Secure Boot e TPM 2.0 para anti-cheat: como verificar e ativar

O VALORANT para em VAN 9001 ou VAN 9003, o Battlefield 6 mostra um erro de Secure Boot, o Call of Duty informa um Failed Attestation Status ou o FACEIT mostra um erro. Todos querem o TPM 2.0 e o Secure Boot ativados no firmware do PC. A Microsoft observa que a maioria das placas-mãe de varejo para PCs montados pelo próprio usuário vem com o TPM desativado "even though it is almost always available to be enabled" (embora, em praticamente todos os casos, esteja disponível para ser ativado), então verifique antes de comprar qualquer coisa. As armadilhas no caminho são o BitLocker e um disco do sistema MBR.

O que o anti-cheat está verificando

O Secure Boot "ajuda a impedir o carregamento de softwares mal-intencionados quando um computador Windows é iniciado", diz a Microsoft, permitindo que só software confiável e assinado digitalmente rode durante a inicialização. O alvo dele são os rootkits: segundo a Microsoft, eles iniciam antes do sistema operacional, o que significa que podem se esconder por completo.

O TPM transforma isso em prova. A FACEIT explica que ele faz um "Measured Boot", registrando uma impressão digital de cada componente da cadeia de inicialização, e pode entregar ao anti-cheat um relatório assinado, chamado atestado, de que a inicialização foi limpa. A FACEIT também afirma que o TPM e o Secure Boot não afetam o desempenho.

Quem pede o quê, em outubro de 2026

O Windows 11 pede só um PC "Secure Boot capable" (compatível com Secure Boot), não que o Secure Boot esteja ligado.

Veja o que você tem

Informações do Sistema. Aperte Windows + R, digite msinfo32, aperte Enter e leia Modo da BIOS e Estado da Inicialização Segura. O guia da Riot os interpreta assim:

"TPM Management" (gerenciamento do TPM). Execute tpm.msc: você quer ver "o TPM está pronto para uso" e uma Versão da Especificação 2.0 em Informações do Fabricante do TPM. A Microsoft interpreta "TPM compatível não pode ser encontrado" como um TPM que pode estar desativado.

Segurança do Windows. Em Segurança do dispositivo > Detalhes do processador de segurança, a FACEIT quer "Attestation" (atestado) e "Storage" (armazenamento) os dois como "Ready" (pronto). Se não houver nenhuma seção Processador de segurança, diz a Microsoft, provavelmente não há TPM ou ele está desligado no firmware.

Num PC em Legacy, o Gerenciamento de disco mostra o Estilo de partição do disco do Windows: no painel de baixo, clique com o botão direito no número desse disco, como Disco 0, e depois em Propriedades > Volumes.

O w0a lê os seis requisitos e mostra onde fica cada chave; FPS baixo e engasgos no CS2 traz a lista.

Antes de mudar qualquer coisa: BitLocker

O BitLocker protege a unidade contra roubo ou exposição de dados em dispositivos perdidos, roubados ou descartados de forma inadequada, segundo a Microsoft, e mudanças no modo como o PC inicia podem fazê-lo pedir a chave de recuperação de 48 dígitos. Entre os gatilhos que a Microsoft lista estão limpar o TPM, mudanças no gerenciador de inicialização e na tabela de partições, e uma atualização de firmware da BIOS ou UEFI, então vários passos abaixo estão na lista. A criptografia do dispositivo, a forma automática do BitLocker, pode se ativar sozinha quando um PC passa a se qualificar, por exemplo ao ligar o Secure Boot, diz a Microsoft.

1. Antes da primeira reinicialização para o firmware, encontre a sua chave de recuperação e guarde-a fora deste PC. Para uma conta Microsoft, a página da Microsoft aponta para aka.ms/myrecoverykey; segundo a Microsoft, o Suporte da Microsoft não tem como recuperar, fornecer ou recriar uma chave de recuperação do BitLocker perdida.
2. Se Painel de Controle > Criptografia de Unidade de Disco BitLocker mostrar a unidade protegida, selecione Suspender proteção antes de cada reinicialização para o firmware. A unidade continua criptografada, mas a chave dela fica guardada em claro até a proteção voltar automaticamente na reinicialização seguinte.

