Como ativar o Secure Boot no Windows 11 (verificar, corrigir e validar)

By Mirko Peters · 2026-11-12

Como ativar o Secure Boot no Windows 11: verifique o estado atual, abra as configurações do UEFI, saia do modo legado, converta o MBR para GPT e valide o resultado no Intune.

Automatically translated with AI from the original post. Read the English original

Para ativar o Secure Boot no Windows 11, reinicie para as configurações de firmware UEFI (Configurações, Sistema, Recuperação, Inicialização avançada, Reiniciar agora e, em seguida, Solução de problemas, Opções avançadas, Configurações de Firmware UEFI). Confirme que o modo de inicialização está em UEFI, e não em Legacy ou CSM, e ative o Secure Boot na aba Boot ou Segurança. Depois, confirme a ativação no Windows. Este artigo é para administradores de TI que têm um PC ou uma frota em que o Secure Boot está desativado, ou em que o Windows 11 informa que o PC não pode executá-lo. Ele mostra como verificar o estado atual, ativar a configuração, converter um disco de MBR para GPT quando o firmware está preso no modo legado e validar o resultado no Intune.

Pontos-chave

• O Secure Boot é uma configuração do firmware UEFI, então você a ativa na configuração do firmware, e não no Windows. Para acessá-la, vá em Configurações, Sistema, Recuperação, Inicialização avançada.
• O Secure Boot exige que o firmware esteja no modo UEFI. Se o PC estiver no modo Legacy ou CSM, mude primeiro para UEFI. Os nomes dos menus variam de acordo com o fabricante.
• Uma instalação em modo BIOS em um disco MBR normalmente precisa ser convertida para GPT com o MBR2GPT antes que o firmware possa usar o modo UEFI. A conversão não pode ser desfeita, então faça um backup antes.
• Valide o resultado com Confirm-SecureBootUEFI no PowerShell como administrador. True significa que o Secure Boot está ativado.
• No Intune, a configuração de conformidade Exigir Secure Boot depende do atestado de integridade do dispositivo e do TPM 2.0. Um dispositivo sem TPM 2.0 aparece como não conforme.

O que o Secure Boot faz e por que o Windows 11 o exige

A Microsoft descreve o Secure Boot como um recurso de segurança que ajuda a impedir que software não autorizado seja carregado quando o PC inicia. Com ele ativado, o firmware verifica, antes de iniciar, se o bootloader é assinado por um certificado confiável, e o Windows então continua a cadeia de confiança. Os detalhes estão no Microsoft Learn, em Secure the Windows boot process.

Para o Windows 11, os pontos relevantes estão nos requisitos de hardware: o firmware do sistema precisa ser UEFI e compatível com Secure Boot, e o PC precisa de TPM 2.0. A palavra "compatível" é a que costuma confundir as pessoas. Um PC pode oferecer suporte ao Secure Boot e, ainda assim, tê-lo desativado, ou operar em um modo legado em que ele não pode ser usado de jeito nenhum. A página de Secure Boot da Microsoft para o Windows 11 acrescenta que, para ativá-lo, você deve mudar o modo de inicialização de Legacy (também chamado modo CSM) para UEFI e que, se o firmware oferecer as duas opções, UEFI deve ser a primeira ou a única opção.

Verifique primeiro o estado atual

Antes de mexer no firmware, descubra qual é a sua situação. Leva um minuto e evita uma reinicialização desnecessária.

1. Abra o PowerShell como administrador.
2. Execute Confirm-SecureBootUEFI.

A Microsoft Learn documenta o resultado: True se o computador oferece suporte ao Secure Boot e ele está habilitado, False se há suporte, mas está desabilitado. Se o computador não oferece suporte ao Secure Boot ou é um equipamento com BIOS (não UEFI), o cmdlet informa que o recurso não é compatível com esta plataforma. O cmdlet precisa ser executado em um prompt como administrador; caso contrário, você recebe uma mensagem de acesso negado.

Você também pode executar msinfo32 e observar o Resumo do Sistema. A linha Modo BIOS deve mostrar UEFI. O artigo de solução de problemas do Intune da Microsoft usa a mesma ferramenta para verificar o Modo BIOS e a configuração do PCR7. As Informações do Sistema também têm uma linha Estado do Secure Boot, que mostra Ativado, Desativado ou Não compatível. Essa linha não é descrita nas páginas da Microsoft que utilizei, então confie primeiro no resultado do PowerShell.

Após a alteração, o guia de habilitação da Microsoft oferece outra verificação: abra Configurações, Segurança, Proteção de integridade e confirme se o Secure Boot aparece como Ativado. O nome do item pode variar entre as versões do Windows.

