Para saber se o PC está preparado para a troca dos certificados do Secure Boot, a verificação principal em 2026 é feita no aplicativo Segurança do Windows: abra Segurança do dispositivo > Inicialização Segura e leia a mensagem de status dos certificados. Desde abril de 2026, a Microsoft passou a mostrar ali se as atualizações necessárias de certificados foram aplicadas. Uma marca verde sozinha não basta: o estado realmente conclusivo é o que informa que a Inicialização Segura está ativada, que as atualizações de certificado necessárias foram aplicadas e que não há mais mudanças pendentes.
Essa checagem ficou importante porque os certificados da Microsoft emitidos em 2011 não vencem todos no mesmo dia. Em 2026, parte deles já alcançou a data de expiração em junho, enquanto o certificado usado para assinar o carregador de inicialização do Windows vence em outubro. O computador não necessariamente deixa de ligar quando um certificado antigo expira; o problema é perder a capacidade de receber novas proteções para a cadeia de inicialização.
Quais certificados de 2011 vencem em 2026
A Microsoft publicou o cronograma oficial de substituição. Os novos certificados de 2023 precisam ser incorporados às bases de confiança do firmware para que o Windows continue recebendo atualizações de segurança relacionadas ao processo de boot.
| Certificado de 2011 | Validade | Substituição de 2023 | Função principal |
|---|---|---|---|
| Microsoft Corporation KEK CA 2011 | 24 de junho de 2026 | Microsoft Corporation KEK 2K CA 2023 | Assina atualizações para as bases DB e DBX do Secure Boot. |
| Microsoft UEFI CA 2011 | 27 de junho de 2026 | Microsoft UEFI CA 2023 e Microsoft Option ROM UEFI CA 2023 | Confiança para carregadores UEFI, aplicativos EFI e ROMs de opção de terceiros. |
| Microsoft Windows Production PCA 2011 | 19 de outubro de 2026 | Windows UEFI CA 2023 | Assina o carregador de inicialização do Windows. |
Isso significa que, em setembro de 2026, as datas de 24 e 27 de junho já passaram, enquanto 19 de outubro ainda é um marco relevante para o certificado ligado ao Windows Boot Manager. A referência oficial e atualizada está na página Expiração do certificado de Inicialização Segura do Windows e atualizações da AC.
Como verificar se o Windows recebeu os certificados de 2023
- Abra o menu Iniciar e pesquise por Segurança do Windows.
- Entre em Segurança do dispositivo.
- Abra a seção Inicialização Segura.
- Leia a mensagem completa exibida junto ao status, não apenas a cor ou o ícone.
O melhor resultado é o estado que a Microsoft chama de totalmente atualizado: o dispositivo recebeu as atualizações de certificado de Secure Boot necessárias e também o Gerenciador de Inicialização atualizado. Nesse caso, nenhuma ação adicional é indicada.
Se aparecer um estado equivalente a ainda não atualizado, o PC ainda usa uma configuração de confiança mais antiga. A orientação para usuários domésticos é manter o computador conectado à internet, instalar as atualizações mais recentes do Windows e reiniciar quando solicitado. A distribuição é gradual e, em muitos PCs compatíveis que recebem atualizações diretamente da Microsoft, ocorre automaticamente pelo Windows Update.
A Microsoft também pode mostrar um aviso amarelo quando existe uma recomendação acionável ou uma limitação de hardware/firmware, e um estado vermelho quando há uma vulnerabilidade de boot que não pode ser atendida na configuração atual. Os detalhes desses estados estão em Status de atualização de certificado de Inicialização Segura no aplicativo Segurança do Windows.
O msinfo32 ajuda, mas não confirma a migração para 2023
Há uma segunda checagem útil: pressione Windows + R, digite msinfo32 e procure por Estado da Inicialização Segura. Se estiver como ativada, o recurso Secure Boot está ligado no firmware.
Esse teste, porém, responde apenas se a Inicialização Segura está habilitada. Ele não substitui o status de atualização de certificados mostrado pela Segurança do Windows. Um PC pode ter Secure Boot ativado e ainda estar usando uma configuração de confiança antiga.
Continuar iniciando não é o mesmo que continuar recebendo novas proteções de boot
| Situação | O que acontece |
|---|---|
| Certificado antigo expira e o PC ainda não recebeu a nova confiança | O dispositivo pode continuar iniciando e funcionando normalmente; atualizações padrão do Windows também podem continuar sendo instaladas. |
| Novas correções exigem os certificados de 2023 | O dispositivo pode deixar de receber novas proteções para Windows Boot Manager, bases Secure Boot, listas de revogação e mitigações de vulnerabilidades no início da inicialização. |
| Dependências de segurança usam a confiança do Secure Boot | Cenários como reforço do BitLocker, integridade de código no boot, carregadores de terceiros e Option ROMs podem ser afetados quando dependem de uma cadeia de confiança atualizada. |
Essa distinção é central: a expiração não funciona como um “prazo de desligamento” do Windows. O risco é o PC permanecer operacional, mas ficar progressivamente para trás em proteções novas do processo de inicialização. A Microsoft explica esse comportamento em When Secure Boot certificates expire on Windows devices.
Quando procurar atualização de firmware do fabricante
Procure o suporte do fabricante do PC ou da placa-mãe quando a Segurança do Windows disser que a atualização automatizada não é suportada por limitações de hardware ou firmware, quando o aviso amarelo persistir após instalar as atualizações do Windows e reiniciar, ou quando a orientação exibida mandar contatar o OEM.
Nesses casos, o firmware UEFI pode precisar de uma atualização específica para aceitar ou aplicar corretamente as novas entradas de certificado. A Microsoft mantém uma página com links para fabricantes como Acer, ASUS, Dell, HP, Lenovo, Samsung, Positivo e outros: Páginas do Fabricante de Equipamento Original (OEM) para Inicialização Segura.
Evite desabilitar o Secure Boot apenas para eliminar um aviso de certificado. A orientação geral da Microsoft é atualizar os certificados de 2023 e, quando necessário, o firmware do fabricante, porque desligar o Secure Boot reduz a proteção contra malware e alterações maliciosas no início do boot.
O que verificar antes de concluir que há um problema
- Windows atualizado: instale as atualizações disponíveis e reinicie o PC se houver solicitação.
- Secure Boot ativado: confirme em msinfo32, mas use a Segurança do Windows para conferir os certificados.
- Mensagem de status: procure a indicação de que todas as atualizações de certificado necessárias foram aplicadas.
- Aviso amarelo ou vermelho: siga o texto mostrado pelo Windows; limitações de firmware podem exigir suporte do OEM.
- Windows 10: o suporte regular terminou em 14 de outubro de 2025; a própria Microsoft orienta que dispositivos Windows 10 precisam estar em um caminho de suporte aplicável, como ESU quando elegível, para continuar recebendo atualizações de segurança.
Resumo prático
Para a maioria dos PCs domésticos compatíveis, o caminho é simples: mantenha o Windows atualizado e confira Segurança do Windows > Segurança do dispositivo > Inicialização Segura. Se o status disser que as atualizações de certificado necessárias foram aplicadas, o PC está preparado para a nova cadeia de confiança de 2023. Se ainda houver configuração antiga, primeiro atualize e reinicie; se o Windows apontar limitação de hardware ou firmware, procure o fabricante. O ponto mais importante é não confundir “o PC ainda liga” com “o PC ainda pode receber todas as novas proteções de Secure Boot”.
