Sur certaines MSI B550, l’activation de Secure Boot fige Windows 10 et fait échouer PC Health Check (TPM 2.0 « introuvable »). Ce guide pas à pas explique comment corriger le firmware, activer fTPM en toute sécurité et réussir la mise à niveau vers Windows 11 sans réinstallation.
Contexte et symptômes
- Carte mère : MSI B550M PRO‑VDH (référence interne MS‑7C95).
- CPU : AMD Ryzen 5 3600 (plateforme AM4).
- Stockage : disques initialisés en GPT, démarrage UEFI.
- TPM : fTPM activé dans l’UEFI.
Problème observé :
- Windows 10 démarre normalement tant que Secure Boot est désactivé.
- Dès que Secure Boot est activé, le PC reste bloqué sur écran noir avec roue de chargement.
- L’outil PC Health Check refuse la mise à niveau vers Windows 11 en signalant à tort l’absence de TPM 2.0.
Diagnostic synthétique
Les symptômes pointent vers un microprogramme UEFI trop ancien :
- les Factory Keys de Secure Boot (PK/KEK/DB/DBX) ne sont pas correctement chargées ou sont obsolètes ;
- la détection du TPM par Windows est perturbée (Secure Boot partiellement initialisé → contrôle PCR non fiable → Health Check conclut à « pas de TPM 2.0 »).
Aucun indice ne laisse penser à une panne matérielle : la carte est simplement livrée avec un BIOS antérieur aux exigences actuelles de Windows 11.
Plan de correction en un coup d’œil
| Étape | Action | Résultat attendu |
|---|---|---|
| 1 | Télécharger la dernière version BIOS 2024+ pour MSI B550M PRO‑VDH. | Microcode AMD & clés Secure Boot à jour. |
| 2 | Préparer une clé USB FAT32 ≤ 8 Go, y copier seul le fichier BIOS extrait (extension .Axx ou .1C0) à la racine. | M‑Flash détecte immédiatement le support. |
| 3 | Lancer M‑Flash depuis l’UEFI, flasher, puis restaurer les réglages (fTPM, XMP/DOCP, etc.). | Secure Boot activable sans blocage ; démarrage de Windows 10 OK. |
| 4 | Vérifier dans msinfo32 : « État de l’amorçage sécurisé : Activé » et « Version du TPM : 2.0 ». | PC Health Check déclare la machine compatible Windows 11. |
| 5 | Contourner l’échec de l’update KB5034441 : a) agrandir la partition WinRE ; b) ou lancer l’Assistant d’installation Windows 11 / ISO. | Mise à niveau vers Windows 11 immédiate, sans perte de données. |
Pourquoi Secure Boot bloque le démarrage
Sur de nombreux firmwares antérieurs, l’activation de Secure Boot échoue car les clés d’autorité (PK/KEK) et les bases de signatures (DB/DBX) ne sont pas actualisées. Résultat : le chargeur de Windows, pourtant signé, n’est pas approuvé, ou bien la base DBX (liste noire) est insuffisante et le firmware entre dans un état incohérent. Windows n’atteint pas l’écran de connexion ; PC Health Check interprète ensuite cette situation comme un TPM manquant.
La mise à jour du BIOS/UEFI corrige le problème en apportant :
- les clés Secure Boot et la logique de vérification conformes aux exigences Windows 11 ;
- un AGESA AMD plus récent (stabilité fTPM, compatibilité CPU/RAM) ;
- des correctifs de démarrage UEFI nécessaires à la détection fiable du TPM 2.0.
Pré‑requis et sauvegardes avant flash
- Sauvegardes : sauvegardez vos fichiers importants (image système conseillée).
- Alimentation stable : onduleur ou batterie (ne jamais couper pendant le flash).
- BIOS par défaut : si vous avez overclocké, repassez en Optimized Defaults avant la mise à jour.
- BitLocker : si activé, suspendez temporairement la protection (Windows 10 Pro/Entreprise).
- Clé USB : FAT32, capacité modeste (4–8 Go), branchement de préférence sur un port USB 2.0 à l’arrière.
Procédure détaillée avec M‑Flash (MSI)
Identifier précisément votre révision
Dans msinfo32 (menu Démarrer → taper « msinfo32 »), relevez :
- Fabricant et modèle de la carte (ex. « MSI MS‑7C95 »).
