Tu débarques chez un client, un PC qui marchait nickel il y a deux semaines réclame maintenant un identifiant et un mot de passe pour accéder au lecteur réseau, à chaque démarrage. Personne n'a touché à rien. Pas de changement de mot de passe, pas de nouvelle install, pas de manip du client. Et c'est exactement ce genre de panne "sans cause visible" qui pousse à chercher dans la mauvaise direction pendant une heure. La bonne piste, elle est ailleurs, et une fois que tu la connais, ce type de ticket se résout en cinq minutes. On y revient à la fin.

Pourquoi un PC qui n'a rien changé se comporte différemment

Le réflexe naturel, c'est de chercher ce qui a changé sur la machine ou sur le serveur. Sauf que parfois, ce n'est ni l'un ni l'autre : c'est Windows lui-même qui a changé de comportement, tout seul, via une mise à jour. Pas un bug. Une décision de sécurité prise par Microsoft, appliquée silencieusement à tous les postes.

Depuis la version 24H2 de Windows 11, le protocole utilisé pour parler à un serveur de fichiers (le SMB, c'est le langage que ton PC utilise pour aller chercher des fichiers sur un lecteur réseau) exige par défaut une signature sur chaque connexion. Avant, cette signature n'était obligatoire que pour parler à un contrôleur de domaine. Maintenant, elle est exigée pour toute connexion réseau, point final.

l'image à garder

Imagine un coursier qui livrait des colis sans jamais montrer de pièce d'identité, parce que le quartier le connaissait. Un jour, la mairie décide que tout le monde doit montrer patte blanche, même les habitués. Le coursier n'a rien fait de mal : c'est la règle du quartier qui a changé sous ses pieds. Ton PC, c'est le coursier. Le serveur, c'est la mairie qui ne le reconnaît plus sans la nouvelle pièce d'identité.

Ton cerveau cherche une cause du côté de "qu'est-ce qu'on a cassé". En fait, la bonne question c'est "qu'est-ce qui a changé tout seul". Une mise à jour Windows peut modifier des règles de sécurité sans qu'aucun humain n'ait touché à quoi que ce soit. C'est le piège classique : on suppose qu'un comportement stable depuis des mois est forcément cassé par une action récente, alors que parfois, c'est juste Windows qui a vieilli pendant que le reste restait identique.

// à retenir

Un poste qui redemande soudainement un mot de passe réseau sans raison visible : la première chose à vérifier, c'est la version de Windows et la date de la dernière mise à jour majeure, pas le mot de passe lui-même.

Comment confirmer que c'est bien ça, et pas autre chose

Avant de foncer sur une solution, il faut éliminer les fausses pistes. Un mot de passe qui ne marche plus peut aussi venir d'un compte verrouillé, d'un changement de mot de passe oublié, ou d'une horloge système décalée. Pour vérifier que c'est bien la signature SMB qui bloque, une seule commande suffit, à lancer dans PowerShell sur le poste qui pose problème :

  1. Ouvrir PowerShell en administrateur. Clic droit sur le menu Démarrer, "Terminal (Admin)".
  2. Lancer la commande Get-SmbClientConfiguration | Format-List EnableSecuritySignature, RequireSecuritySignature. Si RequireSecuritySignature renvoie True, le poste exige une signature sur chaque connexion réseau.
  3. Vérifier côté serveur si le serveur ou le NAS visé supporte cette signature. Si le serveur est ancien ou mal configuré, c'est lui qui rejette la connexion, pas le mot de passe.

Si la commande confirme l'exigence de signature et que le serveur ne sait pas y répondre correctement, le symptôme classique apparaît : popup de mot de passe en boucle, identifiants corrects refusés, lecteur réseau qui ne se monte plus tout seul au démarrage.

La fausse solution qui traîne partout (et pourquoi il faut s'en méfier)

Une fois la cause identifiée, le réflexe le plus répandu, c'est de stocker l'identifiant et le mot de passe directement dans une commande pour que Windows s'authentifie automatiquement à chaque démarrage. Ça marche, sur le moment. Le PC ne redemande plus rien. Sauf qu'il y a un prix caché à ce confort.

