Cara Mengaktifkan Secure Boot di Windows 11 (Periksa, Perbaiki, Verifikasi)

By Mirko Peters · 2026-11-12

Cara mengaktifkan Secure Boot di Windows 11: periksa kondisi saat ini, buka pengaturan UEFI, ubah dari mode legacy, konversi MBR ke GPT, dan verifikasi di Intune.

Automatically translated with AI from the original post. Read the English original

Untuk mengaktifkan Secure Boot di Windows 11, mulai ulang ke pengaturan firmware UEFI (Settings, System, Recovery, Advanced startup, Restart now, lalu Troubleshoot, Advanced options, UEFI Firmware Settings), pastikan mode boot adalah UEFI, bukan Legacy atau CSM, lalu aktifkan Secure Boot pada tab Boot atau Security. Setelah itu, konfirmasi dari Windows. Artikel ini ditujukan untuk admin IT yang memiliki PC atau armada perangkat yang Secure Boot-nya nonaktif, atau yang ditolak oleh Windows 11 karena PC tidak dapat menjalankannya. Artikel ini menjelaskan cara memeriksa kondisi saat ini, mengaktifkan pengaturan, mengonversi disk dari MBR ke GPT ketika firmware terjebak dalam mode legacy, dan memverifikasi hasilnya di Intune.

Poin Penting

• Secure Boot adalah pengaturan firmware UEFI, jadi Anda mengaktifkannya di pengaturan firmware, bukan di Windows. Bukalah melalui Settings, System, Recovery, Advanced startup.
• Secure Boot memerlukan firmware dalam mode UEFI. Jika PC berjalan dalam mode Legacy atau CSM, ubah ke UEFI terlebih dahulu. Nama menu bergantung pada produsen.
• Instalasi dalam mode BIOS pada disk MBR biasanya harus dikonversi ke GPT dengan MBR2GPT sebelum firmware dapat menggunakan mode UEFI. Konversi ini tidak dapat dibatalkan, jadi cadangkan data terlebih dahulu.
• Periksa hasilnya dengan Confirm-SecureBootUEFI di PowerShell sebagai administrator. True berarti Secure Boot aktif.
• Di Intune, pengaturan kepatuhan Require Secure Boot bergantung pada device health attestation dan TPM 2.0. Perangkat tanpa TPM 2.0 akan ditampilkan sebagai tidak patuh.

Apa fungsi Secure Boot dan mengapa Windows 11 memerlukannya

Microsoft menjelaskan Secure Boot sebagai fitur keamanan yang membantu mencegah perangkat lunak tidak sah dimuat saat PC dinyalakan. Jika diaktifkan, firmware memeriksa bahwa bootloader ditandatangani oleh sertifikat tepercaya sebelum dijalankan, dan Windows kemudian melanjutkan rantai kepercayaan tersebut. Rincian selengkapnya ada di Microsoft Learn pada Secure the Windows boot process.

Untuk Windows 11, ketentuan yang relevan ada di persyaratan perangkat keras: firmware sistem harus UEFI dan mendukung Secure Boot, serta PC memerlukan TPM 2.0. Kata "mendukung" inilah yang sering membingungkan. Sebuah PC bisa mendukung Secure Boot tetapi fitur tersebut dalam keadaan nonaktif, atau berjalan dalam mode legacy sehingga tidak dapat digunakan sama sekali. Halaman Secure Boot untuk Windows 11 dari Microsoft menambahkan bahwa untuk mengaktifkannya, Anda harus mengubah mode boot dari Legacy (juga disebut mode CSM) ke UEFI, dan jika firmware menyediakan keduanya, UEFI sebaiknya menjadi satu-satunya atau pilihan pertama.

Periksa kondisi saat ini terlebih dahulu

Sebelum mengubah firmware, ketahui dulu kondisi perangkat Anda. Langkah ini hanya memakan waktu satu menit dan menghemat satu kali restart.

