Licence Volume Microsoft : MAK vs KMS, quel mode d'activation choisir pour votre parc informatique en 2026 ?

Licence volume Microsoft : pourquoi ce choix technique devient stratégique en 2026

Une licence volume Microsoft désigne un contrat d'achat groupé de logiciels destiné aux organisations possédant au moins cinq postes de travail. Contrairement aux licences Retail grand public, ces licences s'activent par deux méthodes distinctes : MAK (Multiple Activation Key) et KMS (Key Management Service), répondant à des besoins opérationnels radicalement différents.

En 2026, Microsoft a réorganisé ses programmes autour de trois canaux principaux :

• Open License : arrêt définitif en décembre 2025 pour les nouveaux achats
• Select Plus : réservé aux organisations de plus de 250 postes
• Microsoft Customer Agreement (MCA) : nouvel accord simplifié qui remplace progressivement les autres programmes depuis 2024

Le point crucial pour tout responsable informatique : le mode d'activation n'est jamais figé. Une même licence volume peut basculer entre MAK et KMS selon les besoins, mais ce choix impacte directement la charge administrative, la sécurité et la conformité du parc.

Activation MAK : la clé directe pour les parcs décentralisés

Le système MAK (Multiple Activation Key) fonctionne comme une clé universelle : une seule clé produit active un nombre défini de machines. Chaque activation décrémente un compteur hébergé chez Microsoft. Une fois le quota épuisé, vous devez commander des activations supplémentaires auprès de votre revendeur agréé.

Fonctionnement concret d'une activation MAK

Lors de l'installation, le technicien saisit la clé MAK dans les paramètres Windows ou via la commande slmgr.vbs /ipk [CLÉ-MAK]. Le poste contacte directement les serveurs d'activation Microsoft (activation.microsoft.com) via Internet. En quelques secondes, la machine reçoit sa confirmation d'activation permanente, valable tant que le matériel ne change pas significativement.

Pour les postes sans connexion Internet, Microsoft propose l'activation par téléphone : un robot téléphonique fournit un code de confirmation que l'administrateur saisit manuellement. Cette méthode, bien que fastidieuse, reste opérationnelle en 2026 pour les environnements hautement sécurisés.

Avantages décisifs du MAK en 2026

• Zéro infrastructure : aucun serveur KMS à installer, maintenir ou sécuriser
• Activation instantanée : dès la connexion Internet établie, le poste est actif définitivement
• Idéal pour le télétravail : les PC portables s'activent depuis n'importe quel réseau externe
• Conformité immédiate : chaque activation est enregistrée dans les journaux Microsoft, facilitant les audits
• Résilience totale : aucune dépendance à un serveur interne susceptible de tomber en panne

Contraintes et pièges du MAK

L'écueil principal : la gestion du quota. Si vous réinstallez fréquemment des postes (tests, formations, renouvellement matériel), le compteur s'épuise rapidement. Microsoft autorise la désactivation d'anciens postes via le portail VLSC, mais cette opération manuelle prend du temps et n'est pas automatisable.

Exemple concret : une PME de 80 postes achète 100 activations MAK pour Windows 11 Entreprise. Après deux ans de rotations normales (25 % de renouvellement annuel), elle a consommé 120 activations réelles. Sans monitoring rigoureux, elle découvre le dépassement lors d'un audit, nécessitant un rachat immédiat auprès du revendeur.

Cas d'usage optimaux pour le MAK

• Parcs de 5 à 200 postes avec faible rotation
• Sites distants sans liaison permanente vers le réseau central
• Flottes de PC portables pour commerciaux itinérants
• Environnements mixtes (bureaux + télétravail) sans VPN systématique
• Organisations sans compétences serveur Windows avancées

Activation KMS : l'infrastructure centralisée pour les grands parcs

Le KMS (Key Management Service) repose sur un principe inverse : aucune connexion Internet requise depuis les postes clients. L'organisation héberge un serveur KMS sur son réseau local. Ce serveur, activé une seule fois par Microsoft, délivre des activations de 180 jours renouvelables automatiquement.

