Pour ouvrir l'Observateur d'événements dans Windows 11, appuyez sur touche Windows + X et sélectionnez Observateur d'événements, ou appuyez sur touche Windows + R, tapez eventvwr.msc et appuyez sur Entrée. Les plantages et les erreurs sont enregistrés sous Journaux Windows > Système et Journaux Windows > Application. Filtrer sur les niveaux Critique et Erreur, puis rechercher l'ID d'événement, permet généralement d'identifier la cause.
L'Observateur d'événements paraît intimidant, mais quelques-unes de ses fonctions suffisent pour diagnostiquer la plupart des problèmes. Ce guide indique quels journaux comptent, comment les filtrer et ce que signifient les ID d'événement les plus courants.
| ID d'événement | Journal et source | Signification habituelle |
|---|---|---|
| 41 | Système, Kernel-Power | Windows a redémarré sans s'être arrêté correctement (plantage, coupure de courant ou extinction forcée) |
| 6008 | Système, EventLog | « L'arrêt système précédent … était inattendu » |
| 1001 | Système, BugCheck | Le PC a redémarré après un écran bleu (erreur d'arrêt) |
| 1000 | Application, Application Error | Un programme a planté ; l'événement nomme l'application et le module défaillants |
| 1002 | Application, Application Hang | Un programme a cessé de répondre et a été fermé |
| 7000 / 7001 | Système, Service Control Manager | Un service n'a pas démarré, ou un service dont il dépend a échoué |
| 7031 / 7034 | Système, Service Control Manager | Un service s'est arrêté de façon inattendue |
Comment ouvrir l'Observateur d'événements dans Windows 11 ?
Le plus rapide est de cliquer avec le bouton droit sur le bouton Démarrer, ou d'appuyer sur touche Windows + X, puis de sélectionner Observateur d'événements. Vous pouvez aussi rechercher « Observateur d'événements » dans le menu Démarrer, ou appuyer sur touche Windows + R et exécuter eventvwr.msc. Les trois méthodes ouvrent la même console.
L'Observateur d'événements s'ouvre sans droits d'administrateur, ce qui suffit pour lire les journaux Application et Système. Le journal Sécurité, ainsi que certaines actions comme l'effacement des journaux, nécessitent un compte administrateur.
La fenêtre comporte trois volets. Le volet de gauche contient l'arborescence des journaux, le volet central liste les événements du journal sélectionné et le volet Actions, à droite, regroupe les commandes de filtrage, d'enregistrement et de vues personnalisées.
Quels journaux de l'Observateur d'événements consulter pour trouver des erreurs ?
Pour la plupart des problèmes, consultez Journaux Windows > Système et Journaux Windows > Application. Le journal Système enregistre les événements liés au matériel, aux pilotes, aux services et aux arrêts : il couvre donc les plantages, les redémarrages et les écrans bleus. Le journal Application enregistre les programmes qui plantent ou se figent. Le journal Sécurité enregistre les connexions et les événements d'audit.
- Application : plantages et blocages d'applications, erreurs d'Office et des programmes d'installation.
- Sécurité : connexions réussies et échouées, modifications de comptes et événements d'audit. Utile pour savoir qui s'est connecté et quand.
- Installation : événements de Windows Update et d'installation de fonctionnalités.
- Système : pilotes, services, disques, alimentation et arrêts inattendus.
- Journaux des applications et des services : journaux détaillés de composants Windows précis, comme Microsoft > Windows > WindowsUpdateClient.
Chaque événement possède un niveau : Critique, Erreur, Avertissement, Information ou Commentaires. Commencez par les niveaux Critique et Erreur.
Ce que nous constatons souvent : beaucoup s'inquiètent du nombre d'entrées Erreur en rouge sur un PC en bon état. Tout système Windows enregistre quelques erreurs et avertissements sans conséquence. Un événement n'a d'importance que si son heure correspond au problème que vous avez constaté.
Comment filtrer l'Observateur d'événements pour trouver un plantage ?
Sélectionnez le journal, par exemple Système, puis Filtrer le journal actuel dans le volet Actions. Cochez Critique et Erreur, réglez Connecté sur une période qui encadre le plantage, puis sélectionnez OK. Vous pouvez aussi saisir des ID d'événement précis, séparés par des virgules, dans la zone <Tous les ID d'événements>.
- Notez approximativement l'heure à laquelle le problème est survenu.
- Dans l'Observateur d'événements, sélectionnez Journaux Windows > Système.
- Dans le volet Actions, sélectionnez Filtrer le journal actuel.
- Sous Niveau d'événement, cochez Critique et Erreur.
- Réglez Connecté sur Dernières 24 heures, ou choisissez Plage personnalisée pour correspondre à l'heure.
- Facultatif : saisissez des ID comme
41,6008,1001dans la zone des ID d'événement. - Sélectionnez OK. Sélectionnez un événement pour lire ses onglets Général et Détails.
