Come abilitare Secure Boot in Windows 11 (verifica, correzione, controllo)

By Mirko Peters · 2026-11-12

Come abilitare Secure Boot in Windows 11: verifica lo stato attuale, apri le impostazioni UEFI, passa dalla modalità legacy, converti MBR in GPT e controlla il risultato in Intune.

Automatically translated with AI from the original post. Read the English original

Per abilitare Secure Boot in Windows 11, riavvia nelle impostazioni firmware UEFI (Impostazioni, Sistema, Ripristino, Avvio avanzato, Riavvia ora, quindi Risoluzione dei problemi, Opzioni avanzate, Impostazioni firmware UEFI), assicurati che la modalità di avvio sia UEFI invece di Legacy o CSM e attiva Secure Boot nella scheda Boot o Sicurezza. Poi confermalo da Windows. Questo articolo è pensato per gli amministratori IT che hanno un PC o un parco macchine con Secure Boot disattivato, oppure con Windows 11 che segnala che il PC non può eseguirlo. Mostra come verificare lo stato attuale, abilitare l'impostazione, convertire un disco da MBR a GPT quando il firmware è bloccato in modalità legacy e controllare il risultato in Intune.

Punti chiave

• Secure Boot è un'impostazione del firmware UEFI, quindi si abilita nella configurazione del firmware e non in Windows. Per aprirla, vai su Impostazioni, Sistema, Ripristino, Avvio avanzato.
• Secure Boot richiede che il firmware sia in modalità UEFI. Se il PC è in modalità Legacy o CSM, passa prima a UEFI. I nomi dei menu dipendono dal produttore.
• Un'installazione in modalità BIOS su un disco MBR di solito deve essere convertita in GPT con MBR2GPT prima che il firmware possa usare la modalità UEFI. La conversione non può essere annullata, quindi esegui prima un backup.
• Verifica il risultato con Confirm-SecureBootUEFI in PowerShell come amministratore. True significa che Secure Boot è attivo.
• In Intune, l'impostazione di conformità Richiedi Secure Boot dipende dall'attestazione di integrità del dispositivo e da TPM 2.0. Un dispositivo senza TPM 2.0 risulta non conforme.

Cosa fa Secure Boot e perché Windows 11 lo richiede

Microsoft descrive Secure Boot come una funzionalità di sicurezza che aiuta a impedire il caricamento di software non autorizzato all'avvio del PC. Con la funzione attiva, il firmware verifica che il bootloader sia firmato da un certificato attendibile prima di avviarsi, e Windows prosegue poi la catena di attendibilità. I dettagli sono disponibili su Microsoft Learn in Secure the Windows boot process.

Per Windows 11, i requisiti rilevanti si trovano nei requisiti hardware: il firmware del sistema deve essere UEFI e compatibile con Secure Boot, e il PC deve disporre di TPM 2.0. «Compatibile» è la parola che crea più confusione. Un PC può supportare Secure Boot e averlo comunque disattivato, oppure funzionare in una modalità legacy in cui non può essere utilizzato affatto. La pagina di Microsoft su Secure Boot per Windows 11 precisa che, per abilitarlo, occorre passare la modalità di avvio da Legacy (detta anche modalità CSM) a UEFI e che, se il firmware offre entrambe le opzioni, UEFI deve essere la prima o l'unica opzione.

Verifica prima lo stato attuale

Prima di intervenire sul firmware, verifica la situazione attuale. Richiede un minuto e ti evita un riavvio inutile.

1. Apri PowerShell come amministratore.
2. Esegui Confirm-SecureBootUEFI.

Microsoft Learn documenta il risultato: True se il computer supporta Secure Boot e il servizio è abilitato, False se è supportato ma disabilitato. Se il computer non supporta Secure Boot oppure è un sistema BIOS (non UEFI), il cmdlet indica che non è supportato su questa piattaforma. Il cmdlet richiede un prompt eseguito come amministratore, altrimenti ottieni un messaggio di accesso negato.

Puoi anche eseguire msinfo32 e controllare Riepilogo sistema. La riga Modalità BIOS dovrebbe indicare UEFI. L'articolo di risoluzione dei problemi di Intune di Microsoft usa lo stesso strumento per verificare la Modalità BIOS e la configurazione PCR7. Le Informazioni di sistema includono anche una riga Stato di Secure Boot, che può essere Attivato, Disattivato o Non supportato. Questa riga non è descritta nelle pagine Microsoft che ho consultato, quindi affidati prima al risultato di PowerShell.

Dopo la modifica, la guida all'abilitazione di Microsoft propone un'altra verifica: apri Impostazioni, Sicurezza, Protezione dell'integrità e conferma che Secure Boot risulti Attivato. L'etichetta può variare tra le diverse build di Windows.

