Licences Windows et Microsoft 365 : OEM, volume, abonnement — s’y retrouver

Le mécanisme OEM mérite d’être compris précisément, parce qu’il explique 90 % des malentendus. Microsoft décrit l’opération ainsi : le fabricant active Windows « en associant le système d’exploitation au firmware/BIOS de l’ordinateur », avant même l’expédition. Il n’y a plus d’autocollant avec une clé au dos du boîtier depuis Windows 8 : la licence numérique est inscrite dans le firmware UEFI de la carte mère. Conséquence pratique très appréciable au quotidien : on peut formater et réinstaller autant de fois qu’on veut, Windows se réactive tout seul, sans clé à saisir. Conséquence juridique : « l’activation OEM reste valide tant que le client utilise sur le système l’image fournie par l’OEM » — et uniquement sur ce système.

Où passe la frontière entre réparer et transférer ? Changer un SSD, ajouter de la mémoire, remplacer une batterie ou un écran ne touche à rien : la licence vit dans la carte mère. Remplacer la carte mère elle-même, en revanche, revient à créer une autre machine aux yeux du mécanisme d’activation. Les constructeurs traitent le remplacement de carte mère sous garantie comme une réparation et réinjectent la licence d’origine ; un remplacement hors garantie, par un atelier tiers, laisse en général la machine non activée. C’est exactement pour ce cas de figure que le canal boîte existe.

Les constructeurs ne se comportent pas tous de la même manière, et cela se vérifie gamme par gamme. Chez Lenovo, les familles professionnelles ThinkPad (séries E, L, T, X1 Carbon), ThinkBook 14 et 16, V15 et les fixes ThinkCentre Neo portent leur licence dans l’UEFI et se réactivent seules après un formatage ; les mêmes châssis existent aussi en version FreeDOS, sans aucune licence dessous. Chez HP, on retrouve le schéma identique sur les EliteBook 640 et 840, les ProBook 440 et 450, les ProDesk, EliteDesk et les stations Z2. Chez Dell, ce sont les Latitude 3000, 5000 et 7000, les Vostro 3520 et les OptiPlex. Chez Asus, les ExpertBook B1 et B5 visent l’entreprise, tandis que les Vivobook, Vivobook Go et ZenBook s’adressent d’abord au grand public — et sortent très souvent en édition Famille. S’y ajoutent les Acer TravelMate P2 et Veriton, les Huawei MateBook B3 et D16, les Fujitsu Lifebook U, les Dynabook Portégé. Le détail des familles Lenovo est passé en revue dans notre guide des laptops Lenovo, et le choix du format lui-même dans le guide portable, fixe, mini-PC ou tout-en-un.

La licence FPPFull Packaged Product (licence en boîte ou carte de clé)Licence Windows achetée séparément du matériel, en coffret ou en clé électronique. Elle appartient à l'entreprise et non à la machine : on peut la désinstaller d'un poste pour la réinstaller sur un autre, une machine à la fois. C'est le canal le plus cher à l'unité, et le seul réellement mobile. est le seul titre réellement mobile. Elle s’achète en coffret ou en carte de clé électronique, s’installe sur une machine à la fois, et se réinstalle sur une autre après désinstallation de la première. Son coût unitaire est le plus élevé des trois canaux — c’est le prix de la mobilité — et elle n’existe qu’en éditions Famille et Pro. Elle a un usage type très net : le poste unique, le remplacement d’urgence, la machine assemblée sur mesure. Au catalogue, ce sont les références vendues à l’unité — Windows 11 Pro, Windows 10 Pro, et la carte de clé Windows 11 — qui couvrent ce besoin, une machine à la fois.

Le canal commercial, enfin, n’est pas seulement « la même chose moins chère en gros ». C’est le seul qui donne accès aux éditions Windows 11 Entreprise E3 et E5 et aux éditions Entreprise LTSCLong-Term Servicing Channel (canal de maintenance à long terme)Version figée d'un produit Microsoft, qui ne reçoit que des correctifs de sécurité et aucune fonction nouvelle pendant toute sa durée de vie. Office LTSC 2024 est corrigé jusqu'au 9 octobre 2029 ; Windows Entreprise LTSC existe pour les postes spécialisés soumis à des procédures de validation strictes., qui ne sont vendues nulle part ailleurs. E3 et E5 se licencient par utilisateur et non par machine, avec cinq instances Windows par utilisateur licencié — un portable, un PC cloud, un poste spécialisé — et un support porté à 36 mois sur chaque version annuelle au lieu de 24 mois pour Pro. E5 ajoute Microsoft Defender pour point de terminaison Plan 2. Ce canal apporte aussi l’activation centralisée, l’image d’entreprise unique et la réattribution des licences entre machines.

