Aviso da Inicialização Segura no Windows: o que fazer

Se apareceu um aviso amarelo ou vermelho em Segurança do Windows falando de Inicialização Segura, o primeiro passo é abrir Segurança do Windows > Segurança do dispositivo > Inicialização Segura e ler a frase que está escrita ali, porque é ela que diz se o seu PC só está esperando a vez no Windows Update, se depende de uma atualização de BIOS do fabricante ou se a Microsoft pausou a troca de certificado pro seu modelo. Na maioria dos casos de PC doméstico o que resolve é instalar tudo que estiver pendente em Configurações > Windows Update, reiniciar quantas vezes ele pedir e conferir de novo no dia seguinte.

O PC não vai parar de ligar por causa disso, e eu começo por aqui porque é a dúvida que mais assusta. O último certificado de 2011 que a Microsoft usava pra assinar o carregador do Windows venceu em 19 de outubro de 2026, e a própria Microsoft escreve que o computador que não recebeu o novo continua iniciando e funcionando normalmente. O que ele perde é a capacidade de receber correções novas da parte de inicialização, então não é pânico, mas também não é um aviso pra clicar em Ignorar e esquecer.

O que venceu e por que o seu PC recebeu o aviso

A Inicialização Segura, que no inglês aparece como Secure Boot, é a checagem que o firmware da placa-mãe faz antes do Windows carregar, conferindo se o carregador do sistema foi assinado por alguém em quem ele confia. Essa confiança vem de certificados gravados no próprio firmware, e os que vinham de fábrica na maioria dos PCs foram emitidos em 2011, então tinham prazo pra acabar. Os dois primeiros venceram em junho de 2026 e o terceiro, o Microsoft Windows Production PCA 2011, venceu agora em outubro, segundo o Windows Latest, que trouxe o detalhe das datas.

A troca pelos certificados de 2023 é feita pelo Windows Update, em geral sem você precisar fazer nada, só que ela é liberada em ondas e depende do firmware aceitar a gravação. Por isso dois notebooks iguais na mesma casa podem estar em situações diferentes, um com o selo verde e outro ainda com aviso amarelo, e isso não quer dizer que um deles está com defeito.

Na página da Microsoft sobre o status no app Segurança do Windows está explicado que esse indicador começou a aparecer em abril de 2026, de forma gradual, e que em PC de empresa gerenciado pela TI os selos coloridos e as notificações vêm desligados por padrão, embora o texto de status continue lá. Então se o seu notebook do trabalho não mostra cor nem alerta, provavelmente é configuração da empresa e quem resolve é a TI, não você.

Cada mensagem da tela e o que eu faria com ela

A frase que aparece embaixo de Inicialização Segura muda conforme o caso, e cada uma pede uma atitude diferente. Montei a tabela com o texto da Microsoft em português, resumido, e o que eu faria em cada situação.

O que a tela diz	O que significa	O que eu faria
Todas as atualizações de certificados necessárias foram aplicadas	Troca concluída	Nada, só manter o Windows atualizado
Seu dispositivo está usando uma configuração de confiança de inicialização mais antiga	Ainda não recebeu os certificados novos	Instalar o que estiver pendente no Windows Update e reiniciar
As atualizações de certificado estão pausadas temporariamente	A Microsoft segurou o seu modelo por um problema conhecido	Esperar, porque volta sozinho quando o problema for resolvido
Ainda não existem dados suficientes pra classificar seu dispositivo	O seu modelo ainda está em validação	Ver aka.ms/getsecureboot, como a Microsoft orienta, e conferir de novo em uma ou duas semanas
Não oferece suporte à atualização automatizada	Limitação de hardware ou de firmware	Procurar BIOS nova no site do fabricante e, se não houver, falar com o suporte dele
Não pode mais receber atualizações necessárias pra experiência de inicialização	Passou do prazo ainda com o certificado antigo	Atualizar BIOS e Windows, e se não mudar, falar com o fabricante

Um detalhe que a Microsoft faz questão de escrever na mesma página é que a marca verde sozinha não confirma que os certificados foram trocados, então vale ler o texto e não só olhar a cor. Já o botão Ignorar, que aparece no aviso amarelo, só pausa as notificações e o status continua lá, e no vermelho a opção equivalente, Aceito os riscos, não me lembre, exige privilégios de administrador. Eu não usaria nenhum dos dois antes de tentar as atualizações, até porque silenciar o aviso não troca certificado nenhum.

Por onde eu começaria, na ordem

Primeiro confirme se a Inicialização Segura está ligada, porque se ela estiver desligada o aviso é outro e a troca de certificado nem acontece. O jeito mais rápido é apertar Windows + R, digitar msinfo32 e procurar a linha Estado da Inicialização Segura no Resumo do sistema, que vai mostrar Ativado, Desativado ou Sem suporte. Isso leva uns 30 segundos.

