Le 12 janvier 2027, Microsoft mettra fin au support étendu de Windows Server 2016. À partir de cette date, les serveurs concernés continueront bien évidemment de fonctionner, mais ils ne recevront plus les mises à jour de sécurité habituelles. Aux risques de vulnérabilités non corrigées viendront progressivement s’ajouter des difficultés de conformité, de compatibilité avec des logiciels récents ou encore de prise en charge par les éditeurs. Si vous utilisez encore Windows Server 2016 au sein de votre SI, il est donc temps de préparer la suite ! Migration vers Windows Server 2025 ou 2022, évolution de l’infrastructure, décommissionnement ou recours temporaire aux ESU : faisons le point sur les différentes options et, surtout, sur les actions à engager avant janvier 2027.
⌛ Fin du support de Windows Server 2016 : que se passera-t-il le 12 janvier 2027 ?
Depuis janvier 2022, Windows Server 2016 se trouve dans sa phase de support étendu. Concrètement, la version n’évolue plus et ne bénéficie plus de nouvelles fonctionnalités, mais Microsoft continue de publier des mises à jour de sécurité pour corriger les vulnérabilités découvertes. Cette phase prendra fin le 12 janvier 2027 pour les éditions Standard, Datacenter, Essentials et MultiPoint Premium. Les conteneurs basés sur Windows Server 2016 suivent également ce calendrier.
Quels risques présente le maintien de WS2016 après cette date ?
Maintenir un serveur sous Windows Server 2016 après janvier 2027 ne signifie pas qu’il sera immédiatement compromis. Le niveau de risque dépendra notamment de son exposition à Internet, de son rôle dans votre SI, des données qu’il héberge et des mesures de protection mises en place. En revanche, plus le temps passera, plus vous risquez d’accumuler quelques difficultés.
Vulnérabilités non corrigées
Une faille découverte après la fin du support restera exploitable durablement. La segmentation du réseau, le durcissement du serveur, des outils de détection ou la limitation des accès peuvent permettre de réduire l’exposition, mais ne remplaceront pas un correctif absent. Le niveau de risque sera particulièrement important pour les serveurs exposés sur Internet, accessibles à distance ou hébergeant des services critiques comme votre Active Directory ou des applications métiers.
Compatibilité de plus en plus limitée
La fin d’un support serveur impacte également tout son écosystème. Les éditeurs de logiciels, de solutions de sauvegarde, d’antivirus ou d’EDR vont eux aussi cesser de prendre en charge Windows Server 2016. Les applications déjà installées continueront de fonctionner, mais leurs prochaines versions ou mises à jour ne seront plus forcément compatibles. À terme, vous risquez de vous retrouver contraints de conserver plusieurs composants vieillissants, tout simplement parce qu’ils dépendent les uns des autres.
Traitement des incidents plus complexe
Vous rencontrerez aussi plus d’obstacles en cas de dysfonctionnement, de problème de performance ou d’incident de sécurité. Microsoft ne proposera plus le support habituellement associé au produit, et certains éditeurs pourront refuser d’intervenir sur une application hébergée sur un système d’exploitation qui n’est plus maintenu. Ou remettre la faute sur ledit système, ce qui ne fera pas davantage avancer votre ticket. La résolution de votre incident risque donc d’être plus compliquée que prévu, voire vous imposer une migration dans l’urgence. Et une migration réalisée avec un serveur indisponible et des utilisateurs qui attendent, c’est assez rarement une migration sereine.
Conformité et assurance
L’utilisation d’un système d’exploitation hors support ne vous rendra pas automatiquement non conforme aux exigences de votre activité. Mais elle peut devenir une sérieuse épine dans le pied. Certains référentiels de sécurité, certaines exigences contractuelles ou encore les conditions d’un contrat d’assurance cyber peuvent imposer l’utilisation de composants maintenus, ou, a minima, la mise en place et la justification de mesures compensatoires.
