Jak włączyć Secure Boot w systemie Windows 11 (sprawdzenie, naprawa, weryfikacja)

By Mirko Peters · 2026-11-12

Jak włączyć Secure Boot w systemie Windows 11: sprawdź bieżący stan, otwórz ustawienia UEFI, przełącz się z trybu starszego, przekonwertuj MBR na GPT i zweryfikuj wynik w usłudze Intune.

Automatically translated with AI from the original post. Read the English original

Aby włączyć Secure Boot w systemie Windows 11, uruchom ponownie komputer do ustawień oprogramowania sprzętowego UEFI (Ustawienia, System, Odzyskiwanie, Uruchamianie zaawansowane, Uruchom ponownie teraz, a następnie Rozwiązywanie problemów, Opcje zaawansowane, Ustawienia oprogramowania sprzętowego UEFI), upewnij się, że tryb rozruchu to UEFI, a nie Legacy lub CSM, i włącz Secure Boot na karcie Boot lub Security. Następnie potwierdź ustawienie w systemie Windows. Ten artykuł jest przeznaczony dla administratorów IT, którzy mają komputer lub flotę, na których Secure Boot jest wyłączony albo system Windows 11 informuje, że komputer nie może go uruchomić. Pokazuje, jak sprawdzić bieżący stan, włączyć to ustawienie, przekonwertować dysk z MBR na GPT, gdy oprogramowanie sprzętowe pozostaje w trybie legacy, oraz zweryfikować wynik w usłudze Intune.

Najważniejsze wnioski

• Secure Boot to ustawienie oprogramowania sprzętowego UEFI, dlatego włączasz je w konfiguracji oprogramowania sprzętowego, a nie w systemie Windows. Otwórz je, wybierając kolejno Ustawienia, System, Odzyskiwanie, Uruchamianie zaawansowane.
• Secure Boot wymaga, aby oprogramowanie sprzętowe działało w trybie UEFI. Jeśli komputer działa w trybie Legacy lub CSM, najpierw przełącz go na UEFI. Nazwy menu zależą od producenta.
• Instalacja w trybie BIOS na dysku MBR zwykle musi zostać przekonwertowana na GPT za pomocą narzędzia MBR2GPT, zanim oprogramowanie sprzętowe będzie mogło używać trybu UEFI. Konwersji nie można cofnąć, dlatego najpierw wykonaj kopię zapasową.
• Sprawdź wynik poleceniem Confirm-SecureBootUEFI w PowerShell uruchomionym jako administrator. Wartość True oznacza, że Secure Boot jest włączony.
• W usłudze Intune ustawienie zgodności Require Secure Boot zależy od atestacji stanu urządzenia i modułu TPM 2.0. Urządzenie bez modułu TPM 2.0 jest wyświetlane jako niezgodne.

Co robi Secure Boot i dlaczego system Windows 11 tego wymaga

Microsoft opisuje Secure Boot jako funkcję zabezpieczeń, która pomaga zapobiegać ładowaniu nieautoryzowanego oprogramowania podczas uruchamiania komputera. Po włączeniu oprogramowanie sprzętowe sprawdza przed startem, czy program ładujący system jest podpisany zaufanym certyfikatem, a system Windows dalej kontynuuje łańcuch zaufania. Szczegóły znajdziesz w artykule Microsoft Learn Secure the Windows boot process.

W przypadku systemu Windows 11 odpowiednie informacje znajdują się w wymaganiach sprzętowych: oprogramowanie sprzętowe systemu musi być UEFI i obsługiwać Secure Boot, a komputer musi mieć moduł TPM 2.0. Słowo „obsługiwany” często wprowadza w błąd. Komputer może obsługiwać Secure Boot, mieć go jednak wyłączonego lub działać w trybie legacy, w którym nie da się go w ogóle użyć. Strona Microsoftu o Secure Boot dla systemu Windows 11 dodaje, że aby go włączyć, trzeba przełączyć tryb rozruchu z Legacy (nazywanego też trybem CSM) na UEFI, a jeśli oprogramowanie sprzętowe oferuje obie opcje, pierwszeństwo powinien mieć UEFI lub powinien być jedyną dostępną opcją.

Najpierw sprawdź bieżący stan

Zanim zaczniesz zmieniać ustawienia oprogramowania sprzętowego, ustal, z czym masz do czynienia. Zajmie to minutę i pozwoli uniknąć zbędnego restartu.

