comi-win11-max-25h2

Paquet de configuration WAPT Windows 11 limitant les mises a jour de fonctionnalites Windows Update a 25H2. Il ne desactive ni Windows Update ni les mises a jour cumulatives/de securite.

Ce que configure le paquet

Sous HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate (vue 64 bits) :

Valeur	Type	Donnee
ProductVersion	REG_SZ	Windows 11
TargetReleaseVersion	REG_DWORD	1
TargetReleaseVersionInfo	REG_SZ	25H2

• Poste Windows 11 23H2 / 24H2 : 25H2 demeure une version cible autorisee, sous reserve de compatibilite, de disponibilite et des autres politiques de mise a jour.
• Poste Windows 11 25H2 : reste cible sur 25H2 pour les mises a jour de fonctionnalites.
• Poste deja en 26H1/26H2 : installation refusee si DisplayVersion le revele. Ce paquet ne fait pas de retrogradation.
• Windows 10, Windows Server, editions Home et LTSC connues : installation refusee pour eviter les effets de bord.

Cette politique concerne les Feature Updates distribuees par Windows Update. Elle ne bloque pas un autre outil, un ISO ou une mise a niveau executee manuellement. L'efficacite reelle peut aussi etre modifiee par GPO, Intune/MDM, WSUS, la fin de support de la version cible ou des politiques contradictoires. Elle ne doit pas etre consideree comme une barriere de securite absolue.

Contenu

comi-win11-max-25h2/
  setup.py
  README.md
  WAPT/
    control

Construire et deployer

1. Decompresser l'archive de sources sur un poste WAPT Packaging muni d'un certificat de signature autorise et de sa cle privee.

2. Verifier / adapter le champ maintainer ou le prefixe package dans WAPT/control.

3. Construire et signer via la Console WAPT (Build and upload package) ou en ligne de commande :

   & 'C:\Program Files (x86)\wapt\wapt-get.exe' build-package 'C:\waptdev\comi-win11-max-25h2'
   

   Pour compiler ET mettre en depot en une operation :

   & 'C:\Program Files (x86)\wapt\wapt-get.exe' build-upload 'C:\waptdev\comi-win11-max-25h2'
   

4. Affecter comi-win11-max-25h2 a l'hote ou au groupe voulu, et lancer l'installation depuis WAPT.

5. Tester d'abord sur un poste Windows 11 non critique.

Important : cette archive contient les sources, pas un fichier .wapt deja signe. La signature utilise la cle de packaging de votre environnement WAPT ; aucune cle privee n'est incluse.

Audit

• Audit WAPT journalier (audit_schedule: 1d) ; lance aussi apres l'upgrade / sur demande.
• OK : strategie conforme et version detectee <= 25H2.
• ERROR : policy differente/absente, OS incompatible ou version deja > 25H2.
• WARNING : strategie conforme, mais version Windows non determinee.

Sur un poste WAPT :

& 'C:\Program Files (x86)\wapt\wapt-get.exe' audit comi-win11-max-25h2
Get-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate' |
    Select-Object ProductVersion, TargetReleaseVersion, TargetReleaseVersionInfo

La conformite des trois valeurs de Registre est un controle local : la prise en compte effective reste soumise au moteur Windows Update et a la source de mises a jour configuree.

Desinstallation / retour arriere

Lors de la premiere installation, les valeurs precedemment presentes sont sauvegardees dans :

C:\ProgramData\Comitari\WAPT\comi-win11-max-25h2\previous_policy.json

La fonction uninstall() restaure les valeurs precedentes, ou retire les valeurs qui n'existaient pas. Si une valeur a change depuis l'installation sous l'effet d'un autre gestionnaire, elle est conservee. Les reinstallations n'ecrasent pas la sauvegarde initiale.

La suppression de la dependance hote, ou wapt-get remove seul, ne garantit pas selon la version WAPT l'execution du uninstall() personnalise. Pour annuler explicitement la strategie avant de supprimer le paquet, faire :

& 'C:\Program Files (x86)\wapt\wapt-get.exe' uninstall comi-win11-max-25h2
& 'C:\Program Files (x86)\wapt\wapt-get.exe' remove comi-win11-max-25h2

Retirer egalement la dependance du paquet sur l'hote/groupe dans la Console WAPT ; sinon il peut etre reinstalle.

La fonction de desinstallation ne desactive pas Windows Update et ne supprime pas la cle WindowsUpdate parente (elle peut contenir d'autres regles).

Limites

• Pas de retour arriere d'un Windows deja passe en version superieure.
• Ce paquet ne force pas la migration vers 25H2 ; il fixe une cible maximale pour les Feature Updates de Windows Update.
• Les versions de Windows sortant de maintenance peuvent necessiter une politique actualisee. Une version cible en fin de maintenance ne doit pas rester gelee indefiniment.
• Le ciblage par Windows Update for Business est documente pour les editions Windows 11 Pro, Enterprise et Education (pas Home).
• GPO, MDM/Intune, WSUS et autres outils peuvent surcharger la policy, ou proposer des mises a niveau par d'autres mecanismes.
• Aucun gpupdate, redemarrage de service, redemarrage du poste ou scan Windows Update force n'est declenche.

Sources

• Microsoft (strategie cible) : https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp-update
• Microsoft (etats/version de Windows 11) : https://learn.microsoft.com/en-us/windows/release-health/windows11-release-information
• Tranquil IT WAPT 2.6 (packages) : https://www.wapt.fr/fr/doc-2.6/wapt-package-structure.html
• Tranquil IT WAPT 2.6 (build/sign) : https://www.wapt.fr/fr/doc-2.6/wapt-command-line-interface.html