La liste des fonctions réservées à Pro est courte mais structurante : BitLocker (chiffrement complet des volumes, y compris BitLocker To Go sur les clés USB), la jonction au domaine Active Directory et la jonction Microsoft Entra ID, les stratégies de groupe (GPOGroup Policy Object (stratégie de groupe)Règle appliquée automatiquement à toutes les machines d'un domaine : longueur minimale des mots de passe, verrouillage de l'écran, imprimantes déployées, logiciels autorisés. Réservée aux éditions Pro et Entreprise : une machine Windows Famille ne peut pas être pilotée par stratégie de groupe.), le rôle hôte du Bureau à distance — une machine Famille ne peut être que cliente, jamais cible d’une prise en main —, la gestion par MDMMobile Device Management (gestion des appareils)Console centrale qui inscrit les postes et les téléphones, leur impose une configuration et permet d'effacer à distance les seules données professionnelles d'un appareil perdu. Microsoft Intune en est la version Microsoft, incluse dans Microsoft 365 Business Premium mais pas dans Business Standard., l’accès attribué (mode kiosque), Windows Update for Business, Windows Hello for Business et l’hyperviseur Hyper-V. Le chiffrement du disque, la jonction à l’annuaire et l’hôte de Bureau à distance suffisent à eux seuls à disqualifier Famille en entreprise.

Une nuance récente mérite d’être expliquée, parce qu’elle induit beaucoup de monde en erreur. Depuis Windows 11 version 24H2, le « chiffrement de l’appareil » s’active automatiquement sur presque toutes les machines neuves, éditions Famille comprises : Microsoft a retiré les prérequis d’accès mémoire direct et de veille moderne qui le réservaient auparavant à une minorité de modèles. Beaucoup en concluent que Pro ne sert plus à rien pour protéger un disque. C’est l’inverse.

Le point critique n’est pas le chiffrement, c’est l’endroit où atterrit la clé de récupération. Sur une machine jointe à un domaine Active Directory ou à Microsoft Entra ID, la clé est automatiquement déposée dans l’annuaire de l’entreprise : le service informatique peut déverrouiller le disque d’un salarié absent ou parti. Sur une machine ni jointe ni gérée, la clé part dans le compte Microsoft personnel de l’utilisateur — l’entreprise ne l’a jamais. Pire, Microsoft le précise noir sur blanc : si l’appareil n’utilise que des comptes locaux, il « reste non protégé même si les données sont chiffrées ». Traduction concrète : un portable Famille volé dans une voiture est peut-être chiffré, mais le jour où un disque doit être récupéré après un départ conflictuel, la clé est dans la boîte mail personnelle de l’ancien salarié.

Deux repères pour finir. D’abord, le rattrapage : passer de Famille à Pro après coup se fait par une mise à niveau d’édition payante, sans réinstallation ni perte de données — mais sur un parc entier, la facture dépasse largement le surcoût qu’aurait représenté une commande en Pro d’origine. Ensuite, le matériel : Windows 11 impose un module de plateforme sécurisée TPM 2.0, le démarrage sécurisé et un processeur figurant sur la liste de compatibilité de Microsoft. C’est ce dernier point qui écarte le plus de machines lors d’un audit de parc ; notre comparatif des générations de processeurs Intel et AMD permet de situer chaque poste avant de décider de le migrer ou de le remplacer. La barre est posée aux Intel Core de 8^e génération et aux AMD Ryzen série 2000 : un ThinkPad T470 en Core i5-7200U reste hors liste, un ThinkPad T480 en Core i5-8250U y entre, et le même verdict sépare un HP ProBook 450 G4 d’un ProBook 450 G5. Le contrôle du module de sécurité est détaillé dans notre article TPM 2.0 et Windows 11 pour les entreprises algériennes, et la lecture ligne à ligne d’une fiche constructeur — où l’édition livrée se cache souvent en bas de page — dans lire une fiche technique de PC sans se faire avoir.

Les faits sur Office LTSC 2024. Publié le 18 septembre 2024, il suit la politique de cycle de vie fixe : fin du support principal le 9 octobre 2029, et rien derrière — pas de support étendu, pas de mises à jour de sécurité étendues. Cinq ans de correctifs, puis plus rien. Il existe en éditions Standard, Professionnel Plus et Embedded, se vend exclusivement par les canaux commerciaux (licence en volume ou CSPCloud Solution Provider (programme partenaire de Microsoft)Programme par lequel un partenaire agréé revend et administre les abonnements et licences Microsoft pour le compte d'une entreprise. Il donne accès aux abonnements Microsoft 365 comme aux licences perpétuelles en volume, avec une facturation souple et un interlocuteur unique côté client.) et s’active en KMSKey Management Service (service de gestion de clés)Serveur interne qui active les machines de l'entreprise sans qu'elles contactent jamais Microsoft, et renouvelle leur activation automatiquement. Il exige un seuil minimal de 25 postes clients (5 seulement pour des serveurs) : en dessous, il ne délivre aucune activation. ou en MAKMultiple Activation Key (clé d'activation multiple)Clé de licence en volume valable pour un nombre d'activations préfixé, calculé sur le nombre de licences réellement achetées. Chaque machine s'active une fois auprès de Microsoft, puis n'a plus besoin de rien : c'est la bonne méthode sous 25 postes et pour les portables souvent hors du réseau. comme n’importe quel produit en volume. Par construction, il ne reçoit aucune fonction nouvelle pendant toute sa vie : c’est le but recherché, pas une limitation.

