Sécuriser un serveur web IIS avec IIS Crypto

IIS Crypto règle en quelques clics les protocoles et suites de chiffrement que Windows propose à vos visiteurs. Comment auditer l'existant, appliquer un modèle et revenir en arrière si une application ne suit plus.

Par la rédaction de Pixelabs · 12 octobre 2026

Un serveur IIS (Internet Information Services) ne gère pas lui-même le chiffrement de ses connexions HTTPS. C'est Windows qui s'en charge, par le fournisseur de sécurité Schannel, avec les protocoles et les suites de chiffrement activés dans le Registre. IIS Crypto, un outil gratuit édité par Nartac Software, modifie ces réglages sans passer par l'éditeur du Registre.

Le risque : des protocoles anciens encore négociables

Tant qu'un protocole ancien reste activé côté serveur, un client peut le négocier. Nartac rappelle que son outil sert à désactiver SSL 2.0, SSL 3.0, MD5 ou 3DES, et à se protéger d'attaques connues comme DROWN, Logjam, FREAK, POODLE et BEAST. L'ANSSI, dans son guide de recommandations de sécurité relatives à TLS, insiste sur deux leviers : des logiciels à jour et des paramètres de protocole ajustés au contexte.

Microsoft documente chaque réglage dans sa page sur les paramètres de Registre TLS, mais déconseille de modifier le Registre à la main quand une autre méthode existe : une erreur n'y est pas validée et peut empêcher un service de démarrer.

Qui est concerné

Tout Windows Server qui expose un service TLS par Schannel : un site IIS, mais aussi les autres services web bâtis sur http.sys, comme AD FS, puisque le réglage vaut pour tout le système. D'après Nartac, IIS Crypto fonctionne de Windows Server 2012 à Windows Server 2025, demande au minimum .NET Framework 4.6.2, et TLS 1.3 n'est disponible qu'à partir de Windows Server 2022.

Un serveur 2016 ou 2019 reste donc plafonné à TLS 1.2. C'est une raison supplémentaire de lire les nouveautés de Windows Server 2025 avant de durcir un vieux serveur web.

Vérifier d'abord : l'état actuel

Avant de changer quoi que ce soit, notez ce qui est en place. Deux méthodes, toutes deux en console administrateur.

Avec PowerShell, sans outil tiers

Le module TLS de Windows liste les suites de chiffrement, dans leur ordre de priorité :

Get-TlsCipherSuite
Get-TlsCipherSuite -Name AES

Le deuxième exemple, tiré de la documentation Microsoft, filtre les suites dont le nom contient une chaîne. Repérez les propriétés Name et Protocols de chaque suite.

Avec la version en ligne de commande d'IIS Crypto

iiscryptocli /log settings.log /view

Le commutateur /view affiche tous les réglages courants, et /log les écrit dans un fichier : vous gardez une trace datée de l'état de départ.

Appliquer un modèle

Testez sur un serveur de lab, et prenez un instantané ou une sauvegarde avant de toucher la production.

Télécharger l'outil

Récupérez IIS Crypto uniquement sur le site de Nartac. Il existe en deux versions : interface graphique (GUI) et ligne de commande (CLI). La page de téléchargement donne le numéro de version courant et l'historique des changements ; il n'est pas recopié ici.

Choisir le modèle

IIS Crypto embarque des modèles prêts à l'emploi. Leur description par Nartac :

Pour un site public, best est le point de départ que Nartac recommande, y compris pour bâtir un modèle personnalisé.

En interface graphique

Lancez IIS Crypto : il demande l'élévation si la session n'est pas administrateur. Cliquez sur Best Practices, vérifiez les cases cochées dans les onglets protocoles et suites, puis appliquez. L'outil propose de sauvegarder le Registre avant toute modification : acceptez.

En ligne de commande

La CLI doit être lancée depuis une console déjà élevée. L'exemple de Nartac sauvegarde le Registre, applique un modèle et redémarre :

iiscryptocli /backup backup.reg /template best /reboot

Pour déployer le même réglage sur plusieurs serveurs, enregistrez un modèle personnalisé (fichier .ictpl) depuis l'interface, copiez-le, puis passez son chemin à /template.

Le commutateur /reboot redémarre le serveur aussitôt le modèle appliqué. Planifiez-le dans une fenêtre de maintenance.

Impact et retour arrière

Un redémarrage est nécessaire : Microsoft précise que les changements d'ordre des suites de chiffrement prennent effet au démarrage suivant, et qu'un service peut garder ses anciens paramètres tant qu'il n'a pas été relancé.

Le risque principal est de couper un client ancien. Microsoft prévient que réduire les versions de protocole activées peut casser l'interopérabilité avec certains homologues distants. Typiquement : une application métier, un client SQL ou un équipement qui ne parle que TLS 1.0. Avant d'appliquer best sur un serveur partagé, faites l'inventaire de ses clients.

Pour revenir en arrière, trois options :

• importer le fichier .reg créé par /backup ;
• appliquer le modèle default ;
• utiliser le bouton de restauration des réglages d'origine dans l'interface.

Contrôlez ensuite le résultat avec le Site Scanner intégré à IIS Crypto, ou relancez iiscryptocli /view. Les autres utilitaires gratuits utiles au quotidien figurent dans la liste d'outils d'administration Windows, et la gestion à distance du serveur passe aussi par Windows Admin Center. D'autres procédures sont réunies dans la rubrique Windows Server et sur l'accueil des tutoriels d'administration système.

Questions fréquentes