Abilitare Avvio Protetto per Windows 11 su PC ASUS, MSI, Gigabyte

Guida per attivare Avvio Protetto su PC Windows 11, Risolvere errore Secure Boot su PC vecchi e schede madri con BIOS Legacy

Fino a poco tempo fa, il BIOS del computer era un ambiente che si visitava raramente, giusto per cambiare l'ordine di avvio o l'orario di sistema. Con l'arrivo di Windows 11 e di sistemi anti-cheat sempre più severi nei videogiochi competitivi, l'Avvio Protetto (o Secure Boot) è diventato un requisito, non più una scelta opzionale. Molti utenti si trovano bloccati davanti a errori criptici come "Questo PC non può eseguire Windows 11" o codici di errore come VAN9003 su Valorant, scoprendo che la soluzione risiede in una configurazione nascosta della scheda madre.

Il Secure Boot è un protocollo dello standard UEFI che funge da guardiano digitale: impedisce l'esecuzione di software non firmato o pericoloso (come i rootkit) prima ancora che il sistema operativo venga caricato. Attivarlo, però, può essere frustrante perché le interfacce cambiano da produttore a produttore e un'impostazione errata può impedire l'avvio del PC.

Prima di iniziare: Attenzione a BitLocker

C'è un dettaglio critico spesso trascurato: se sul computer è attiva la crittografia BitLocker (attiva di default su molti portatili moderni), modificare le impostazioni di Secure Boot o passare da Legacy a UEFI potrebbe far scattare la modalità di recupero al riavvio. Prima di entrare nel BIOS, è fondamentale assicurarsi di avere a portata di mano la chiave di ripristino di 48 cifre, oppure sospendere momentaneamente la protezione BitLocker dal Pannello di Controllo di Windows.

Verifica dello stato attuale e del tipo di BIOS

Prima di riavviare, bisogna capire se il PC sta utilizzando il vecchio metodo "Legacy" o il moderno "UEFI".

Premere Windows + R sulla tastiera.
Digitare msinfo32 e premere Invio.
Nella schermata "System Information", cercare due voci nella colonna di destra:
- Modalità BIOS: Deve essere UEFI. Se dice Legacy (o Ereditato), sarà necessaria una conversione del disco.
- Stato avvio protetto: Se dice Disattivato, bisogna attivarlo. Se dice Non supportato, significa che il PC è in modalità Legacy o l'hardware è molto datato.

Il problema del disco: MBR vs GPT

Secure Boot funziona solo se il disco di sistema è partizionato con lo stile GPT (GUID Partition Table). Se il PC è stato installato anni fa o clonato da un vecchio hard disk, potrebbe usare ancora lo stile MBR. Abilitare la modalità UEFI pura su un disco MBR renderà Windows incapace di avviarsi. Bisogna quindi convertire il discon in GPT.

Per controllare lo stile del disco:

Tasto destro sul menu Start > Gestione Disco.
Tasto destro sul "Disco 0" (quello di sistema) > Proprietà.
Nella scheda Volumi, leggere la riga "Stile partizione".

Se risulta MBR, non è necessario formattare. Windows 10 e 11 includono uno strumento chiamato MBR2GPT che permette di convertire il disco in pochi secondi mantenendo i dati. Tuttavia, seguire la rotta di Navigaweb significa prudenza: fate sempre un backup completo dei dati importanti prima di eseguire operazioni sulle partizioni.

Come abilitare Secure Boot nel BIOS (per marca)

Per accedere al firmware, riavviare il PC e premere ripetutamente il tasto dedicato (solitamente Canc, F2 o F12) appena appare il logo del produttore.

Schede madri ASUS

Premere F7 per la Advanced Mode. Andare nel menu Boot.

Cercare la voce CSM (Compatibility Support Module) e impostare "Launch CSM" su Disabled.
Tornare indietro e entrare nel menu Secure Boot.
Impostare "OS Type" su Windows UEFI Mode.

