# Processus Windows expliqués : svchost, Runtime Broker et autres

La plupart des processus Windows qui inquiètent dans le Gestionnaire des tâches font partie du fonctionnement normal de Windows : System, Interruptions système, Hôte de service, Runtime Broker, Processus d’exécution client-serveur et les autres ont chacun un rôle, et un processeur élevé sur l’un d’eux signale en général un travail en dessous, comme un pilote, un service ou une mise à jour. Identifiez ce travail avant de terminer quoi que ce soit, car plusieurs de ces processus ne peuvent pas être arrêtés sans risque et les autres reviennent d’eux-mêmes.

Voici ce qu’est chaque nom courant, où se trouve le vrai fichier, pourquoi il s’emballe et comment le vérifier. Les emplacements et les descriptions de fichier viennent d’une installation récente de Windows 11 ; sur votre PC, faites un clic droit sur une ligne du Gestionnaire des tâches et choisissez Ouvrir l’emplacement du fichier pour comparer.

## En un coup d’œil

| Nom dans le Gestionnaire des tâches | Fichier | Ce que c’est | Peut-on le terminer ? |
| --- | --- | --- | --- |
| System | `C:\Windows\System32\ntoskrnl.exe` (« NT Kernel & System ») | Le noyau Windows, ID de processus 4 | Non |
| Interruptions système (System interrupts) | Aucun | Le temps passé à traiter les interruptions matérielles | Ce n’est pas un processus qu’on peut terminer |
| Compression de la mémoire (Memory Compression) | Aucun | Des pages mémoire compressées gardées en RAM | Non |
| Hôte de service : … (Service Host) | `C:\Windows\System32\svchost.exe` | Un conteneur pour un ou plusieurs services Windows | Non ; cherchez plutôt le service |
| Runtime Broker | `C:\Windows\System32\RuntimeBroker.exe` | Gestionnaire d’autorisations des applications du Microsoft Store | Oui, Microsoft le suggère quand la mémoire est élevée |
| Explorateur Windows (Windows Explorer) | `C:\Windows\explorer.exe` | La barre des tâches, le menu Démarrer, le Bureau et l’Explorateur de fichiers | Utilisez Redémarrer, pas Fin de tâche |
| Gestionnaire de fenêtres du Bureau (Desktop Window Manager) | `C:\Windows\System32\dwm.exe` | Dessine chaque fenêtre à l’écran | Non |
| Processus d’exécution client-serveur (Client Server Runtime Process) | `C:\Windows\System32\csrss.exe` | Partie centrale de Windows en mode utilisateur | Non |
| Application de démarrage de Windows / Application d’ouverture de session Windows | `wininit.exe` / `winlogon.exe` dans `C:\Windows\System32` | Démarrage et connexion | Non |
| Processus hôte pour les tâches Windows (Host Process for Windows Tasks) | `C:\Windows\System32\taskhostw.exe` | Exécute des tâches Windows | Laissez-le |

## System, Interruptions système et Compression de la mémoire

**System** est le noyau Windows. Il a toujours l’ID de processus 4, et son fichier, `ntoskrnl.exe`, se décrit dans Propriétés › Détails comme « NT Kernel & System ». Un processeur élevé ici vous dit que le travail au niveau du noyau est chargé, pas quelle partie, et les pilotes et les mises à jour en attente sont les premiers endroits à regarder. Le [guide de Microsoft sur les pilotes](https://support.microsoft.com/en-us/windows/update-drivers-through-device-manager-in-windows-ec62f46c-ff14-c91d-eead-d7126dc1f7b6) indique que la meilleure façon d’obtenir des mises à jour de pilotes est Windows Update, et si un pilote récent a aggravé les choses, Gestionnaire de périphériques › Propriétés du périphérique › Pilote › Restaurer le pilote l’annule (droits d’administrateur nécessaires).

**Interruptions système** n’est pas un programme et n’a pas de fichier. C’est le temps que les processeurs passent à répondre au matériel. Le [guide d’analyse du processeur de Microsoft](https://learn.microsoft.com/en-us/windows-hardware/test/wpt/cpu-analysis) explique le mécanisme : un périphérique comme une carte réseau déclenche une interruption, Windows exécute une routine de service d’interruption (ISR), qui planifie en général un appel de procédure différé (DPC) pour le reste du travail, et tant qu’un processeur exécute des DPC et des ISR, aucun thread ne peut tourner dessus. C’est pourquoi un temps d’interruption élevé peut se traduire par des craquements audio ou des saccades. Un peu de temps d’interruption est toujours présent quand le matériel travaille ; un chiffre élevé et constant sur un PC au repos désigne un pilote ou un périphérique.

