Fin de Windows Server 2016 à Monaco

Le 12 janvier 2027, Microsoft cessera de publier des mises à jour de sécurité pour Windows Server 2016. Le lendemain matin, le serveur rangé dans le placard continuera de tourner et rien ne semblera cassé. La différence, c'est que toute faille découverte après cette date restera ouverte sur cette machine, définitivement.

À Monaco, l'enjeu est plus important qu'on ne le pense. Beaucoup de bureaux de la Principauté utilisent encore un petit serveur installé il y a huit ou dix ans, souvent sous Windows Server 2016 ou son édition Essentials. Il héberge les dossiers partagés et les fichiers clients, fait tourner le logiciel comptable ou de gestion immobilière, donne accès au bureau à distance, ou fait discrètement vivre un ancien site web ou un intranet. Il reste une dizaine de semaines pour décider de son sort. Avec la trêve des fêtes, la vraie fenêtre de travail est plutôt de sept.

Ce qui s'arrête exactement, et ce qui continue

Selon la page de cycle de vie de Microsoft, le support étendu de Windows Server 2016 (éditions Datacenter, Standard, Essentials et MultiPoint Premium) prend fin le 12 janvier 2027, heure du Pacifique. Le support standard s'est déjà terminé en janvier 2022. Après janvier 2027, il n'y aura plus de correctifs de sécurité gratuits, plus de corrections de bugs ni d'assistance technique.

Microsoft a indiqué que les organisations incapables de migrer à temps pourront acheter des mises à jour de sécurité étendues (ESU) pendant trois ans au maximum. Les ESU couvrent uniquement les correctifs de sécurité critiques et importants, sans nouvelles fonctionnalités ni assistance. Les tarifs publiés jusqu'ici sont calculés par cœur et varient d'une source à l'autre. Demandez un devis écrit à votre revendeur de licences avant de bâtir un budget dessus.

Deux produits proches sont déjà hors support : Exchange Server 2016 depuis octobre 2025 et SQL Server 2016 depuis juillet 2026. Si votre serveur fait tourner l'un d'eux, l'échéance est en pratique déjà dépassée.

Pourquoi une entreprise monégasque doit en faire une priorité

Ces serveurs contiennent souvent vos données les plus sensibles. Pour un family office, une fiduciaire, un cabinet d'avocats, une agence immobilière ou un courtier en yachts, le serveur de fichiers renferme généralement des pièces d'identité, des contrats, des coordonnées bancaires et des échanges concernant une clientèle très fortunée. C'est précisément ce que recherchent les attaquants, et un vieux serveur Windows exposé via le bureau à distance est l'une de leurs portes d'entrée favorites.

Vos obligations légales ne font pas de pause. La loi n° 1.565 du 3 décembre 2024, dont l'APDP assure le contrôle, impose des mesures de sécurité adaptées au risque et s'accompagne d'obligations de notification en cas de violation. Après un incident, expliquer qu'on savait le serveur obsolète mais qu'on l'a laissé tourner est une position difficile à défendre. Nous ne sommes pas juristes : faites confirmer vos obligations précises par un conseil qualifié. Notre page protection des données APDP présente le cadre général.

Monaco prend les logiciels non corrigés au sérieux. En octobre 2026, le Gouvernement, le Palais et la Mairie ont mis leurs propres sites hors ligne par précaution lors de la divulgation des failles critiques de PHP (PHP2Shell), plutôt que de les laisser tourner sans correctif. C'est un bon repère de ce que fait une organisation prudente. Les attaques automatisées balaient tout Internet, sans se soucier de la taille de votre entreprise.

Première étape : savoir ce que vous avez réellement

Beaucoup de dirigeants ignorent s'ils utilisent Windows Server 2016, surtout quand l'installation a été faite par un prestataire qui n'est plus là. Demandez à votre informaticien une réponse d'une page à cinq questions :

1. Quels serveurs avons-nous, physiques ou virtuels, au bureau ou chez un hébergeur, et sous quelle version de Windows Server ?
2. À quoi sert chacun d'eux ? Partage de fichiers, logiciel comptable, base de données CRM, bureau à distance, impression, sauvegardes, hébergement d'un site ou d'un intranet sous IIS…
3. Est-il accessible depuis Internet ? Bureau à distance, passerelles VPN et serveurs web concentrent le risque.
4. Où sont les sauvegardes, et quand a-t-on testé une restauration pour la dernière fois ?
5. Qui dispose des droits administrateur, y compris des personnes qui ne travaillent plus avec vous ?

Soyez particulièrement attentif aux sites web. Les anciens sites ASP.NET et les portails clients sont souvent hébergés sur le propre serveur Windows de l'entreprise. Si c'est votre cas, le système d'exploitation fait partie de la sécurité de votre site : ce n'est pas une question informatique à part.

Les quatre options réalistes

1. Passer à une version supportée de Windows Server. Si le matériel est assez récent et que vos logiciels métier sont certifiés, une mise à niveau vers Windows Server 2022 ou 2025 est la voie la plus directe. Vérifiez d'abord la compatibilité auprès des éditeurs, surtout pour la comptabilité et la gestion immobilière.

2. Basculer vers le cloud. Dans beaucoup de petits bureaux monégasques, le serveur sert surtout à partager des fichiers et à gérer la messagerie. Microsoft 365, avec SharePoint et OneDrive, peut le remplacer entièrement : plus rien à corriger dans le placard. Lorsque la localisation des données compte, ce qui est fréquent pour des données réglementées ou très confidentielles, étudiez les solutions d'hébergement en Principauté avant de considérer qu'un centre de données à l'étranger convient.

3. Le mettre à la retraite. Parfois, la réponse honnête est que le serveur ne fait tourner qu'une application oubliée et quelques vieux dossiers. Archivez proprement, déplacez ce qui sert encore et éteignez la machine.

4. Acheter des ESU comme solution de transition. C'est pertinent si une application critique ne peut pas migrer avant janvier et que vous avez un plan de remplacement daté. Ce n'est pas une façon d'éviter la décision : vous la retrouverez un an plus tard, à un prix plus élevé.

Si le serveur héberge aussi votre site, le migrer vers un hébergement moderne et infogéré coûte généralement moins cher et protège mieux que de le garder en interne. Notre équipe de développement web réalise régulièrement ce type de migration, et un contrat de maintenance de site garde ensuite la nouvelle plateforme à jour sans que personne n'ait à y penser.

Un calendrier qui résiste aux fêtes

• D'ici mi-novembre : terminer l'inventaire et choisir l'option pour chaque serveur.
• Fin novembre à mi-décembre : commander matériel ou licences, migrer et tester les restaurations. Délais de livraison et disponibilité des équipes se dégradent dans la seconde quinzaine de décembre.
• Avant Noël : couper les accès depuis Internet (bureau à distance en priorité) sur tout serveur qui sera encore sous Windows Server 2016 en janvier.
• Première semaine de janvier : confirmer que la migration est terminée ou que les ESU sont actives, et consigner la décision avec vos autres documents de conformité.

C'est aussi l'occasion de prendre du recul : de quels systèmes dépendez-vous, qui les maintient, combien coûte chacun ? Nos missions de stratégie digitale commencent souvent par ce type d'inventaire, qui révèle des économies autant que des risques.

Vous ne savez pas si votre site ou votre portail client dépend encore d'un vieux serveur Windows ? Contactez-nous : nous vous dirons ce qui tourne chez vous et comment le migrer en toute sécurité avant le 12 janvier.