Schede madri MSI

Entrare in Settings > Advanced > Windows OS Configuration.

Impostare "BIOS UEFI/CSM Mode" su UEFI.
Sotto Secure Boot, impostare su Enabled.
Se l'opzione si riattiva da sola su "Disabled", entrare in Secure Boot Mode, scegliere Custom e poi di nuovo Standard, accettando il ripristino delle chiavi di fabbrica.

Schede madri Gigabyte (Aorus)

Nel menu BIOS, disabilitare prima il CSM Support. Salvare e uscire (F10), quindi rientrare nel BIOS. Solo ora l'opzione Secure Boot sarà visibile e modificabile su Enabled. Senza il riavvio intermedio, l'opzione spesso rimane nascosta.

PC e Laptop HP / Lenovo / Dell

HP: Menu Security > Secure Boot Configuration. Spesso HP richiede di digitare un codice numerico a schermo e premere Invio per confermare la modifica.
Dell: Menu Boot Sequence > impostare UEFI. Poi Secure Boot > Enable.
Lenovo: Menu Security > Secure Boot. Nota importante: su alcuni laptop Lenovo, le opzioni di sicurezza sono grigie finché non si imposta una Supervisor Password nel BIOS. Impostatela, attivate il Secure Boot, e poi (se volete) rimuovetela lasciando il campo vuoto.

Cosa fare se Secure Boot non si attiva (System in Setup Mode)

Un errore comune è vedere lo stato "Secure Boot" su Disabled anche dopo averlo attivato, con una scritta accanto che dice Setup Mode. Questo accade quando il firmware non ha caricato le chiavi di crittografia predefinite.

Per risolvere, cercare all'interno del menu Secure Boot una voce simile a:

Restore Factory Keys
Install Default Secure Boot Keys
Enroll all Factory Default Keys

Selezionando questa opzione e confermando, il sistema passerà da "Setup Mode" a "User Mode", rendendo effettiva la protezione.

Secure Boot e Gaming: Il caso Valorant e EA FC

Alcuni titoli moderni utilizzano sistemi anti-cheat a livello kernel (come Vanguard di Riot Games o EA AntiCheat) che richiedono un ambiente "fidato". Se ricevete l'errore VAN9003 su Valorant o un blocco all'avvio di FIFA/EA FC, la causa è quasi sempre il Secure Boot disattivato.

Su Windows 11, questi giochi esigono tassativamente due cose:

Secure Boot su "Attivato".
TPM 2.0 rilevato e attivo.

Non esistono bypass sicuri per questi requisiti; l'unica via è la corretta configurazione del BIOS come descritto sopra.

Accorgimenti e dettagli utili

Devo reinstallare Windows dopo l'attivazione?
No, se il disco era già GPT e Windows si avviava in modalità UEFI, non serve reinstallare nulla. Se avete convertito da MBR a GPT, Windows continuerà a funzionare mantenendo i dati.
Secure Boot mi impedisce di usare Linux?
Le principali distribuzioni come Ubuntu, Fedora e openSUSE funzionano perfettamente con Secure Boot attivo grazie a un bootloader firmato. Distribuzioni più di nicchia o compilate da zero potrebbero richiedere la disattivazione della funzione o la firma manuale dei kernel.
Ho schermo nero dopo aver disattivato CSM.
Questo accade se la scheda video è molto vecchia e non supporta UEFI (manca il GOP). Per risolvere, bisogna resettare il BIOS togliendo la batteria tampone della scheda madre per qualche minuto, o usare la grafica integrata del processore (se presente) per rientrare nel BIOS e riattivare il CSM.
Differenza tra Secure Boot e TPM.
Il Secure Boot controlla "chi" avvia il PC (software firmato), mentre il TPM è una cassaforte fisica per le chiavi crittografiche. Lavorano insieme ma sono impostazioni separate.