- Version du BIOS/Date.
- Mode BIOS = UEFI (si « hérité », basculez en UEFI après conversion GPT, le cas échéant).
Télécharger et préparer le BIOS
- Téléchargez le dernier BIOS 2024+ spécifique à B550M PRO‑VDH.
- Décompressez l’archive ; le fichier BIOS porte en général une extension
.Axx(ex.E7C95AMS.AA0) ou.1C0. Ne le renommez pas. - Formatez une clé USB en FAT32 et copiez uniquement le fichier BIOS à la racine du volume.
Flasher avec M‑Flash
- Redémarrez et entrez dans l’UEFI (Suppr ou Del).
- Dans l’interface MSI, choisissez M‑Flash → l’ordinateur redémarre en mode flash.
- Sélectionnez la clé USB et le fichier BIOS détecté, puis lancez la mise à jour.
- N’interrompez en aucun cas la procédure. Le PC va redémarrer plusieurs fois.
Important fTPM : après mise à jour, certaines cartes demandent « Keep previous fTPM data » ou « Clear fTPM ». Choisissez Keep afin de préserver les clés associées (indispensable si BitLocker a été utilisé).
Rétablir les réglages clés
- Load Optimized Defaults, puis ajustez : mémoire (XMP/DOCP), ventilateurs, etc.
- Activez fTPM : Security → Trusted Computing → Security Device Support = Enabled et AMD fTPM.
- Assurez-vous que CSM = Disabled et Boot Mode = UEFI.
- Dans Secure Boot :
- Secure Boot Mode : Standard.
- Cliquez Restore Factory Keys (enrôler les clés par défaut).
- Passez Secure Boot à Enabled.
- Enregistrez et redémarrez.
Vérifier depuis Windows que tout est conforme
| Vérification | Comment faire | Valeur attendue |
|---|---|---|
| Mode BIOS | msinfo32 → Mode BIOS | UEFI |
| Secure Boot | msinfo32 → État de l’amorçage sécurisé | Activé |
| TPM | tpm.msc ou PowerShell get-tpm | Spécification 2.0, TPM Present : True |
| Liaison PCR7 | msinfo32 → Liaison PCR7 | Lié (ou « Compatible ») |
| Health Check | Relancer l’outil | PC compatible Windows 11 |
Commandes utiles
PowerShell (administrateur)
# TPM
Get-Tpm
# Secure Boot
Confirm-SecureBootUEFI
# Info WinRE (Recovery)
reagentc /info </code></pre>
<h2>Contournement de l’échec KB5034441 (WinRE trop petite)</h2>
<p>Cette mise à jour cumulative du Recovery échoue souvent avec l’erreur 0x80070643 car la partition WinRE (Recovery) est trop petite. Deux voies fiables :</p>
<h3>Option A : agrandir proprement WinRE</h3>
<ol>
<li>Ouvrez un <strong>Invite de commandes administrateur</strong> et exécutez :
<pre><code>reagentc /info
reagentc /disable
<em>But :</em> désactiver WinRE pour pouvoir manipuler sa partition.Réservez ~1 Go d’espace libre en fin de disque :
- GUI : diskmgmt.msc → clic droit sur C: → Réduire le volume → 1024 Mo.
- ou CLI :
diskpart list volume select volume C shrink desired=1024 exit
Créez/étendez une partition WinRE dédiée (GUID Recovery + attribut protégé). Si la disposition ne permet pas un simple « extend », créez une nouvelle petite partition WinRE :
diskpart
list disk
select disk 0
create partition primary size=1024
format quick fs=ntfs label="WINRE"
assign letter=R
set id=de94bba4-06d1-4d40-a16a-bfd50179d6ac
gpt attributes=0x8000000000000001
exit
Réinitialisez WinRE :
mkdir R:\Recovery\WindowsRE
copy C:\Windows\System32\Recovery\Winre.wim R:\Recovery\WindowsRE\
reagentc /setreimage /path R:\Recovery\WindowsRE
reagentc /enable
reagentc /info
Relancez Windows Update ; KB5034441 s’installe normalement.