Face à lui, Microsoft 365 Apps se met à jour « aussi souvent que tous les mois », avec des canaux de mise à jour paramétrables — au fil de l’eau, mensuel le deuxième mardi, ou semestriel en janvier et juillet. C’est ce dernier canal qui rapproche l’abonnement du confort du perpétuel tout en gardant les correctifs : deux changements d’interface par an, planifiés, sur un parc entier. Beaucoup d’entreprises qui croient avoir besoin de LTSC ont en réalité besoin du canal semestriel.

Le calcul économique honnête, maintenant. Sur cinq ans, une licence perpétuelle Office LTSC coûte l’équivalent de deux à trois années d’abonnement Microsoft 365 Apps, selon l’édition — le perpétuel est donc bien moins cher à périmètre égal. Mais le périmètre n’est pas égal : LTSC ne contient ni messagerie professionnelle, ni stockage en ligne, ni Teams, ni sauvegarde, ni sécurité, ni gestion des appareils. Une entreprise qui achète LTSC devra financer sa messagerie ailleurs. L’arbitrage se pose donc ainsi : pour un poste isolé, un automate, une caisse, un serveur d’application, le perpétuel gagne nettement ; pour un utilisateur de bureau qui a besoin d’une adresse professionnelle, d’un partage de fichiers et d’une visioconférence, l’abonnement gagne avant même qu’on parle d’Office.

Sur le terrain, le perpétuel ne se limite d’ailleurs pas à la dernière version. Les générations précédentes restent très présentes dans les parcs algériens : Office 2021 Professionnel Plus, corrigé jusqu’au 13 octobre 2026, et Office 2019 Professionnel Plus, sorti du support le 14 octobre 2025 — au-delà, on installe une suite qui ne sera plus jamais rustinée. Les applications spécialisées suivent la même logique et se licencient séparément : Visio 2021 Professionnel pour les schémas réseau et les plans de baie de brassage, Project Professionnel pour la planification de chantier, Access pour les petites bases métier. Hors du monde Microsoft, l’arbitrage se rejoue à l’identique : chez Adobe, Acrobat Pro en version perpétuelle face à l’abonnement Acrobat Pro DC et à Creative Cloud ; chez les suites libres, LibreOffice et OnlyOffice, qui n’ont ni date de fin de support commerciale ni abonnement, mais aucun contrat d’assistance non plus. La question à se poser n’est jamais « perpétuel ou abonnement » dans l’absolu, mais « ce poste a-t-il besoin d’évoluer, ou d’être laissé tranquille ».

Deux avertissements de calendrier, enfin. Office 2016 et Office 2019 sont sortis du support le 14 octobre 2025, sans extension et sans mises à jour de sécurité étendues : les applications continuent de s’ouvrir, mais aucune faille n’y sera plus corrigée — une suite bureautique reste l’une des principales portes d’entrée des documents piégés. Et le mode de fonctionnalités réduites de l’abonnement mérite d’être connu avant de le subir : documents lisibles et exportables, modification bloquée. Aucun fichier n’est jamais rendu inaccessible, dans un cas comme dans l’autre.

Étape 1 — inventorier. Un tableau, une ligne par machine : numéro de série, édition installée, canal d’origine (OEMOriginal Equipment Manufacturer (licence préinstallée par le constructeur)Licence Windows installée en usine et inscrite dans le firmware de la carte mère : aucune clé à saisir, la machine se réactive seule après chaque réinstallation. Elle n'est jamais transférable vers un autre ordinateur — elle vit et meurt avec sa carte mère. C'est, avec la licence en boîte, l'une des deux seules façons d'obtenir une licence complète pour une machine neuve., boîte, volume), date d’achat, référence de facture. Les outils d’inventaire automatique remplissent les trois premières colonnes — GLPI avec son agent, Lansweeper, Snipe-IT, OCS Inventory, PDQ Inventory, ou le module d’inventaire de Microsoft Configuration Manager pour les parcs déjà outillés ; les deux dernières se remplissent à la main, une seule fois, et c’est là qu’est tout l’effort. Étape 2 — rapprocher. Autant de licences que d’installations, par édition. Une licence Pro ne couvre pas une installation Entreprise. Une licence en volume ne couvre pas une machine dépourvue de licence de base. Une licence utilisateur Microsoft 365 ne couvre pas un compte partagé entre deux personnes.

