Démarrer Windows Server 2019 en mode sans échec

Table des matières

• Pourquoi utiliser le mode sans échec
• Méthode 1 : Utiliser la configuration système (msconfig)
• Méthode 2 : Shift + Redémarrer depuis l’écran de connexion
• Méthode 3 : Utiliser l’invite de commandes avec bcdedit
• Méthode 4 : Utiliser le média d’installation ou un lecteur de récupération
• Exemple de flux de décision pour choisir une méthode
• Bonnes pratiques et cas où le mode sans échec échoue
• Procédure opératoire standard (SOP) pour entrer/sortir du mode sans échec
• Checklists par rôle
• DSRM et contrôleurs de domaine
• FAQ
• Résumé

Pourquoi utiliser le mode sans échec

Le mode sans échec est un mode de démarrage diagnostique. Il charge uniquement les composants minimaux nécessaires au système d’exploitation. En pratique, cela aide à :

• isoler les défaillances causées par des pilotes ou des services tiers ;
• éliminer l’interférence des logiciels de sécurité ou utilitaires pendant le dépannage ;
• lancer des outils de réparation (sfc, DISM, chkdsk) dans un environnement simplifié ;
• supprimer des malwares persistants quand les services normaux empêchent leurs suppressions.

Définition rapide : le mode sans échec démarre Windows avec un ensemble restreint de pilotes et services pour faciliter la résolution des problèmes.

Important : le mode sans échec n’est pas destiné à exécuter des charges de production. Certaines fonctionnalités critiques (Active Directory, IIS, services réseau) peuvent être désactivées selon l’option choisie.

Méthode 1 : Utiliser la configuration système (msconfig)

Quand l’utiliser : serveur accessible en session administrative régulière.

Étapes détaillées :

1. Appuyez sur les touches Windows + R, tapez msconfig, puis appuyez sur Entrée.
2. Dans la fenêtre Configuration du système, ouvrez l’onglet Démarrer.
3. Sous Options de démarrage, cochez Démarrage sécurisé et sélectionnez Minimal pour un mode sans échec classique.
4. Cliquez sur OK, puis choisissez Redémarrer.

Revenir en arrière :

• Ouvrez msconfig à nouveau et décochez Démarrage sécurisé, puis redémarrez.
• Ou exécutez la commande indiquée dans la section suivante pour supprimer la valeur de boot.

Avantages : simple, réversible depuis l’interface graphique. Inconvénients : nécessite accès interactif et permissions localement.

Méthode 2 : Shift + Redémarrer depuis l’écran de connexion

Quand l’utiliser : interface graphique accessible (même si la connexion interactive est impossible à compléter).

Étapes détaillées :

1. À l’écran de connexion, cliquez sur l’icône Alimentation en bas à droite.
2. Maintenez la touche Shift (Maj) enfoncée et sélectionnez Redémarrer.
3. Le système redémarrera et affichera le menu de récupération. Naviguez vers : Dépannage > Options avancées > Paramètres de démarrage > Redémarrer.
4. Après le redémarrage, choisissez la touche correspondant à Activer le mode sans échec (souvent F4) ou Activer le mode sans échec avec réseau (souvent F5).

Remarque : cette méthode est utile si vous suspectez qu’un composant de connexion empêche l’ouverture normale de session.

Méthode 3 : Utiliser l’invite de commandes avec bcdedit

Quand l’utiliser : accès administrateur à l’invite de commandes (local ou à distance via gestion à distance).

Activer le mode sans échec :

bcdedit /set {default} safeboot minimal

Redémarrez le serveur ; il démarrera alors en mode sans échec minimal.

Désactiver le mode sans échec :

bcdedit /deletevalue {default} safeboot

Notes :

• Si votre entrée de boot n’est pas {default}, adaptez la commande en utilisant l’identificateur correct (bcdedit /enum pour lister).
• Pour activer le mode sans échec avec réseau : bcdedit /set {default} safeboot network.

