Secure Boot e TPM 2.0 para anti-cheat (VALORANT, FACEIT): como verificar e ativar

Confira o TPM 2.0 e o Secure Boot no msinfo32 e no tpm.msc, salve a sua chave de recuperação do BitLocker, converta um disco do sistema MBR e então ative o TPM do firmware e o Secure Boot nas configurações do firmware do PC. É isso que pedem o VAN 9001 e o VAN 9003 do VALORANT, o erro de Secure Boot do Battlefield 6, o Failed Attestation Status do Call of Duty e os erros da FACEIT.

A Microsoft observa que a maioria das placas-mãe de varejo para PCs montados pelo próprio usuário vem com o TPM desativado "even though it is almost always available to be enabled" (embora, em praticamente todos os casos, esteja disponível para ser ativado), então verifique antes de comprar qualquer coisa. As armadilhas no caminho são o BitLocker e um disco do sistema MBR. Se, em vez disso, a FACEIT acusar atualizações de segurança do Windows faltando ou um driver PawnIO proibido, nenhum dos dois é uma configuração do firmware; os dois estão mais abaixo.

Por que os anti-cheats pedem TPM 2.0 e Secure Boot?

Eles permitem que o anti-cheat confie que o PC iniciou limpo. O Secure Boot "ajuda a impedir o carregamento de softwares mal-intencionados quando um computador Windows é iniciado", diz a Microsoft, permitindo que só software confiável e assinado digitalmente rode durante a inicialização. O alvo dele são os rootkits: segundo a Microsoft, eles iniciam antes do sistema operacional, o que significa que podem se esconder por completo.

O TPM transforma isso em prova. A FACEIT explica que ele faz um "Measured Boot", registrando uma impressão digital de cada componente da cadeia de inicialização, e pode entregar ao anti-cheat um relatório assinado, chamado atestado, de que a inicialização foi limpa. A FACEIT também afirma que o TPM e o Secure Boot não afetam o desempenho.

Quais jogos exigem TPM 2.0 e Secure Boot?

Em outubro de 2026, estes jogos e plataformas pedem os dois:

O Windows 11 pede só um PC "Secure Boot capable" (compatível com Secure Boot), não que o Secure Boot esteja ligado.

Como saber se o TPM 2.0 e o Secure Boot estão ativados?

Informações do Sistema. Aperte Windows + R, digite msinfo32, aperte Enter e leia Modo da BIOS e Estado da Inicialização Segura. O guia da Riot os interpreta assim:

Gerenciamento do TPM. Execute tpm.msc: você quer ver O TPM está pronto para uso e uma Versão de Especificação 2.0 em Informações sobre o Fabricante do TPM. A Microsoft interpreta Não é possível localizar um TPM compatível como um TPM que pode estar desativado.

Segurança do Windows. Em Segurança do dispositivo > Detalhes do processador de segurança, a FACEIT quer Atestado e Armazenamento os dois como Pronto. Se não houver nenhuma seção Processador de segurança, diz a Microsoft, provavelmente não há TPM ou ele está desligado no firmware.

Num PC em Legacy, o Gerenciamento de disco mostra o Estilo de partição do disco do Windows: no painel de baixo, clique com o botão direito no número desse disco, como Disco 0, e depois em Propriedades > Volumes.

O w0a lê os seis requisitos e mostra onde fica cada chave; FPS baixo e engasgos no CS2 traz a lista.

Antes de mudar qualquer coisa: BitLocker

O BitLocker protege a unidade contra roubo ou exposição de dados em dispositivos perdidos, roubados ou descartados de forma inadequada, segundo a Microsoft, e mudanças no modo como o PC inicia podem fazê-lo pedir a chave de recuperação de 48 dígitos. Entre os gatilhos que a Microsoft lista estão limpar o TPM, mudanças no gerenciador de inicialização e na tabela de partições, e uma atualização de firmware da BIOS ou UEFI, então vários passos abaixo estão na lista. A criptografia do dispositivo, a forma automática do BitLocker, pode se ativar sozinha quando um PC passa a se qualificar, por exemplo ao ligar o Secure Boot, diz a Microsoft.

1. Antes da primeira reinicialização para o firmware, encontre a sua chave de recuperação e guarde-a fora deste PC. Para uma conta Microsoft, a página da Microsoft aponta para aka.ms/myrecoverykey; segundo a Microsoft, o Suporte da Microsoft não tem como recuperar, fornecer ou recriar uma chave de recuperação do BitLocker perdida.
2. Se Painel de Controle > Criptografia de Unidade de Disco BitLocker mostrar a unidade protegida, selecione Suspender proteção antes de cada reinicialização para o firmware. A unidade continua criptografada, mas a chave dela fica guardada em claro até a proteção voltar automaticamente na reinicialização seguinte.

Como ativar o TPM 2.0 e o Secure Boot?

