Como instalar os certificados de Inicialização Segura de 2023 no Windows 11 (e 10) antes do vencimento em 2026

• Os certificados de Inicialização Segura do Windows 11 (e 10) de 2011 expiram em junho de 2026.
• Os computadores fabricados em 2024 e posteriormente geralmente incluem as certificações de 2023. Sistemas mais antigos podem precisar de atualizações manuais.
• Estas instruções ajudam você a verificar os detalhes do certificado e a instalar manualmente os certificados de 2023.

No Windows 11 e no Windows 10, a Microsoft está validando e atualizando gradualmente os certificados de Inicialização Segura por meio de atualizações padrão do sistema. Na maioria dos casos, basta manter seu dispositivo atualizado com as atualizações de segurança mensais para garantir que ele esteja pronto antes do prazo de junho de 2026.

No entanto, se você quiser verificar ou aplicar os novos certificados de Inicialização Segura de 2023 por conta própria, poderá concluir o processo manualmente. Este guia orienta você passo a passo.

A Inicialização Segura (Secure Boot) é um recurso de segurança em nível de firmware integrado à Interface Unificada de Firmware Extensível (UEFI). Ela garante que um dispositivo seja iniciado somente com software assinado digitalmente e confiável por autoridades de certificação aprovadas. Ao validar os carregadores de inicialização e os componentes de firmware antes do carregamento do sistema operacional, a Inicialização Segura ajuda a impedir que rootkits e outros malwares de baixo nível comprometam o processo de inicialização.

Para garantir essa proteção, a Inicialização Segura utiliza chaves criptográficas conhecidas como autoridades de certificação (CAs). Essas chaves estabelecem uma cadeia de confiança entre o firmware e o sistema operacional, bloqueando códigos não assinados ou adulterados durante a inicialização.

Assim como todos os certificados digitais, as autoridades certificadoras do Secure Boot têm datas de expiração. Os certificados originais de 2011 expiram em junho de 2026. Os sistemas devem ter os certificados atualizados de 2023 instalados antes dessa data para evitar erros de validação de confiança, problemas de inicialização ou possíveis interrupções no recebimento de atualizações futuras.

Computadores fabricados em 2024 ou posteriormente geralmente são enviados com os certificados de 2023 já instalados. Para hardware mais antigo, a Microsoft está disponibilizando os certificados atualizados por meio do Windows Update como parte da manutenção de segurança contínua, mas você também pode instalar e substituir os novos certificados manualmente.

Neste guia , descreverei os passos simples para verificar e atualizar manualmente os certificados de Inicialização Segura (Secure Boot) no seu dispositivo Windows 11.

Importante: Embora este seja um processo não destrutivo, ainda assim recomendamos que você faça um backup completo do seu computador antes de prosseguir. Você foi avisado.

Instale os certificados de Inicialização Segura de 2023 no Windows 11.

Se o BitLocker estiver ativo, você deve desativar a criptografia temporariamente no PowerShell ( Suspend-BitLocker -MountPoint "C:" -RebootCount 2) antes que o firmware possa gravar as novas chaves no dispositivo. Além disso, antes de prosseguir, certifique-se de que seu computador esteja totalmente atualizado para a Atualização de Segurança de fevereiro de 2026 (KB5077181) ou posterior.

Para atualizar os certificados de Inicialização Segura antes que expirem em 2026, siga estes passos:

1. Abra o menu Iniciar .

    

    

2. Pesquise por PowerShell (ou Terminal ), clique com o botão direito do mouse no primeiro resultado e escolha a opção Executar como administrador .

3. Digite este comando para confirmar se o dispositivo está usando UEFI com Inicialização Segura ativada e pressione Enter :

   Confirmar inicialização segura UEFI

   Observação rápida: Se a saída for "Verdadeiro", você pode prosseguir com os passos abaixo. Caso contrário, você precisará habilitar a Inicialização Segura . Se estiver usando o Windows 10, talvez seja necessário até mesmo alternar do BIOS legado para o UEFI .

4. Digite este comando para verificar a data de expiração dos certificados de Inicialização Segura e pressione Enter : 

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

5. (Saída 1) Se a saída for "Verdadeiro", você tem o novo certificado (válido até 2053). Pare e não continue.

6. (Saída 2) Se a saída for “False”, é provável que você ainda esteja com o certificado de 2011 (que expira em 2026). Continue com os passos abaixo.

7. Digite este comando para definir a chave do Registro para implantar todos os certificados necessários e pressione Enter : 

   reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f

8. Digite este comando para acionar as alterações de certificado manualmente e pressione Enter :

   Iniciar-TarefaAgendada -NomeDaTarefa "\Microsoft\Windows\PI\Secure-Boot-Update"

   

9. Reinicie o computador uma vez.

10. Reinicie o dispositivo uma segunda vez e continue com o processo para verificar os certificados.

    Observação rápida: a atualização geralmente requer duas reinicializações para ser totalmente aplicada. Após a primeira reinicialização, o sistema atualiza o gerenciador de inicialização. Após a segunda, ele finaliza o registro do certificado no banco de dados UEFI.

11. Abra o menu Iniciar .

12. Pesquise por PowerShell (ou Terminal ), clique com o botão direito do mouse no primeiro resultado e escolha a opção Executar como administrador.

13. Digite este comando para verificar se a atualização foi concluída com sucesso e pressione Enter : 

    [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

Após concluir os passos, se o resultado for “Verdadeiro”, os novos certificados (válidos até 2053) foram instalados com sucesso no seu computador. Se o resultado for “Falso”, os certificados não foram instalados corretamente.

É importante observar que "Verdadeiro" confirma o registro da autoridade certificadora de 2023, mas não remove imediatamente o certificado de 2011 em todos os cenários. Alguns sistemas podem exibir ambos temporariamente.

Se o resultado continuar sendo “Falso” após o processo, verifique o Visualizador de Eventos > Logs de Aplicativos e Serviços > Microsoft > Windows > SecureBoot-Update em busca de erros. Além disso, confirme se a tarefa agendada existe executando o Get-ScheduledTask -TaskName "Secure-Boot-Update"comando.

Após a atualização, se você precisou desativar o BitLocker, pode retomar a criptografia executando o Resume-BitLocker -MountPoint "C:"comando, mesmo que -RebootCount 2ela seja retomada automaticamente após duas reinicializações.

Um ponto importante a observar é que os certificados de Inicialização Segura de 2023 não surgem do nada. A Microsoft inclui os novos certificados nas atualizações de manutenção do Windows, geralmente como parte de uma atualização cumulativa ou de segurança para o Windows 11 e dispositivos Windows 10 compatíveis. 

Na verdade, a empresa vem incluindo os novos certificados de Inicialização Segura desde o lançamento da Atualização de Segurança de fevereiro de 2026 (e versões posteriores).

Esses certificados, conhecidos como Windows UEFI CA 2023, são assinados digitalmente pela Microsoft e confiáveis ​​pelo Secure Boot.

Se os certificados já estiverem no seu computador, estas instruções irão ajudá-lo a aplicá-los imediatamente, sem precisar esperar que o sistema processe a atualização automaticamente.