Quelqu'un ne peut pas accéder à son ordinateur portable. Avant de chercher une clé de récupération, déterminez lequel des quatre problèmes se produit réellement — car trois d'entre eux sont rapides et un d'entre eux efface la machine. La première règle est de les empêcher de deviner.

Fonctionnalité

Vue d'ensemble

Quatre causes couvrent presque tous les cas :

1. Ils l'ont oublié, généralement après un congé ou un changement récent.
2. Ils le tapent correctement sur le mauvais clavier. AZERTY et QWERTY produisent des caractères différents à partir de frappes identiques.
3. Une politique a changé — longueur, complexité ou rotation — et a forcé un changement qu'ils n'ont pas terminé.
4. Sur un Mac, l'invite ne demande pas du tout leur mot de passe. Certains écrans demandent un compte qui détient un SecureToken, qui peut être un compte complètement différent.

Dites-leur d'arrêter d'essayer avant de faire quoi que ce soit d'autre. Des tentatives répétées échouées sur un Mac peuvent faire passer la machine en mode de récupération, ce qui transforme une solution de cinq minutes en un long après-midi.

Comment utiliser — écartez d'abord les causes simples

Faites-les taper là où ils peuvent le voir. Tout champ visible fera l'affaire — par exemple, la boîte de nom d'utilisateur. La moitié de ces appels se termine ici.

Ensuite, vérifiez la disposition du clavier, qui est la cause que les gens ne soupçonnent jamais :

• macOS : Préférences Système > Langue et région > Méthode de saisie
• Windows : Paramètres > Heure et langue > Langue et région

Ensuite, vérifiez si vous avez changé les règles pour eux. Allez à Paramètres > Sécurité > Politiques de mot de passe et regardez ce qui s'applique à cet appareil. Une politique qui a été mise en place la semaine dernière a pu exiger un changement qu'ils n'ont jamais complété.

Comment utiliser — le cas Mac qui ressemble à un mauvais mot de passe

Sur macOS, certaines invites — déverrouillage de FileVault, actions de niveau administrateur, tout après un changement de politique — nécessitent un compte avec un SecureToken, pas le mot de passe de connexion quotidien. Un employé peut parfaitement connaître son mot de passe et être quand même bloqué, car l'invite concerne un compte différent.

Vérifiez-le sur l'appareil :

sysadminctl -secureTokenStatus <nom_utilisateur>

La sortie indique ENABLED ou DISABLED pour cet utilisateur. S'il est désactivé, un compte administrateur qui détient déjà un token peut en accorder un :

sysadminctl -secureTokenOn <utilisateur> -password <mot_de_passe> -adminUser <admin> -adminPassword <mot_de_passe_admin>

La solution durable n'est pas par appareil : utilisez MDM > Profils > Gestion des utilisateurs administrateurs afin que chaque Mac ait un compte administrateur de démarrage avec un token déjà dessus.

Si quelqu'un ne peut pas déverrouiller FileVault avec un mot de passe que vous savez être correct, c'est presque certainement pourquoi.

Comment utiliser — les quatre façons de revenir

Choisissez selon l'état de l'appareil, dans cet ordre :

Pour la route de la clé de récupération, ouvrez l'enregistrement de l'appareil et allez à Informations > Clé de récupération, déverrouillez la session localement avec elle, puis définissez un nouveau mot de passe. Cela ne fonctionne que si le chiffrement était activé et la clé a effectivement atteint le serveur — ce qui est décidé des mois avant que vous en ayez besoin.

La réinitialisation complète est la fin de la ligne, et elle est irréversible.

Conseils et Meilleures Pratiques

• "Arrêtez d'essayer" est la première chose que vous dites au téléphone. Tout le reste devient plus facile si le Mac n'est pas passé en mode de récupération.
• Vérifiez le clavier avant la politique de mot de passe. Cela prend dix secondes et c'est une part surprenante des cas.
• Déployez un compte administrateur de démarrage avec un SecureToken sur chaque Mac maintenant. C'est la différence entre une solution à distance et un effacement, et vous ne pouvez pas l'ajouter pendant l'incident.
• Vérifiez que les clés de récupération sont mises en séquestre, pas seulement que le chiffrement est activé. Un disque chiffré sans clé sur le serveur est le chemin de réinitialisation complète.
• Annoncez les changements de politique de mot de passe avant qu'ils ne prennent effet. La plupart de ces tickets arrivent le matin après un changement silencieux.

Dépannage et FAQ

Dépannage

Le mot de passe est définitivement correct et le Mac le refuse toujours. L'invite veut un compte SecureToken. Vérifiez l'état du token avant quoi que ce soit d'autre.

Le Mac est passé en mode de récupération après des tentatives répétées. La récupération est maintenant plus difficile et peut nécessiter la clé de récupération. C'est ce à quoi sert l'avertissement en haut.

Il n'y a pas de clé de récupération dans l'enregistrement de l'appareil. Soit le chiffrement n'a jamais été activé, soit la mise en séquestre n'a jamais été complétée. Aucun des deux ne peut être corrigé rétroactivement — la seule solution restante est une réinitialisation complète.

La réinitialisation à distance est grisée. Elle nécessite que l'appareil soit en ligne et qu'une session administrateur soit présente. One des deux est manquante.

FAQ

1. Pouvons-nous réinitialiser un mot de passe sur un appareil qui est hors ligne ?
   Pas à distance. Utilisez la clé de récupération localement, ou le compte Apple ou Microsoft lié.
2. Qu'est-ce qu'un SecureToken, en une ligne ?
   Une autorisation sur un compte macOS qui lui permet de déverrouiller le disque chiffré. Sans cela, le bon mot de passe est toujours refusé.
3. Utiliser la clé de récupération efface-t-il quelque chose ?
   Non. Cela déverrouille la session afin qu'un nouveau mot de passe puisse être défini.
4. Comment éviter que cela se produise ?
   Chiffrement avec des clés mises en séquestre, un compte administrateur de démarrage sur chaque Mac, et informer les gens avant de changer les règles.

Articles Connexes

• Chiffrement de disque
• Aperçu de la conformité
• Résoudre les problèmes d'inscription
• Effacer le code d'accès