Étape 3 — choisir la bonne méthode d’activation. C’est un arbitrage de taille, pas de budget. En dessous de 25 postes clients, la MAKMultiple Activation Key (clé d'activation multiple)Clé de licence en volume valable pour un nombre d'activations préfixé, calculé sur le nombre de licences réellement achetées. Chaque machine s'active une fois auprès de Microsoft, puis n'a plus besoin de rien : c'est la bonne méthode sous 25 postes et pour les portables souvent hors du réseau. est la réponse : activation unique auprès des serveurs Microsoft, quota d’activations préfixé, rien à héberger. À partir de 25 postes clients — le seuil d’activation officiel du service KMSKey Management Service (service de gestion de clés)Serveur interne qui active les machines de l'entreprise sans qu'elles contactent jamais Microsoft, et renouvelle leur activation automatiquement. Il exige un seuil minimal de 25 postes clients (5 seulement pour des serveurs) : en dessous, il ne délivre aucune activation. — un hôte KMS devient pertinent : les machines s’activent en interne, sans jamais contacter Microsoft, et renouvellent seules leur activation. Le seuil est de 5 machines seulement côté serveurs. Sur un domaine, l’activation basée sur Active Directory dispense même de tout serveur dédié : la machine interroge l’annuaire, à condition de le contacter au moins une fois tous les 180 jours. Une machine qui reste six mois hors du domaine sort de l’activation — c’est le cas typique du portable d’un commercial en déplacement long, à couvrir en MAK.

Étape 4 — l’image unique. Une image d’entreprise ne se construit jamais avec une clé nominative. On y installe une clé générique de licence en volume (GVLK), publiée par Microsoft, qui ne s’active que face à un hôte KMS ou à un objet d’activation dans l’annuaire. C’est le seul type de clé qui n’a pas besoin d’être tenu confidentiel, et c’est ce qui permet de déployer cent machines identiques sans jamais diffuser un secret. Étape 5 — le calendrier. Windows 10 est sorti du support le 14 octobre 2025. Le programme ESUExtended Security Updates (mises à jour de sécurité étendues)Programme payant qui prolonge les correctifs de sécurité d'un produit sorti du support, au maximum trois ans. Pour Windows 10, la couverture court jusqu'au 10 octobre 2028, à 61 USD par appareil la première année, un tarif qui double chaque année ; les années sont cumulatives et aucun support technique n'est inclus. permet de tenir jusqu’à trois ans de plus : fin de l’année 1 le 13 octobre 2026, de l’année 2 le 12 octobre 2027, de l’année 3 le 10 octobre 2028. Il est réservé aux éditions Entreprise, Éducation et Pro en usage professionnel, sur des postes en version 22H2. Tarif publié pour les organisations : 61 USD par appareil pour la première année, doublant chaque année, minimum une licence — et les années sont cumulatives, commencer en année 2 oblige à payer l’année 1. Aucun support technique n’est inclus, aucune nouvelle fonction non plus. Notre guide sur la fin de support de Windows 10 dans un parc d’entreprise détaille l’arbitrage entre payer l’ESU et renouveler les machines.

Le cas des serveurs, presque toujours oublié dans l’inventaire. Windows Server ne se compte pas comme un poste client : on licencie des cœurs, pas des machines. Windows Server 2022 Standard impose un socle minimal de 8 cœurs par processeur et de 16 cœurs par serveur, et n’ouvre que deux environnements virtualisés ; Windows Server 2022 Datacenter, au même découpage par cœurs, ouvre la virtualisation illimitée et devient rentable dès qu’un hôte fait tourner plus de trois ou quatre machines virtuelles. Dans les deux cas, il faut en plus une licence d’accès client — la fameuse CAL — par utilisateur ou par appareil qui se connecte au serveur, et une CAL Bureau à distance distincte pour chaque session RDS : c’est cette seconde couche qui manque dans la quasi-totalité des parcs. Les générations précédentes suivent la même règle avec leur propre horloge : Windows Server 2016 est couvert jusqu’au 12 janvier 2027, Windows Server 2019 jusqu’au 9 janvier 2029. Ces machines vivent dans le local technique dont notre guide petite salle serveurs décrit l’aménagement — et un serveur mal licencié coûte plus cher à régulariser que dix postes clients.

Étape 6 — le journal. Un dossier, physique ou numérique, qui contient trois choses : les factures d’achat des machines mentionnant l’édition préinstallée, les accords commerciaux avec leur numéro, et un export périodique du portail d’administration listant les abonnements et les postes attribués. C’est ce dossier, et lui seul, qui répond en deux jours à une demande d’auto-évaluation. Tous nos guides conseils appliquent la même logique : le document officiel d’abord, l’usage ensuite.