Se o Confirm-SecureBootUEFI informar que a plataforma não é compatível, você está na situação que a maior parte deste artigo aborda: o PC inicia em modo legado.

Habilite o Secure Boot nas configurações UEFI

A configuração fica no firmware, então você precisa acessá-lo. As etapas abaixo vêm do guia de habilitação do Secure Boot da Microsoft.

1. Salve seu trabalho. Abra Configurações, depois Sistema e depois Recuperação.
2. Ao lado de Inicialização avançada, selecione Reiniciar agora.
3. Na tela Escolher uma opção, selecione Solucionar problemas e depois Opções avançadas.
4. Selecione Configurações de Firmware UEFI e depois Reiniciar.
5. No firmware, localize a configuração do Secure Boot, que geralmente fica na guia Boot ou Segurança. Se o modo de inicialização estiver em Legacy ou CSM, altere primeiro para UEFI.
6. Habilite o Secure Boot, salve e saia.

Menus e textos variam de acordo com o fabricante, e a Microsoft não oferece um caminho genérico único. O guia dela traz links para as instruções de cada fornecedor: Surface, Acer, ASRock, ASUS, BIOSTAR, Colorful, Dell ou Alienware, GIGABYTE ou AORUS, HP ou OMEN, Lenovo e MSI. Se você montou o PC por conta própria, use o guia do fabricante da sua placa-mãe. No Surface, as etapas estão em UEFI do Surface: selecione Segurança, depois, em Secure Boot, selecione Alterar configuração, escolha Somente Microsoft na lista de certificados e selecione OK; em seguida, Sair e Reiniciar agora.

O aviso da Microsoft vale para todos os fabricantes: alterar configurações de firmware de forma incorreta pode afetar a segurança do seu PC ou impedir que ele inicie corretamente. Altere somente as configurações do Secure Boot descritas pelo seu fabricante. Se o PC não iniciar depois disso, volte ao firmware e desfaça a última alteração.

Quando o PC está em modo legado em um disco MBR

Este é o caso mais difícil. O firmware pode oferecer o modo UEFI, mas o Windows foi instalado em modo legado em um disco MBR; por isso, mudar para UEFI faz o PC não iniciar. A solução é converter o disco para GPT. A ferramenta MBR2GPT da Microsoft faz isso sem modificar ou excluir dados do disco.

Primeiro, verifique o estilo de partição. No PowerShell, execute Get-Disk | ft -Auto e leia a coluna Partition Style, que mostra MBR ou GPT. No Gerenciamento de Disco (diskmgmt.msc), você pode abrir as Propriedades do disco e verificar Estilo de partição na guia Volumes.

Em seguida, revise os pré-requisitos da Microsoft. O dispositivo deve oferecer suporte a UEFI, o disco precisa ser o disco do sistema e é necessário espaço para as estruturas GPT. Ele pode ter no máximo três partições primárias e nenhuma partição estendida ou lógica. Se um volume estiver criptografado com BitLocker, você deve suspender a proteção primeiro.

1. Faça backup do PC. A própria saída da ferramenta avisa que as alterações não podem ser desfeitas.
2. Suspenda o BitLocker, se estiver ativado.
3. Validar: MBR2GPT /validate /allowFullOS (ou /disk:0 a partir do Windows PE).
4. Converter: MBR2GPT /convert /allowFullOS.
5. Reinicie no firmware e altere o modo de inicialização para UEFI. A Microsoft é clara sobre isso: depois disso, o disco só pode inicializar no modo GPT, e o sistema não inicializará corretamente enquanto o firmware não estiver em UEFI.
6. Ative o Secure Boot conforme descrito acima e retome o BitLocker.

Por padrão, a ferramenta é executada a partir de um prompt de comando do Windows PE. A opção /allowFullOS permite executá-la no sistema operacional completo; nesse caso, ela cria uma nova partição de sistema EFI reduzindo a partição do SO. O código de retorno 0 significa sucesso. O código 100 significa que a conversão foi concluída, mas algumas entradas do BCD não puderam ser restauradas. Verifique setupact.log e setuperr.log para obter detalhes. A página da Microsoft informa que o Windows 10 e o Windows 11 são compatíveis.

Verifique também o TPM 2.0

O Windows 11 exige Secure Boot e TPM 2.0 ao mesmo tempo, e a verificação do Secure Boot nas ferramentas de gerenciamento normalmente depende do TPM. Para verificar, pressione Tecla Windows + R, digite tpm.msc e leia Versão de especificação em Informações do fabricante do TPM. Se aparecer a mensagem "Não foi possível encontrar um TPM compatível", o TPM pode estar desativado no firmware.