Encore une fois, tous les serveurs ne présentent pas le même niveau de risque. Un serveur isolé qui héberge une application secondaire n’a pas besoin d’être traité avec la même urgence qu’un contrôleur de domaine ou qu’un serveur directement exposé sur Internet.
Comment identifier les serveurs et les applications concernés ?
Avant de choisir une version cible ou de commander quoi que ce soit, il faut savoir ce que vous avez. Inventoriez tous vos serveurs physiques et virtuels fonctionnant sous Windows Server 2016, y compris les environnements de test, de secours, les machines hébergées chez un prestataire ou celles que quelqu’un a un jour baptisées « TEMP-WS16 » et qui tournent finalement en production depuis six ans. Pour chaque serveur, identifiez :
- son rôle dans votre infrastructure,
- les applications et bases de données qu’il héberge,
- son niveau de criticité,
- son exposition à internet,
- les utilisateurs et services qui y accèdent,
- les autres serveurs/services dont il dépend,
- les mécanismes de sauvegarde et de restauration associés,
- la compatibilité des applications avec Windows Server 2022 ou 2025.
La vérification de la compatibilité est particulièrement importante. Dans de nombreux projets, la difficulté ne vient pas réellement de la migration de Windows Server, mais d’une ancienne application qui n’est plus maintenue, dont l’éditeur a disparu ou qui refuse obstinément de fonctionner sur un système récent. Cet inventaire vous permettra de distinguer les serveurs qui peuvent et/ou doivent être migrés rapidement, ceux qui peuvent être simplement supprimés, et ceux qui devront éventuellement bénéficier des ESU pendant la transition.
Petite précision : Windows Server 2016 et SQL Server 2016 sont deux produits différents, avec des calendriers de support distincts. Le nom est proche, mais Microsoft n’a pas poussé la simplicité jusqu’à leur donner la même échéance.
🔁 Quelles solutions pour remplacer Windows Server 2016 ?
Comme souvent, il n’y a pas de réponse unique applicable à l’ensemble de votre infrastructure. La version cible et la méthode de migration dépendront du rôle de chaque serveur, de la compatibilité des applications et de la durée de support recherchée.
Migrer vers Windows Server 2025
Lorsque les applications et le matériel sont compatibles, Windows Server 2025 est aujourd’hui la cible la plus logique. Son support standard est prévu jusqu’en novembre 2029 et son support étendu jusqu’en novembre 2034. Vous repartez donc sur un cycle de vie nettement plus long.
Sachez que Microsoft autorise la mise à niveau directe de Windows Server 2016 vers Windows Server 2025 pour les systèmes non clusterisés. Mais avant d’envisager la mise à niveau sur place, vérifiez les rôles installés, les applications hébergées, les pilotes, les ressources matérielles disponibles ainsi que les conséquences sur les licences, la virtualisation et les outils de sauvegarde. Ce n’est pas parce qu’une opération est techniquement supportée qu’elle est forcément adaptée à votre serveur.
Migrer vers Windows Server 2022
Si une application ou un éditeur ne prend pas encore en charge Windows Server 2025, vous pouvez vous orienter vers Windows Server 2022. Bien que son support standard prenne fin en octobre 2026, son support étendu se poursuit jusqu’en octobre 2031. Autrement dit, la version continuera bien à recevoir des mises à jour de sécurité après 2026, mais vous repartez sur une durée de vie sensiblement plus courte qu’avec Windows Server 2025. Bien que viable, cette solution vous mettra face au même problème dans 4 ans. Il vaut donc mieux n’opter pour WS2022 que si une application métier critique vous y contraint.
Revoir l’hébergement… ou l’utilité du serveur
Cette fin du support peut aussi être l’occasion de ne pas reproduire votre environnement existant à l’identique. Faut-il vraiment recréer un nouveau serveur pour chacune des machines actuelles ? Certaines applications peuvent-elles être regroupées ? Déplacées vers un autre environnement ? Remplacées par un service hébergé ou une solution SaaS ? Certaines charges de travail ont-elles encore une bonne raison d’exister ?