Sélectionnez Effacer le filtre dans le volet Actions pour revoir le journal complet. Le filtre ne s'applique qu'au journal actuel : répétez-le pour le journal Application si nécessaire.
Nuance avancée : la première erreur d'une série est généralement la cause, et les suivantes en sont souvent les conséquences. Triez par Date et heure et remontez à partir de l'événement le plus ancien de la série plutôt que de commencer par le plus récent.
Que signifie l'ID d'événement 41 Kernel-Power ?
L'ID d'événement 41 signifie que Windows a redémarré sans s'être d'abord arrêté correctement. Il est enregistré au démarrage suivant, et non au moment de la défaillance : il indique donc qu'un problème s'est produit, mais pas lequel. Les causes courantes sont une erreur d'arrêt (écran bleu), une coupure de courant, une batterie vide ou un appui prolongé sur le bouton d'alimentation pour forcer l'extinction du PC.
Ouvrez l'événement et consultez l'onglet Détails. L'article de Microsoft sur l'ID d'événement 41 Kernel-Power explique les deux champs les plus utiles :
- BugcheckCode : s'il n'est pas nul, une erreur d'arrêt s'est produite. La valeur est en décimal ; convertissez-la en hexadécimal (la Calculatrice en mode Programmeur le fait) pour retrouver le code d'arrêt.
- PowerButtonTimestamp : s'il n'est pas nul, le bouton d'alimentation a été maintenu enfoncé pour forcer l'arrêt.
Cause et effet : lorsque les deux valeurs sont nulles, Windows n'a rien pu enregistrer avant la perte d'alimentation du PC. Ce schéma oriente vers l'alimentation, une surchauffe, un câble mal branché ou un blocage complet du matériel plutôt que vers un plantage logiciel.
L'ID d'événement 6008 apparaît généralement avec l'événement 41 et confirme que l'arrêt était inattendu. Si un écran bleu en est la cause, l'ID d'événement 1001 de BugCheck suit souvent, avec le code d'arrêt.
Comment savoir pourquoi une application a planté ?
Recherchez dans Journaux Windows > Application l'ID d'événement 1000 de la source Application Error. L'événement nomme l'application défaillante et le module défaillant, c'est-à-dire le fichier en cause. L'ID d'événement 1002, Application Hang, signifie que le programme s'est figé et a été fermé, sans planter à proprement parler.
Le module défaillant est l'indice le plus utile. S'il s'agit d'un fichier propre à l'application, réinstallez ou mettez à jour l'application. S'il s'agit d'un fichier de pilote graphique ou d'un plug-in, mettez plutôt celui-ci à jour.
Pour les défaillances au niveau du système, consultez les entrées Service Control Manager du journal Système. L'événement 7000 signifie qu'un service n'a pas démarré, le 7001 qu'il n'a pas pu démarrer parce qu'un service dont il dépend a échoué, et le 7031 ou le 7034 qu'un service s'est arrêté de façon inattendue.
Si les erreurs désignent un pilote, notre guide pour trouver et mettre à jour les pilotes de Windows 11 explique comment le restaurer ou le réinstaller. Si elles suivent un écran noir, consultez nos solutions à l'écran noir de Windows 11.
Comment créer une vue personnalisée dans l'Observateur d'événements ?
Sélectionnez Créer une vue personnalisée dans le volet Actions, choisissez une période et des niveaux d'événement, puis indiquez les journaux à inclure avec Par journal, ou les sources avec Par source. Sélectionnez OK, donnez-lui un nom et enregistrez-la. La vue apparaît sous Affichages personnalisés et se met à jour automatiquement à chaque ouverture.
Exemple pratique : une vue des événements Critique et Erreur des journaux Application et Système sur les sept derniers jours. Windows propose déjà une vue intégrée similaire, Événements d'administration, sous Affichages personnalisés, qui regroupe les événements Critique, Erreur et Avertissement des principaux journaux.
Les vues personnalisées sont aussi utiles pour un problème récurrent précis. Un filtre sur la source Kernel-Power ou sur un ID d'événement donné vous fournit un historique continu de sa fréquence.
Qu'est-ce que le Moniteur de fiabilité et en quoi est-il différent ?
Le Moniteur de fiabilité est une chronologie plus simple, construite à partir des mêmes données d'événements. Il affiche un graphique jour par jour des défaillances d'applications, des défaillances de Windows, des avertissements et des mises à jour installées, avec un indice de stabilité de 1 à 10. C'est souvent le moyen le plus rapide de voir ce qui a changé juste avant l'apparition des problèmes.
Pour l'ouvrir, appuyez sur touche Windows + R et exécutez perfmon /rel. Vous pouvez aussi ouvrir Panneau de configuration > Sécurité et maintenance, développer Maintenance et sélectionner Afficher l'historique de fiabilité.
Sélectionnez un jour pour voir ses événements, puis double-cliquez sur une défaillance pour obtenir les détails techniques. Si une icône rouge de défaillance apparaît juste après l'installation d'un pilote ou d'une mise à jour, c'est cette installation qu'il faut annuler en premier.