Avantages : scriptable, utilisable à distance, utile pour serveurs sans interface graphique accessible.

Méthode 4 : Utiliser le média d’installation ou un lecteur de récupération

Quand l’utiliser : si le serveur ne démarre pas normalement ni en Recovery, ou si l’accès au système est impossible.

Étapes détaillées :

1. Insérez le média d’installation de Windows Server 2019 ou le lecteur de récupération USB.
2. Démarrez depuis le média (réglez le boot order si nécessaire).
3. À l’écran d’installation, choisissez Réparer l’ordinateur plutôt que d’installer.
4. Sélectionnez Dépannage > Options avancées > Invite de commandes.
5. Dans l’invite, exécutez la même commande bcdedit que pour la Méthode 3 afin d’activer safeboot.
6. Redémarrez et retirez le média si nécessaire.

Utilité : méthode de dernier recours quand le système ne répond plus.

Exemple de flux de décision pour choisir une méthode

flowchart TD
  A[Serveur accessible en session Admin?] -->|Oui| B[Voulez-vous une interface graphique?|]
  B -->|Oui| C[Utiliser msconfig]
  B -->|Non| D[Utiliser bcdedit]
  A -->|Non| E[Serveur démarre au moins sur écran de connexion?]
  E -->|Oui| F[Shift + Redémarrer]
  E -->|Non| G[Utiliser média d'installation]
  C --> H[Redémarrer en mode sans échec]
  D --> H
  F --> H
  G --> H

Cette logique aide à sélectionner la méthode adaptée selon l’état du serveur et l’accès disponible.

Bonnes pratiques et cas où le mode sans échec échoue

Quand le mode sans échec peut ne pas suffire :

• corruption irréversible du disque système : chkdsk peut aider mais parfois la récupération exige restauration depuis sauvegarde ;
• problèmes de firmware/UEFI ou matériel défaillant (RAM, contrôleur disque) : le mode sans échec n’isole pas les pannes matérielles bas niveau ;
• attaques très persistantes qui altèrent le chargeur de démarrage ou le micrologiciel : nécessitent analyses spécialisées.

Conseils :

• Sauvegardez ou prenez un snapshot avant de modifier le BCD ou de supprimer du logiciel.
• Documentez les commandes et captures d’écran pendant le dépannage.
• Testez les commandes sur une VM avant déploiement en production si possible.

Procédure opératoire standard (SOP) pour entrer et sortir du mode sans échec

But : fournir une procédure reproductible pour équipe d’exploitation.

Pré-requis : accès administrateur, sauvegarde récente, fenêtre de maintenance planifiée si environnement critique.

Étapes SOP :

1. Annoncer la maintenance aux parties prenantes si le serveur dessert des utilisateurs.
2. Vérifier les sauvegardes et snapshots disponibles.
3. Choisir la méthode adaptée au cas (voir flux de décision).
4. Activer le mode sans échec (msconfig / Shift+Redémarrer / bcdedit / média).
5. Vérifier que le serveur a démarré en mode sans échec (journal d’événements, services démarrés).
6. Exécuter les actions de dépannage (sfc /scannow, DISM, suppression de logiciels problématiques, analyses anti-malware).
7. Documenter les changements (services modifiés, drivers désinstallés, corrections appliquées).
8. Revenir à l’état normal (bcdedit /deletevalue {default} safeboot ou décocher dans msconfig) et redémarrer.
9. Valider la santé du serveur (tests applicatifs, logs, réplication AD si applicable).
10. Clôturer l’incident et conserver les traces.

Critères d’acceptation

• Le serveur redémarre en mode normal sans erreurs critiques.
• Les services et rôles nécessaires reprennent correctement (selon SLA) après sortie du mode sans échec.
• Les logs montrent que l’anomalie identifiée est résolue ou qu’un plan de mitigation est en place.

Checklists par rôle

Administrateur système

• Vérifier l’accès admin et les sauvegardes.
• Exécuter bcdedit /enum si nécessaire.
• Appliquer correctifs et vérifier journaux.

