first upload

README.md

@@ -0,0 +1,103 @@
+# comi-win11-max-25h2
+
+Paquet de configuration WAPT **Windows 11** limitant les mises a jour de fonctionnalites Windows Update a **25H2**. Il ne desactive ni Windows Update ni les mises a jour cumulatives/de securite.
+
+## Ce que configure le paquet
+
+Sous `HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate` (vue 64 bits) :
+
+| Valeur | Type | Donnee |
+| --- | --- | --- |
+| `ProductVersion` | `REG_SZ` | `Windows 11` |
+| `TargetReleaseVersion` | `REG_DWORD` | `1` |
+| `TargetReleaseVersionInfo` | `REG_SZ` | `25H2` |
+
+- Poste Windows 11 23H2 / 24H2 : 25H2 demeure une version cible autorisee, sous reserve de compatibilite, de disponibilite et des autres politiques de mise a jour.
+- Poste Windows 11 25H2 : reste cible sur 25H2 pour les mises a jour de fonctionnalites.
+- Poste deja en 26H1/26H2 : **installation refusee** si `DisplayVersion` le revele. Ce paquet ne fait pas de retrogradation.
+- Windows 10, Windows Server, editions Home et LTSC connues : installation refusee pour eviter les effets de bord.
+
+Cette politique concerne **les Feature Updates distribuees par Windows Update**. Elle ne bloque pas un autre outil, un ISO ou une mise a niveau executee manuellement. L'efficacite reelle peut aussi etre modifiee par GPO, Intune/MDM, WSUS, la fin de support de la version cible ou des politiques contradictoires. Elle ne doit pas etre consideree comme une barriere de securite absolue.
+
+## Contenu
+
+```
+comi-win11-max-25h2/
+  setup.py
+  README.md
+  WAPT/
+    control
+```
+
+## Construire et deployer
+
+1. Decompresser l'archive de sources sur un poste **WAPT Packaging** muni d'un certificat de signature autorise et de sa cle privee.
+2. Verifier / adapter le champ `maintainer` ou le prefixe `package` dans `WAPT/control`.
+3. Construire et signer via la Console WAPT (**Build and upload package**) ou en ligne de commande :
+
+   ```powershell
+   & 'C:\Program Files (x86)\wapt\wapt-get.exe' build-package 'C:\waptdev\comi-win11-max-25h2'
+   ```
+
+   Pour compiler ET mettre en depot en une operation :
+
+   ```powershell
+   & 'C:\Program Files (x86)\wapt\wapt-get.exe' build-upload 'C:\waptdev\comi-win11-max-25h2'
+   ```
+
+4. Affecter `comi-win11-max-25h2` a l'hote ou au groupe voulu, et lancer l'installation depuis WAPT.
+5. Tester d'abord sur un poste Windows 11 non critique.
+
+**Important :** cette archive contient les *sources*, pas un fichier `.wapt` deja signe. La signature utilise la cle de packaging de votre environnement WAPT ; aucune cle privee n'est incluse.
+
+## Audit
+
+- Audit WAPT journalier (`audit_schedule: 1d`) ; lance aussi apres l'upgrade / sur demande.
+- `OK` : strategie conforme et version detectee <= 25H2.
+- `ERROR` : policy differente/absente, OS incompatible ou version deja > 25H2.
+- `WARNING` : strategie conforme, mais version Windows non determinee.
+
+Sur un poste WAPT :
+
+```powershell
+& 'C:\Program Files (x86)\wapt\wapt-get.exe' audit comi-win11-max-25h2
+Get-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate' |
+    Select-Object ProductVersion, TargetReleaseVersion, TargetReleaseVersionInfo
+```
+
+La conformite des trois valeurs de Registre est un controle local : la prise en compte effective reste soumise au moteur Windows Update et a la source de mises a jour configuree.
+
+## Desinstallation / retour arriere
+
+Lors de la *premiere* installation, les valeurs precedemment presentes sont sauvegardees dans :
+
+`C:\ProgramData\Comitari\WAPT\comi-win11-max-25h2\previous_policy.json`
+
+La fonction `uninstall()` restaure les valeurs precedentes, ou retire les valeurs qui n'existaient pas. Si une valeur a change depuis l'installation sous l'effet d'un autre gestionnaire, elle est **conservee**. Les reinstallations n'ecrasent pas la sauvegarde initiale.
+
+La suppression de la dependance hote, ou `wapt-get remove` seul, **ne garantit pas** selon la version WAPT l'execution du `uninstall()` personnalise. Pour annuler explicitement la strategie avant de supprimer le paquet, faire :
+
+```powershell
+& 'C:\Program Files (x86)\wapt\wapt-get.exe' uninstall comi-win11-max-25h2
+& 'C:\Program Files (x86)\wapt\wapt-get.exe' remove comi-win11-max-25h2
+```
+
+Retirer egalement la dependance du paquet sur l'hote/groupe dans la Console WAPT ; sinon il peut etre reinstalle.
+
+La fonction de desinstallation ne desactive pas Windows Update et ne supprime pas la cle WindowsUpdate parente (elle peut contenir d'autres regles).
+
+## Limites
+
+- Pas de retour arriere d'un Windows deja passe en version superieure.
+- Ce paquet ne force pas la migration vers 25H2 ; il fixe une **cible maximale** pour les *Feature Updates* de Windows Update.
+- Les versions de Windows sortant de maintenance peuvent necessiter une politique actualisee. Une version cible en fin de maintenance ne doit pas rester gelee indefiniment.
+- Le ciblage par Windows Update for Business est documente pour les editions Windows 11 Pro, Enterprise et Education (pas Home).
+- GPO, MDM/Intune, WSUS et autres outils peuvent surcharger la policy, ou proposer des mises a niveau par d'autres mecanismes.
+- Aucun `gpupdate`, redemarrage de service, redemarrage du poste ou scan Windows Update force n'est declenche.
+
+## Sources
+
+- Microsoft (strategie cible) : https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp-update
+- Microsoft (etats/version de Windows 11) : https://learn.microsoft.com/en-us/windows/release-health/windows11-release-information
+- Tranquil IT WAPT 2.6 (packages) : https://www.wapt.fr/fr/doc-2.6/wapt-package-structure.html
+- Tranquil IT WAPT 2.6 (build/sign) : https://www.wapt.fr/fr/doc-2.6/wapt-command-line-interface.html