Profitez également de l’inventaire pour identifier les serveurs inutilisés. Car, parfois, la meilleure migration reste celle qu’on n’a pas à faire. Évidemment, « personne ne sait à quoi sert ce serveur » n’est pas tout à fait la même chose que « ce serveur ne sert à rien ». Avant de le supprimer, vérifiez donc ses flux, ses connexions, ses tâches planifiées et les éventuels utilisateurs ou logiciels qui en dépendent encore.
Utiliser temporairement les ESU
Que couvrent les ESU ?
Si certains serveurs ne peuvent pas être migré avant janvier 2027, Microsoft propose le programme Extended Security Updates, ou ESU. Ces mises à jour de sécurité étendues permettent aux éditions Standard et Datacenter de continuer à recevoir certains correctifs classés critiques ou importants pendant une durée maximale de trois ans, jusqu’en 2030. Les éditions Essentials et MultiPoint Premium ne pourront, elles, pas en bénéficier.
Attention : les ESU ne prolongent toutefois pas réellement le support classique de Windows Server 2016. Elles n’ajoutent aucune nouvelle fonctionnalité, ne règlent pas vos problèmes de compatibilité et ne garantissent évidemment pas que les autres éditeurs continueront à prendre en charge leurs logiciels sur cette version. Microsoft présente expressément les ESU comme une solution temporaire. Elles constituent donc principalement un filet de sécurité pour les serveurs dont la migration est déjà prévue, mais ne peut pas être terminée à temps.
Pour les environnements sur site ou hébergés, l’éligibilité est également soumise à des conditions de licence. Windows Server 2016 nécessite notamment une Software Assurance active ou un abonnement serveur équivalent. Le programme SPLA, qui pouvait intervenir dans certains scénarios liés aux ESU de Windows Server 2012, n’est pas éligible pour Windows Server 2016. Bref, les ESU permettent de gagner du temps. Elles ne suppriment pas le problème du calendrier.
Combien coûtent les ESU ?
Microsoft prévoit notamment deux façons de gérer les ESU :
- un achat annuel dans le cadre d’un contrat de licences en volume,
- une facturation mensuelle à l’usage grâce à Azure Arc.
Le coût dépend notamment de l’édition, du nombre de cœurs à couvrir et du mode de souscription. Il vaut donc mieux calculer le coût réel de votre environnement à partir de vos contrats et de vos licences plutôt que de raisonner à partir d’un tarif générique. La formule Azure Arc présente un intérêt particulier pour une migration progressive : la facturation est mensuelle et peut s’arrêter lorsque le serveur est finalement migré ou supprimé.
Les ESU Windows Server 2016 peuvent être configurées dans Azure Arc depuis le 3 août 2026. La facturation commencera le 13 janvier 2027. Attention, petite subtilité qui mérite d’être connue : une licence Azure Arc activée après la fin du support fait l’objet d’une rétrofacturation remontant au début de la période ESU. Il ne sert donc à rien d’attendre gratuitement le moment où une vulnérabilité réellement gênante apparaitrait.
Les ESU peuvent donc devenir coûteuses si elles sont utilisées pour maintenir un grand nombre de serveurs pendant 3 ans sans calendrier de migration établi. Elles vous permettront de gagner du temps, mais ce temps a un prix… Autant savoir rapidement ce que vous comptez en faire !
📆 Comment préparer la migration avant janvier 2027 ?
Préparer son calendrier de migration
Voici un exemple de calendrier pour une infrastructure de taille raisonnable. À adapter évidemment selon le nombre de serveurs concernés et la complexité de vos applications.
| Période |
Actions à engager
|
| septembre 2026 |
Finaliser l’inventaire, identifier les applications hébergées et classer les serveurs selon leur criticité et leur exposition.
|
| octobre 2026 |
Choisir la version cible et la méthode de migration, vérifier les licences, les ressources matérielles et la compatibilité des applications.
|
| Octobre à novembre 2026 |
Tester les migrations sur un environnement pilote, valider le fonctionnement des applications et préparer les procédures de retour arrière.
