# comi-win11-max-25h2

Paquet de configuration WAPT **Windows 11** limitant les mises a jour de fonctionnalites Windows Update a **25H2**. Il ne desactive ni Windows Update ni les mises a jour cumulatives/de securite.

## Ce que configure le paquet

Sous `HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate` (vue 64 bits) :

| Valeur | Type | Donnee |
| --- | --- | --- |
| `ProductVersion` | `REG_SZ` | `Windows 11` |
| `TargetReleaseVersion` | `REG_DWORD` | `1` |
| `TargetReleaseVersionInfo` | `REG_SZ` | `25H2` |

- Poste Windows 11 23H2 / 24H2 : 25H2 demeure une version cible autorisee, sous reserve de compatibilite, de disponibilite et des autres politiques de mise a jour.
- Poste Windows 11 25H2 : reste cible sur 25H2 pour les mises a jour de fonctionnalites.
- Poste deja en 26H1/26H2 : **installation refusee** si `DisplayVersion` le revele. Ce paquet ne fait pas de retrogradation.
- Windows 10, Windows Server, editions Home et LTSC connues : installation refusee pour eviter les effets de bord.

Cette politique concerne **les Feature Updates distribuees par Windows Update**. Elle ne bloque pas un autre outil, un ISO ou une mise a niveau executee manuellement. L'efficacite reelle peut aussi etre modifiee par GPO, Intune/MDM, WSUS, la fin de support de la version cible ou des politiques contradictoires. Elle ne doit pas etre consideree comme une barriere de securite absolue.

## Contenu

```
comi-win11-max-25h2/
  setup.py
  README.md
  WAPT/
    control
```

## Construire et deployer

1. Decompresser l'archive de sources sur un poste **WAPT Packaging** muni d'un certificat de signature autorise et de sa cle privee.
2. Verifier / adapter le champ `maintainer` ou le prefixe `package` dans `WAPT/control`.
3. Construire et signer via la Console WAPT (**Build and upload package**) ou en ligne de commande :

   ```powershell
   & 'C:\Program Files (x86)\wapt\wapt-get.exe' build-package 'C:\waptdev\comi-win11-max-25h2'
   ```

   Pour compiler ET mettre en depot en une operation :

   ```powershell
   & 'C:\Program Files (x86)\wapt\wapt-get.exe' build-upload 'C:\waptdev\comi-win11-max-25h2'
   ```

4. Affecter `comi-win11-max-25h2` a l'hote ou au groupe voulu, et lancer l'installation depuis WAPT.
5. Tester d'abord sur un poste Windows 11 non critique.

**Important :** cette archive contient les *sources*, pas un fichier `.wapt` deja signe. La signature utilise la cle de packaging de votre environnement WAPT ; aucune cle privee n'est incluse.

## Audit

- Audit WAPT journalier (`audit_schedule: 1d`) ; lance aussi apres l'upgrade / sur demande.
- `OK` : strategie conforme et version detectee <= 25H2.
- `ERROR` : policy differente/absente, OS incompatible ou version deja > 25H2.
- `WARNING` : strategie conforme, mais version Windows non determinee.

Sur un poste WAPT :

```powershell
& 'C:\Program Files (x86)\wapt\wapt-get.exe' audit comi-win11-max-25h2
Get-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate' |
    Select-Object ProductVersion, TargetReleaseVersion, TargetReleaseVersionInfo
```

La conformite des trois valeurs de Registre est un controle local : la prise en compte effective reste soumise au moteur Windows Update et a la source de mises a jour configuree.

## Desinstallation / retour arriere

Lors de la *premiere* installation, les valeurs precedemment presentes sont sauvegardees dans :

`C:\ProgramData\Comitari\WAPT\comi-win11-max-25h2\previous_policy.json`

La fonction `uninstall()` restaure les valeurs precedentes, ou retire les valeurs qui n'existaient pas. Si une valeur a change depuis l'installation sous l'effet d'un autre gestionnaire, elle est **conservee**. Les reinstallations n'ecrasent pas la sauvegarde initiale.

La suppression de la dependance hote, ou `wapt-get remove` seul, **ne garantit pas** selon la version WAPT l'execution du `uninstall()` personnalise. Pour annuler explicitement la strategie avant de supprimer le paquet, faire :

```powershell
& 'C:\Program Files (x86)\wapt\wapt-get.exe' uninstall comi-win11-max-25h2
& 'C:\Program Files (x86)\wapt\wapt-get.exe' remove comi-win11-max-25h2
```

Retirer egalement la dependance du paquet sur l'hote/groupe dans la Console WAPT ; sinon il peut etre reinstalle.

La fonction de desinstallation ne desactive pas Windows Update et ne supprime pas la cle WindowsUpdate parente (elle peut contenir d'autres regles).

## Limites

- Pas de retour arriere d'un Windows deja passe en version superieure.
- Ce paquet ne force pas la migration vers 25H2 ; il fixe une **cible maximale** pour les *Feature Updates* de Windows Update.
- Les versions de Windows sortant de maintenance peuvent necessiter une politique actualisee. Une version cible en fin de maintenance ne doit pas rester gelee indefiniment.
- Le ciblage par Windows Update for Business est documente pour les editions Windows 11 Pro, Enterprise et Education (pas Home).
- GPO, MDM/Intune, WSUS et autres outils peuvent surcharger la policy, ou proposer des mises a niveau par d'autres mecanismes.
- Aucun `gpupdate`, redemarrage de service, redemarrage du poste ou scan Windows Update force n'est declenche.

## Sources

- Microsoft (strategie cible) : https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp-update
- Microsoft (etats/version de Windows 11) : https://learn.microsoft.com/en-us/windows/release-health/windows11-release-information
- Tranquil IT WAPT 2.6 (packages) : https://www.wapt.fr/fr/doc-2.6/wapt-package-structure.html
- Tranquil IT WAPT 2.6 (build/sign) : https://www.wapt.fr/fr/doc-2.6/wapt-command-line-interface.html