10月19日，一张名为"Microsoft Windows Production PCA 2011"的证书正式到期。这个拗口的名字，一句话就能看懂：它是Windows电脑开机时信任了15年的老钥匙，如今到期，意味着微软安全启动换代的最后一个节点落地。知乎
先说定心丸：电脑不会开不了机。微软官方口径是，没拿到新证书的电脑"仍然可以正常启动和运行"，日常Windows更新也照常安装。但别急着划走。"能开机"的另一面是：老钥匙退役后，你的电脑会慢慢失去开机阶段的保护。这篇文章把来龙去脉一次说清：为什么换锁、谁受影响、你现在该查什么。知乎知乎
为什么用了15年的钥匙要换？
安全启动（Secure Boot）是电脑开机时的一道安检：启动链路上的每个软件都要出示"合格证"才放行，防止引导型病毒比Windows更早钻进系统。
安检的凭据，就是2011年签发的一批微软证书，一共三张：一张管签名数据库更新（KEK），一张给第三方引导程序签名（UEFI CA），一张给Windows引导加载器本人签名（Production PCA）。
15年，钥匙用得太久了。2023年的引导工具包BlackLotus就演示过：即便完全更新的Win11，也能被绕过安全启动。于是微软拍板：启用2023年新证书，老钥匙逐步拉黑。两张老证书今年6月已经到期，10月19日是最后一张。知乎知乎
谁真的受影响？
没拿到新证书的老电脑：将无法再收到引导加载器更新、启动链漏洞的黑名单更新——安检口还在，但通缉令停更了。知乎
装机党：这个最扎心。老PE重装U盘是拿2011证书签名的，插到新主板上选UEFI启动，可能直接被拦：蓝屏、报"签名无效"，或弹回启动菜单。同一只U盘在老电脑上好好的——因为锁换了。知乎IT之家
部分玩家：反作弊要求安全启动的游戏（如使命召唤系列），6月老证书到期时就有玩家反馈"无法启动"。哔哩哔哩
Win10用户：新证书只随更新推送，Win10得先加入ESU扩展安全更新才收得到。
补充一句：新证书通过Windows Update分批推送，按硬件固件分组、前一批验证成功才轮到下一批，所以还没轮到你别慌，只要系统在支持期、更新没暂停、安全启动开着，联网就能等到。知乎
现在该查什么：三步
第一步，看状态灯。 打开"Windows安全中心 > 设备安全性 > 核心隔离（安全启动）"，今年4月起Win11会在这里直接显示证书状态。"所有必需的证书更新都已应用"是绿灯；"较老的启动信任配置"一般装完待装更新重启就好；"硬件或固件限制"就得找厂商了。知乎知乎
第二步，Win10先查ESU。 没加入扩展安全更新，新证书和你无缘。知乎
第三步，老机器先备份BitLocker恢复密钥，再动BIOS。 戴尔、惠普、联想、华硕、宏碁官网都有安全启动专页和对应BIOS更新。但注意：惠普4月的BIOS更新曾让一批电脑陷入BitLocker恢复循环——密钥不在手，别乱刷固件。另外戴尔已明确2026年前到达生命周期的平台不再发更新，这么老的机器，该考虑退休了。新浪数码
最后一个大提醒：千万别关安全启动来绕过
微软点名：证书到期不是关闭安全启动的理由。更坑的是，Windows已经把你的引导加载器切到2023签名版，如果你关了再开，固件只认老证书的话——恭喜，电脑可能真开不了机了。恢复BIOS出厂设置也有同样风险。知乎
给常装机的人最后一个建议：趁现在重做PE盘，选"双证书/双EFI"新老通吃的模式，新旧主板都认。知乎
换锁不是坏事，只是换锁的时候，最好确认自己手里已经拿到了新钥匙。
（另外，微软还预告了Windows Update服务器证书2027年轮换，那是另一件事：设备在支持期内正常更新就不用管。）知乎
