Как включить безопасную загрузку в Windows 11 (проверка, исправление, проверка результата)

By Mirko Peters · 2026-11-12

Как включить безопасную загрузку в Windows 11: проверить текущее состояние, открыть параметры UEFI, переключиться с устаревшего режима, преобразовать MBR в GPT и проверить результат в Intune.

Automatically translated with AI from the original post. Read the English original

Чтобы включить Secure Boot в Windows 11, перезагрузитесь в параметры встроенного ПО UEFI (Параметры, Система, Восстановление, Расширенный запуск, Перезапустить сейчас, затем Поиск и устранение неисправностей, Дополнительные параметры, Параметры встроенного ПО UEFI), убедитесь, что режим загрузки UEFI, а не Legacy или CSM, и включите Secure Boot на вкладке Boot или Security. После этого проверьте результат в Windows. Статья предназначена для ИT-администраторов, у которых на отдельном ПК или во всем парке устройств отключен Secure Boot либо Windows 11 сообщает, что компьютер не может его запустить. В ней показано, как проверить текущее состояние, включить эту настройку, преобразовать диск из MBR в GPT, если прошивка застряла в устаревшем режиме, и проверить результат в Intune.

Ключевые выводы

• Безопасная загрузка — это параметр прошивки UEFI, поэтому включается он в настройках прошивки, а не в Windows. Откройте их через «Параметры», «Система», «Восстановление», «Особые варианты загрузки».
• Для безопасной загрузки прошивка должна работать в режиме UEFI. Если ПК работает в режиме Legacy или CSM, сначала переключите его на UEFI. Названия пунктов меню зависят от производителя.
• Установка в режиме BIOS на диск MBR обычно требует предварительного преобразования в GPT с помощью MBR2GPT, прежде чем прошивка сможет работать в режиме UEFI. Это преобразование нельзя отменить, поэтому сначала сделайте резервную копию.
• Проверьте результат командлетом Confirm-SecureBootUEFI в PowerShell от имени администратора. Значение True означает, что безопасная загрузка включена.
• В Intune параметр соответствия «Требовать безопасную загрузку» зависит от аттестации работоспособности устройства и TPM 2.0. Устройство без TPM 2.0 отображается как несоответствующее.

Что делает безопасная загрузка и почему Windows 11 её требует

Microsoft описывает безопасную загрузку как функцию безопасности, которая помогает предотвратить загрузку неавторизованного программного обеспечения при запуске ПК. Когда она включена, прошивка перед стартом проверяет, что загрузчик подписан доверенным сертификатом, после чего Windows продолжает цепочку доверия. Подробности есть на Microsoft Learn в статье Secure the Windows boot process.

Для Windows 11 соответствующие требования указаны в аппаратных требованиях: системная прошивка должна быть UEFI и поддерживать безопасную загрузку, а ПК должен иметь TPM 2.0. Слово «поддержка» часто вводит людей в заблуждение. ПК может поддерживать безопасную загрузку и при этом иметь её выключенной или работать в устаревшем режиме, в котором её невозможно использовать. На странице Microsoft о безопасной загрузке для Windows 11 сказано, что для её включения режим загрузки нужно переключить с Legacy (также называемого режимом CSM) на UEFI, а если прошивка предлагает оба варианта, UEFI должен быть первым или единственным.

Сначала проверьте текущее состояние

Прежде чем трогать прошивку, выясните, что у вас есть. Это займёт минуту и сэкономит перезагрузку.

1. Откройте PowerShell от имени администратора.
2. Выполните Confirm-SecureBootUEFI.

Microsoft Learn описывает результат так: True, если компьютер поддерживает Secure Boot и функция включена, и False, если она поддерживается, но отключена. Если компьютер не поддерживает Secure Boot или работает в режиме BIOS (не UEFI), командлет сообщает, что на этой платформе функция не поддерживается. Командлет нужно запускать из консоли с правами администратора, иначе появится сообщение об отказе в доступе.

Можно также выполнить msinfo32 и посмотреть раздел Сведения о системе. Строка BIOS Mode должна показывать UEFI. В статье поддержки Microsoft по устранению неполадок Intune для проверки BIOS Mode и PCR7 Configuration используется тот же инструмент. В System Information также есть строка Secure Boot State, которая может показывать On, Off или Unsupported. Эта строка не описана на страницах Microsoft, которые я использовал, поэтому сначала ориентируйтесь на результат PowerShell.