Depois vá em Configurações > Windows Update, clique em Verificar se há atualizações e instale tudo, inclusive o que aparece em Opções avançadas > Atualizações opcionais quando houver item de firmware do fabricante. O PC pode reiniciar mais de uma vez nesse processo, e segundo o Windows Latest também é esperado aparecer uma pasta nova chamada SecureBoot dentro de C:\Windows, então não estranhe nem apague essa pasta.

Antes de mexer em BIOS, guarde a chave de recuperação do BitLocker. Notebook que já veio com criptografia de dispositivo ligada costuma ter essa chave salva na conta Microsoft usada na configuração inicial, e é bom conferir que ela está lá antes de qualquer atualização de firmware, porque o Windows Latest registrou casos de notebook HP entrando em loop pedindo essa chave depois de uma BIOS de abril. Se o Windows pedir a chave uma vez só depois de atualizar, o guia de solução de problemas da Microsoft trata como algo passageiro, mas se pedir em toda inicialização aí é caso pra ver a ordem de boot e o suporte do fabricante.

Agora, se mesmo atualizado o status continuar amarelo por mais de duas semanas, o próximo passo é a BIOS. Entre no site de suporte do fabricante com o modelo exato que está na etiqueta embaixo do notebook ou na caixa da placa-mãe, e veja se há versão nova citando Secure Boot ou os certificados de 2023. A ASUS tem uma página em português sobre isso que diz que alguns sistemas podem exigir atualização de firmware, o que já mostra que nem todo modelo vai precisar.

Eu não achei uma lista pública, de nenhum fabricante grande, dizendo modelo por modelo quem precisa de BIOS nova e quem resolve só com o Windows Update. Então a conferência é na página do seu modelo mesmo, e se não houver BIOS nova nem menção ao assunto, eu abriria chamado com o fabricante perguntando direto, citando o nome do certificado e a mensagem que aparece na tela.

O que não fazer, mesmo parecendo que resolve

Não desligue a Inicialização Segura pro aviso sumir. A Microsoft diz com todas as letras no artigo sobre o vencimento dos certificados que desligar reduz bastante a proteção do aparelho, e o Windows Latest acrescenta um risco pouco comentado, que é o de religar depois e o PC não dar boot porque o firmware só confia no certificado antigo.

Também não use a opção de restaurar as chaves da Inicialização Segura pros padrões de fábrica dentro da BIOS. O guia da Microsoft pede pra evitar isso, salvo quando o fabricante já tenha incluído os padrões novos, porque a restauração pode trazer de volta só o certificado de 2011 e o Windows deixar de iniciar. Eu sei que é tentador clicar em tudo que parece reset quando aparece aviso, mas nesse caso é o tipo de clique que transforma um aviso amarelo num PC que não liga.

E não baixe BIOS de site que não seja o do fabricante nem de outro modelo parecido, por mais que o fórum diga que funciona. BIOS errada pode inutilizar a placa, e aí o conserto é na assistência.

Windows 10, PC montado e máquina antiga

Já pra quem ainda está no Windows 10, a situação depende de uma coisa só: estar ou não no programa de Atualizações de Segurança Estendidas, o ESU. Segundo o Windows Latest, o Windows 10 só recebe os certificados novos com o ESU ativo, então PC com Windows 10 sem o programa vai continuar com o certificado antigo e mostrar o aviso. Eu expliquei o que mudou no prazo do Windows 10 neste outro post, e se a sua máquina aceita Windows 11, pra mim é a hora de migrar.

PC montado em casa tem um passo a mais, porque a BIOS vem do fabricante da placa-mãe e não de uma marca de computador. Busque pelo modelo exato da placa, que aparece no msinfo32 na linha Produto da Placa Base, e confira a página de suporte dela. Placa muito antiga pode não ganhar BIOS nova, e a Dell, por exemplo, avisou que não vai lançar atualização pra plataformas que saíram do período de suporte antes de 1º de janeiro de 2026, e eu não me surpreenderia se outros fabricantes fizessem o mesmo.

Nesse caso, de máquina sem BIOS nova e sem previsão, o PC segue funcionando e recebendo as atualizações normais do Windows, só fica sem as proteções novas da inicialização. Pra uso em casa, com antivírus ativo e sem instalar programa de origem duvidosa, eu não trocaria de computador só por isso. Claro que essa é uma conta de risco, e ela muda se o PC for usado por várias pessoas que instalam de tudo. Agora se for máquina de trabalho com dado sensível, eu levaria o aviso em conta na hora de planejar a troca, e trocaria antes.

Se depois de tudo isso o computador começar a pedir a chave do BitLocker em toda inicialização, ou travar antes de aparecer o logo do Windows, aí eu pararia de mexer e levaria numa assistência autorizada do fabricante, porque daí em diante o conserto depende de ferramenta e de firmware que só eles têm. E se o seu problema for um SSD que sumiu da BIOS depois de mexer nessas configurações, tem um passo a passo aqui.