Windows 11: a nova regra da Microsoft sobre o TPM não afeta o seu PC

Desde o fim de semana, circulam relatos de que a Microsoft está finalmente colocando um fim nas instalações piratas do Windows 11. Isso foi desencadeado por uma postagem no blog Windows IT Pro, datada de 22 de julho. Ela aborda o TPM, o chip de segurança na placa-mãe, e a ativação do Windows. No entanto, a postagem, na verdade, diz algo diferente do que as manchetes afirmam.

O que realmente é o KMS

As empresas não ativam o Windows um computador de cada vez por meio da Microsoft. Em vez disso, elas operam seu próprio servidor interno, o Key Management Service, ou KMS, para abreviar. Cada PC na rede consulta esse servidor e recebe sua ativação. Isso economiza esforço, mas apresenta uma vulnerabilidade. Até agora, um host KMS se identificava exclusivamente por meio de sua configuração de software, e isso pode ser copiado.

De acordo com a Microsoft, é exatamente isso que está ocorrendo. Os invasores configuram servidores KMS falsos ou clonados que se passam por servidores genuínos dentro da rede corporativa e licenciam máquinas pelas quais ninguém pagou. Isso gera um problema de licenciamento e conformidade para a empresa.

O que a Microsoft está fazendo a respeito

O novo recurso é chamado de KMS Hardware-Secured e exige que o host KMS forneça um atestado de TPM. O Trusted Platform Module (TPM) é um chip na placa-mãe capaz de verificar criptograficamente a identidade do hardware e confirmar que ele não foi adulterado. O servidor deve comprovar duas coisas antes mesmo de ser autorizado a emitir uma licença: sua identidade de hardware, que a Microsoft verifica, e que a plataforma permaneceu inalterada desde então. Se falhar em qualquer uma dessas verificações, ele não poderá mais ativar nada.

O cronograma e o que se aplica atualmente

Nada disso está em vigor ainda. A partir de agosto de 2026, o Windows Server 2025 exibirá simplesmente notificações indicando se um host está pronto. Essas notificações podem ser visualizadas usando o comando `slmgr /dlv` e no Visualizador de Eventos, em “Logs de Aplicativos e Serviços”, “Serviço de Gerenciamento de Chaves”. Uma mensagem informa que o dispositivo é adequado como host KMS com segurança baseada em hardware; a outra informa que ele não atende aos requisitos.

A atestação do TPM não se tornará obrigatória até a próxima versão do Windows Server lançada por meio do Canal de Manutenção de Longo Prazo (LTSC). A Microsoft não especificou uma data para isso. Até lá, as instalações existentes do KMS continuarão a funcionar normalmente. Caso deseje verificar se seu hardware é compatível, você pode fazê-lo no PowerShell com privilégios de administrador, utilizando o comando `Get-TpmSupportedFeature -FeatureList "Key Attestation"`. Se o servidor responder com “Key Attestation”, o recurso está disponível.

Por que seu computador não tem nada a ver com isso

E isso nos leva ao ponto em que as notícias se desviaram do assunto. O KMS com Proteção por Hardware verifica o servidor, não o cliente. Nada acontece no PC à sua frente. Qualquer pessoa que utilize o Windows para uso pessoal não perceberá a mudança, independentemente do tipo de licença.

O mal-entendido teve origem em um segundo ponto. A Microsoft havia tornado inutilizável um método de ativação chamado KMS38 no final de 2025, o que levou à expectativa de que a próxima mudança se seguiria. No entanto, o KMS38 não tinha nada a ver com servidores KMS ou TPM. O método explorava um arquivo de suporte à atualização do Windows para simular uma data de validade distante. A Microsoft já havia removido anteriormente as instruções para contornar a verificação do TPM de sua própria documentação de suporte, portanto, essa questão não é nova.

Mesmo a solução alternativa que, de fato, tem “KMS” em seu nome não é afetada. Ela não entra em contato com um host KMS real, mas, em vez disso, inicia um servidor falso no próprio computador do usuário que simplesmente aprova a solicitação. Não há nenhum componente capaz de realizar uma verificação do TPM. De qualquer forma, os métodos amplamente utilizados atualmente operam com base em um princípio totalmente diferente.

O fato de o TPM nem sempre ser tão obrigatório no Windows 11 quanto parece já era evidente ao atualizar computadores mais antigos.

Quem realmente precisa tomar medidas agora

Os administradores são afetados e, mesmo entre eles, apenas aqueles que possuem seu próprio host KMS. Para servidores físicos, a Microsoft exige que o dispositivo seja certificado no Catálogo do Windows Server e tenha um TPM instalado e ativado. Atualmente, não há requisitos para hosts KMS virtuais. A Microsoft planeja fornecer esses detalhes em uma publicação posterior; portanto, ainda não divulgou as regras específicas para esse cenário.