Un mot de passe passé en argument dans une ligne de commande reste visible : dans l'historique des commandes tapées, dans certains journaux Windows si l'audit est activé, et par n'importe quel outil qui inspecte les processus en cours d'exécution au moment où la commande tourne. Sur un seul poste, le risque paraît minime. Sur dix postes avec le même mot de passe stocké dix fois en clair, le risque se multiplie pour un gain de confort qui ne le justifie pas.

attention

Stocker un mot de passe directement comme argument d'une commande (visible en clair dans l'historique, les logs, ou la liste des processus) pour automatiser une connexion réseau au démarrage. Ça résout le symptôme et ça crée un vrai problème de sécurité, surtout si la méthode est reproduite sur tout un parc de postes.

Ton cerveau te dit que si la commande fonctionne et que le popup disparaît, le problème est réglé. En fait, "ça marche" et "c'est propre" sont deux choses différentes, et la différence, c'est exactement ce qui sépare un dépannage bricolé d'une solution qu'on peut déployer sereinement sur tout un parc.

La bonne méthode : le mot de passe ne doit jamais apparaître en clair

La solution propre repose sur un principe simple : le gestionnaire d'identifiants de Windows (le Credential Manager) sait très bien enregistrer un identifiant et un mot de passe de façon permanente, sans que ce mot de passe transite jamais en clair dans une commande ou un script. La différence, c'est la manière de le lui donner : en saisie interactive, à la main, une seule fois, jamais en argument automatisé.

  1. Ouvrir le Gestionnaire d'identifiants Windows. Panneau de configuration → Comptes utilisateurs → Gestionnaire d'identifiants, ou directement control /name Microsoft.CredentialManager dans Exécuter.
  2. Ajouter un identifiant réseau Windows. Bouton "Ajouter un identifiant Windows", renseigner l'adresse du serveur, le nom d'utilisateur, et le mot de passe directement dans l'interface graphique. À ce moment-là, le mot de passe est saisi une fois, à la main, jamais via une commande qui pourrait le laisser traîner ailleurs.
  3. Vérifier que le lecteur réseau se monte sans popup. Relancer une connexion au partage réseau : l'identifiant stocké est utilisé automatiquement, sans redemander de mot de passe.
  4. Recréer le mappage du lecteur réseau de façon persistante, sans inclure de mot de passe dans la commande, par exemple via New-PSDrive -Name Z -PSProvider FileSystem -Root \\NOM-SERVEUR\partage -Persist. Le credential déjà enregistré dans le Gestionnaire d'identifiants est utilisé automatiquement.
// règle terrain

Un mot de passe ne doit jamais apparaître comme texte visible dans une commande, un script, ou une tâche planifiée. S'il faut l'enregistrer de façon permanente, il existe toujours une interface graphique ou un mécanisme prévu pour ça (Gestionnaire d'identifiants, gestionnaire de coffre, invite interactive). Le détour est à peine plus long, et il évite un vrai problème de sécurité.

Si le poste fait partie d'un domaine Active Directory, il existe une autre option encore plus propre pour généraliser ce mappage à plusieurs postes : les préférences de stratégie de groupe (GPP), qui permettent de pousser un mappage de lecteur réseau depuis le serveur, sans jamais exposer le mot de passe sur le poste client lui-même. C'est un sujet à part entière, mais la logique de fond reste la même : le mot de passe circule par un canal prévu pour ça, jamais en texte brut dans une commande.

Ce que tu fais en vrai, concrètement

Le PC n'avait rien de cassé. Il appliquait juste une nouvelle règle de sécurité, plus stricte, que personne n'avait vue venir. Une fois que tu sais où regarder, ce genre de ticket qui paraissait mystérieux devient un réflexe de deux minutes : vérifier la version, confirmer la signature SMB, enregistrer l'identifiant proprement. Tu fais désormais partie de ceux qui savent reconnaître ce symptôme du premier coup, et qui ne se contentent pas d'un bricolage qui marche aujourd'hui et pose problème demain.

Sources

// à emporter
Checklist mot de passe réseau — prête à l'emploi

Toutes les étapes dans l'ordre, à suivre pas à pas sur le poste. Gratuit, à toi.

Voir la checklist

Ce site est gratuit et le restera. Si un truc t'a aidé et que tu veux soutenir, tu peux m'offrir un café. Et si tu prends juste l'outil et que tu files, c'est très bien aussi.