Options de démarrage de macOS pour les administrateurs : Recovery, Utilitaire de sécurité au démarrage et Premiers secours de l'Utilitaire de disque

Objectif

Démarrer un Mac dans un mode de récupération ou de diagnostic, puis vérifier ou réparer son disque de démarrage, en n'utilisant que les outils intégrés d'Apple et avec la console physique à portée de l'administrateur.

Prérequis

Accès physique au Mac (ou un équivalent KVM distant capable d'envoyer les séquences de touches ou de boutons requises dès la mise sous tension) ; un compte administrateur et son mot de passe pour les étapes qui exigent une authentification.

Étapes

1. Démarrer depuis macOS Recovery. Apple silicon : éteindre le Mac, puis maintenir le bouton d'alimentation enfoncé jusqu'à l'affichage de « Chargement des options de démarrage » ; cliquer sur Options, puis sur Continuer, et s'authentifier en tant qu'administrateur si cela est demandé. Intel : appuyer sur le bouton d'alimentation et maintenir immédiatement Commande (⌘)-R (Option-Commande-R ou Maj-Option-Commande-R lancent Recovery via Internet). Recovery propose Restaurer à partir de Time Machine, Réinstaller macOS, Utilitaire de disque, ainsi que Terminal et l'Utilitaire de sécurité au démarrage depuis la barre des menus.
2. L'Utilitaire de sécurité au démarrage définit la politique applicable au disque de démarrage. Sur les Mac Intel dotés d'une puce T2, les niveaux sont Sécurité complète (valeur par défaut : le système doit être un OS qu'Apple considère actuellement comme fiable), Sécurité moyenne (tout macOS signé par Apple, sans vérification en ligne) et Aucune sécurité ; un réglage distinct autorise ou interdit le démarrage depuis un support externe. Sur Apple silicon, il définit la sécurité complète ou réduite pour chaque volume macOS. Ne l'abaisser que de façon délibérée et temporaire, et le rétablir ensuite.
3. Mode sans échec : sur Apple silicon, ouvrir les options de démarrage comme à l'étape 1, sélectionner le disque de démarrage, maintenir Maj et cliquer sur « Continuer en mode sans échec » ; sur Intel, maintenir Maj dès la mise sous tension jusqu'à la fenêtre de connexion. Ce mode ne charge que les extensions de noyau indispensables et omet certains éléments de démarrage, ce qui aide à distinguer les problèmes dus à des logiciels tiers de ceux qui relèvent de macOS ou du matériel. On l'annule en redémarrant normalement.
4. Vérifier le disque avec Premiers secours de l'Utilitaire de disque, ou dans Terminal avec diskutil verifyVolume <volume> (vérification seule) et diskutil repairVolume <volume>, qui exécutent le fsck adapté au système de fichiers. fsck_apfs -n /dev/<diskXsY> vérifie un volume APFS sans le réparer ; à exécuter sur un volume démonté (par exemple depuis Recovery). Hors de Recovery, les réparations nécessitent sudo. Si FileVault est activé, déverrouiller d'abord le volume dans l'Utilitaire de disque (Monter) avec un mot de passe utilisateur ou la clé de récupération.
5. La protection de l'intégrité du système (System Integrity Protection, SIP) « restreint le compte utilisateur root et limite les actions que l'utilisateur root peut effectuer sur les parties protégées » de macOS (comme /System, /usr, /bin, /sbin) : même sudo ne permet donc pas d'y écrire ; csrutil status indique son état. Lire nvram boot-args avant de modifier quoi que ce soit ; le définir nécessite sudo, et de nombreux arguments de démarrage sont refusés ou ignorés sous SIP ou en Sécurité complète.
6. Réinitialiser la NVRAM sur un Mac Intel en maintenant Option-Commande-P-R dès la mise sous tension ; Apple silicon n'offre pas de combinaison de touches équivalente.

Résultat attendu

Le Mac atteint Recovery, le mode sans échec ou Premiers secours comme prévu ; diskutil verifyVolume / fsck_apfs -n indiquent que le volume est sain, ou Premiers secours précise ce qu'il a réparé.

Limites et base de vérification

Les combinaisons de touches et le libellé des menus varient entre les Mac Apple silicon et Intel, ainsi qu'entre les versions de macOS ; confirmer la procédure pour le modèle concerné. Le mode utilisateur unique (Commande-S) est désactivé à partir de macOS Mojave. La liste des chemins protégés par SIP et son application dépendent de la version : il faut partir du principe qu'il bloque l'écriture dans les chemins système, plutôt que de s'appuyer sur une liste figée.