blog/blog-surface/secure-boot-certificate-update-guide
Windows · 安全科普
Secure Boot 证书更新：2026 年普通用户需要做什么？
一句话总结：Secure Boot（安全启动）是 Windows 设备开机阶段的安全机制，它依赖的数字证书自 2026 年 6 月底起陆续到期。微软正与设备厂商一起，通过每月 Windows 更新分批下发新证书；多数用户无需任何操作，少数设备可能需要先更新固件。证书到期并不意味着设备会立即停止工作，但未完成适用更新的设备可能无法获得与新证书相关的后续保护。
什么是 Secure Boot？为什么证书会到期？
Secure Boot（安全启动）是 Windows 设备在开机阶段的安全机制：在系统启动前校验启动组件的数字签名，帮助防止未经授权或不受信任的启动组件加载。
- 它依赖一组有有效期的数字证书；
- 这批证书于 2011 年启用，从 2026 年 6 月底起陆续到期。
这次更新是什么？
- 用新证书替换到期的旧证书，由微软联合设备厂商与固件厂商，通过每月 Windows 更新分批下发；
- 部分较新的设备可能已包含更新后的证书配置，具体状态应以微软及设备厂商针对该设备提供的信息为准。
对普通用户意味着什么？
- 保持更新的设备：基本无感，证书随更新自动就位；
- 暂未获得新证书的设备：设备可能仍可继续使用，但会处于安全防护降级状态——可能无法获得与新证书相关的后续 Secure Boot 保护或兼容性改进，具体影响因设备而异；
- 不在支持期的系统：不再接收更新，也不会获得新证书（如未加入扩展安全更新的旧版本）。
你需要做什么？
- 保持系统更新：每月 Windows 更新照常安装即可；
- 确认固件版本：部分设备需要先更新厂商固件，建议到设备厂商支持页检查；
- 查看安全中心状态：Windows 安全中心 → 设备安全性 → 安全启动 可查看证书更新状态（绿/黄/红徽章；绿色徽章下还需文字确认已应用全部证书更新才算完成）；
- 遇到问题时：先安装最新月度更新并确认固件为最新，再通过微软官方支持渠道获取帮助。
常见问题（FAQ）
不更新会怎样？
证书到期并不意味着设备会立即停止工作，但会处于安全防护降级状态，并可能无法获得与新证书相关的后续 Secure Boot 保护或兼容性改进。具体影响因设备、固件和系统版本而异。
需要自己下载安装证书吗？
大多数用户不需要：更新随每月 Windows 更新自动完成；个别设备需要先更新固件。
怎么知道我的设备是否已完成更新？
保持系统更新即可；同时可在 Windows 安全中心 → 设备安全性 → 安全启动 查看状态——绿色表示受到充分保护，黄色表示有安全建议，红色表示需要立即关注。绿色徽章下，还需文字确认已应用全部证书更新才算完成。
旧电脑怎么办？
不在支持期的系统不再接收更新；建议升级到受支持的 Windows 版本，或考虑更换设备——在售新品 Surface Laptop Ultra 等新一代机型值得关注。
内容来源：本文由 AI 基于微软官方文章 Refreshing the root of trust: industry collaboration on Secure Boot certificate updates 中的安全科普内容，并融合微软官方商城在售产品信息生成。因文章具有时效性，相关内容请结合实际情况参考，产品配置请以官网公布为准。
* 证书更新由微软与设备厂商分阶段推送，具体时间与方式因设备与厂商而异，以微软官方公告为准；「安全防护降级」指暂未获得未来的引导级保护，并非设备当下失去全部保护。