Seis passos, nesta ordem:

1. Se o disco for MBR, converta-o primeiro, a partir do Windows. A Riot avisa: "Se você mudar sua BIOS para UEFI sem converter sua unidade primeiro, o Windows não vai inicializar." O MBR2GPT da Microsoft converte o disco do sistema "sem alterar nem excluir dados no disco", mas a saída dele avisa "These changes cannot be undone!" (essas mudanças não podem ser desfeitas), então faça um backup antes e confirme que o PC tem suporte a UEFI. Numa unidade criptografada, o MBR2GPT precisa do BitLocker suspenso e de os protetores dele serem recriados depois; a Riot e a Activision pedem, em vez disso, que a criptografia seja desligada, o que deixa a unidade sem proteção até ela ser religada. Num Prompt de Comando de administrador, rode mbr2gpt /validate /allowFullOS, depois, se passar, mbr2gpt /convert /allowFullOS, e vá direto para o firmware.
2. Abra as configurações do firmware. No Windows 11, vá em Configurações > Sistema > Recuperação e selecione Reiniciar agora ao lado de Inicialização avançada (no Windows 10: Configurações > Atualização e Segurança > Recuperação), depois Solução de problemas > Opções avançadas > Configurações de firmware UEFI > Reiniciar. Ou aperte a tecla do firmware ao ligar o PC; a Riot cita Del, F2 ou F10.
3. Modo de inicialização UEFI, CSM desligado. Onde UEFI e Legacy/CSM podem estar ativados ao mesmo tempo, a Microsoft diz para "escolher que a UEFI seja a primeira ou única opção"; a Riot e a Activision dizem para desativar o CSM se a opção existir.
4. Ative o TPM de firmware. A Microsoft diz que às vezes ele fica em Advanced, Security ou Trusted Computing, com nomes como Security Device, Security Device Support, TPM State, AMD fTPM switch, AMD PSP fTPM, Intel PTT ou Intel Platform Trust Technology. Para o VAN: RESTRICTION, a Riot exige o TPM de firmware, não só um módulo dedicado.
5. Coloque o Secure Boot em Enabled. Em placas ASUS, a FACEIT diz para usar "Windows UEFI Mode". Se a opção estiver acinzentada, a Activision diz para selecionar o modo UEFI, salvar e abrir o firmware de novo; se continuar cinza, a correção da Riot é "Restore Factory Keys", em "Key Management", o que, com o BitLocker ativado, "alterará suas medições de TPM e acionará a recuperação do BitLocker na próxima inicialização".
6. Salve, inicie o Windows e verifique de novo. Modo da BIOS em UEFI, Estado da Inicialização Segura Ativado, TPM pronto e na versão 2.0; a EA observa que algumas versões do Windows podem precisar de mais uma reinicialização.

Por que o jogo ainda recusa com o Secure Boot ativado?

Cinco casos conhecidos, cada um com a solução que a fonte dele dá:

• Firmware antigo. A Riot avisa: "Uma BIOS antiga pode indicar que a Inicialização Segura está "habilitada", mas falhar nas verificações de política que o Vanguard exige." Instale a BIOS mais recente para a sua placa exata, que o msinfo32 mostra em Fabricante da BaseBoard e Produto BaseBoard.
• TPM AMD na versão 3.*.0.*. Se o tpm.msc mostrar AMD com uma Versão do Fabricante como 3.92.0.5, a FACEIT e a Activision apontam as duas para uma atualização da BIOS.
• Loops de inicialização ou travamentos depois de uma mudança. O conselho da FACEIT: desfaça a última mudança no firmware, atualize a BIOS e depois reative os recursos um por vez.
• "Secure Boot Violation" ou "Invalid Signature Detected". A FACEIT diz que os certificados de Secure Boot da placa estão desatualizados, e que as atualizações de BIOS modernas trazem os certificados da Microsoft de 2023 exigidos. O caminho dela desliga o Secure Boot só para iniciar e atualizar; enquanto ele está desligado, o PC fica sem essa proteção, e a Microsoft recomenda reativá-lo depois que o problema for resolvido.
• "Your system is missing important Windows security updates." A FACEIT diz que faltam neste Windows patches de segurança que o anti-cheat exige. Rode o Windows Update e instale o que ele oferecer; se nada aparecer, os próximos passos da FACEIT são a ferramenta da Microsoft para atualizar para o Windows 11 ou um download manual pelo histórico de atualizações da Microsoft. Se um guia de ajustes desativou os serviços de atualização, o cartão Windows Update do w0a devolve esses serviços ao padrão do Windows; a FACEIT não dá suporte a um Windows modificado que bloqueia atualizações. No Windows 10, a FACEIT exige a versão 22H2 (build 19045); o suporte terminou em 14 de outubro de 2025, então as correções de segurança agora só chegam pelo programa Extended Security Updates, que a Microsoft mantém até 12 de outubro de 2027. Se o hardware atender aos requisitos, a FACEIT aponta a atualização gratuita para o Windows 11 como solução definitiva.

A FACEIT bloqueia o driver PawnIO?