Pour savoir lequel, enregistrez une trace depuis une Invite de commandes administrateur. La [référence des commandes WPR](https://learn.microsoft.com/en-us/windows-hardware/test/wpt/wpr-command-line-options) documente `-start` et `-stop`, et le profil intégré GeneralProfile inclut les événements DPC et d’interruption :

```cmd
wpr -start GeneralProfile
wpr -stop C:\Temp\interrupts.etl
```

Lancez la première ligne, attendez pendant qu’Interruptions système est élevé, puis lancez la seconde ; le dossier doit exister. Ouvrez le fichier dans Windows Performance Analyzer et regardez le graphique DPC/ISR, dont la colonne Module nomme le fichier du pilote qui contient la routine chargée. Un test plus simple, sans outil : débranchez les périphériques USB et les stations d’accueil un par un et surveillez le chiffre.

**Compression de la mémoire** garde en RAM, sous forme compressée, les pages mémoire rarement utilisées au lieu de les écrire dans le fichier d’échange. Quand Microsoft a [présenté le magasin de compression](https://blogs.windows.com/windows-insider/2015/08/18/announcing-windows-10-insider-preview-build-10525/) dans Windows 10, l’entreprise a expliqué que le magasin grossit précisément au moment où de la mémoire est libérée pour d’autres programmes, ce qui explique qu’il puisse paraître gros. Un chiffre élevé suit la pression mémoire créée par d’autres programmes, il ne la cause pas. Voir [utilisation élevée de la mémoire sous Windows](/fr/windows/blog/windows-high-memory-usage) pour trouver ce qui l’utilise réellement.

## Hôte de service (svchost.exe) : trouver le service à l’intérieur

L’[article de Microsoft sur l’hôte de service](https://learn.microsoft.com/en-us/windows/application-management/svchost-service-refactoring) décrit `svchost.exe` comme un processus de services partagés qui charge des services depuis des fichiers DLL. Depuis Windows 10 version 1703, les PC qui ont plus de 3,5 Go de RAM exécutent la plupart des services dans leur propre processus Hôte de service, ce qui explique que le Gestionnaire des tâches en affiche des dizaines et que chaque ligne porte désormais le nom du service qu’elle contient, comme « Hôte de service : Windows Update ». Certains services, comme le Moteur de filtrage de base avec le Pare-feu Windows, restent groupés.

« svchost processeur élevé » n’a donc pas de réponse unique : la partie occupée, c’est un service. Trois façons de le nommer :

1. Dans la vue Processus du Gestionnaire des tâches, développez la ligne Hôte de service chargée. Les services qu’elle contient sont listés en dessous.
2. Faites un clic droit sur la ligne et choisissez Accéder aux détails pour obtenir son PID, puis ouvrez la page Services (un onglet sous Windows 10), qui liste chaque service avec le PID qui l’exécute.
3. Depuis l’Invite de commandes, utilisez [tasklist](https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/tasklist), où `/svc` liste les services de chaque processus :

```cmd
tasklist /svc /fi "IMAGENAME eq svchost.exe"
tasklist /svc /fi "PID eq 1234"
```

Remplacez `1234` par le PID vu dans le Gestionnaire des tâches. Occupez-vous ensuite du service, pas de l’hôte : Windows Update qui termine une installation ou wsappx qui déploie une application du Store ont chacun leur propre solution. Terminer un Hôte de service arrête d’un coup tous les services qu’il contient et n’arrête pas ce qui a demandé au service de travailler.

## Runtime Broker, Explorateur Windows et Gestionnaire de fenêtres du Bureau

**Runtime Broker** (`RuntimeBroker.exe`) tourne dans votre session et, selon l’[article de Microsoft sur Runtime Broker](https://support.microsoft.com/en-us/windows/runtime-broker-is-using-too-much-memory-ca6ed4e3-2a36-964c-4d2e-8c93980d8a98), gère sur votre PC les autorisations des applications du Microsoft Store. Il utilise normalement quelques mégaoctets. Le seuil de Microsoft lui-même : s’il utilise plus de 15 % de la mémoire, une application se comporte probablement mal, et terminer la tâche Runtime Broker puis redémarrer le PC est la solution proposée.

**Explorateur Windows** (`explorer.exe`, directement dans `C:\Windows`) ne se limite pas aux fenêtres de l’Explorateur de fichiers ; il dessine aussi la barre des tâches, le menu Démarrer et le Bureau. S’il se fige ou si l’écran devient noir, le [guide de Microsoft sur les écrans noirs](https://support.microsoft.com/en-us/windows/hardware/display-graphics/troubleshooting-blank-screens-in-windows) dit d’ouvrir le Gestionnaire des tâches avec `Ctrl + Shift + Esc`, de faire un clic droit sur Explorateur Windows et de choisir Redémarrer, ou, s’il n’apparaît pas, d’utiliser Fichier › Exécuter une nouvelle tâche et de taper `explorer.exe`.

