Depuis le 14 juillet 2026, SQL Server 2016 ne reçoit plus aucun correctif de sécurité gratuit de Microsoft. Vos applications métier continuent de tourner comme avant, ce qui rend le sujet facile à oublier, mais chaque nouvelle faille découverte reste désormais ouverte. Voici ce que cette fin de support change concrètement, les quatre options possibles et la méthode pour décider sans précipitation.

SQL Server 2016 : ce qui s'est arrêté le 14 juillet 2026

SQL Server 2016 suit la politique de cycle de vie fixe de Microsoft. Le support standard s'était déjà terminé en juillet 2021 ; le support étendu, qui assurait les correctifs de sécurité, a pris fin le 14 juillet 2026 (le 15 juillet à l'heure de Paris, selon la page officielle du cycle de vie). Toutes les éditions sont concernées : Express, Web, Standard, Enterprise et Developer.

Concrètement, rien ne s'éteint. Vos bases répondent, vos requêtes s'exécutent, vos sauvegardes fonctionnent. Ce qui disparaît, c'est le flux de correctifs : une vulnérabilité publiée demain ne sera plus corrigée pour vous, sauf abonnement payant. C'est précisément ce silence qui rend la situation risquée : le serveur ne prévient pas qu'il est devenu une cible.

À noter : SQL Server 2017 arrive lui aussi en fin de support étendu le 13 octobre 2027. Migrer de 2016 vers 2017 aujourd'hui reviendrait donc à repousser le problème d'à peine un an.

Pourquoi vos applications métier sont en première ligne

Dans une PME, SQL Server 2016 se cache rarement là où on l'attend. On le retrouve sous un logiciel de gestion commerciale ou de paie, sous une application développée il y a huit ans par un ancien prestataire, sous un outil de GMAO, ou installé discrètement en édition Express par un éditeur pour faire tourner son produit. Ces bases contiennent souvent les données les plus sensibles de l'entreprise : clients, tarifs, salariés, historique de production.

Les conséquences d'une base non corrigée dépassent la seule sécurité :

  • Exposition aux failles : une base de données est une cible de choix, car elle concentre l'information utile à un attaquant.
  • Conformité : le RGPD impose des mesures de sécurité adaptées ; un moteur sans correctifs est difficile à justifier en cas d'incident.
  • Assurance cyber et audits : les questionnaires des assureurs et des donneurs d'ordre demandent de plus en plus l'inventaire des logiciels hors support.
  • Éditeurs : beaucoup cessent de certifier leurs nouvelles versions sur un moteur que Microsoft ne supporte plus, ce qui bloque les mises à jour de vos logiciels.

Les mises à jour de sécurité étendues (ESU) : un sursis payant

Microsoft propose des Extended Security Updates (ESU) pour SQL Server 2016, sur trois années au maximum, jusqu'au 17 juillet 2029. Selon la documentation officielle, elles s'obtiennent en connectant le serveur à Azure Arc (facturation à l'heure, résiliable à tout moment), en hébergeant l'instance sur une machine virtuelle Azure, ou, pour les serveurs qui ne peuvent pas être connectés, via les contrats de licence en volume.

Trois points méritent d'être connus avant de signer :

  • Le périmètre est étroit : seules les failles classées « critiques » par le centre de réponse de sécurité de Microsoft donnent lieu à un correctif, sans calendrier régulier. Aucune nouvelle fonctionnalité, aucune correction fonctionnelle, aucun support du produit lui-même.
  • Il n'y a plus de gratuité sur Azure : contrairement à SQL Server 2014, déplacer une instance 2016 sur une machine virtuelle Azure ne donne plus accès gratuitement aux ESU.
  • Le prix augmente chaque année : les ESU sont pensées comme une incitation à migrer, pas comme une solution durable. Faites chiffrer votre cas précis par votre revendeur de licences.

Les ESU ont du sens pour gagner six à dix-huit mois le temps de préparer proprement une migration. Elles en ont beaucoup moins si elles servent à repousser indéfiniment la décision.