|
| Novembre à décembre 2026 |
Migrer progressivement les serveurs, en commençant par les environnements les mieux maîtrisés.
|
| Avant le 12 janvier 2027 |
Migrer les derniers serveurs ou activer les ESU pour ceux qui nécessitent un délai supplémentaire.
|
Choisir sa méthode de migration
Tous vos serveurs Windows Server 2016 ne doivent pas forcément être traités de la même manière. Microsoft distingue plusieurs approches pour faire évoluer un serveur. Les vérifications et les actions à mener ne seront pas les mêmes selon que vous choisissez une mise à niveau, une migration vers un nouvel environnement, un décommissionnement ou le recours temporaire aux ESU.
Mise à niveau sur place
La mise à niveau sur place permet de conserver le serveur actuel, ses paramètres, ses rôles et ses données. Sur le papier, c’est évidemment séduisant : moins de déplacement de données, moins de reconfiguration et une infrastructure qui reste en grande partie identique. Dans les faits, il y a tout de même quelques étapes à prévoir :
- vérifier la compatibilité du matériel, des rôles et des applications
- une sauvegarde complète et un test de restauration,
- un essai préalable sur une copie du serveur si possible,
- une fenêtre de maintenance,
- une procédure de retour arrière,
- des tests fonctionnels après le redémarrage.
Pour les contrôleurs de domaine, évitez en revanche la mise à niveau sur place lorsque vous pouvez procéder autrement. Microsoft recommande plutôt de préparer une nouvelle installation de Windows Server, de promouvoir le nouveau serveur comme contrôleur de domaine, de transférer les rôles nécessaires puis de rétrograder l’ancien.
Migration vers un nouvel environnement
Cette méthode consiste à préparer un nouveau serveur, dans vos locaux, chez un hébergeur ou dans le cloud. Vous y déplacez ensuite les applications, les rôles et les données. Son principal avantage est que ce nouvel environnement peut être configuré et testé avant la bascule.
Vous pouvez donc valider le fonctionnement de l’application, les performances, les droits, les sauvegardes et une partie des flux réseau alors que l’ancien serveur fonctionne encore. En contrepartie, vous devez cartographier les dépendances, prévoir la synchronisation des dernières données et organiser les changements de DNS, d’adresses, d’accès ou de flux.
Après la migration, conservez l’ancien serveur éteint pendant une durée définie. Vous pourrez ainsi le rallumer en cas de problème, puis le supprimer une fois le bon fonctionnement du nouvel environnement confirmé. J’ai bien précisé « durée définie », et non pas « jusqu’à ce qu’un alternant ose demander s’il peut le supprimer quatre ans plus tard ».
Décommissionnement
Si le serveur ne répond plus à aucun besoin, autant profiter de l’occasion pour le supprimer. Avant de l’arrêter, vérifiez tout de même qu’aucun utilisateur, logiciel, partage, flux réseau, tâche planifiée ou système de sauvegarde n’en dépend encore. Archivez ou transférez les données utiles, puis éteignez le serveur pendant une période d’observation. Une fois l’absence d’impact confirmée, vous pourrez le retirer proprement de l’annuaire, de la supervision, des sauvegardes et de l’inventaire.
Recours temporaire aux ESU
Enfin, lorsqu’un serveur ne peut réellement pas être migré avant le 12 janvier 2027, vous pouvez envisager de recourir temporairement aux ESU. Commencez par vérifier l’éligibilité du serveur, son édition, son mode de licence et le nombre de cœurs à couvrir. Vous devrez ensuite choisir entre la souscription annuelle en licences en volume et une facturation mensuelle via Azure Arc. Profitez de cette période pour réduire son exposition autant que possible : réduction des accès, segmentation du réseau, surveillance renforcée et suppression des services inutiles.
Les ESU sécuriseront votre période de transition, mais n’oubliez pas qu’elles ne doivent pas transformer un report de quelques mois en nouveau cycle de vie de trois ans.