Как установить Windows 11 при ошибках Secure Boot и Windows CA 2023

Если при установке Windows 11 25H2 и выше появляется черный экран или сообщение вроде «Secure Boot Violation», на новых системах причиной может быть несовместимость с сертификатами Windows CA 2023. Решение — пересоздать загрузочную флешку через Rufus версии 4.11 или выше с включённой поддержкой Windows CA 2023.

Отмечу, что данная проблема будет возникать во всех последующих версиях Windows, следом за 25H2, на современных компьютерах и ноутбуках.

Почему без сертификатов «Windows CA 2023» не устанавливается Windows 11 25H2 и выше

В июле 2026 года истекают сроки действия нескольких корневых сертификатов семейства Windows CA, выпущенных в 2011 году. Взамен Microsoft внедрила новые сертификаты Windows CA 2023, использующие современные криптографические алгоритмы и усиленные механизмы проверки подписей.

Если загрузочная флешка создана старой версией программы Rufus или без поддержки новых сертификатов, установщик Windows не может корректно проверить цифровые подписи файлов и прерывает процесс установки, даже при отсутствии других проблем с оборудованием. При этом может выдать просто черный экран или сообщение:

• Secure Boot Violation (Нарушение правил безопасной загрузки) — самое частое сообщение. Ниже обычно приписывается: Invalid signature detected. Check Secure Boot Policy in Setup.
• Invalid signature detected (Обнаружена неверная подпись) — материнская плата видит, что файл на флешке подписан ключом, который либо отсутствует в базе доверенных, либо уже занесен в «черный список» (DBX) как устаревший и небезопасный.
• Image Failed to Verify — Access Denied — характерно для ноутбуков и некоторых готовых сборок. Означает, что файл bootx64.efi не прошел проверку подлинности.
• Selected boot image did not authenticate (Выбранный загрузочный образ не прошел аутентификацию) — это стандартная формулировка для ноутбуков (часто встречается на HP и Dell). Она означает, что система безопасности Secure Boot заблокировала запуск файла, так как не смогла подтвердить его подлинность.
• Security Policy Violation (Нарушение политики безопасности) — указывает на то, что текущая политика безопасности UEFI не доверяет подписи загрузчика на флешке.
• The system found unauthorized changes on the firmware, operating system or UEFI drivers (Система обнаружила несанкционированные изменения в прошивке, операционной системе или драйверах UEFI) — сообщение от ASUS и некоторых других брендов, указывающее на «несанкционированные» изменения (хотя по факту это просто устаревший сертификат).

Как установить Windows 11 при требовании сертификатов Windows CA 2023

Как это исправить

1. Обновить дистрибутив: Скачать самый свежий ISO-образ Windows 11 (25H2 или новее), где загрузочные файлы подписаны новым сертификатом Windows UEFI CA 2023. Чтобы корректно их внедрить воспользуйтесь программой Rufus — она использует загрузчики, подписанные данным сертификатом (об этом способе описано чуть ниже).
2. Обновить BIOS: Если железо новое, но выдает ошибку, возможно, в самой прошивке не обновлены ключи KEK/DB. Необходимо обновить БИОС.
3. Временный обход: Зайти в BIOS и переключить режим Secure Boot в состояние Disabled или Other OS. Это позволит установиться со старой флешки, но снизит уровень защиты системы.

Добавление сертификатов Windows CA 2023 через Rufus

Решение заключается в пересоздании загрузочной флешки с поддержкой Windows CA 2023.

Пошаговая инструкция:

1. Скачайте Rufus версии 4.11 или выше с официального сайта.
2. Подключите флешку и выберите ISO-образ Windows 11 25H2. (Подробно в инструкции Rufus: Как создать загрузочную флешку).
3. После нажатия «Старт» появится окно Опыт использования Windows (Windows User Experience).
4. Активируйте пункт Use ‘Windows CA 2023’ signed bootloaders в нижней части списка, как показано на скриншоте ниже.

5. Дождитесь завершения записи и выполните установку Windows 11 с новой флешки.

После этого Windows 11 устанавливается без каких-либо системных сообщений.

Вывод

Невозможность установки Windows 11 25H2 чаще всего связана не с железом и не с повреждённым образом, а с переходом Microsoft на новые сертификаты Windows CA 2023. Пересоздание загрузочного носителя через актуальную версию Rufus с включённой поддержкой CA 2023 полностью решает проблему в большинстве случаев.