**Gestionnaire de fenêtres du Bureau** (`dwm.exe`) assemble toutes les fenêtres dans l’image affichée à l’écran. La [présentation de DWM par Microsoft](https://learn.microsoft.com/en-us/windows/win32/dwm/dwm-overview) décrit comment les fenêtres dessinent sur des surfaces hors écran que DWM rend ensuite à l’affichage. Son travail suit ce qui est à l’écran. Ne le terminez pas ; voir [Desktop Window Manager et GPU élevé](/fr/windows/blog/desktop-window-manager-high-gpu) pour savoir quoi vérifier.

## csrss, wininit, winlogon et taskhostw

**Processus d’exécution client-serveur** (`csrss.exe`) est, selon les termes de Microsoft dans ses [notes de débogage](https://learn.microsoft.com/en-us/windows-hardware/drivers/debugger/debugging-csrss), le processus en mode utilisateur qui contrôle la couche sous-jacente de l’environnement Windows, et depuis Windows 10 c’est un processus protégé. Il y en a un par session, donc en voir deux ou plus est normal. Il devrait rester proche de zéro en processeur ; il n’y a rien à régler et aucune raison de le terminer.

**wininit.exe** (description de fichier « Application de démarrage de Windows ») et **winlogon.exe** (« Application d’ouverture de session Windows ») gèrent le démarrage et la connexion. La [page de Microsoft sur Winlogon](https://learn.microsoft.com/en-us/windows/win32/secauthn/winlogon) indique que Winlogon crée les bureaux de la station de fenêtres et implémente les opérations de délai d’expiration, et qu’il enregistre la séquence d’attention sécurisée, le `Ctrl + Alt + Delete` que vous tapez pour atteindre l’écran de sécurité. Les deux devraient être inactifs presque tout le temps. Laissez-les tranquilles.

**Processus hôte pour les tâches Windows** (`taskhostw.exe`) exécute des tâches pour Windows, et Microsoft ne publie pas de page dédiée à ce processus. S’il reste occupé, le Planificateur de tâches (Bibliothèque du Planificateur de tâches › Microsoft › Windows) montre quelles tâches tournent ; laissez-les finir plutôt que de terminer l’hôte. Un `taskhostw.exe` situé hors de `C:\Windows\System32` est une autre histoire, traitée plus bas.

## Occupés pour une bonne raison : Defender, mises à jour, recherche et applications du Store

Ces quatre-là font en général un vrai travail qui se termine tout seul, et chacun a son guide complet :

- **Antimalware Service Executable** (`MsMpEng.exe`, sous `C:\ProgramData\Microsoft\Windows Defender\Platform\<version>\`), c’est Microsoft Defender en train d’analyser. Voir [Antimalware Service Executable et processeur élevé](/fr/windows/blog/antimalware-service-executable-high-cpu).
- **Windows Modules Installer Worker** (`TiWorker.exe`, dans un dossier de la pile de maintenance sous `C:\Windows\WinSxS`) fait le travail de mise à jour pour le service Programme d’installation pour les modules Windows (`C:\Windows\servicing\TrustedInstaller.exe`). Voir [Windows Modules Installer Worker et processeur élevé](/fr/windows/blog/windows-modules-installer-worker-high-cpu).
- **Microsoft Windows Search Indexer** (`C:\Windows\System32\SearchIndexer.exe`) construit l’index de recherche. Voir [Windows Search Indexer et processeur élevé](/fr/windows/blog/windows-search-indexer-high-cpu).
- **wsappx** est un Hôte de service pour le déploiement et les licences des applications du Store. Voir [wsappx et processeur élevé](/fr/windows/blog/wsappx-high-cpu-windows).

## Repérer un faux processus système

Les logiciels malveillants empruntent parfois un nom système. Le nom ne prouve rien ; l’emplacement et la signature, si.