A página da Microsoft sobre como habilitar o TPM 2.0 orienta procurar em um submenu chamado Advanced, Security ou Trusted Computing. A configuração pode se chamar Security Device ou Security Device Support, TPM State, AMD fTPM ou Intel PTT. Um TPM abaixo da versão 2.0 não pode ser corrigido simplesmente ativando-o, porque o dispositivo não atende aos requisitos do Windows 11.

Para administradores: verifique o Secure Boot no Intune e no Autopilot

No Microsoft Intune, a configuração de conformidade do Windows Exigir que o Secure Boot esteja habilitado no dispositivo tem duas opções: Não configurado e Exigir. A Microsoft descreve que ela exige que o dispositivo inicialize em um estado confiável de fábrica, com os principais componentes de inicialização verificados pelo firmware UEFI. O detalhe está no artigo de solução de problemas: a verificação depende da atestação de integridade do dispositivo, que exige TPM 2.0 ou posterior. Um dispositivo sem TPM 2.0 aparece como Não conforme, mesmo com o Secure Boot ativado, e o próprio TPM 2.0 exige firmware UEFI.

Se um dispositivo com Secure Boot aparecer como não conforme, as verificações recomendadas pela Microsoft são:

1. Execute tpm.msc e verifique a versão da especificação.
2. Execute msinfo32 e confirme que o Modo BIOS está como UEFI e que a Configuração do PCR7 está como Bound.
3. Execute Confirm-SecureBootUEFI em um prompt executado como administrador e espere o resultado True.
4. Execute manage-bde -protectors -get $env:systemdrive e confirme que a unidade está protegida pelo PCR 7.

Se o dispositivo falhar em qualquer etapa, o status Não conforme é esperado, e a correção está no lado do hardware ou do firmware, não na política. A referência de conformidade do Windows da Microsoft cita a Device Health Attestation para dispositivos Windows 10, então consulte a documentação atual para detalhes do Windows 11.

Para implantações com o Windows Autopilot, a verificação do firmware faz parte da preparação do hardware. O modo de autoimplantação exige TPM 2.0 e atestação de dispositivo TPM, e um dispositivo sem eles não pode usar esse modo.

Certificados do Secure Boot e a data de junho de 2026

A Microsoft está atualizando os certificados do Secure Boot emitidos inicialmente em 2011, e eles começam a expirar em junho de 2026. A Microsoft afirma que, nas versões compatíveis do Windows, a atualização acontece automaticamente. Para o seu parque de dispositivos, isso é um motivo para manter o Secure Boot ativado e o Windows atualizado, e não para mexer no firmware manualmente. A Microsoft aponta para orientações separadas sobre a atualização gerenciada pela Microsoft, então leia-as antes de planejar qualquer trabalho manual.

Erros comuns

• Procurando a configuração no Windows. Trata-se de uma configuração de firmware, e o Windows só pode gerar relatórios sobre ela.
• Mudar para UEFI em uma instalação MBR. O PC não inicializa até que o disco seja convertido ou o Windows seja reinstalado no modo UEFI.
• Converter um disco com a proteção do BitLocker ainda ativa. Suspenda-a primeiro.
• Pular o backup antes do MBR2GPT. A conversão não pode ser desfeita.
• Interpretar um resultado Não conforme no Intune como problema do Secure Boot quando a causa é um TPM 2.0 ausente.
• Deixar o Secure Boot desativado após a solução de problemas. A Microsoft recomenda reativá-lo assim que o problema for resolvido.

Tópicos relacionados para explorar

• Como acesso o firmware se o Windows não inicia? O artigo sobre como abrir a BIOS no Windows 11 explica o caminho de recuperação.
• E se o Secure Boot bloquear meu pendrive? A Microsoft diz que talvez seja necessário desativá-lo temporariamente para iniciar algumas mídias. Veja o artigo sobre pendrive inicializável do Windows 11.
• Qual TPM meu PC tem? Use tpm.msc e compare com os requisitos do Windows 11.
• Como aplico isso em muitos PCs? Combine uma política de conformidade do Intune com uma verificação de hardware no seu processo de implantação.

Próximo passo

Execute Confirm-SecureBootUEFI em um PC hoje e anote o resultado; se falhar, verifique o estilo de partição do disco. Depois de saber se o PC está no modo UEFI, o caminho para ativar o Secure Boot no Windows 11 é uma lista curta de alterações no firmware, em vez de tentativa e erro.