Architecture technique d'un environnement KMS

Le serveur KMS écoute sur le port TCP 1688. Les clients Windows ou Office, configurés avec une clé GVLK (Generic Volume License Key), interrogent automatiquement ce serveur tous les 7 jours. Si la machine reste 180 jours sans contacter le KMS (poste volé, hors réseau prolongé), elle passe en mode fonctionnalité réduite : rappels d'activation permanents, fond d'écran noir, et blocage après 30 jours supplémentaires.

Détail capital en 2026 : Microsoft impose un seuil d'activation minimum avant que le KMS ne devienne opérationnel :

• 25 clients Windows différents doivent avoir contacté le serveur KMS au cours des 30 derniers jours
• 5 clients Office pour activer les suites bureautiques

Ces seuils ne sont pas cumulatifs sur une installation KMS unique : un serveur peut gérer simultanément Windows et Office. Attention toutefois : les machines virtuelles, postes de test et réimages fréquents ne sont comptabilisés qu'une fois par identifiant matériel (CMID), pas par installation.

Avantages stratégiques du KMS

• Aucune limite de quota : activations illimitées tant que le serveur fonctionne
• Réimagez à volonté : les déploiements de masse (MDT, SCCM, Intune) s'activent sans friction
• Contrôle réseau strict : aucune communication sortante vers Internet requise depuis les postes
• Centralisation des journaux : tous les événements d'activation sont enregistrés sur le serveur KMS, simplifiant les audits
• Conformité RGPD renforcée : aucune donnée client transmise à Microsoft après l'activation initiale du serveur

Contraintes opérationnelles du KMS

Le KMS introduit une dépendance critique : si le serveur KMS est inaccessible (panne réseau, maintenance, cyberattaque), les nouveaux postes ne s'activent plus et les anciens clients perdent leur activation après 180 jours. En 2026, plusieurs incidents ont marqué les esprits : un ransomware ayant chiffré le serveur KMS d'un groupe hospitalier a bloqué l'activation de 600 postes pendant 48 heures.

Autre contrainte : la gestion des clés GVLK. Contrairement au MAK où une seule clé suffit, le KMS exige des clés GVLK spécifiques par produit et édition (Windows 11 Pro, Windows 11 Entreprise, Office LTSC 2024, etc.). Ces clés sont publiques et documentées par Microsoft, mais leur déploiement doit être scripté dans les images de référence.

Cas d'usage optimaux pour le KMS

• Parcs de plus de 200 postes sur un ou plusieurs sites centralisés
• Cycles de réimagerie fréquents (établissements d'enseignement, centres de formation)
• Environnements hautement sécurisés (banques, défense, santé) sans accès Internet pour les postes
• Organisations avec équipes IT expérimentées en infrastructure Windows Server
• Migrations massives (Windows 10 vers Windows 11) nécessitant des milliers d'activations simultanées

Tableau comparatif MAK vs KMS : tous les critères décisionnels

Critères de choix 2026 : quelle méthode pour votre organisation ?

Taille du parc informatique

La règle empirique en 2026 : en dessous de 150-200 postes, privilégiez le MAK. L'investissement dans un serveur KMS (matériel, licences Windows Server, temps IT) dépasse rarement le coût des activations MAK supplémentaires pour les PME. Un serveur Windows Server 2022 Standard coûte environ 950 € en licence, auxquels s'ajoutent le matériel (1 500-3 000 €), la configuration initiale (8-16 heures/technicien) et la maintenance annuelle.

Au-delà de 200 postes, le retour sur investissement du KMS devient évident, surtout si vous gérez plusieurs sites ou prévoyez des migrations massives (Windows 10 → 11, Office 2019 → 2024).

Mobilité et télétravail

En 2026, 42 % des entreprises françaises fonctionnent en hybride (étude Malakoff Humanis). Si vos collaborateurs travaillent régulièrement hors des bureaux sans VPN systématique, le MAK s'impose : les portables s'activent depuis n'importe quel réseau WiFi, café ou domicile.

Le KMS reste viable pour le télétravail si et seulement si :

• Votre VPN est stable, performant et connecté en permanence
• Les utilisateurs ne peuvent pas travailler hors VPN (politique de sécurité stricte)
• Vous gérez les 180 jours d'activation : un commercial en déplacement 6 mois doit se reconnecter au moins une fois

Sécurité et isolement réseau

Les environnements hautement sécurisés (défense, OIV, santé, finance) interdisent souvent les communications sortantes vers Internet depuis les postes de travail. Dans ce contexte, le KMS est la seule option viable : le serveur KMS s'active une fois par téléphone ou via un poste dédié, puis fonctionne en totale autonomie.

