Hoe installeer je de Secure Boot-certificaten van 2023 op Windows 11 (en 10) vóórdat ze in 2026 verlopen?

• De Secure Boot-certificaten voor Windows 11 (en 10) uit 2011 verlopen in juni 2026.
• Pc's die in 2024 of later zijn geproduceerd, bevatten doorgaans de certificaten van 2023. Oudere systemen vereisen mogelijk handmatige updates.
• Deze instructies helpen u bij het controleren van certificaatgegevens en het handmatig installeren van certificaten voor 2023.

Op Windows 11 en Windows 10 valideert en actualiseert Microsoft geleidelijk de Secure Boot-certificaten via standaard systeemupdates. In de meeste gevallen hoeft u alleen de maandelijkse beveiligingsupdates te installeren om ervoor te zorgen dat uw apparaat klaar is voor de deadline van juni 2026.

Als u de nieuwere Secure Boot-certificaten van 2023 echter zelf wilt controleren of toepassen, kunt u dit handmatig doen. Deze handleiding beschrijft de stappen.

Secure Boot is een beveiligingsfunctie op firmwareniveau die is ingebouwd in de Unified Extensible Firmware Interface (UEFI). Het zorgt ervoor dat een apparaat alleen opstart met software die digitaal is ondertekend en vertrouwd door erkende certificeringsinstanties. Door bootloaders en firmwarecomponenten te valideren voordat het besturingssysteem wordt geladen, helpt Secure Boot voorkomen dat rootkits en andere malware op een laag niveau het opstartproces in gevaar brengen.

Om deze bescherming te garanderen, maakt Secure Boot gebruik van cryptografische sleutels die bekend staan ​​als certificeringsinstanties (CA's). Deze sleutels leggen een vertrouwensketen vast tussen de firmware en het besturingssysteem, waardoor niet-ondertekende of gemanipuleerde code tijdens het opstarten wordt geblokkeerd.

Net als alle digitale certificaten hebben Secure Boot-certificaatinstanties een vervaldatum. De oorspronkelijke certificaten uit 2011 verlopen in juni 2026. Systemen moeten vóór die datum de bijgewerkte certificaten uit 2023 hebben geïnstalleerd om fouten bij de vertrouwensvalidatie, opstartproblemen of mogelijke onderbrekingen bij het ontvangen van toekomstige updates te voorkomen.

Computers die in 2024 of later worden geproduceerd, worden doorgaans geleverd met de certificaten van 2023 al geïnstalleerd. Voor oudere hardware levert Microsoft de bijgewerkte certificaten via Windows Update als onderdeel van het doorlopende beveiligingsonderhoud, maar u kunt de nieuwe certificaten ook handmatig installeren en vervangen.

In deze handleiding beschrijf ik de eenvoudige stappen om de Secure Boot-certificaten op uw Windows 11-apparaat te controleren en handmatig bij te werken.

Belangrijk: Hoewel dit een niet-destructief proces is, wordt u toch aangeraden een volledige back-up van uw computer te maken voordat u verdergaat. U bent gewaarschuwd.

Installeer de Secure Boot-certificaten van 2023 op Windows 11.

Als BitLocker actief is, moet u de versleuteling tijdelijk uitschakelen in PowerShell ( Suspend-BitLocker -MountPoint "C:" -RebootCount 2) voordat de firmware de nieuwe sleutels succesvol naar het apparaat kan schrijven. Zorg er bovendien voor dat uw computer volledig is bijgewerkt naar de beveiligingsupdate van februari 2026 (KB5077181) of later.

Volg deze stappen om de Secure Boot-certificaten bij te werken voordat ze in 2026 verlopen:

1. Open Start .

    

    

2. Zoek naar PowerShell (of Terminal ), klik met de rechtermuisknop op het bovenste resultaat en kies de optie 'Uitvoeren als beheerder' .

3. Typ dit commando om te bevestigen dat het apparaat UEFI gebruikt met Secure Boot ingeschakeld en druk op Enter :

   Confirm-SecureBootUEFI

   Belangrijke opmerking: Als de uitvoer "True" is, kunt u verdergaan met de onderstaande stappen. Anders moet u Secure Boot inschakelen . Als u Windows 10 gebruikt, moet u mogelijk zelfs overschakelen van de legacy BIOS naar UEFI .

4. Typ deze opdracht om de vervaldatum van de Secure Boot-certificaten te controleren en druk op Enter : 

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

5. (Uitvoer 1) Als de uitvoer "True" is, heb je het nieuwe certificaat (geldig tot 2053). Stop en ga niet verder.

6. (Uitvoer 2) Als de uitvoer "False" is, gebruikt u waarschijnlijk nog steeds het certificaat uit 2011 (dat in 2026 verloopt). Ga verder met de onderstaande stappen.

7. Typ deze opdracht om de registersleutel in te stellen voor het implementeren van alle benodigde certificaten en druk op Enter : 

   reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f

8. Typ dit commando om de certificaatwijzigingen handmatig te activeren en druk op Enter :

   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

   

9. Start de computer één keer opnieuw op.

10. Start het apparaat een tweede keer opnieuw op en ga verder met het proces om de certificaten te controleren.

    Korte opmerking: De update vereist doorgaans twee herstarts om volledig te worden toegepast. Na de eerste herstart werkt het systeem de bootmanager bij. Na de tweede wordt de certificaatregistratie in de UEFI-database voltooid.

11. Open Start .

12. Zoek naar PowerShell (of Terminal ), klik met de rechtermuisknop op het bovenste resultaat en kies de optie 'Uitvoeren als beheerder'.

13. Typ dit commando om te controleren of de update succesvol is voltooid en druk op Enter : 

    [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

Als u de stappen hebt voltooid, betekent het resultaat dat de nieuwe certificaten (geldig tot 2053) succesvol op uw computer zijn geïnstalleerd. Als het resultaat 'False' is, zijn de certificaten niet correct geïnstalleerd.

Het is belangrijk om te weten dat "True" de inschrijving van de certificeringsinstantie voor 2023 bevestigt, maar dat het certificaat voor 2011 niet in alle gevallen direct wordt verwijderd. Sommige systemen kunnen tijdelijk beide certificaten weergeven.

Als de uitvoer na het proces "False" blijft, controleer dan de Logboeken > Toepassings- en servicelogboeken > Microsoft > Windows > SecureBoot-Update op fouten. Controleer ook of de geplande taak bestaat door de Get-ScheduledTask -TaskName "Secure-Boot-Update"opdracht uit te voeren.

Als je BitLocker na de update hebt uitgeschakeld, kun je de versleuteling hervatten door het Resume-BitLocker -MountPoint "C:"commando uit te voeren, ook al -RebootCount 2wordt deze na twee herstarts automatisch hervat.

Het is belangrijk om te weten dat de Secure Boot-certificaten van 2023 niet zomaar uit de lucht komen vallen. Microsoft voegt de nieuwe certificaten toe aan Windows-onderhoudsupdates, meestal als onderdeel van een cumulatieve update of beveiligingsupdate voor Windows 11 en ondersteunde Windows 10-apparaten. 

Het bedrijf voegt de nieuwe Secure Boot-certificaten al toe sinds de release van de beveiligingsupdate van februari 2026 (en latere releases).

Deze certificaten, bekend als Windows UEFI CA 2023, zijn digitaal ondertekend door Microsoft en worden vertrouwd door Secure Boot.

Als de certificaten al op uw computer staan, kunt u ze met deze instructies direct toepassen zonder te hoeven wachten tot het systeem de update automatisch verwerkt.