1. Buka PowerShell sebagai administrator.
2. Jalankan Confirm-SecureBootUEFI.

Microsoft Learn mendokumentasikan hasilnya: True jika komputer mendukung Secure Boot dan fitur tersebut diaktifkan, False jika didukung tetapi dinonaktifkan. Jika komputer tidak mendukung Secure Boot atau menggunakan mesin BIOS (non-UEFI), cmdlet akan menyatakan bahwa fitur tersebut tidak didukung pada platform ini. Cmdlet perlu dijalankan dari prompt yang dibuka sebagai administrator; jika tidak, Anda akan menerima pesan access denied.

Anda juga dapat menjalankan msinfo32 dan memeriksa System Summary. Baris BIOS Mode seharusnya bertuliskan UEFI. Artikel pemecahan masalah Intune dari Microsoft menggunakan alat yang sama untuk memeriksa BIOS Mode dan PCR7 Configuration. System Information juga memiliki baris Secure Boot State, yang bernilai On, Off, atau Unsupported. Baris tersebut tidak dijelaskan di halaman Microsoft yang saya gunakan, jadi utamakan hasil PowerShell terlebih dahulu.

Setelah perubahan, panduan pengaktifan dari Microsoft menawarkan pemeriksaan lain: buka Settings, Security, Integrity protection, lalu pastikan Secure Boot menampilkan On. Label ini dapat berbeda di setiap build Windows.

Jika Confirm-SecureBootUEFI menyatakan platform tidak didukung, Anda berada dalam situasi yang menjadi inti sebagian besar artikel ini: PC melakukan boot dalam mode legacy.

Aktifkan Secure Boot di pengaturan UEFI

Pengaturan ini berada di firmware, sehingga Anda perlu membukanya. Langkah-langkah berikut berasal dari panduan pengaktifan Secure Boot milik Microsoft.

1. Simpan pekerjaan Anda. Buka Settings, lalu System, lalu Recovery.
2. Di samping Advanced startup, pilih Restart now.
3. Pada layar Choose an option, pilih Troubleshoot, lalu Advanced options.
4. Pilih UEFI Firmware Settings, lalu Restart.
5. Di firmware, cari pengaturan Secure Boot, yang biasanya berada di tab Boot atau Security. Jika boot mode berupa Legacy atau CSM, ubah terlebih dahulu ke UEFI.
6. Aktifkan Secure Boot, simpan, lalu keluar.

Menu dan istilah berbeda di setiap produsen, dan Microsoft tidak menyediakan satu jalur umum. Panduannya menautkan ke instruksi vendor untuk Surface, Acer, ASRock, ASUS, BIOSTAR, Colorful, Dell atau Alienware, GIGABYTE atau AORUS, HP atau OMEN, Lenovo, dan MSI. Jika Anda merakit PC sendiri, gunakan panduan dari produsen motherboard Anda. Pada Surface, langkahnya ada di Surface UEFI: pilih Security, lalu di bawah Secure Boot pilih Change configuration, pilih Microsoft only dari daftar sertifikat, dan pilih OK, kemudian Exit dan Restart now.

Peringatan Microsoft berlaku untuk semua vendor: mengubah pengaturan firmware secara tidak tepat dapat memengaruhi keamanan PC Anda atau mencegahnya untuk memulai dengan benar. Ubah hanya pengaturan Secure Boot yang dijelaskan oleh produsen Anda. Jika PC tidak dapat menyala setelahnya, masuk kembali ke firmware dan batalkan perubahan terakhir Anda.

Saat PC berjalan dalam mode legacy pada disk MBR

Ini adalah kasus yang paling rumit. Firmware mungkin menawarkan mode UEFI, tetapi Windows terinstal dalam mode legacy pada disk MBR, sehingga beralih ke UEFI membuat PC gagal boot. Solusinya adalah mengonversi disk ke GPT. Alat MBR2GPT milik Microsoft melakukannya tanpa mengubah atau menghapus data pada disk.