Remarques importantes :
- Si une partition Recovery existante était présente, vous pouvez la laisser et créer une nouvelle WinRE. Windows utilisera celle définie par
reagentc /setreimage. - Si
Winre.wimn’est pas dansC:\Windows\System32\Recovery, cherchez-le dansC:\Windows\System32(caché) ou dans l’ancienne partition WinRE (viamountvol).
Option B : mise à niveau directe vers Windows 11
Lorsque WinRE bloque les mises à jour, la mise à niveau sur place via l’Assistant d’installation Windows 11 ou ISO monté contourne le problème :
- Montez l’ISO de Windows 11 (clic droit → Monter) et lancez
setup.exe. - Choisissez Conserver fichiers et applications.
- L’installateur réécrit au passage un environnement de récupération fonctionnel.
Réglages Secure Boot recommandés après mise à jour
- Boot Mode : UEFI.
- CSM : Disabled.
- Secure Boot : Enabled.
- Secure Boot Mode : Standard (pas Custom).
- Si doute sur les clés : Restore Factory Keys.
Bonnes pratiques de flash BIOS
- Alimentation stable (onduleur/batterie).
- Ne jamais éteindre, ni retirer la clé USB pendant l’écriture.
- Éviter les profils d’overclock pendant la mise à jour.
- Après le flash : reconfigurer XMP/DOCP, la séquence de boot, et vérifier les températures.
Dépannage éclair
| Symptôme | Cause probable | Solution |
|---|---|---|
| M‑Flash ne voit pas la clé USB | Format, taille ou structure non conformes | FAT32, ≤ 8 Go, fichier BIOS unique à la racine, port arrière USB 2.0 |
| Secure Boot activé → écran noir | Clés absentes/obsolètes, firmware ancien | Mettre à jour l’UEFI, Restore Factory Keys, Standard mode |
| PC Health Check signale « pas de TPM 2.0 » | Secure Boot/TPM mal initialisés | Vérifier msinfo32, tpm.msc ; activer fTPM et Secure Boot |
| Erreur 0x80070643 KB5034441 | Partition WinRE trop petite | Option A (agrandir WinRE) ou Option B (ISO/Assistant Windows 11) |
| Alerte « Clear fTPM » après mise à jour | Changement d’AGESA/firmware | Choisir Keep previous fTPM data (évite perte de clés) |
FAQ rapide
Dois‑je convertir MBR→GPT ?
Si Mode BIOS ≠ UEFI, Windows 11 l’exige. Utilisez mbr2gpt /validate /allowFullOS puis convertissez au besoin. Dans votre cas, les disques sont déjà en GPT.
Faut‑il effacer les clés Secure Boot ?
Non. Utilisez Restore Factory Keys en mode Standard. Le mode Custom est réservé aux cas avancés.
Le flash BIOS efface‑t‑il mes données ?
Non, la mise à jour du firmware n’affecte pas les disques. Mais sauvegardez toujours par prudence.
Quelle version AGESA viser ?
Prenez la dernière version stable proposée pour B550M PRO‑VDH en 2024/2025. Elle apporte des correctifs fTPM/USB/compatibilité mémoire utiles.
Bonnes pratiques pour la suite
- Mettez à jour périodiquement l’UEFI pour rester compatible avec les exigences de sécurité Windows 11 (Secure Boot, DBX) et les microcodes AMD.
- Contrôlez de temps en temps msinfo32 : Secure Boot activé, PCR7 lié, TPM 2.0 présent.
- Notez votre version de BIOS et exportez un profil UEFI avant toute nouvelle mise à jour.
Résultat final
Après mise à jour du BIOS et configuration correcte de Secure Boot + fTPM, la plate‑forme MSI B550M PRO‑VDH (Ryzen 5 3600) est pleinement reconnue compatible Windows 11. Le démarrage est stable avec Secure Boot activé, PC Health Check valide le TPM 2.0, et la mise à niveau vers Windows 11 s’effectue sans réinstallation ni perte de données.
Annexe : checklist ultra‑rapide
- UEFI à jour via M‑Flash (clé USB FAT32, fichier BIOS seul à la racine).
- fTPM activé, CSM désactivé, mode UEFI.
- Secure Boot en Standard + Restore Factory Keys.
msinfo32: Secure Boot = Activé, TPM = 2.0, PCR7 = Lié.- KB5034441 : agrandir WinRE ou lancer l’Assistant/ISO Windows 11.