Ative os dois, nesta ordem

1. Se o disco for MBR, converta-o primeiro, a partir do Windows. A Riot avisa: "Se você mudar sua BIOS para UEFI sem converter sua unidade primeiro, o Windows não vai inicializar." O MBR2GPT da Microsoft converte o disco do sistema "sem alterar nem excluir dados no disco", mas a saída dele avisa "These changes cannot be undone!" (essas mudanças não podem ser desfeitas), então faça um backup antes e confirme que o PC tem suporte a UEFI. Numa unidade criptografada, o MBR2GPT precisa do BitLocker suspenso e de os protetores dele serem recriados depois; a Riot e a Activision pedem, em vez disso, que a criptografia seja desligada, o que deixa a unidade sem proteção até ela ser religada. Num Prompt de Comando de administrador, rode mbr2gpt /validate /allowFullOS, depois, se passar, mbr2gpt /convert /allowFullOS, e vá direto para o firmware.
2. Abra as configurações do firmware. No Windows 11, vá em Configurações > Sistema > Recuperação e selecione Reiniciar agora ao lado de Inicialização avançada (no Windows 10: Configurações > Atualização e Segurança > Recuperação), depois Solução de problemas > Opções avançadas > Configurações de firmware UEFI > Reiniciar. Ou aperte a tecla do firmware ao ligar o PC; a Riot cita Del, F2 ou F10.
3. Modo de inicialização UEFI, CSM desligado. Onde UEFI e Legacy/CSM podem estar ativados ao mesmo tempo, a Microsoft diz para "escolher que a UEFI seja a primeira ou única opção"; a Riot e a Activision dizem para desativar o CSM se a opção existir.
4. Ative o TPM de firmware. A Microsoft diz que às vezes ele fica em Advanced, Security ou Trusted Computing, com nomes como Security Device, Security Device Support, TPM State, AMD fTPM switch, AMD PSP fTPM, Intel PTT ou Intel Platform Trust Technology. Para o VAN: RESTRICTION, a Riot exige o TPM de firmware, não só um módulo dedicado.
5. Coloque o Secure Boot em Enabled. Em placas ASUS, a FACEIT diz para usar "Windows UEFI Mode". Se a opção estiver acinzentada, a Activision diz para selecionar o modo UEFI, salvar e abrir o firmware de novo; se continuar cinza, a correção da Riot é "Restore Factory Keys", em "Key Management", o que, com o BitLocker ativado, "alterará suas medições de TPM e acionará a recuperação do BitLocker na próxima inicialização".
6. Salve, inicie o Windows e verifique de novo. Modo da BIOS em UEFI, Estado da Inicialização Segura Ativado, TPM pronto e na versão 2.0; a EA observa que algumas versões do Windows podem precisar de mais uma reinicialização.

Se está ativado e o jogo ainda recusa

• Firmware antigo. A Riot avisa: "Uma BIOS antiga pode indicar que a Inicialização Segura está "habilitada", mas falhar nas verificações de política que o Vanguard exige." Instale a BIOS mais recente para a sua placa exata, que o msinfo32 mostra em "BaseBoard Manufacturer" e "BaseBoard Product" (fabricante e produto da placa-mãe).
• TPM AMD na versão 3.*.0.*. Se o tpm.msc mostrar AMD com uma "Manufacturer Version" (versão do fabricante) como 3.92.0.5, a FACEIT e a Activision apontam as duas para uma atualização da BIOS.
• Loops de inicialização ou travamentos depois de uma mudança. O conselho da FACEIT: desfaça a última mudança no firmware, atualize a BIOS e depois reative os recursos um por vez.
• "Secure Boot Violation" ou "Invalid Signature Detected". A FACEIT diz que os certificados de Secure Boot da placa estão desatualizados, e que as atualizações de BIOS modernas trazem os certificados da Microsoft de 2023 exigidos. O caminho dela desliga o Secure Boot só para iniciar e atualizar; enquanto ele está desligado, o PC fica sem essa proteção, e a Microsoft recomenda reativá-lo depois que o problema for resolvido.

A troca de certificados de 2026

Os certificados da Microsoft em que o Secure Boot se apoia foram emitidos em 2011 e começaram a expirar em 24 de junho de 2026; o último expira em 19 de outubro. Os substitutos de 2023 chegam pelo Windows Update, e segundo a Microsoft, para a maioria dos usuários em sistemas Windows com suporte, nenhuma ação é necessária. Desde abril de 2026, a Segurança do Windows vem liberando um status dos certificados em Segurança do dispositivo > Inicialização segura; a Microsoft avisa que uma marca de seleção verde sozinha não confirma que os seus certificados foram atualizados, então procure a linha dizendo que todas as atualizações de certificado exigidas foram aplicadas.

O que não ajuda

• Desligar o Secure Boot para calar um aviso. A Microsoft diz que o Secure Boot não deve ser desativado para contornar a expiração dos certificados, porque isso reduz bastante a proteção do dispositivo e remove salvaguardas contra malware no nível da inicialização. Os jogos acima também param.
• Desligar o fTPM da AMD para curar engasgos. A Riot diz que a AMD corrigiu os engasgos do fTPM dos primeiros sistemas Ryzen em atualizações de BIOS posteriores, e que desligar o fTPM custa os jogos com Vanguard.
• Limpar o TPM como primeira correção. Isso pode acionar a recuperação do BitLocker, e a Microsoft diz para fazer backup dos seus dados antes.

Relacionados

• FPS baixo e engasgos no CS2: um checklist medido
• Ligar a integridade de memória de volta
• Resizable BAR e Smart Access Memory: o que é e como verificar
• Intel de 13ª e 14ª geração travando nos jogos: a correção que importa
• Configurações do Windows 11 que realmente importam nos jogos