Recherche de stratégies de groupeStratégies de groupe
Français

Bloquer l’écriture sur les clés USB par stratégie de groupe Windows

Vous pouvez limiter la copie de fichiers vers une clé USB. La stratégie Disques amovibles : refuser l’accès en écriture réglée sur Activé refuse l’écriture sur la classe de stockage des disques amovibles, sans bloquer la lecture ni tous les périphériques USB. Le paramètre Storage Policy CSP correspondant a une portée appareil et prend en charge Windows 10 1809 ou ultérieur dans les éditions Pro, Enterprise, Education et IoT Enterprise. Une autre stratégie BitLocker peut refuser l’écriture sur les lecteurs de données amovibles qui ne sont pas protégés par BitLocker.

Vérifications après l’application

Cette stratégie aide à réduire la copie non autorisée de données d’un ordinateur vers un stockage USB amovible ; elle ne bloque pas toutes les voies d’exfiltration. Lorsqu’elle est appliquée, l’enregistrement, la modification, la suppression ou la copie de fichiers sur un disque amovible peuvent échouer. Une protection en écriture peut aussi provenir d’un commutateur physique ou d’une GPO de domaine. Si les modifications locales sont annulées, vérifiez la stratégie de domaine et contactez l’administrateur. Si l’accès est refusé à l’ouverture du lecteur, vérifiez aussi les restrictions de lecture distinctes, les autres paramètres de sécurité et l’état du périphérique.

Étapes

  1. Ouvrez gpedit.msc et accédez à Configuration ordinateur › Modèles d'administration › Système › Accès au stockage amovible sous Configuration ordinateur.
  2. Ouvrez Disques amovibles : refuser l’accès en écriture, sélectionnez Activé et appliquez la modification.
  3. Vérifiez la stratégie appliquée et tentez de copier un fichier sur un disque amovible. Une GPO de domaine peut remplacer le réglage local et nécessiter l’intervention d’un administrateur.
  4. Pour rétablir l’autorisation d’écriture selon cette stratégie, choisissez Désactivé ou Non configuré. D’autres paramètres de sécurité ou l’état du périphérique peuvent encore limiter l’accès.

Alternative dans le Registre

Vous pouvez aussi définir la valeur de stratégie ordinateur dans le Registre. Elle est distincte de StorageDevicePolicies\WriteProtect. Consultez la page de valeur du Registre.

HKLM\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices\{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}
Deny_Write (REG_DWORD)
1 = enabled
0 = disabled

Pour cette stratégie, la valeur DWORD Deny_Write à 1 refuse l’écriture et à 0 l’autorise.

  1. Ouvrez regedit avec les droits d’administrateur. Sauvegardez la clé cible si elle existe ou, sinon, une clé parente existante. Notez si Deny_Write existe et, le cas échéant, son type et sa valeur actuels.

    Dans l’Éditeur du Registre, sélectionnez la clé cible existante ou, si elle est absente, une clé parente existante. Choisissez Fichier > Exporter, indiquez un emplacement et un nom de fichier, puis enregistrez la sauvegarde .reg.

  2. Créez les clés manquantes et la valeur DWORD Deny_Write si nécessaire, puis définissez ses données sur 1. Vérifiez la stratégie appliquée et testez la copie d’un fichier sur un disque amovible.

  3. Pour annuler la modification, restaurez la valeur et le type précédents si elle existait ; sinon, supprimez uniquement la valeur Deny_Write créée. Laissez les autres valeurs et clés intactes.

Une stratégie de domaine peut s’appliquer à nouveau et remplacer les modifications manuelles. Si une GPO contrôle le paramètre, utilisez l’éditeur de stratégie ou contactez l’administrateur. Un 0 défini manuellement n’équivaut pas à l’état « Non configuré » de la stratégie de groupe.

Référence : modèles de stratégie Windows 11 version 26H2 (vérifiés le 2026-11-04).

Sources