Attention toutefois : Microsoft exige désormais (depuis janvier 2026) que les serveurs KMS se réactivent tous les 180 jours via une connexion Internet ponctuelle ou par téléphone. Cette contrainte, absente des versions antérieures, vise à renforcer la lutte contre le piratage mais complique la gestion des environnements air-gap.

Coût total de possession (TCO)

Le calcul du TCO doit intégrer :

• MAK : coût des activations initiales + 15-20 % de marge pour rotations + temps de gestion du quota (0,5 jour/an)
• KMS : serveur physique ou virtuel + licence Windows Server + électricité/hébergement + maintenance (2-4 jours/an) + redondance éventuelle

Exemple chiffré pour un parc de 300 postes sur 5 ans :

• MAK : 360 activations × 0 € (inclus dans la licence volume) + gestion quota = 2 500 € (temps IT)
• KMS : serveur 2 500 € + licence 950 € + maintenance 5 ans = 8 000 € mais zéro consommation de quota

Le KMS devient rentable dès 250-300 postes avec un taux de rotation supérieur à 15 % annuel.

Rythme de déploiement et réimagerie

Si vous déployez massivement des images standardisées (via MDT, SCCM, Intune ou Autopilot), le KMS élimine toute friction : les machines s'activent automatiquement au premier démarrage réseau. Le MAK, dans ce scénario, nécessite soit l'intégration de la clé dans l'image (risque de sécurité), soit une activation post-déploiement (temps supplémentaire).

Les établissements d'enseignement, centres de formation et laboratoires de test, qui réinstallent des dizaines de postes chaque semaine, adoptent massivement le KMS pour cette raison.

Scénarios hybrides : combiner MAK et KMS pour une flexibilité maximale

Microsoft autorise et encourage même les déploiements hybrides MAK/KMS sur un même contrat de licence volume. Voici les configurations les plus efficaces observées en 2026 :

Hybride géographique

Une entreprise multisite déploie un serveur KMS sur son siège principal (250 postes) et utilise le MAK pour ses 8 agences régionales (15-30 postes chacune). Les agences évitent ainsi la complexité d'un serveur KMS local ou d'un VPN permanent vers le siège.

Hybride par type d'usage

Un grand groupe active ses 800 postes de bureau fixes via KMS (infrastructure existante, aucun quota consommé) et ses 200 portables commerciaux via MAK (activations depuis n'importe quel réseau client, hôtel, aéroport). Ce modèle combine efficacité administrative et souplesse terrain.

Hybride de transition

Lors d'une migration Windows 10 → 11, une organisation active les nouvelles machines via KMS (déploiement massif, zéro friction) tout en conservant le MAK pour les anciens postes Windows 10 encore en service (évite de maintenir deux serveurs KMS parallèles). Une fois la migration achevée, tous les postes basculent sur KMS.

Mise en œuvre technique : étapes clés pour déployer MAK ou KMS

Déployer une activation MAK

1. Récupération de la clé : connectez-vous au portail VLSC avec vos identifiants Business Account, téléchargez la clé MAK correspondant à votre produit
2. Intégration dans l'image (optionnel) : utilisez slmgr.vbs /ipk dans votre séquence de déploiement ou intégrez la clé via un fichier de réponses unattend.xml
3. Activation : la machine contacte automatiquement activation.microsoft.com au premier démarrage réseau. Vérifiez avec slmgr.vbs /dlv
4. Monitoring du quota : consultez le portail VLSC mensuellement pour anticiper les dépassements. Microsoft envoie des alertes à 90 % du quota mais elles arrivent parfois trop tard

Déployer un serveur KMS

1. Prérequis serveur : Windows Server 2016 minimum (2019 ou 2022 recommandé), connexion Internet ponctuelle pour l'activation initiale
2. Installation du rôle : DISM /Online /Enable-Feature /FeatureName:VolumeActivation ou via Server Manager
3. Installation de la clé KMS Host : récupérez la clé KMS Host sur le portail VLSC (distincte de la clé client GVLK), installez-la avec slmgr.vbs /ipk [CLÉ-KMS-HOST]
4. Activation du serveur : slmgr.vbs /ato active le serveur KMS auprès de Microsoft
5. Configuration DNS (recommandé) : créez un enregistrement SRV _vlmcs._tcp.domaine.com pointant vers le serveur KMS. Les clients le découvrent automatiquement
6. Configuration des clients : installez la clé GVLK publique correspondant à votre produit (liste complète sur docs.microsoft.com), forcez l'activation avec slmgr.vbs /ato
7. Monitoring : consultez l'Observateur d'événements (journal Key Management Service) pour suivre les activations et détecter les anomalies