1. Dans le Gestionnaire des tâches, faites un clic droit sur le processus et choisissez Ouvrir l’emplacement du fichier. Un `svchost.exe`, `csrss.exe`, `RuntimeBroker.exe` ou `taskhostw.exe` qui tourne depuis un dossier utilisateur, `AppData`, `ProgramData` ou `Temp` n’est pas le fichier de Windows. Méfiez-vous aussi des orthographes presque identiques, comme `scvhost.exe`.
2. Clic droit sur le fichier › Propriétés › Détails. Un vrai fichier affiche Microsoft Corporation et la description du tableau ci-dessus.
3. Vérifiez la signature. La plupart des fichiers Windows sont signés via un catalogue Windows plutôt que dans le fichier lui-même, si bien que leurs Propriétés n’ont pas d’onglet Signatures numériques ; l’absence de cet onglet n’est pas un signal d’alarme. [Get-AuthenticodeSignature](https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.security/get-authenticodesignature) lit aussi les signatures de catalogue. Pointez-le sur le chemin trouvé :

```powershell
Get-AuthenticodeSignature C:\Windows\System32\svchost.exe | Format-List Status, SignatureType, SignerCertificate
```

Un vrai fichier renvoie `Valid`, en général `Catalog`, avec un certificat Microsoft Windows. Pour vérifier un dossier entier, [Sigcheck](https://learn.microsoft.com/en-us/sysinternals/downloads/sigcheck) de Microsoft liste les fichiers non signés avec `sigcheck -u -e c:\windows\system32`, et Microsoft recommande d’examiner tout fichier qui n’est pas signé.

Si quelque chose paraît anormal, lancez une analyse. Le [guide Sécurité Windows de Microsoft](https://support.microsoft.com/en-us/windows/virus-and-threat-protection-in-the-windows-security-app-1362f4cd-d71a-b52a-0b66-c2820032b65e) place Options d’analyse sous Protection contre les virus et menaces ; Microsoft Defender Antivirus (analyse hors ligne) redémarre le PC et analyse avant le chargement de Windows, ce qui complique la tâche des logiciels malveillants persistants, et les résultats apparaissent dans Historique de protection. Ne supprimez pas à la main le fichier suspect pendant qu’il tourne, et ne supprimez jamais un fichier de `C:\Windows\System32` parce que son nom vous a paru bizarre.

## La place de Mole

La page État de Mole liste les processus regroupés par l’application à laquelle ils appartiennent, avec le processeur et la mémoire additionnés pour chaque groupe, si bien que les processus auxiliaires répétés tiennent sur une seule ligne. Choisir Pourquoi tourne-t-il ? dans le menu d’une ligne affiche le chemin de son exécutable et, pour les lignes Hôte de service, les services Windows qu’elle héberge, du plus occupé au moins occupé ; Afficher dans l’Explorateur de fichiers ouvre le dossier du fichier pour la vérification d’emplacement décrite plus haut. Mole ne propose ni Terminer ni Forcer à quitter pour les services Windows, pour tout ce qui tourne depuis le dossier Windows ni pour le processus System lui-même, et marque ces lignes comme Système à la place. Comme le dit la [page d’aide](/fr/windows/help), gardez les processus système et les processus partagés avec d’autres applications.

Mole ne modifie ni les pilotes, ni les services, ni les réglages de Defender, et ne détecte pas les logiciels malveillants. Pour un processeur élevé causé par des applications ordinaires, voir [Utilisation élevée du processeur sous Windows](/fr/windows/blog/windows-high-cpu-usage).

## FAQ

### Pourquoi svchost.exe utilise-t-il autant de processeur ?

Hôte de service ne fait que contenir des services ; l’un d’eux est occupé. Développez la ligne dans le Gestionnaire des tâches ou lancez `tasklist /svc` pour nommer le service, puis occupez-vous de ce service, par exemple Windows Update ou l’installation d’une application du Store.

### Qu’est-ce qu’Interruptions système et peut-on le désactiver ?

C’est le temps que Windows passe à traiter les interruptions matérielles et le travail différé qui en découle, pas un programme, donc il n’y a rien à désactiver. Une utilisation élevée et constante désigne un pilote ou un périphérique ; mettez à jour ou restaurez les pilotes, ou enregistrez une trace pour voir quel module de pilote est occupé.

### Qu’est-ce que Runtime Broker et peut-on le terminer sans risque ?

Il gère les autorisations des applications du Microsoft Store. Microsoft indique que s’il utilise plus de 15 % de la mémoire, vous pouvez terminer la tâche dans le Gestionnaire des tâches et redémarrer le PC.

### Comment savoir si un processus Windows est un virus ?

Vérifiez où se trouve le fichier et qui l’a signé : les vrais processus centraux tournent depuis `C:\Windows` ou `C:\Windows\System32` et portent une signature Microsoft valide, souvent une signature de catalogue. Si l’emplacement ou la signature ne colle pas, lancez une analyse hors ligne Microsoft Defender.


Canonical: https://mole.fit/fr/windows/blog/windows-processes-explained