1. Otwórz PowerShell jako administrator.
2. Uruchom polecenie Confirm-SecureBootUEFI.

Microsoft Learn podaje wynik: True, jeśli komputer obsługuje Secure Boot i funkcja jest włączona, False, jeśli jest obsługiwana, ale wyłączona. Jeśli komputer nie obsługuje Secure Boot lub działa w trybie BIOS (nie UEFI), polecenie informuje, że na tej platformie funkcja nie jest obsługiwana. Polecenie wymaga uruchomienia wiersza poleceń lub PowerShell jako administrator, w przeciwnym razie zobaczysz komunikat o odmowie dostępu.

Możesz też uruchomić msinfo32 i sprawdzić sekcję Podsumowanie systemu. Wiersz Tryb BIOS powinien mieć wartość UEFI. Artykuł Microsoft o rozwiązywaniu problemów z Intune używa tego samego narzędzia do sprawdzania trybu BIOS i konfiguracji PCR7. Informacussystem zawiera też wiersz Stan Secure Boot, który przyjmuje wartości Włączony, Wyłączony lub Nieobsługiwany. Ten wiersz nie jest opisany na stronach Microsoft, z których korzystałem, dlatego najpierw ufaj wynikowi PowerShell.

Po zmianie przewodnik Microsoft dotyczący włączania funkcji proponuje kolejne sprawdzenie: otwórz Ustawienia, Zabezpieczenia, Ochrona integralności i upewnij się, że Secure Boot pokazuje Włączony. Nazwa tej opcji może różnić się w zależności od kompilacji systemu Windows.

Jeśli Confirm-SecureBootUEFI informuje, że platforma nie jest obsługiwana, masz do czynienia z sytuacją, o której traktuje większość tego artykułu: komputer uruchamia się w trybie zgodności (legacy).

Włącz Secure Boot w ustawieniach UEFI

Ustawienie znajduje się w oprogramowaniu sprzętowym, dlatego musisz otworzyć ustawienia UEFI. Poniższe kroki pochodzą z przewodnika Microsoft dotyczącego włączania Secure Boot.

1. Zapisz swoją pracę. Otwórz Ustawienia, następnie System, a potem Odzyskiwanie.
2. Obok pozycji Uruchamianie zaawansowane wybierz Uruchom ponownie teraz.
3. Na ekranie Wybierz opcję wybierz Rozwiązywanie problemów, a następnie Opcje zaawansowane.
4. Wybierz Ustawienia oprogramowania sprzętowego UEFI, a następnie Uruchom ponownie.
5. W oprogramowaniu sprzętowym znajdź ustawienie Secure Boot, które zazwyczaj znajduje się na karcie Boot lub Security. Jeśli tryb rozruchu to Legacy lub CSM, najpierw przełącz go na UEFI.
6. Włącz Secure Boot, zapisz zmiany i wyjdź.

Menu i nazwy opcji różnią się w zależności od producenta, a Microsoft nie podaje jednej uniwersalnej ścieżki. Jego przewodnik zawiera linki do instrukcji producentów: Surface, Acer, ASRock, ASUS, BIOSTAR, Colorful, Dell lub Alienware, GIGABYTE lub AORUS, HP lub OMEN, Lenovo i MSI. Jeśli sam złożyłeś komputer, skorzystaj z przewodnika producenta płyty głównej. W przypadku Surface kroki opisano w artykule Surface UEFI: wybierz Security, następnie w sekcji Secure Boot wybierz Change configuration, z listy certyfikatów wybierz Microsoft only i kliknij OK, a potem Exit i Restart now.

Ostrzeżenie Microsoft dotyczy każdego producenta: nieprawidłowa zmiana ustawień oprogramowania sprzętowego może wpłynąć na bezpieczeństwo komputera lub uniemożliwić jego poprawne uruchomienie. Zmieniaj wyłącznie te ustawienia Secure Boot, które opisuje producent. Jeśli komputer nie uruchamia się po zmianach, wejdź ponownie do oprogramowania sprzętowego i cofnij ostatnią zmianę.