Se Confirm-SecureBootUEFI indica che la piattaforma non è supportata, sei nella situazione di cui tratta gran parte di questo articolo: il PC si avvia in modalità legacy.

Abilita Secure Boot nelle impostazioni UEFI

L'impostazione si trova nel firmware, quindi devi aprirlo. I passaggi seguenti provengono dalla guida all'abilitazione di Secure Boot di Microsoft.

1. Salva il lavoro. Apri Impostazioni, poi Sistema, poi Ripristino.
2. Accanto a Avvio avanzato, seleziona Riavvia ora.
3. Nella schermata Scegli un'opzione, seleziona Risoluzione dei problemi, poi Opzioni avanzate.
4. Seleziona Impostazioni firmware UEFI, poi Riavvia.
5. Nel firmware, individua l'impostazione di Secure Boot, che di solito si trova nella scheda Boot o Sicurezza. Se la modalità di avvio è Legacy o CSM, passa prima a UEFI.
6. Abilita Secure Boot, salva ed esci.

Menu e denominazioni variano a seconda del produttore, e Microsoft non indica un percorso generico unico. La sua guida rimanda alle istruzioni dei singoli produttori per Surface, Acer, ASRock, ASUS, BIOSTAR, Colorful, Dell o Alienware, GIGABYTE o AORUS, HP o OMEN, Lenovo e MSI. Se hai assemblato il PC da solo, usa la guida del produttore della tua scheda madre. Su Surface i passaggi si trovano in Surface UEFI: seleziona Sicurezza, quindi in Secure Boot seleziona Modifica configurazione, scegli Solo Microsoft dall'elenco dei certificati e seleziona OK, poi Esci e Riavvia ora.

L'avviso di Microsoft vale per tutti i produttori: modificare in modo errato le impostazioni del firmware può compromettere la sicurezza del PC o impedirne l'avvio corretto. Modifica solo le impostazioni di Secure Boot descritte dal tuo produttore. Se il PC non si avvia dopo, torna nel firmware e annulla l'ultima modifica.

Quando il PC esegue la modalità legacy su un disco MBR

Questo è il caso più ostinato. Il firmware può offrire la modalità UEFI, ma Windows è stato installato in modalità legacy su un disco MBR, quindi passare a UEFI impedisce l'avvio del PC. La soluzione è convertire il disco in GPT. Lo strumento MBR2GPT di Microsoft lo fa senza modificare né eliminare i dati presenti sul disco.

Prima verifica lo stile di partizione. In PowerShell esegui Get-Disk | ft -Auto e leggi la colonna Partition Style, che mostra MBR o GPT. In Gestione disco (diskmgmt.msc) puoi aprire le Proprietà del disco e controllare Stile di partizione nella scheda Volumi.

Poi verifica i prerequisiti di Microsoft. Il dispositivo deve supportare UEFI, il disco deve essere il disco di sistema e deve avere spazio sufficiente per le strutture GPT. Può avere al massimo tre partizioni primarie e nessuna partizione estesa o logica. Se un volume è crittografato con BitLocker, devi prima sospendere la protezione.

1. Esegui un backup del PC. L'output dello strumento stesso avverte che le modifiche non possono essere annullate.
2. Sospendi BitLocker, se è attivo.
3. Convalida: MBR2GPT /validate /allowFullOS (oppure /disk:0 da Windows PE).
4. Converti: MBR2GPT /convert /allowFullOS.
5. Riavvia nel firmware e imposta la modalità di avvio su UEFI. Microsoft è chiara su questo punto: dopo la conversione il disco può avviarsi solo in modalità GPT, e il sistema non si avvia correttamente finché il firmware non è passato a UEFI.
6. Abilita Secure Boot come indicato sopra e riprendi BitLocker.

Per impostazione predefinita lo strumento viene eseguito da un prompt dei comandi di Windows PE. L'opzione /allowFullOS consente di eseguirlo nel sistema operativo completo; in questo caso crea una nuova partizione di sistema EFI riducendo la partizione del sistema operativo. Il codice di ritorno 0 indica un'operazione riuscita. Il codice 100 indica che la conversione è riuscita ma alcune voci BCD non sono state ripristinate. Per i dettagli consulta setupact.log e setuperr.log. La pagina di Microsoft indica che sono supportati Windows 10 e Windows 11.

Verifica anche il TPM 2.0

Windows 11 richiede insieme Secure Boot e TPM 2.0, e un controllo di Secure Boot negli strumenti di gestione di solito dipende dal TPM. Per verificare, premi Tasto Windows + R, digita tpm.msc e leggi Versione specifica in Informazioni sul produttore TPM. Se compare il messaggio "Impossibile trovare un TPM compatibile", il TPM potrebbe essere disabilitato nel firmware.