Les 4 options pour sortir de SQL Server 2016

1. Monter de version sur le même serveur ou un serveur neuf

C'est l'option la plus courante : passer à SQL Server 2022 ou SQL Server 2025. Les bases sont restaurées sur la nouvelle instance et peuvent conserver leur niveau de compatibilité 130 (celui de SQL Server 2016) dans un premier temps, ce qui limite les changements de comportement des requêtes. On relève ensuite ce niveau après des tests. Profitez-en pour remplacer un serveur Windows lui aussi vieillissant.

2. Passer sur une base managée dans le cloud

Azure SQL Database ou Azure SQL Managed Instance suppriment la question des versions : la plateforme est mise à jour en continu. En contrepartie, il faut vérifier la compatibilité de l'application (tâches planifiées, requêtes entre bases, accès aux fichiers), le coût mensuel et la localisation des données.

3. Changer de moteur à l'occasion d'une modernisation

Si l'application doit de toute façon être reprise, la question d'un moteur open source comme PostgreSQL peut se poser : plus de licence, un écosystème riche. C'est un chantier plus lourd, car les procédures stockées et certaines requêtes doivent être réécrites. À réserver aux projets de reprise et modernisation d'application déjà engagés.

4. Remplacer le logiciel lui-même

Quand la base sert un logiciel du marché, la bonne réponse est parfois la nouvelle version de ce logiciel, en mode hébergé par l'éditeur. La fin de support devient alors l'occasion de faire le point sur l'outil, plutôt que de mettre à jour un moteur pour une application que vous comptiez déjà remplacer.

La méthode en 5 étapes pour une migration sans surprise

  1. Inventorier : lister toutes les instances, y compris les éditions Express installées par des éditeurs. La requête SELECT @@VERSION sur chaque instance donne la version exacte ; notez les bases, leur taille et leurs utilisateurs.
  2. Cartographier les dépendances : quelles applications, quels rapports, quels imports Excel, quelles tâches planifiées et quels connecteurs lisent ou écrivent dans chaque base ? C'est l'étape la plus souvent sous-estimée.
  3. Vérifier les prérequis éditeurs : pour chaque logiciel du marché, obtenez par écrit la liste des versions de SQL Server certifiées. Pour une application sur-mesure, faites analyser le code et les requêtes.
  4. Tester sur une copie : restaurer les bases sur la nouvelle version dans un environnement de préproduction, dérouler les tests de non-régression sur les parcours métier critiques, mesurer les temps de réponse.
  5. Basculer et nettoyer : planifier la bascule en dehors des périodes chargées, garder l'ancienne instance en lecture seule quelques semaines, puis la décommissionner pour qu'elle ne reste pas un point d'entrée oublié.

Pour une PME qui a une ou deux bases de taille raisonnable, ce chantier se mène en quelques semaines. Les délais s'allongent surtout quand l'inventaire révèle des applications dont plus personne ne connaît le fonctionnement.

Questions fréquentes

Mon application sous SQL Server 2016 va-t-elle s'arrêter de fonctionner ?

Non. SQL Server 2016 continue de fonctionner normalement après le 14 juillet 2026. Ce qui s'arrête, ce sont les correctifs de sécurité gratuits : les nouvelles failles ne sont plus corrigées sans abonnement ESU.

Jusqu'à quand peut-on prolonger SQL Server 2016 avec les ESU ?

Les mises à jour de sécurité étendues couvrent au maximum trois ans, jusqu'au 17 juillet 2029. Elles ne livrent que les correctifs de failles critiques, sans support ni nouvelles fonctionnalités.

Vers quelle version de SQL Server migrer ?

Visez une version récente comme SQL Server 2022 ou 2025, ou une base managée comme Azure SQL. Évitez SQL Server 2017, dont le support étendu se termine le 13 octobre 2027.

Combien de temps prend une migration de SQL Server 2016 ?

Pour une PME avec quelques bases bien documentées, comptez généralement quelques semaines, tests compris. Le délai dépend surtout du nombre d'applications connectées et de la disponibilité des éditeurs.

Faites le point sur vos bases SQL Server

Pulsar Forge accompagne les PME, associations et collectivités dans l'inventaire de leurs bases, le choix de la cible et la migration de leurs applications métier, tests de non-régression compris. Nous intervenons aussi bien sur des logiciels du marché que sur des applications développées sur mesure par un ancien prestataire.

Parlons de votre migration SQL Server