После изменения в руководстве Microsoft по включению есть ещё одна проверка: откройте Параметры, затем Безопасность, Защита целостности и убедитесь, что Secure Boot показывает Вкл. Название пункта может отличаться в зависимости от сборки Windows.

Если Confirm-SecureBootUEFI сообщает, что платформа не поддерживается, значит, у вас та самая ситуация, о которой в основном и идёт речь в этой статье: компьютер загружается в устаревшем режиме.

Включение Secure Boot в настройках UEFI

Эта настройка находится в прошивке, поэтому её нужно открыть. Приведённые ниже шаги взяты из руководства Microsoft по включению Secure Boot.

1. Сохраните свою работу. Откройте Параметры, затем Система, затем Восстановление.
2. Рядом с пунктом Расширенный запуск выберите Перезагрузить сейчас.
3. На экране Выбор действия выберите Поиск и устранение неисправностей, затем Дополнительные параметры.
4. Выберите Параметры встроенного ПО UEFI, затем Перезагрузить.
5. В прошивке найдите настройку Secure Boot, которая обычно находится на вкладке Boot или Security. Если режим загрузки – Legacy или CSM, сначала переключите его на UEFI.
6. Включите Secure Boot, сохраните настройки и выйдите.

Меню и формулировки отличаются у разных производителей, и Microsoft не даёт единого общего пути. В её руководстве есть ссылки на инструкции производителей для Surface, Acer, ASRock, ASUS, BIOSTAR, Colorful, Dell или Alienware, GIGABYTE или AORUS, HP или OMEN, Lenovo и MSI. Если вы собрали компьютер сами, используйте руководство производителя материнской платы. На Surface шаги описаны в статье о UEFI для Surface: выберите Security, затем в разделе Secure Boot выберите Change configuration, в списке сертификатов выберите Microsoft only и нажмите OK, затем Exit и Restart now.

Предупреждение Microsoft относится к каждому производителю: неправильное изменение настроек прошивки может повлиять на безопасность компьютера или помешать его нормальной загрузке. Меняйте только те параметры Secure Boot, которые описаны вашим производителем. Если после этого компьютер не запускается, войдите в прошивку и отмените последнее изменение.

Когда компьютер работает в устаревшем режиме с диском MBR

Это самый упрямый случай. Прошивка может предложить режим UEFI, но Windows была установлена в устаревшем режиме на диск MBR, поэтому переход на UEFI приводит к тому, что компьютер не загружается. Решение – преобразовать диск в GPT. Инструмент Microsoft MBR2GPT делает это без изменения или удаления данных на диске.

Сначала проверьте стиль разделов. В PowerShell выполните Get-Disk | ft -Auto и посмотрите столбец Partition Style, в котором указано MBR или GPT. В управлении дисками (diskmgmt.msc) можно открыть Свойства диска и посмотреть Стиль раздела на вкладке Тома.

Затем проверьте требования Microsoft. Устройство должно поддерживать UEFI, диск должен быть системным, и на нём должно быть место для структур GPT. Диск может содержать не более трёх основных разделов и не должен содержать расширенных или логических разделов. Если том зашифрован с помощью BitLocker, сначала нужно приостановить защиту.

1. Создайте резервную копию компьютера. В выводе самого инструмента есть предупреждение, что изменения нельзя отменить.
2. Приостановите BitLocker, если он включён.
3. Проверка: MBR2GPT /validate /allowFullOS (или /disk:0 из Windows PE).
4. Преобразование: MBR2GPT /convert /allowFullOS.
5. Перезагрузите компьютер в прошивку и переключите режим загрузки на UEFI. Microsoft однозначно указывает на это: после этого диск может загружаться только в режиме GPT, а система не будет загружаться корректно, пока прошивка не переведена в UEFI.
6. Включите Secure Boot, как описано выше, и возобновите BitLocker.

По умолчанию средство запускается из командной строки Windows PE. Параметр /allowFullOS позволяет запускать его в полноценной операционной системе; в этом случае оно создаёт новый системный раздел EFI, уменьшая раздел ОС. Код возврата 0 означает успех. Код 100 означает, что преобразование прошло успешно, но некоторые записи BCD не удалось восстановить. Подробности смотрите в setupact.log и setuperr.log. На странице Microsoft указано, что поддерживаются Windows 10 и Windows 11.

Проверьте также TPM 2.0

Windows 11 требует одновременно Secure Boot и TPM 2.0, а проверка Secure Boot в средствах управления обычно зависит от TPM. Чтобы проверить, нажмите Windows + R, введите tpm.msc и посмотрите значение Specification Version в разделе TPM Manufacturer Information. Если вы видите сообщение «Compatible TPM cannot be found», возможно, TPM отключён в прошивке.