Support de premier niveau

• Confirmer symptôme et heure d’apparition.
• Tenter les options non invasives (Shift + Redémarrer) et escalader.

Équipe sécurité

• Lancer un scan anti-malware en mode sans échec avec réseau si nécessaire.
• Examiner modifications suspects et artefacts persistants.

DSRM et contrôleurs de domaine

Si le serveur est un contrôleur de domaine, ne démarrez pas en mode sans échec classique pour réparer Active Directory. Utilisez le mode spécial Directory Services Restore Mode (DSRM) lorsque vous devez restaurer ou réparer la base AD.

• DSRM permet de monter AD hors ligne pour restaurations et utilitaires.
• Pour démarrer en DSRM, utilisez les options de démarrage du serveur (touche F8 historique ou via l’éditeur BCD selon votre configuration) ou suivez la procédure d’accès hors ligne depuis les outils de récupération.

Important : en DSRM, les services AD ne sont pas disponibles pour les clients. Planifiez une fenêtre de maintenance.

Sécurité et confidentialité

• N’effectuez pas de transferts de données sensibles non chiffrés pendant les opérations de dépannage.
• Si des données personnelles sont impliquées, conservez une piste d’audit des actions (horaire, opérateur, commandes exécutées) pour la conformité.
• Pour les environnements soumis au RGPD, limitez l’accès aux logs contenant des données personnelles et supprimez les copies temporaires après résolution.

Cas pratiques et alternatives

Alternatives au mode sans échec pour dépannage :

• Démarrer en environnement WinPE pour diagnostiquer le disque et la mémoire.
• Montez le disque sur une machine de secours pour analyses hors ligne.
• Utilisez snapshots VM pour revenir rapidement en arrière après des tests.

Contre-exemples (quand ne pas utiliser le mode sans échec) :

• Lorsque vous devez tester une configuration réseau complète or une charge applicative complète ;
• Quand la panne provient d’un composant matériel dont l’accès nécessite un arrêt complet et remplacement.

Foire aux questions

Comment démarrer Windows Server 2019 en mode sans échec depuis le démarrage?

Vous pouvez utiliser un média d’installation ou, depuis l’écran de connexion, maintenir Shift et sélectionner Redémarrer pour accéder aux options de récupération.

Qu’est-ce que le mode sans échec avec réseau dans Windows Server 2019?

C’est une variante du mode sans échec qui charge également les pilotes et services nécessaires à la connectivité réseau, utile pour télécharger outils ou mises à jour pendant le dépannage.

Puis-je accéder au mode sans échec si Windows Server 2019 ne démarre pas normalement?

Oui : utilisez un média d’installation ou un lecteur de récupération pour ouvrir une invite de commandes et activer safeboot via bcdedit.

Comment sortir du mode sans échec?

Exécutez la commande suivante dans une invite de commandes en mode administrateur :

bcdedit /deletevalue {default} safeboot

Ou désactivez Démarrage sécurisé dans msconfig et redémarrez.

Le mode sans échec affecte-t-il les rôles et applications du serveur?

Oui, certains services comme Active Directory, IIS ou SQL Server peuvent ne pas fonctionner. Le mode sans échec sert uniquement au dépannage.

Le mode sans échec est-il sûr pour un contrôleur de domaine?

Techniquement oui, mais pour réparer Active Directory utilisez Directory Services Restore Mode (DSRM) plutôt que le mode sans échec classique.

Résumé

Le mode sans échec de Windows Server 2019 est un outil de dépannage essentiel pour isoler les problèmes logiciels et exécuter des réparations sans l’interférence de composants non essentiels. Choisissez la méthode adaptée selon l’accès au serveur : msconfig pour simplicité, Shift+Redémarrer pour accès utilisateur, bcdedit pour automatisation, ou un média de récupération en dernier recours. Pour les contrôleurs de domaine, privilégiez DSRM. Suivez la SOP et les checklists pour limiter les risques et documenter vos actions.