Pertama, periksa gaya partisi. Di PowerShell, jalankan Get-Disk | ft -Auto dan baca kolom Partition Style, yang menampilkan MBR atau GPT. Di Disk Management (diskmgmt.msc), Anda dapat membuka Properties disk dan melihat Partition style pada tab Volumes.

Kemudian, periksa prasyarat dari Microsoft. Perangkat harus mendukung UEFI, disk harus berupa disk sistem, dan disk membutuhkan ruang untuk struktur GPT. Disk maksimal boleh memiliki tiga partisi primer dan tidak boleh memiliki partisi extended maupun logical. Jika sebuah volume dienkripsi BitLocker, Anda harus menangguhkan proteksinya terlebih dahulu.

1. Cadangkan PC Anda. Keluaran alat ini sendiri memperingatkan bahwa perubahan tidak dapat dibatalkan.
2. Tangguhkan BitLocker jika sedang aktif.
3. Validasi: MBR2GPT /validate /allowFullOS (atau /disk:0 dari Windows PE).
4. Konversi: MBR2GPT /convert /allowFullOS.
5. Mulai ulang ke firmware dan ubah mode boot ke UEFI. Microsoft menegaskan hal ini: setelah itu disk hanya bisa boot dalam mode GPT, dan sistem tidak akan boot dengan benar sampai firmware diubah ke UEFI.
6. Aktifkan Secure Boot seperti di atas dan lanjutkan BitLocker.

Secara default, alat ini berjalan dari command prompt Windows PE. Opsi /allowFullOS memungkinkan alat berjalan di sistem operasi lengkap, dan dalam kasus itu alat akan membuat partisi sistem EFI baru dengan memperkecil partisi OS. Kode return 0 berarti berhasil. Kode 100 berarti konversi berhasil tetapi beberapa entri BCD tidak dapat dipulihkan. Periksa setupact.log dan setuperr.log untuk detailnya. Halaman Microsoft menyebutkan bahwa Windows 10 dan Windows 11 didukung.

Periksa juga TPM 2.0

Windows 11 mensyaratkan Secure Boot dan TPM 2.0 sekaligus, dan pemeriksaan Secure Boot di alat manajemen biasanya bergantung pada TPM. Untuk memeriksanya, tekan Tombol Windows + R, ketik tpm.msc, lalu baca Specification Version di bawah TPM Manufacturer Information. Jika muncul pesan "Compatible TPM cannot be found", TPM kemungkinan dinonaktifkan di firmware.

Halaman Microsoft tentang mengaktifkan TPM 2.0 menyebutkan untuk mencari submenu bernama Advanced, Security, atau Trusted Computing. Pengaturannya bisa disebut Security Device atau Security Device Support, TPM State, AMD fTPM, atau Intel PTT. TPM di bawah versi 2.0 tidak bisa diperbaiki dengan mengaktifkannya, karena perangkat tersebut tidak memenuhi persyaratan Windows 11.

Untuk admin: verifikasi Secure Boot di Intune dan Autopilot

Di Microsoft Intune, pengaturan kepatuhan Windows Require Secure Boot to be enabled on the device memiliki dua pilihan, Not configured dan Require. Microsoft menjelaskannya sebagai syarat agar perangkat boot ke kondisi tepercaya dari pabrik, dengan komponen boot inti diverifikasi oleh firmware UEFI. Kendalanya ada di artikel pemecahan masalah: pemeriksaan ini bergantung pada device health attestation, yang membutuhkan TPM 2.0 atau yang lebih baru. Perangkat tanpa TPM 2.0 akan tampil sebagai Not Compliant meskipun Secure Boot aktif, dan TPM 2.0 sendiri membutuhkan firmware UEFI.