Gdy komputer działa w trybie legacy na dysku MBR

To najtrudniejszy przypadek. Oprogramowanie sprzętowe może oferować tryb UEFI, ale system Windows został zainstalowany w trybie legacy na dysku MBR, dlatego przełączenie na UEFI powoduje, że komputer nie uruchamia się. Rozwiązaniem jest konwersja dysku na GPT. Narzędzie MBR2GPT firmy Microsoft wykonuje tę konwersję bez modyfikowania ani usuwania danych na dysku.

Najpierw sprawdź styl partycjonowania. W PowerShell uruchom Get-Disk | ft -Auto i odczytaj kolumnę Partition Style, która pokazuje MBR lub GPT. W Zarządzaniu dyskami (diskmgmt.msc) możesz otworzyć Właściwości dysku i sprawdzić Styl partycji na karcie Woluminy.

Następnie przejrzyj wymagania wstępne firmy Microsoft. Urządzenie musi obsługiwać UEFI, dysk musi być dyskiem systemowym, a na dysku musi być miejsce na struktury GPT. Może mieć co najwyżej trzy partycje podstawowe i nie może mieć partycji rozszerzonych ani logicznych. Jeśli wolumin jest zaszyfrowany funkcją BitLocker, najpierw musisz wstrzymać ochronę.

1. Wykonaj kopię zapasową komputera. Dane wyjściowe samego narzędzia ostrzegają, że zmian nie można cofnąć.
2. Wstrzymaj BitLocker, jeśli jest włączony.
3. Sprawdzenie poprawności: MBR2GPT /validate /allowFullOS (lub /disk:0 z poziomu Windows PE).
4. Konwersja: MBR2GPT /convert /allowFullOS.
5. Uruchom ponownie komputer do ustawień oprogramowania sprzętowego i przełącz tryb rozruchu na UEFI. Microsoft jest tu jednoznaczny: po tej zmianie dysk może uruchamiać system tylko w trybie GPT, a system nie uruchomi się poprawnie, dopóki oprogramowanie sprzętowe nie zostanie przełączone na UEFI.
6. Włącz funkcję Secure Boot, jak opisano wyżej, i wznów ochronę BitLocker.

Domyślnie narzędzie działa z wiersza polecenia Windows PE. Opcja /allowFullOS pozwala uruchomić je w pełnym systemie operacyjnym; wtedy tworzy nową partycję systemową EFI, zmniejszając partycję systemu operacyjnego. Kod zwrotny 0 oznacza powodzenie. Kod 100 oznacza, że konwersja się powiodła, ale niektórych wpisów BCD nie udało się przywrócić. Szczegóły sprawdź w plikach setupact.log i setuperr.log. Strona Microsoftu podaje, że obsługiwane są systemy Windows 10 i Windows 11.

Sprawdź także TPM 2.0

Windows 11 wymaga jednocześnie funkcji Secure Boot i TPM 2.0, a sprawdzenie Secure Boot w narzędziach zarządzania zwykle zależy od modułu TPM. Aby to sprawdzić, naciśnij klawisz Windows + R, wpisz tpm.msc i odczytaj Wersja specyfikacji w sekcji Informacje o producencie TPM. Jeśli zobaczysz komunikat "Compatible TPM cannot be found", moduł TPM może być wyłączony w oprogramowaniu sprzętowym.

Strona Microsoftu dotycząca włączania TPM 2.0 zaleca szukanie w podmenu o nazwie Advanced, Security lub Trusted Computing. Ustawienie może nosić nazwę Security Device lub Security Device Support, TPM State, AMD fTPM albo Intel PTT. Modułu TPM w wersji niższej niż 2.0 nie da się naprawić przez jego włączenie, ponieważ urządzenie nie spełnia wymagań Windows 11.

Dla administratorów: sprawdź Secure Boot w Intune i Autopilot

W Microsoft Intune ustawienie zgodności dla Windows Require Secure Boot to be enabled on the device ma dwie opcje: Not configured oraz Require. Microsoft opisuje je jako wymaganie, aby urządzenie uruchamiało się w stanie zaufanym przez producenta, w którym podstawowe komponenty rozruchu są weryfikowane przez oprogramowanie sprzętowe UEFI. Haczyk tkwi w artykule o rozwiązywaniu problemów: sprawdzenie opiera się na atestacji stanu urządzenia, która wymaga TPM 2.0 lub nowszego. Urządzenie bez TPM 2.0 pokaże status Not Compliant, nawet gdy Secure Boot jest włączony, a sam TPM 2.0 wymaga oprogramowania sprzętowego UEFI.