A lista de drivers bloqueados da FACEIT cita o PawnIO.sys com uma única instrução: atualizar o PawnIO para a versão mais recente. O PawnIO é o driver opcional que o w0a oferece para ler a temperatura da CPU e os timings da RAM; uma instalação padrão do w0a não carrega nenhum driver de kernel. Com um driver bloqueado carregado, o anti-cheat não abre e mostra o erro "Forbidden driver"; segundo a FACEIT, reiniciar o PC então bloqueia o driver e deixa o anti-cheat rodar, e ela recomenda remover os drivers da lista ou, se você precisa do programa, atualizá-lo. Em uma máquina, o PawnIO 2.2.0 rodou ao lado da FACEIT, com partidas jogadas sem bloqueio. Isso é uma única observação, não uma garantia: a lista da FACEIT ainda cita o PawnIO.

O w0a só instala o PawnIO quando você pede e confirma o editor que o Windows verificou, e sempre baixa a versão mais recente. Se você pedir para instalar ou reparar o PawnIO com a FACEIT instalada e um PawnIO anterior ao 2.2.0 presente, o w0a avisa antes e só continua se você concordar. Para remover o PawnIO, desinstale-o pela lista de aplicativos instalados do Windows; como diz Desinstalar o w0a, remover o w0a não o remove.

Os certificados do Secure Boot expiram em 2026?

Os certificados da Microsoft em que o Secure Boot se apoia foram emitidos em 2011 e começaram a expirar em 24 de junho de 2026; o último expira em 19 de outubro. Os substitutos de 2023 chegam pelo Windows Update, e segundo a Microsoft, para a maioria dos usuários em sistemas Windows com suporte, nenhuma ação é necessária. Desde abril de 2026, a Segurança do Windows vem liberando um status dos certificados em Segurança do dispositivo > Inicialização segura; a Microsoft avisa que uma marca de seleção verde sozinha não confirma que os seus certificados foram atualizados, então procure a linha dizendo que todas as atualizações de certificado exigidas foram aplicadas.

O que não ajuda

• Desligar o Secure Boot para calar um aviso. A Microsoft diz que o Secure Boot não deve ser desativado para contornar a expiração dos certificados, porque isso reduz bastante a proteção do dispositivo e remove salvaguardas contra malware no nível da inicialização. Os jogos acima também param.
• Desligar o fTPM da AMD para curar engasgos. A Riot diz que a AMD corrigiu os engasgos do fTPM dos primeiros sistemas Ryzen em atualizações de BIOS posteriores, e que desligar o fTPM custa os jogos com Vanguard.
• Limpar o TPM como primeira correção. Isso pode acionar a recuperação do BitLocker, e a Microsoft diz para fazer backup dos seus dados antes.

Perguntas frequentes

TPM 2.0 e Secure Boot diminuem o FPS?

Segundo a FACEIT, não: o FAQ de requisitos de segurança diz que o TPM e o Secure Boot não afetam o desempenho. A Riot diz que a AMD corrigiu os engasgos do fTPM dos primeiros sistemas Ryzen em atualizações de BIOS posteriores, e desligar o fTPM custa os jogos com Vanguard.

Preciso comprar um módulo TPM 2.0?

Confira o firmware primeiro: segundo a Microsoft, a maioria das placas-mãe vendidas no varejo para quem monta o próprio PC vem com o TPM desligado, embora quase sempre seja possível ativá-lo. Para o VAN: RESTRICTION, a Riot exige o TPM de firmware, não só um módulo dedicado.

O Windows 11 precisa do Secure Boot ativado?

Não. Os requisitos do Windows 11 pedem um firmware compatível com Secure Boot; quem quer o recurso ativado são os jogos da tabela acima.

Ativar o Secure Boot pode me impedir de entrar no PC?

Pode, em dois casos. Num PC Legacy com disco MBR, segundo a Riot, o Windows não inicializa depois da troca para UEFI se o disco não tiver sido convertido antes. Com o BitLocker ativado, a mudança pode fazê-lo pedir a chave de recuperação de 48 dígitos, então guarde essa chave fora deste PC antes da primeira reinicialização.

Dá para jogar FACEIT no Windows 10?

Dá, na versão 22H2 (build 19045), com TPM 2.0, Secure Boot e as atualizações de segurança em dia. Essas atualizações agora só chegam pelo programa Extended Security Updates, que a Microsoft mantém até 12 de outubro de 2027; quando o hardware atende aos requisitos, a FACEIT aponta a atualização gratuita para o Windows 11 como solução duradoura.

Relacionados

• Como aumentar o FPS no CS2 e por que ele fica travando: um checklist medido
• Ligar a integridade de memória de volta
• Resizable BAR e Smart Access Memory: o que é e como verificar
• Intel de 13ª e 14ª geração travando nos jogos: a correção que importa
• Como otimizar o Windows 11 para jogos: as configurações que realmente importam
• O que é o PawnIO e o FACEIT bloqueia esse driver?