Jika perangkat dengan Secure Boot tampil sebagai not compliant, berikut pemeriksaan yang disarankan Microsoft:

1. Jalankan tpm.msc dan periksa versi spesifikasinya.
2. Jalankan msinfo32 dan pastikan BIOS Mode adalah UEFI dan PCR7 Configuration adalah Bound.
3. Jalankan Confirm-SecureBootUEFI di prompt yang dijalankan sebagai administrator dan pastikan hasilnya True.
4. Jalankan manage-bde -protectors -get $env:systemdrive dan pastikan drive dilindungi oleh PCR 7.

Jika perangkat gagal pada salah satu langkah, status Not Compliant memang sudah diharapkan, dan perbaikannya ada di sisi perangkat keras atau firmware, bukan di kebijakan. Referensi kepatuhan Windows dari Microsoft menyebut Device Health Attestation untuk perangkat Windows 10, jadi periksa dokumentasi terkini untuk detail Windows 11.

Untuk penerapan dengan Windows Autopilot, pemeriksaan firmware merupakan bagian dari persiapan perangkat keras. Mode self-deploying membutuhkan TPM 2.0 dan TPM device attestation, dan perangkat tanpa keduanya tidak dapat menggunakan mode tersebut.

Sertifikat Secure Boot dan tanggal Juni 2026

Microsoft sedang memperbarui sertifikat Secure Boot yang pertama kali diterbitkan pada 2011, dan sertifikat tersebut mulai kedaluwarsa pada Juni 2026. Microsoft menyatakan bahwa pada versi Windows yang didukung, pembaruan dilakukan secara otomatis. Untuk armada perangkat Anda, ini menjadi alasan untuk mengaktifkan Secure Boot dan memperbarui Windows, bukan alasan untuk mengubah firmware secara manual. Microsoft menautkan ke panduan terpisah tentang pembaruan yang dikelola Microsoft, jadi baca panduan tersebut sebelum merencanakan pekerjaan manual apa pun.

Kesalahan umum

• Mencari pengaturannya di Windows. Ini adalah pengaturan firmware, dan Windows hanya dapat melaporkannya.
• Beralih ke UEFI pada instalasi MBR. PC gagal boot sampai disk dikonversi atau Windows diinstal ulang dalam mode UEFI.
• Mengonversi disk dengan proteksi BitLocker yang masih aktif. Tangguhkan dulu BitLocker.
• Melewatkan pencadangan sebelum MBR2GPT. Konversi tidak dapat dibatalkan.
• Membaca hasil Not Compliant di Intune sebagai masalah Secure Boot, padahal penyebabnya adalah TPM 2.0 yang tidak tersedia.
• Membiarkan Secure Boot nonaktif setelah pemecahan masalah. Microsoft menyarankan untuk mengaktifkannya kembali setelah masalah teratasi.

Topik terkait untuk dijelajahi

• Bagaimana cara masuk ke firmware jika Windows tidak mau start? Artikel tentang cara membuka BIOS di Windows 11 menjelaskan jalur pemulihannya.
• Bagaimana jika Secure Boot memblokir flashdisk USB saya? Microsoft menyatakan bahwa Anda mungkin perlu mematikannya sementara untuk melakukan boot dari media tertentu. Lihat artikel Windows 11 bootable USB.
• TPM apa yang dimiliki PC saya? Gunakan tpm.msc lalu bandingkan dengan persyaratan Windows 11.
• Bagaimana cara menerapkan ini di banyak PC? Gabungkan kebijakan kepatuhan Intune dengan pemeriksaan perangkat keras dalam proses deployment Anda.

Langkah berikutnya

Jalankan Confirm-SecureBootUEFI pada satu PC hari ini dan catat hasilnya, lalu periksa gaya partisi disk jika gagal. Setelah Anda tahu apakah PC berada dalam mode UEFI, cara mengaktifkan Secure Boot di Windows 11 menjadi daftar singkat perubahan firmware, bukan tebakan.