Jeśli urządzenie z włączonym Secure Boot ma status niezgodnego, kontrole zalecane przez Microsoft są następujące:

1. Uruchom tpm.msc i sprawdź wersję specyfikacji.
2. Uruchom msinfo32 i upewnij się, że Tryb BIOS to UEFI, a Konfiguracja PCR7 to Bound.
3. Uruchom Confirm-SecureBootUEFI w wierszu poleceń uruchomionym jako administrator i oczekuj wyniku True.
4. Uruchom manage-bde -protectors -get $env:systemdrive i sprawdź, czy dysk jest chroniony przez PCR 7.

Jeśli urządzenie nie przejdzie któregokolwiek kroku, status Not Compliant jest oczekiwany, a naprawa leży po stronie sprzętu lub oprogramowania sprzętowego, a nie zasad. Dokumentacja Microsoftu dotycząca zgodności w Windows wymienia atestację stanu urządzenia (Device Health Attestation) dla urządzeń z Windows 10, więc szczegóły dla Windows 11 sprawdź w aktualnej dokumentacji.

W przypadku wdrożeń z Windows Autopilot sprawdzenie oprogramowania sprzętowego jest częścią przygotowania sprzętu. Tryb self-deploying wymaga TPM 2.0 oraz atestacji urządzenia TPM, a urządzenie bez nich nie może korzystać z tego trybu.

Certyfikaty Secure Boot a czerwiec 2026 roku

Microsoft aktualizuje certyfikaty Secure Boot wydane po raz pierwszy w 2011 roku, a ich wygasanie rozpocznie się w czerwcu 2026 roku. Microsoft twierdzi, że w obsługiwanych wersjach Windows aktualizacja odbywa się automatycznie. W przypadku Twojej floty to powód, by mieć włączony Secure Boot i zaktualizowany Windows, a nie by ręcznie ingerować w oprogramowanie sprzętowe. Microsoft odsyła do osobnych wskazówek dotyczących aktualizacji zarządzanej przez Microsoft, więc przeczytaj je, zanim zaplanujesz jakiekolwiek prace ręczne.

Częste błędy

• Nie szukaj tego ustawienia w Windows. To ustawienie oprogramowania sprzętowego, a Windows może jedynie raportować jego stan.
• Przełączenie na UEFI w instalacji MBR. Komputer nie uruchomi się, dopóki dysk nie zostanie przekonwertowany lub Windows nie zostanie ponownie zainstalowany w trybie UEFI.
• Konwersja dysku z nadal włączoną ochroną BitLocker. Najpierw ją zawieś.
• Pominięcie kopii zapasowej przed MBR2GPT. Konwersji nie da się cofnąć.
• Traktowanie wyniku Not Compliant w Intune jako problemu z Secure Boot, gdy przyczyną jest brak TPM 2.0.
• Pozostawienie Secure Boot wyłączonego po rozwiązywaniu problemów. Microsoft zaleca włączenie go ponownie po rozwiązaniu problemu.

Powiązane tematy do zgłębienia

• Jak dostać się do firmware'u, jeśli Windows się nie uruchamia? Artykuł o tym, jak otworzyć BIOS w systemie Windows 11, opisuje ścieżkę odzyskiwania.
• Co zrobić, jeśli funkcja Secure Boot blokuje mój pendrive? Microsoft podaje, że aby uruchomić niektóre nośniki, może być konieczne jej tymczasowe wyłączenie. Zobacz artykuł o bootowalnym nośniku USB dla systemu Windows 11.
• Jaki moduł TPM ma mój komputer? Użyj polecenia tpm.msc i porównaj wynik z wymaganiami systemu Windows 11.
• Jak wymusić to na wielu komputerach? Połącz zasady zgodności w Intune z kontrolą sprzętu w procesie wdrażania.

Następny krok

Uruchom polecenie Confirm-SecureBootUEFI na jednym komputerze już dziś i zapisz wynik, a jeśli sprawdzenie się nie powiedzie, sprawdź styl partycjonowania dysku. Gdy wiesz, czy komputer działa w trybie UEFI, włączenie funkcji Secure Boot w systemie Windows 11 sprowadza się do krótkiej listy zmian w firmware'ze zamiast zgadywania.