Restreindre l'accès à la base de registre
Restreindre l’accès à la base de registre de Windows permet d’empêcher d’autres utilisateurs d’un ordinateur de modifier des réglages sensibles du système. Deux moyens complémentaires existent : interdire l’ouverture de l’éditeur du Registre (regedit) à certains comptes, et régler les autorisations de clés précises. Ces manipulations se font avec un compte administrateur et demandent de la prudence.
Avant de commencer : sauvegarder
Une erreur dans le Registre peut empêcher Windows ou un logiciel de fonctionner. Avant toute modification, créez un point de restauration du système et exportez la clé que vous allez modifier : dans l’éditeur du Registre, clic droit sur la clé, puis « Exporter ». Le fichier .reg obtenu permet de revenir en arrière.
Rappelons aussi qu’un compte standard, non administrateur, ne peut déjà pas modifier les réglages communs à tout l’ordinateur (la branche HKEY_LOCAL_MACHINE) : il ne peut écrire que dans ses propres réglages. Utiliser des comptes standard pour les autres utilisateurs est donc la première protection.
Méthode 1 : par l’éditeur de stratégie de groupe
Sur les éditions Professionnel, Entreprise et Éducation de Windows, la méthode la plus simple passe par l’éditeur de stratégie de groupe locale :
- appuyez sur Windows + R, tapez
gpedit.mscet validez ; - ouvrez Configuration utilisateur, puis Modèles d’administration, puis Système ;
- double-cliquez sur le paramètre « Empêcher l’accès aux outils de modification du Registre » et choisissez « Activé ».
Cette stratégie locale s’applique aux utilisateurs de l’ordinateur ; dans une entreprise, elle est généralement déployée par l’administrateur réseau pour des groupes d’utilisateurs choisis. L’éditeur de stratégie de groupe n’est pas fourni avec les éditions Famille de Windows.
Méthode 2 : par la valeur DisableRegistryTools
La même interdiction peut être posée directement dans le Registre, pour un utilisateur donné :
- connectez-vous avec le compte à restreindre, appuyez sur Windows + R, tapez
regeditet validez ; - allez jusqu’à la clé
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System; si la clé System n’existe pas, créez-la ; - créez une valeur DWORD (32 bits) nommée
DisableRegistryToolset donnez-lui la donnée 1 ; - fermez l’éditeur et rouvrez la session de cet utilisateur.
À l’ouverture suivante, regedit affiche un message indiquant que la modification du Registre a été désactivée par l’administrateur. Pour annuler, un administrateur supprime cette valeur ou la remet à 0, par exemple depuis l’éditeur de stratégie de groupe.
Méthode 3 : les autorisations d’une clé
Bloquer regedit n’empêche pas tout : d’autres programmes peuvent écrire dans le Registre. Pour protéger une clé précise, un administrateur peut en modifier les autorisations : dans regedit, clic droit sur la clé, « Autorisations », puis choisir pour chaque utilisateur ou groupe un accès en lecture seule ou un contrôle total.
Cette méthode est puissante mais risquée. Ne retirez jamais les droits du compte SYSTEM ni du groupe Administrateurs, et ne modifiez pas en bloc les autorisations de branches entières : de nombreux programmes et Windows lui-même ont besoin d’écrire dans le Registre pour fonctionner. Limitez-vous aux clés que vous connaissez et testez le fonctionnement des applications après chaque changement.
vous devez être connecter pour déposer un commentaire connecter