Ce que nous constatons souvent : le Moniteur de fiabilité fait ressortir des tendances difficiles à repérer dans l'Observateur d'événements, comme la même application qui plante chaque matin ou des défaillances qui commencent le jour de l'arrivée d'une mise à jour précise.
Comment exporter les journaux de l'Observateur d'événements ?
Sélectionnez le journal, ou appliquez d'abord un filtre, puis sélectionnez Enregistrer tous les événements sous (ou Enregistrer le fichier journal filtré sous) dans le volet Actions. Choisissez le format .evtx pour tout conserver et l'ouvrir dans un autre Observateur d'événements, ou les formats texte ou CSV pour une lecture facile. Envoyez le fichier à la personne qui vous aide.
En ligne de commande, l'outil wevtutil peut exporter un journal entier. Exécutez cette commande dans Terminal (administrateur), en vérifiant que le dossier de destination existe :
wevtutil epl System C:\Logs\system.evtx
Pour afficher en texte les dix erreurs les plus récentes du journal Système, exécutez :
wevtutil qe System /q:"*[System[(Level=2)]]" /c:10 /rd:true /f:text
La référence de la commande wevtutil de Microsoft répertorie d'autres options. Les journaux exportés peuvent contenir des noms d'utilisateur et d'ordinateur : ne les partagez qu'avec des personnes de confiance.
L'Observateur d'événements, le Moniteur de fiabilité et ces outils sont inclus dans toutes les éditions de Windows 11. Les paramètres de stratégie de journalisation du journal Sécurité, comme la stratégie d'audit avancée via la Stratégie de groupe, nécessitent Windows 11 Pro, que vous pouvez obtenir avec une clé de licence Windows 11 Pro authentique.
Questions fréquentes
Peut-on effacer les journaux de l'Observateur d'événements sans risque ?
Effacer les journaux n'endommage pas Windows, mais supprime les éléments dont vous pourriez avoir besoin pour le dépannage. Cela ne corrige rien non plus, car les nouvelles erreurs réapparaîtront simplement. Si vous voulez repartir de zéro, enregistrez d'abord le journal avec Enregistrer tous les événements sous, puis sélectionnez Effacer le journal.
Pourquoi l'Observateur d'événements affiche-t-il autant d'erreurs sur un PC qui fonctionne ?
Windows et les applications enregistrent de nombreuses erreurs et avertissements mineurs en fonctionnement normal, comme un service qui dépasse brièvement son délai au démarrage. La plupart sont sans conséquence. Concentrez-vous sur les événements critiques, les erreurs qui se répètent et les erreurs dont l'heure correspond à un plantage, un blocage ou un redémarrage que vous avez réellement constaté.
L'Observateur d'événements peut-il indiquer la cause d'un écran bleu ?
En partie. L'ID d'événement 1001 de BugCheck et le champ BugcheckCode de l'événement 41 enregistrent le code d'arrêt. Ce code permet de cerner la cause, comme un problème de pilote ou de mémoire. Les erreurs enregistrées juste avant le plantage nomment souvent le pilote ou le périphérique défaillant.
Où sont stockés les fichiers journaux de l'Observateur d'événements ?
Les fichiers journaux sont stockés dans C:\Windows\System32\winevt\Logs sous forme de fichiers .evtx. Ne les déplacez pas et ne les supprimez pas directement à cet emplacement. Utilisez plutôt Enregistrer tous les événements sous dans l'Observateur d'événements ou la commande wevtutil epl pour en faire une copie.
Comment savoir quand mon PC a été arrêté ou redémarré ?
Filtrez le journal Système sur les ID d'événement 6005 et 6006, qui enregistrent le démarrage et l'arrêt du service du journal des événements à chaque démarrage et arrêt. L'événement 1074 enregistre les redémarrages et arrêts planifiés, y compris le processus ou l'utilisateur qui les a demandés, tandis que les événements 41 et 6008 signalent les arrêts inattendus.
Guides associés
- Écran noir sous Windows 11 : comment le résoudre
- Comment trouver, télécharger et mettre à jour les pilotes dans Windows 11
- Comment arrêter Windows 11 : méthodes rapides et raccourcis
- Comment vérifier votre version de Windows 11 et passer à 26H2
Liens de ce guide
| Lien | Type | Pourquoi il est utile |
|---|---|---|
| ID d'événement 41 Kernel-Power | Externe | Explique BugcheckCode et PowerButtonTimestamp |
| Référence de la commande wevtutil | Externe | Exporter et interroger les journaux en ligne de commande |
| Trouver et mettre à jour les pilotes de Windows 11 | Interne | Corriger les erreurs de pilotes repérées dans les journaux |
| Solutions à l'écran noir de Windows 11 | Interne | Étapes suivantes quand les journaux révèlent des plantages d'affichage |
| Clé de licence Windows 11 Pro | Interne | Ajoute la Stratégie de groupe pour l'audit avancé |