Microsoft → activer les services tiers indispensables.
Démarrer : laissez Temps d’attente à 30 s si vous jonglez entre plusieurs entrées de démarrage.
Redémarrez et contrôlez Gestionnaire des tâches ▶ Démarrage (limitez les éléments non essentiels).

Modèle de diagnostic « clean boot » sans risquer la casse

msconfig : Services → Masquer tous les services Microsoft → Désactiver tout.
Démarrage : Gestionnaire des tâches → désactiver les éléments non Microsoft.
Redémarrez et testez l’application fautive. Réactivez par groupes jusqu’à isoler l’élément provoquant BEX64.

Réinitialiser le conteneur PIN/Hello (si profils corrompus)

À n’utiliser qu’en dernier recours : supprime les clés locales Hello et vous demandera de reconfigurer le PIN à la prochaine ouverture de session.

:: Depuis WinRE &gt; Invite de commandes (chemins à vérifier)
takeown /f "D:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc" /r /d y
icacls  "D:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc" /grant administrators:F /t
rmdir /s /q "D:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc"

Redémarrez, connectez‑vous par mot de passe, puis recréez le PIN/Hello.

Conclusion

Un Surface Studio qui refuse la connexion après des désactivations de services n’est pas une fatalité. En combinant WinRE, Safe Mode, réparation automatique et une réactivation méthodique des services clés (Hello, PIN, profils), vous restaurez l’accès sans réinitialisation. Conservez des points de restauration, manipulez msconfig avec discernement et privilégiez la mise à jour des composants tiers pour traiter les erreurs BEX64 sans fragiliser Windows.

Rappels utiles

Avant modification, sauvegardez toujours le Registre HKLM\SYSTEM\CurrentControlSet\Services et vos données.
N’utilisez pas msconfig pour « désactiver Windows » : ciblez les éléments non Microsoft.
Gardez votre clé BitLocker à portée de main pour WinRE.