Dans moins de trois mois, le 12 janvier 2027, Microsoft cessera de publier les correctifs de sécurité gratuits de Windows Server 2016. Le serveur ne s’arrêtera pas ce jour-là : il continuera de tourner, de répondre et de donner l’impression que tout va bien. C’est précisément le danger. À partir de cette date, chaque faille découverte restera ouverte, sur la machine qui héberge souvent l’annuaire, les fichiers ou l’application métier de l’entreprise.
Ce que « fin de support » veut dire concrètement
Windows Server 2016 est sorti de son support standard en janvier 2022 et se trouve depuis en support étendu, qui ne comprend que les correctifs de sécurité. Selon le calendrier publié par l’éditeur, ce support étendu prend fin le 12 janvier 2027. Passé ce jour, plus de correctif, plus d’assistance technique standard.
Pour mesurer l’échéance : à la date de publication de cet article, il reste environ douze semaines. Or une migration de serveur, entre l’inventaire, les tests applicatifs, la fenêtre d’intervention et la bascule, se prépare rarement en quelques jours. Commencer tôt, c’est choisir son calendrier plutôt que de le subir.
Pourquoi un serveur non corrigé n’est pas une option
Un serveur Windows de bureau d’étude, de cabinet ou de PME porte souvent plusieurs rôles à la fois : contrôleur de domaine, partage de fichiers, serveur d’impression, parfois l’application de gestion elle-même. Le compromettre revient à obtenir la clé de tout le système d’information.
Trois obligations rendent le statu quo difficile à défendre. Le RGPD impose des mesures techniques appropriées à l’état de l’art pour protéger les données personnelles ; un système qui ne reçoit plus aucun correctif s’en éloigne chaque mois un peu plus. La directive NIS2, dont nous parlons dans notre article sur la cybersécurité des PME, place la gestion des vulnérabilités parmi les mesures attendues des entités concernées et de leurs sous-traitants. Enfin, les questionnaires des assureurs, détaillés dans notre article sur la cyberassurance, interrogent systématiquement sur les systèmes en fin de vie : déclarer un serveur hors support peut conduire à une surprime, à une exclusion, voire à un refus de prise en charge en cas de sinistre.
Quatre options, et leurs limites
Mettre à niveau vers Windows Server 2025. C’est la voie que recommande Microsoft. Elle ouvre sur une version supportée plusieurs années, avec des fonctions de sécurité natives plus récentes. La mise à niveau sur place est envisageable dans bien des cas, mais tout dépend de la compatibilité des logiciels installés : c’est le test applicatif, et non l’installation, qui prend du temps.
Migrer vers un nouveau serveur, physique ou virtuel. C’est la méthode la plus propre : on installe un système neuf, on y transfère les rôles et les données, puis on bascule. L’ancien serveur reste intact pendant toute l’opération, ce qui permet un retour en arrière immédiat. Elle suppose un peu de matériel ou de capacité de virtualisation disponible.
Souscrire les mises à jour de sécurité étendues (ESU). Microsoft a annoncé un programme payant qui prolonge la livraison des correctifs de sécurité, avec une distribution passant par Azure Arc. Les conditions tarifaires doivent être consultées auprès de l’éditeur ou d’un revendeur. À retenir : ce n’est qu’un sursis. Il ne corrige ni l’obsolescence du système ni la dette technique, et il se paie tant que la migration n’est pas faite.
Basculer la charge vers le cloud. Pour certaines applications, héberger la charge dans un environnement cloud est pertinent, et l’éditeur met en avant cette voie. Le choix de l’hébergeur doit alors intégrer la question de la localisation des données. Ce n’est pas une réponse universelle : une application ancienne, liée à du matériel local, s’y prête mal.
Les pièges de la migration que l’on découvre trop tard
L’annuaire. Si le serveur est contrôleur de domaine, la migration touche l’authentification de tous les postes. Elle se prépare, se répète sur une copie, et ne se fait jamais un vendredi soir.
Les applications métier. Un logiciel de gestion éditeur-dépendant peut exiger une version précise de son serveur de base de données, ou ne pas être certifié sur la version cible. Il faut interroger l’éditeur avant de fixer la date, pas après.
Les licences d’accès. Les licences d’accès clients doivent être au moins de la version du serveur. Passer de 2016 à 2025 implique donc, selon les contrats, un renouvellement qu’il vaut mieux budgéter dès le départ.
Les protocoles hérités. Les vieux partages, les anciennes versions du protocole de fichiers ou certaines imprimantes réseau anciennes cessent de fonctionner sur un système durci. C’est une bonne nouvelle pour la sécurité, mais cela se constate lors de la bascule si l’on ne l’a pas inventorié.
La sauvegarde. Aucune migration ne démarre sans une sauvegarde restaurée avec succès, appliquée selon la règle 3-2-1-1-0. Une sauvegarde jamais testée n’en est pas une.
Un calendrier réaliste pour les douze semaines
Les deux premières semaines servent à l’inventaire : quels serveurs, quelle version, quels rôles, quelles applications, qui les utilise. C’est souvent là que l’on découvre une machine oubliée. Les semaines trois à cinq couvrent les tests, c’est-à-dire l’échange avec les éditeurs et la recette sur une copie. Le serveur cible se prépare en parallèle. Les semaines six à neuf sont celles de la bascule, par lots, en commençant par le périmètre le moins critique. La fin de période garde une marge de sécurité, parce qu’un imprévu est presque certain.
Si le calendrier ne tient pas, la bonne décision est de souscrire un sursis ESU pour les seuls serveurs qui n’auront pas migré et de maintenir le reste du plan, plutôt que de payer le sursis pour tout le parc.
Combien de serveurs Windows 2016 dans votre parc ?
Assutech recense vos serveurs, vérifie la compatibilité de vos applications, chiffre les options et conduit la migration par lots, sans interrompre votre activité. Un point d’une demi-heure suffit pour savoir où vous en êtes.
Découvrir notre offre d’infogéranceSources : Microsoft — Microsoft Lifecycle et blog Windows Server, « Planning ahead for Windows Server 2016 end of support » (date de fin du support étendu, ESU via Azure Arc, recommandation Windows Server 2025) · Microsoft, FAQ ESU (aka.ms/esupage) pour les conditions tarifaires · CNIL, Guide de la sécurité des données personnelles · ANSSI, informations publiques sur la directive NIS2.