Ce n'est pas un mouchard : ce service intégré à Windows 11 est un puissant outil de diagnostic

La Rédac

26 août 2026 17:59

Début août, un service méconnu de Windows 11 s'est retrouvé accusé d'espionner discrètement les PC. Un chercheur en sécurité vient de plonger dans son code, et son verdict rétablit la vérité sur le rôle de cet outil discret.

Tout part d'un fil publié sur X par Xilly, un créateur de contenu tourné vers l'optimisation des configurations gaming. L'influenceur pointe du doigt un service discret de Windows 11 baptisé Windows Health and Optimized Experiences – whesvc pour les intimes – qu'il accuse de surveiller en continu processeur, température et batterie, avant d'en envoyer le résultat à Microsoft toutes les quinze minutes. Le portrait qu'il en dresse est celui d'un espion silencieux, capable de ponctionner des ressources et donc de ralentir le PC sans que son utilidateur y ait consenti.

La réplique de Microsoft arrive vite, et sans ménagement. Scott Hanselman, vice-président de l'entreprise, tacle publiquement la thèse de l'influenceur. D'après lui, les données produites par whesvc ne bougent pas de la machine : elles y restent stockées, sauf si l'utilisateur choisit lui-même de les transmettre en passant par le Hub de commentaires de Microsoft (raccourci Win+F). Il ajoute que ce service n'a jamais rien eu de clandestin, puisqu'il avait été repéré dès mai 2025 dans une version test de Windows 11, avant d'être officiellement présenté par Microsoft.

Problème : Xilly, qui commercialise par ailleurs des services d'optimisation PC, n'appuie sa démonstration sur aucun benchmark. Personne n'a, à ce stade, mesuré de façon indépendante un quelconque ralentissement imputable au service. L'échange tourne court, coincé entre l'accusation d'un côté et le démenti de l'autre, sans qu'aucun fait ne vienne trancher en étayant l'une ou l'autre affirmation.

whesvc : un moteur de diagnostic plus puissant qu'il n'y paraît

C'est là qu'un spécialiste en rétro-ingénierie, Xusheng Li, choisit une autre méthode : ouvrir le code plutôt que d'arbitrer les déclarations. Sa plongée technique donne globalement raison à Microsoft, tout en dévoilant un outil beaucoup plus élaboré que ce que la polémique laissait supposer.

Comme l'expert l'explique en détail sur son blog, le service whesvc en lui-même ne fait pas grand-chose. Sa force vient d'ailleurs : un moteur de diagnostic logé au cœur de Windows, bâti autour d'un interpréteur Lua qui exécute 84 scripts compilés – 23 servent directement au diagnostic, les 61 autres fournissent la boîte à outils nécessaire pour dialoguer avec le système.

En fouillant ce moteur, le chercheur a mis au jour 79 fonctions natives à la disposition de ces scripts. La panoplie donne le tournis : modifier le Registre, manipuler des fichiers, démarrer des processus, questionner Windows sur l'état du matériel, enregistrer le détail de l'activité système, vérifier les permissions d'un processus, ou encore lire la consommation électrique et les remontées des capteurs de température. Le tout peut aussi compresser des archives CAB, lancer des requêtes HTTP et piocher directement dans les bibliothèques internes de Windows.

De quoi alimenter tous les scénarios inquiétants. Sauf que l'étude des 84 scripts montre un usage beaucoup plus terre à terre : garder une trace de son propre fonctionnement, actionner des outils déjà présents dans le système, ou identifier l'origine précise d'un bug. Une application qui gèle, un logiciel qui met un temps anormal à s'ouvrir, un délai perceptible entre une touche pressée et sa prise en compte, un affichage défectueux, un service coincé entre deux états : ce sont typiquement les pannes que ce moteur est censé débusquer. D'autres scripts se concentrent sur la consommation d'énergie, les ratés de mise en veille ou les fuites de mémoire.

whesvc : un rapport toutes les quinze minutes qui reste sur le PC

Reste le point qui avait mis le feu aux poudres : ce fameux rapport toutes les quinze minutes. Il n'était pas inventé. Un module nommé system_summary génère effectivement, toutes les 900 secondes, un fichier JSON qui condense plusieurs indicateurs de diagnostic.

L'analyse de Xusheng Li confirme toutefois que ce fichier ne quitte jamais le disque local. Le module déclenche bien, au même instant, un signal de télémétrie minimal, mais rien dans le code n'organise l'envoi automatique du JSON lui-même vers Microsoft. Même conclusion pour les fonctions réseau du moteur : aucun scénario passé au crible ne s'en sert pour faire voyager ces rapports. La seule adresse repérée mène au serveur public de symboles de Microsoft, utilisé pour éclaircir certains plantages ou ralentissements.

Le service garde malgré tout la capacité d'envoyer des données plus fines dans des situations particulières, mais cette option reste éteinte par défaut dans les scénarios automatiques passés en revue. Les remontées les plus poussées dépendent, elles, des paramètres de diagnostic que chacun règle de son côté dans Windows.

On l'aura compris, comme nombre d'influenceurs soucieux de faire de l'audience, Xilly a parlé avant de vérifier. Le service whesvc n'est pas un un dispositif caché programmé pour siphonner régulièrement des données personnelles, et donc, pas un spyware masqué. Windows regorge de mécanismes de télémétrie, mais celui-ci n'en fait pas partie. Merci Xusheng !