Redondance et haute disponibilité KMS

Pour les environnements critiques, Microsoft recommande de déployer deux serveurs KMS minimum :

• Serveur KMS principal sur le site central
• Serveur KMS secondaire sur un site distant ou dans Azure
• Configuration DNS avec plusieurs enregistrements SRV (round-robin automatique)

Les clients Windows tentent automatiquement le serveur suivant si le premier est inaccessible. Cette configuration élimine le point de défaillance unique du KMS.

Dépannage : résoudre les problèmes d'activation courants

MAK : quota épuisé ou dépassé

Symptôme : message d'erreur 0xC004C008 « Le centre d'activation a déterminé que le nombre maximal d'utilisations de la clé a été dépassé ».

Solution :

1. Connectez-vous au portail VLSC
2. Section « Licenses » → « Relationship Summary » → sélectionnez votre accord
3. Onglet « Product Keys » → cliquez sur la clé MAK concernée
4. Si des machines ont été remplacées, utilisez l'outil « Decrease Count » pour libérer des activations (limite de 10 désactivations par clé et par mois)
5. Si le quota est réellement dépassé, contactez votre revendeur pour acheter des activations supplémentaires (délai habituel : 24-48 heures)

KMS : seuil d'activation non atteint

Symptôme : les clients affichent « Activation will be attempted again » et le serveur KMS indique un nombre de clients inférieur à 25 (Windows) ou 5 (Office).

Solution :

1. Vérifiez le nombre réel de machines physiques (pas de VM clonées avec le même CMID)
2. Utilisez slmgr.vbs /dlv sur le serveur KMS pour afficher le compteur actuel
3. Si votre parc est inférieur au seuil, deux options :
   • Basculer temporairement sur MAK pour les machines existantes
   • Contacter Microsoft pour obtenir une clé KMS Host spéciale sans seuil (disponible pour certains secteurs comme l'éducation)

KMS : les clients ne contactent pas le serveur

Symptôme : les clients affichent « Windows n'a pas pu contacter le service d'activation ».

Diagnostics :

1. Vérifiez la connectivité réseau : telnet serveur-kms.domaine.com 1688
2. Vérifiez la configuration DNS : nslookup -type=srv _vlmcs._tcp.domaine.com
3. Forcez manuellement l'adresse du serveur KMS : slmgr.vbs /skms serveur-kms.domaine.com:1688
4. Vérifiez que la clé GVLK est bien installée : slmgr.vbs /dlv doit afficher « VOLUME_KMSCLIENT channel »
5. Consultez les journaux du serveur KMS (Observateur d'événements → Applications et services → Key Management Service) pour identifier les tentatives de connexion

KMS : expiration des activations après 180 jours

Symptôme : des postes auparavant activés affichent soudainement des rappels d'activation, avec fond d'écran noir et limitation fonctionnelle.

Causes fréquentes :

• Serveur KMS arrêté ou inaccessible pendant plus de 180 jours
• Changement d'adresse IP du serveur KMS sans mise à jour DNS
• Pare-feu bloquant le port 1688 suite à une mise à jour de sécurité
• Postes nomades restés déconnectés du réseau d'entreprise (commerciaux, télétravail sans VPN)

Solution immédiate : reconnectez les postes au réseau d'entreprise et forcez une activation : slmgr.vbs /ato. L'activation est rétablie instantanément si le serveur KMS est accessible.

