Cách bật Secure Boot cho Windows 11

Secure Boot là tính năng của firmware UEFI giúp máy chỉ khởi động bằng phần mềm đã được ký số hợp lệ, hạn chế mã độc chèn vào quá trình khởi động. Windows 11 yêu cầu máy hỗ trợ Secure Boot, và nhiều người gặp thông báo "This PC must support Secure Boot" khi cài hoặc nâng cấp.

Bài này hướng dẫn cách kiểm tra Secure Boot đang bật hay tắt, điều kiện cần trước khi bật và các bước vào BIOS để bật. Vì menu BIOS mỗi hãng một khác, hãy xem đây là hướng dẫn chung, không phải bản chính xác cho mọi máy.

Kiểm tra Secure Boot đang bật hay tắt

1. Nhấn Windows + R, gõ msinfo32 rồi nhấn Enter để mở System Information (Thông tin hệ thống).
2. Ở mục System Summary (Tóm tắt hệ thống), tìm dòng BIOS Mode (Chế độ BIOS). Nếu ghi UEFI, bạn đủ điều kiện để dùng Secure Boot. Nếu ghi Legacy, cần chuyển trước (xem phần bên dưới).
3. Tìm dòng Secure Boot State (Trạng thái Secure Boot): On (Bật), Off (Tắt) hoặc Unsupported (Không hỗ trợ).

Nếu trạng thái là On, bạn không cần làm gì thêm. Nếu Off và BIOS Mode là UEFI, bạn có thể bật trong BIOS. Nếu Unsupported, máy có thể quá cũ hoặc đang ở chế độ Legacy.

Điều kiện trước khi bật

• BIOS Mode phải là UEFI, không phải Legacy/CSM.
• Ổ cài Windows nên dùng kiểu phân vùng GPT. Máy đang chạy Windows kiểu MBR + Legacy sẽ không bật Secure Boot được ngay.
• Sao lưu dữ liệu quan trọng vì thao tác thay đổi chế độ khởi động luôn có rủi ro.
• Nếu ổ đã bật BitLocker, hãy sao lưu khóa khôi phục trước (xem cách sao lưu khóa khôi phục BitLocker) vì thay đổi cấu hình khởi động có thể khiến Windows yêu cầu khóa này.

Các bước bật Secure Boot trong BIOS

1. Mở Settings (Cài đặt) > System (Hệ thống) > Recovery (Khôi phục).
2. Ở mục Advanced startup (Khởi động nâng cao), bấm Restart now (Khởi động lại ngay).
3. Sau khi máy vào màn hình xanh, chọn Troubleshoot (Khắc phục sự cố) > Advanced options (Tùy chọn nâng cao) > UEFI Firmware Settings (Cài đặt phần sụn UEFI) > Restart (Khởi động lại).
4. Máy sẽ vào BIOS/UEFI. Cách khác là nhấn phím vào BIOS (thường F2, Del, F10 hoặc Esc, tùy hãng) ngay khi bật máy.
5. Tìm tab Boot, Security hoặc Authentication, rồi tìm mục Secure Boot.
6. Đặt Secure Boot thành Enabled (Bật). Một số máy yêu cầu đổi Secure Boot Mode sang Standard hoặc Windows UEFI mode, hoặc cài khóa mặc định (Install default Secure Boot keys).
7. Nếu mục Secure Boot bị mờ, tắt CSM / Legacy Support trước, sau đó lưu và vào lại BIOS, mục này sẽ sáng lên. Một số máy cần đặt mật khẩu BIOS (Supervisor Password) mới chỉnh được, xem cách đặt mật khẩu BIOS bảo vệ máy tính.
8. Nhấn F10 (hoặc theo hướng dẫn trên màn hình) để Save and Exit (Lưu và thoát).
9. Vào Windows và kiểm tra lại bằng msinfo32 để xác nhận Secure Boot State là On.

Nếu máy đang Legacy và cần chuyển sang UEFI

Windows có công cụ chính thức mbr2gpt để chuyển ổ từ MBR sang GPT mà không mất dữ liệu, nhưng nó chỉ hoạt động khi ổ đạt điều kiện về số phân vùng và cấu trúc. Quy trình tổng quát gồm: sao lưu dữ liệu, chạy kiểm tra (mbr2gpt /validate), chuyển đổi, rồi vào BIOS đổi từ Legacy sang UEFI. Vì sai một bước là máy không lên, bạn nên nhờ kỹ thuật viên nếu chưa quen. Tìm hiểu thêm các yêu cầu khác trong bài cấu hình tối thiểu để cài Windows 11 và TPM 2.0.

Sự cố thường gặp

• Không thấy mục Secure Boot trong BIOS: máy có thể đời cũ không hỗ trợ, hoặc mục này nằm trong tab khác. Xem tài liệu của hãng mainboard/laptop.
• Bật xong máy không vào được Windows: thường do đĩa cài ở chế độ Legacy. Tắt Secure Boot lại, đảm bảo ổ là GPT/UEFI rồi bật lại.
• Bị yêu cầu khóa BitLocker: nhập khóa khôi phục đã sao lưu.
• Chạy hệ điều hành hoặc driver cũ không được ký: Secure Boot có thể chặn. Hãy dùng phần mềm bản chính thức.

Cần hỗ trợ thêm?

Nếu bạn muốn nâng cấp Windows 11 mà bị vướng Secure Boot, TPM hay phân vùng, hãy mang máy tới Cường Tech. Kỹ thuật viên kiểm tra miễn phí và báo giá trước khi sửa, hoặc bạn xem trang sửa chữa và liên hệ để đặt lịch trước.