Por que a Inicialização Trava Após Adicionar uma Chave Personalizada do Secure Boot DB no Windows 11

Adicionar uma chave personalizada do Secure Boot DB ao Windows 11 pode fazer o sistema travar durante a inicialização, exibindo uma tela preta ou o logotipo do fabricante indefinidamente. Isso acontece porque o firmware rejeita drivers ou bootloaders não assinados que não estão incluídos no novo banco de chaves. Este artigo explica a causa raiz técnica desse travamento, fornece uma correção passo a passo para recuperar o sistema e aborda padrões de falha relacionados que você pode encontrar.

Por que Adicionar uma Chave Personalizada do Secure Boot DB Bloqueia a Inicialização no Windows 11

O Secure Boot usa um banco de dados de certificados e hashes confiáveis chamado DB (Database). Quando você adiciona uma chave DB personalizada, substitui o conjunto de chaves padrão assinado pela Microsoft. O firmware então só permite a inicialização a partir de componentes assinados pela nova chave personalizada. Se o bootloader do Windows, drivers do kernel ou qualquer componente de inicialização de terceiros não tiver uma assinatura válida da chave personalizada, o firmware interrompe o processo de inicialização. Isso é um recurso de segurança: o firmware se recusa a executar código não confiável. O resultado é um travamento após a tela de POST, geralmente sem mensagem de erro porque o firmware não consegue avançar para o carregador do sistema operacional.

O travamento não é um erro do Windows. Ocorre antes de o Windows iniciar. O firmware aguarda um bootloader assinado que corresponda ao novo DB. Se esse bootloader não existir, o sistema parece congelado. Isso é comum quando usuários importam uma chave personalizada para uma distribuição Linux ou um driver autoassinado e depois tentam inicializar o Windows 11 sem também adicionar o certificado Microsoft UEFI CA ao DB.

Passos para Recuperar de um Travamento na Inicialização Após Adicionar uma Chave Personalizada do Secure Boot DB

1. Force um desligamento e entre no Ambiente de Recuperação do Windows
   Pressione e segure o botão físico de energia por 10 segundos para desligar o sistema. Ligue-o. Quando o logotipo do fabricante aparecer, pressione e segure o botão de energia novamente por 10 segundos. Repita isso três vezes. Na quarta inicialização, o Windows 11 entra automaticamente na tela de Reparo Automático. Clique em Opções avançadas.
2. Execute o Reparo de Inicialização no WinRE
   No menu Opções avançadas, clique em Solução de problemas > Opções avançadas > Reparo de Inicialização. O Windows verificará problemas de inicialização. Isso pode detectar a assinatura ausente e tentar reparar a configuração de inicialização. Se for bem-sucedido, o sistema inicializará. Caso contrário, continue para o próximo passo.
3. Inicialize nas configurações de firmware UEFI
   No WinRE, clique em Solução de problemas > Opções avançadas > Configurações de Firmware UEFI > Reiniciar. O sistema reinicia na interface UEFI/BIOS.
4. Redefina o Secure Boot para os padrões de fábrica
   Navegue até a aba Segurança ou Inicialização (a localização exata varia conforme o fabricante). Encontre a opção Secure Boot. Procure por Redefinir para Chaves de Fábrica ou Restaurar Padrões do Secure Boot. Selecione e confirme. Isso remove todas as chaves DB personalizadas e restaura as chaves originais assinadas pela Microsoft.
5. Salve as alterações e saia
   Pressione F10 (ou a tecla indicada na tela) para salvar e sair. O sistema reinicia. O Windows 11 agora deve iniciar normalmente porque o firmware aceita novamente o bootloader assinado pela Microsoft.

Se você precisar da chave personalizada para dual-boot ou desenvolvimento, deve adicionar o certificado Microsoft UEFI CA junto com sua chave personalizada. Baixe o certificado Microsoft UEFI CA do Catálogo de Atualizações da Microsoft e importe-o para o DB usando uma ferramenta como KeyTool ou sbctl antes de adicionar sua própria chave. Isso mantém o Windows inicializável enquanto permite que seus componentes personalizados assinados funcionem.

Padrões de Falha de Inicialização Relacionados Após Alterações na Chave Personalizada do Secure Boot

Inicialização Trava nos Pontos Giratórios Após Adicionar uma Chave Personalizada

Se o sistema atingir a tela de pontos giratórios e depois congelar, o bootloader foi carregado, mas um driver crítico não possui assinatura válida. Use os mesmos passos do WinRE acima para redefinir as chaves do Secure Boot. Alternativamente, inicialize a partir de um USB de instalação do Windows 11, selecione Reparar o computador e execute Prompt de Comando. Digite bcdedit /set {current} safeboot minimal para forçar o Modo de Segurança, que carrega apenas drivers assinados pela Microsoft. Após inicializar no Modo de Segurança, remova ou reassine o driver problemático.

Falha na Inicialização com Erro 0xc0000428 Após Importação de Chave DB Personalizada

Esse erro indica que o status do bootloader é inválido porque não está assinado pelo DB atual. A correção é redefinir as chaves do Secure Boot conforme descrito nos Passos 3-5 acima. Após a redefinição, execute sfc /scannow e DISM /Online /Cleanup-Image /RestoreHealth em um Prompt de Comando elevado para reparar quaisquer arquivos de inicialização corrompidos.

Firmware UEFI Oculta o Menu de Inicialização Após Importação de Chave Personalizada

Algumas implementações de firmware desabilitam o menu de inicialização quando o Secure Boot está em modo personalizado. Isso é uma medida de segurança do firmware. Para recuperar, limpe o CMOS removendo a bateria da placa-mãe por 30 segundos ou use o método de reset por jumper. Isso redefine todas as configurações UEFI, incluindo as chaves do Secure Boot, para os padrões de fábrica.

Item	Redefinição de Chave de Fábrica	Chave Personalizada com CA da Microsoft
Descrição	Remove todas as chaves personalizadas e restaura os padrões assinados pela Microsoft	Mantém a chave personalizada, mas também inclui o certificado Microsoft UEFI CA
Efeito na inicialização do Windows	O Windows inicializa normalmente imediatamente	O Windows inicializa normalmente porque os componentes assinados pela Microsoft ainda são confiáveis
Efeito no SO personalizado assinado	O SO personalizado não inicializará	O SO personalizado inicializa se assinado pela chave personalizada
Complexidade	Simples, feito nas configurações UEFI	Requer importação manual de certificado usando ferramentas externas

Após redefinir o Secure Boot para as chaves de fábrica, o Windows 11 inicializa normalmente. Se você precisar fazer dual-boot com um SO personalizado, use o KeyTool para adicionar o certificado Microsoft UEFI CA ao DB antes de importar sua chave personalizada. Isso evita futuros travamentos na inicialização enquanto mantém a proteção do Secure Boot para ambos os sistemas operacionais.