Sur un poste de travail, laisser Windows Update faire son travail automatiquement est la bonne pratique. Sur un serveur, c’est plus délicat : un redémarrage en pleine journée interrompt la comptabilité, une mise à jour défaillante peut bloquer une application métier, et un serveur jamais mis à jour devient une porte d’entrée pour les rançongiciels. La solution : une stratégie de mises à jour contrôlée, avec des groupes, des délais, des fenêtres de maintenance et des vérifications. Voici comment la construire avec les outils Microsoft actuels.
L’essentiel en 30 secondes
- Mettre à jour les serveurs chaque mois, dans un délai défini après le « Patch Tuesday » (deuxième mardi du mois).
- Procéder par vagues : serveurs de test ou peu critiques d’abord, contrôleurs de domaine et serveurs métier ensuite.
- Toujours avoir une sauvegarde ou un instantané récent et vérifié avant de mettre à jour.
- Les failles activement exploitées passent hors cycle, sous quelques jours.
- Windows Server 2016 arrive en fin de support étendu le 12 janvier 2027 : planifiez la migration dès maintenant.
Le calendrier type
| Jour | Action | Serveurs concernés |
|---|---|---|
| J (Patch Tuesday) | Lecture des bulletins, repérage des failles exploitées | – |
| J+1 à J+3 | Déploiement vague 1, vérifications | Serveur de test, serveurs secondaires |
| J+7 | Déploiement vague 2 hors heures ouvrées | Serveurs de fichiers, d’impression, applicatifs |
| J+10 | Déploiement vague 3, un contrôleur de domaine à la fois | Contrôleurs de domaine, serveurs critiques |
| J+14 | Rapport de conformité, traitement des échecs | Tous |
En cas de faille activement exploitée (alerte du CERT-FR ou catalogue KEV de la CISA), ce calendrier est court-circuité. Voir notre méthode pour évaluer l’urgence d’un correctif.
Quels outils pour piloter les mises à jour ?
Stratégies de groupe et Windows Update
Pour un petit parc, les GPO suffisent : Configuration ordinateur > Modèles d’administration > Composants Windows > Windows Update. Configurez le téléchargement automatique avec installation planifiée, ou la notification seule pour garder la main sur le redémarrage, et désactivez le redémarrage automatique en présence d’utilisateurs connectés. Créez une GPO par vague, liée à des unités d’organisation distinctes.
WSUS
Windows Server Update Services reste disponible et fonctionnel, mais Microsoft l’a déclaré obsolète en 2024 : il ne recevra plus de nouvelles fonctionnalités. Il garde l’intérêt d’approuver les mises à jour par groupe d’ordinateurs et de produire des rapports. Pour un nouveau projet, privilégiez une solution pérenne.
Azure Update Manager et Azure Arc
Azure Update Manager pilote les mises à jour des serveurs, y compris ceux hébergés dans vos locaux s’ils sont connectés à Azure Arc : évaluation de conformité, planification par fenêtres de maintenance, rapports. Azure Arc permet aussi de recevoir les mises à jour de sécurité étendues (ESU) de Windows Server 2016 après janvier 2027, et d’activer le hotpatch sur Windows Server 2025 : la plupart des correctifs mensuels s’appliquent alors sans redémarrage, avec un redémarrage seulement une fois par trimestre. Ces services sont facturés par abonnement.
Outils de gestion de parc
Les solutions de gestion à distance utilisées par les prestataires (RMM) intègrent des politiques de mises à jour par groupe. C’est souvent le plus simple pour une PME infogérée, à condition que l’outil soit lui-même sécurisé.
Les précautions avant chaque vague
- Sauvegarde vérifiée ou instantané de machine virtuelle, à supprimer après validation (un instantané conservé longtemps dégrade les performances).
- Espace disque suffisant sur le volume système (au moins 10 à 15 Go libres).
- Lecture des problèmes connus publiés par Microsoft pour le mois en cours, et des avertissements des éditeurs de vos logiciels métier.
- Information des utilisateurs sur la fenêtre d’indisponibilité.
- Vérification de la réplication Active Directory avant de toucher aux contrôleurs :
repadmin /replsummary.
Les vérifications après la mise à jour
- Le serveur a redémarré et les services automatiques sont démarrés :
Get-CimInstance Win32_Service -Filter "StartMode='Auto' AND State<>'Running'". - Les mises à jour sont bien installées :
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5. - Les applications métier fonctionnent : test d’ouverture par un utilisateur référent.
- Aucune erreur nouvelle dans les journaux Système et Application.
Ces contrôles s’automatisent avec nos scripts PowerShell pour administrateurs.
Les cas particuliers
- Serveurs hyperviseurs : migrer ou arrêter proprement les machines virtuelles avant redémarrage.
- Serveurs SQL et applications métier : vérifier la compatibilité avec l’éditeur, arrêter les services dans l’ordre.
- Serveurs exposés à Internet (passerelle RDS, messagerie, web) : priorité maximale, délai court.
- Serveurs en fin de support : isoler du reste du réseau en attendant leur remplacement, et planifier la migration. Windows Server 2016 sort du support étendu le 12 janvier 2027.
Questions fréquentes
Faut-il installer les mises à jour « facultatives » ?
Sur les serveurs, non : attendez qu’elles soient intégrées à la mise à jour cumulative du mois suivant, sauf si elles corrigent un problème que vous rencontrez.
Que faire si une mise à jour pose problème ?
Désinstallez-la (wusa /uninstall /kb:numéro pour certaines, ou restauration de l’instantané), signalez le problème à l’éditeur concerné, et suspendez-la pour les vagues suivantes. Ne restez pas sans mise à jour plus d’un cycle.
Peut-on mettre à jour les deux contrôleurs de domaine en même temps ?
Non. Mettez-les à jour l’un après l’autre, en vérifiant la réplication et l’authentification entre les deux.
Le hotpatch est-il intéressant pour une PME ?
Il réduit fortement les redémarrages, ce qui est précieux pour des serveurs utilisés en continu. Il suppose Windows Server 2025, la sécurité basée sur la virtualisation et un abonnement via Azure Arc : à évaluer selon votre contexte.
Sources
- Microsoft Learn, hotpatch pour Windows Server.
- Microsoft Learn, Azure Update Manager.
- Redmond Magazine, ESU de Windows Server 2016 via Azure Arc (août 2026).
- Microsoft Learn, gestion des mises à jour avec WSUS.
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Notre infogérance inclut la gestion mensuelle des mises à jour de vos serveurs. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