На странице Microsoft о включении TPM 2.0 сказано искать подменю с названием Advanced, Security или Trusted Computing. Параметр может называться Security Device, Security Device Support, TPM State, AMD fTPM или Intel PTT. TPM версии ниже 2.0 нельзя исправить простым включением, потому что устройство не соответствует требованиям Windows 11.

Для администраторов: проверьте Secure Boot в Intune и Autopilot

В Microsoft Intune параметр соответствия Windows Require Secure Boot to be enabled on the device имеет два варианта: Not configured и Require. Microsoft описывает его как требование, чтобы устройство загружалось в доверенном на заводе состоянии, при котором основные компоненты загрузки проверяются прошивкой UEFI. Подвох содержится в статье по устранению неполадок: проверка опирается на аттестацию состояния устройства (device health attestation), для которой нужен TPM 2.0 или более новая версия. Устройство без TPM 2.0 получает статус Not Compliant, даже если Secure Boot включён, а сам TPM 2.0 требует прошивки UEFI.

Если устройство с включённым Secure Boot получает статус «не соответствует», Microsoft рекомендует проверить следующее:

1. Выполните tpm.msc и проверьте версию спецификации.
2. Выполните msinfo32 и убедитесь, что BIOS Mode имеет значение UEFI, а PCR7 Configuration имеет значение Bound.
3. Выполните Confirm-SecureBootUEFI в командной строке от имени администратора; ожидаемый результат — True.
4. Выполните manage-bde -protectors -get $env:systemdrive и убедитесь, что диск защищён PCR 7.

Если устройство не проходит какой-либо из этих шагов, статус Not Compliant ожидаем, и исправлять нужно аппаратную часть или прошивку, а не политику. В справочнике Microsoft по соответствию требованиям Windows для устройств Windows 10 упоминается Device Health Attestation, поэтому для деталей по Windows 11 сверяйтесь с актуальной документацией.

Для развёртываний с Windows Autopilot проверка прошивки входит в подготовку оборудования. Режим самостоятельного развёртывания (self-deploying) требует TPM 2.0 и аттестации TPM-устройства, и устройство без них не может использовать этот режим.

Сертификаты Secure Boot и дата июня 2026 года

Microsoft обновляет сертификаты Secure Boot, впервые выпущенные в 2011 году, и они начнут истекать в июне 2026 года. Microsoft утверждает, что на поддерживаемых версиях Windows обновление происходит автоматически. Для вашего парка устройств это повод держать Secure Boot включённым и Windows обновлённым, а не повод вручную вмешиваться в прошивку. Microsoft ссылается на отдельное руководство по обновлению, управляемому Microsoft, поэтому прочитайте его, прежде чем планировать любые ручные действия.

Распространённые ошибки

• Ищете эту настройку в Windows? Это параметр прошивки, а Windows может только показать его состояние.
• Переход на UEFI при установке с MBR. Компьютер не загружается, пока диск не будет преобразован или Windows не будет переустановлена в режиме UEFI.
• Преобразование диска при включённой защите BitLocker. Сначала приостановите её.
• Пропуск резервного копирования перед MBR2GPT. Преобразование нельзя отменить.
• Трактовка результата Not Compliant в Intune как проблемы Secure Boot, когда причина в отсутствии TPM 2.0.
• Оставление Secure Boot выключенным после устранения неполадок. Microsoft рекомендует включить его обратно, как только проблема решена.

Смежные темы для изучения

• Как попасть в прошивку, если Windows не запускается? В статье о том, как открыть BIOS в Windows 11, описан путь восстановления.
• Что делать, если Secure Boot блокирует мою флешку с USB? Microsoft говорит, что для загрузки некоторых носителей может понадобиться временно его отключить. См. статью о загрузочной USB-флешке Windows 11.
• Какой TPM есть в моём ПК? Используйте tpm.msc и сравните результат с требованиями Windows 11.
• Как обеспечить выполнение этого требования на множестве ПК? Объедините политику соответствия Intune с проверкой оборудования в вашем процессе развёртывания.

Следующий шаг

Выполните Confirm-SecureBootUEFI на одном ПК сегодня и запишите результат; если проверка не проходит, проверьте стиль разбиения диска. Когда вы узнаете, работает ли ПК в режиме UEFI, порядок включения Secure Boot в Windows 11 сведётся к короткому списку изменений в прошивке, а не к догадкам.