Sécurité et conformité : protéger vos clés et réussir vos audits

Protection des clés MAK et KMS

Les clés de licence volume sont des actifs critiques susceptibles d'être piratés et revendus sur le marché noir. Microsoft impose contractuellement leur protection :

• Ne jamais publier les clés MAK dans des scripts non chiffrés, images de référence ou documentation publique
• Limiter l'accès au portail VLSC à 2-3 administrateurs maximum, avec authentification multifacteur obligatoire depuis 2026
• Chiffrer les clés KMS Host si elles sont stockées dans des outils d'automatisation (Ansible, PowerShell DSC)
• Auditer les activations mensuellement pour détecter les usages anormaux (pics inexpliqués, activations depuis des pays non autorisés)

Préparer un audit de conformité Microsoft

Microsoft réalise environ 5 000 audits de licences volume par an dans le monde, dont 300 en France. Pour éviter les pénalités (jusqu'à 150 % du prix catalogue des licences manquantes), conservez :

• Factures d'achat de toutes vos licences volume (à conserver 10 ans minimum)
• Exports réguliers du portail VLSC montrant vos clés actives et quotas disponibles
• Inventaire automatisé du parc (via SCCM, Intune, LanSweeper) prouvant le nombre de postes réellement activés
• Journaux du serveur KMS (à conserver 3 ans minimum) attestant des activations légitimes

En cas d'audit MAK, Microsoft compare le nombre d'activations consommées dans son système avec votre inventaire déclaré. Toute incohérence déclenche une enquête approfondie.

Évolutions attendues en 2026-2027 : ce qui change dans l'activation Microsoft

Windows 11 24H2 et nouvelles contraintes matérielles

Windows 11 version 24H2, disponible depuis octobre 2025, introduit des exigences matérielles renforcées qui impactent l'activation :

• TPM 2.0 obligatoire : les machines sans puce TPM ne peuvent plus s'activer, même avec une clé volume valide
• Secure Boot impératif : le mode Legacy/CSM bloque désormais l'activation (erreur 0x803F7001)
• Détection de virtualisation améliorée : les VM nécessitent des clés spécifiques (AVMA pour Hyper-V, vSphere pour VMware)

Conséquence directe : les parcs avec matériel ancien (antérieur à 2018) doivent budgéter un renouvellement massif sous peine de blocage d'activation lors des migrations.

Office LTSC 2024 : retour du KMS simplifié

Office LTSC 2024 (version perpétuelle pour licences volume) réintroduit une activation KMS simplifiée, abandonnée dans Office 2021. Le seuil passe de 5 à 3 clients Office minimum, facilitant le déploiement dans les petites structures. Cette version coexiste avec Microsoft 365 Apps en mode hybride : le même serveur KMS peut activer les deux produits simultanément.

Cloud Activation : le successeur du KMS traditionnel

Microsoft développe activement Cloud Activation, un système hybride combinant la simplicité du MAK et l'absence de quota du KMS. Fonctionnement :

• Les postes s'activent directement auprès d'Azure Active Directory (Entra ID)
• Aucun serveur KMS local requis
• Activations illimitées tant que l'appareil est enregistré dans votre tenant Azure
• Fonctionne uniquement pour Windows 11 Entreprise et Education (pas Pro)

En 2026, Cloud Activation reste limité aux organisations disposant d'un abonnement Microsoft 365 E3/E5 ou Windows Enterprise E3/E5. Microsoft annonce une généralisation progressive d'ici 2028, qui pourrait rendre obsolètes MAK et KMS à terme.

Recommandations finales : votre checklist de décision MAK vs KMS

Utilisez cette checklist pour trancher objectivement entre MAK et KMS selon votre contexte organisationnel :

Points de vigilance spécifiques 2026

• Arrêt d'Open License : si vous êtes encore sous ce programme, migrez vers MCA avant juin 2026 pour conserver l'accès à vos clés
• Augmentation des quotas MAK : les revendeurs agréés observent des délais d'approvisionnement allongés (3-5 jours vs 24 heures auparavant), anticipez vos besoins
• Durcissement des audits : Microsoft a renforcé ses équipes de conformité en Europe, prévoyez un audit tous les 3-4 ans en moyenne
• Fin de support Windows 10 : octobre 2025 marque la fin du support gratuit, forçant des migrations massives vers Windows 11 qui solliciteront fortement vos infrastructures d'activation

Quelle que soit votre décision, documentez-la formellement et révisez-la annuellement. Les organisations les plus performantes réévaluent leur stratégie d'activation à chaque renouvellement de contrat de licence volume, en intégrant les évolutions de leur parc, de leurs usages et des technologies Microsoft.