Réinitialiser un PIN Windows Hello bloqué à distance via Action1

Ah, la joie du dépannage à distance ! Comme beaucoup d'IT, mes amis me sollicitent régulièrement pour installer et configurer leurs ordinateurs. Pour me faciliter la vie, mon premier réflexe est d'installer Action1 sur leurs machines — un outil RMM gratuit (jusqu'à 200 postes) qui me permet de gérer les mises à jour, d'exécuter des scripts et de dépanner sans bouger de chez moi. Une vraie bouée de sauvetage.

L'autre jour, un de ces amis me contacte avec un problème intéressant. Je lui avais installé Windows 11 quelques mois plus tôt, en configurant un compte Microsoft pour profiter de la sauvegarde des données dans le cloud. J'avais également mis en place un gestionnaire de mots de passe pour qu'il puisse retrouver ses accès facilement — y compris son mot de passe Microsoft. Bonne décision, on allait vite comprendre pourquoi.

Ce matin-là, il m'envoie un message : "Je peux plus rentrer dans mon ordi..."

Ce que Windows affichait

Il avait saisi son PIN trop de fois de manière incorrecte. Windows avait bloqué l'accès et affichait ceci :

Vous avez saisi un code confidentiel incorrect à plusieurs reprises. Pour réessayer, saisissez A1B2C3 ci-dessous.

Puis un bouton : Question secrète.

Le problème : aucune question secrète n'avait été configurée lors de l'installation. C'est un comportement peu documenté de Windows — avec un compte Microsoft, cette étape n'est pas obligatoire, et Windows ne prévient pas clairement que son absence rendra cet écran inutilisable. Mon ami se retrouvait donc devant une impasse, sans comprendre pourquoi le bouton ne menait nulle part.

Périmètre : cette procédure s'applique aux comptes Microsoft personnels (outlook.com, hotmail.com, etc.) non gérés par Entra ID / Azure AD. Pour les environnements d'entreprise sous Entra, d'autres options existent via le portail d'administration.

Premier réflexe : changer le mot de passe

Première idée : passer par net user pour forcer un nouveau mot de passe sur le compte. Je lance la commande via Action1... et là, première surprise :

Erreur système 8646 : le système ne fait pas autorité pour le compte spécifié.

Normal. C'est un compte Microsoft, pas un compte local. net user renvoie la balle à Microsoft et ne peut rien faire. Il faut changer d'approche.

La vraie solution : le dossier NGC

C'est là que ça devient intéressant. Le mot de passe est géré en ligne par Microsoft, mais le PIN Windows Hello est entièrement local. Il est stocké dans un dossier appelé NGC (Next Generation Credentials) :

C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc

La logique est simple : supprimer ce dossier efface le PIN enregistré. Au prochain démarrage, Windows ne trouve plus de PIN et demande le mot de passe Microsoft. C'est là que le gestionnaire de mots de passe installé au départ a fait toute la différence — mon ami avait son mot de passe sous la main en quelques secondes.

Important : s'assurer que l'utilisateur connaît son mot de passe Microsoft avant de supprimer le PIN. Sans ça, on échange un problème contre un autre.

La procédure

Trois commandes à exécuter via Action1 :

:: 1. Prendre possession du dossier NGC
takeown /f C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc /r
 
:: 2. Accorder les droits administrateurs
icacls C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc /grant Administrateurs:F /t
 
:: 3. Supprimer le dossier
rmdir /s /q C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc

Note syntaxe : l'option /d y dans takeown n'est pas supportée sur toutes les versions de Windows 11. Utiliser simplement /r suffit — appris à mes dépens lors de ce dépannage.

Vérification avant reboot

Avant de redémarrer, je confirme que le dossier a bien disparu :

dir C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc

Réponse : Fichier introuvable. On redémarre.

Résultat

Au démarrage, Windows demande le mot de passe Microsoft. Mon ami le récupère en deux clics dans son gestionnaire de mots de passe, le saisit, et Windows affiche immédiatement l'assistant de configuration d'un nouveau PIN. Quelques secondes plus tard, il était de retour sur son bureau.

Aucun déplacement, aucune réinstallation, aucune donnée perdue. Tout ça depuis mon canapé.

Ce qu'il faut retenir

• Action1 est un outil RMM gratuit jusqu'à 200 postes — indispensable si vous gérez des machines pour des proches ou une petite structure
• Un gestionnaire de mots de passe dès l'installation — ça paraît anodin, mais ça peut débloquer une situation critique des mois plus tard
• Configurer une question secrète lors de l'installation de Windows avec un compte Microsoft — l'écran de blocage PIN y fait référence, mais Windows ne force pas cette étape
• Le PIN Windows Hello est local et indépendant du mot de passe Microsoft
• net user est inefficace sur un compte Microsoft (erreur 8646)
• Le dossier NGC n'est pas couvert par les points de restauration Windows
• Cette méthode ne s'applique pas aux comptes Entra ID / Azure AD

Rédigé avec l'assistance d'une IA.