La pagina di Microsoft sull'abilitazione del TPM 2.0 indica di cercare in un sottomenu denominato Advanced, Security o Trusted Computing. L'impostazione può avere nomi come Security Device o Security Device Support, TPM State, AMD fTPM o Intel PTT. Un TPM con versione inferiore alla 2.0 non si risolve attivandolo, perché il dispositivo non soddisfa i requisiti di Windows 11.

Per gli amministratori: verifica Secure Boot in Intune e Autopilot

In Microsoft Intune l'impostazione di conformità di Windows Require Secure Boot to be enabled on the device ha due opzioni, Not configured e Require. Microsoft la descrive come requisito che il dispositivo sia avviato in uno stato attendibile di fabbrica, con i componenti di avvio principali verificati dal firmware UEFI. Il punto critico è nell'articolo di risoluzione dei problemi: il controllo dipende dall'attestazione dell'integrità del dispositivo, che richiede TPM 2.0 o successivo. Un dispositivo senza TPM 2.0 risulta Not Compliant anche con Secure Boot attivo, e il TPM 2.0 stesso richiede il firmware UEFI.

Se un dispositivo con Secure Boot risulta non conforme, i controlli indicati da Microsoft sono questi:

1. Esegui tpm.msc e verifica la versione della specifica.
2. Esegui msinfo32 e conferma che Modalità BIOS sia UEFI e che Configurazione PCR7 sia Bound.
3. Esegui Confirm-SecureBootUEFI in un prompt avviato come amministratore e aspettati il valore True.
4. Esegui manage-bde -protectors -get $env:systemdrive e conferma che l'unità sia protetta tramite PCR 7.

Se il dispositivo non supera uno qualsiasi di questi passaggi, lo stato Not Compliant è prevedibile e la correzione va fatta sul lato hardware o firmware, non nel criterio. Il riferimento di Microsoft sulla conformità di Windows cita Device Health Attestation per i dispositivi Windows 10, quindi verifica la documentazione aggiornata per i dettagli su Windows 11.

Per le distribuzioni con Windows Autopilot, un controllo del firmware fa parte della preparazione dell'hardware. La modalità di autodistribuzione richiede TPM 2.0 e l'attestazione del dispositivo TPM, quindi un dispositivo che ne è privo non può usare questa modalità.

Certificati Secure Boot e la data di giugno 2026

Microsoft sta aggiornando i certificati Secure Boot emessi originariamente nel 2011, che inizieranno a scadere a giugno 2026. Microsoft afferma che, sulle versioni supportate di Windows, l'aggiornamento avviene automaticamente. Per il tuo parco macchine, questo è un motivo per tenere attivo Secure Boot e Windows aggiornato, non per intervenire manualmente sul firmware. Microsoft rimanda a una guida separata sull'aggiornamento gestito da Microsoft, quindi leggila prima di pianificare qualsiasi intervento manuale.

Errori comuni

• Cercare l'impostazione in Windows. È un'impostazione del firmware, e Windows può solo segnalarne lo stato.
• Passaggio a UEFI su un'installazione MBR. Il PC non si avvia finché il disco non viene convertito o Windows non viene reinstallato in modalità UEFI.
• Convertire un disco con la protezione BitLocker ancora attiva. Sospendila prima.
• Saltare il backup prima di MBR2GPT. La conversione non può essere annullata.
• Interpretare un risultato Not Compliant in Intune come un problema di Secure Boot quando la causa è un TPM 2.0 mancante.
• Lasciare Secure Boot disattivato dopo la risoluzione dei problemi. Microsoft consiglia di riattivarlo una volta risolto il problema.

Argomenti correlati da esplorare

• Come accedo al firmware se Windows non si avvia? L'articolo su come aprire il BIOS in Windows 11 spiega la procedura di ripristino.
• Cosa succede se Secure Boot blocca la mia chiavetta USB? Microsoft indica che potrebbe essere necessario disattivarlo temporaneamente per avviare alcuni supporti. Consulta l'articolo sulla creazione di una USB avviabile per Windows 11.
• Quale TPM ha il mio PC? Usa tpm.msc e confrontalo con i requisiti di Windows 11.
• Come applico questa configurazione su molti PC? Combina un criterio di conformità di Intune con una verifica hardware nel tuo processo di distribuzione.

Prossimo passo

Esegui Confirm-SecureBootUEFI su un PC oggi stesso e annota il risultato; se il test fallisce, controlla lo stile di partizionamento del disco. Una volta stabilito se il PC è in modalità UEFI, il modo per abilitare Secure Boot in Windows 11 si riduce a un breve elenco di modifiche al firmware, invece di procedere per tentativi.