Kiểm tra máy có lên Windows 11 được không: TPM 2.0, Secure Boot

Muốn biết máy có lên Windows 11 được không, hãy chạy PC Health Check: ứng dụng sẽ chỉ ra máy đạt hay không và vì sao. Nếu lý do là TPM 2.0 hoặc Secure Boot, rất nhiều máy chỉ cần bật lại hai tùy chọn này trong UEFI là đạt. Bài dưới đây giải thích cấu hình tối thiểu, cách tự kiểm tra từng mục và cách bật đúng, không dùng mẹo lách yêu cầu.

Cấu hình tối thiểu Windows 11 theo Microsoft

Theo trang yêu cầu hệ thống Windows 11 của Microsoft, máy cần đáp ứng các điều kiện sau để cài hoặc nâng cấp:

Trang này cũng ghi rõ Windows 11 Home cần kết nối Internet và tài khoản Microsoft khi thiết lập lần đầu. Nếu bạn muốn tìm hiểu kỹ chuyện cài đặt không có mạng, xem bài cài Windows 11 offline. Ngoài ra, để nâng cấp trực tiếp, máy Windows 10 phải chạy phiên bản 2004 trở lên và đã cài bản cập nhật bảo mật ngày 14/9/2021 hoặc mới hơn.

RAM, ổ cứng và màn hình thì dễ kiểm tra. Ba mục hay gây thắc mắc nhất là bộ xử lý tương thích, TPM 2.0 và Secure Boot.

Kiểm tra bằng PC Health Check

PC Health Check là ứng dụng miễn phí của Microsoft. Theo hướng dẫn dùng PC Health Check, bạn có thể tìm "PC Health Check" trong ô tìm kiếm trên thanh tác vụ. Nếu máy chưa có, Microsoft cung cấp đường tải chính thức ngay trong trang hướng dẫn.

1. Mở PC Health Check.
2. Ở mục giới thiệu Windows 11, chọn Check now (Kiểm tra ngay).
3. Đọc kết quả. Ứng dụng cho biết máy đạt hay không, kèm lý do cụ thể và gợi ý việc có thể làm nếu chưa đạt.

Microsoft cũng lưu ý: nếu phát hiện một vấn đề tương thích có thể làm gián đoạn trải nghiệm Windows 11, việc nâng cấp sẽ tạm thời bị hoãn cho tới khi vấn đề được giải quyết. Vì vậy, máy đạt yêu cầu mà chưa thấy bản nâng cấp trong Windows Update cũng là chuyện bình thường.

Kết quả "không đạt" thường rơi vào một trong ba nhóm: TPM, Secure Boot hoặc bộ xử lý. Hai nhóm đầu thường sửa được. Nhóm thứ ba thì không.

TPM 2.0 là gì và cách kiểm tra

TPM là một con chip (hoặc một chức năng tích hợp trong CPU) chuyên lưu khóa mã hóa và xác thực rằng máy khởi động đúng phần mềm. Trang hỗ trợ của Microsoft về bật TPM 2.0 cho biết Windows 11 dùng TPM 2.0 cho nhiều tính năng bảo mật, gồm Windows Hello để bảo vệ danh tính và BitLocker để bảo vệ dữ liệu. Microsoft cũng nói phần lớn PC xuất xưởng trong 5 năm gần đây có khả năng chạy TPM 2.0, nhưng không phải máy nào cũng đã bật.

Một điểm hay bị bỏ qua: bo mạch chủ bán lẻ cho người tự ráp máy thường để TPM ở trạng thái tắt khi xuất xưởng, dù hầu như luôn có thể bật. Đó là lý do nhiều máy bàn tự ráp đời mới vẫn bị PC Health Check báo không đạt.

Cách 1: Dùng tpm.msc

1. Nhấn Windows + R, gõ tpm.msc rồi nhấn Enter.
2. Nếu thấy thông báo không tìm thấy TPM tương thích ("Compatible TPM cannot be found"), có thể TPM đang bị tắt trong UEFI.
3. Nếu thấy TPM đã sẵn sàng, xem dòng Specification Version trong phần thông tin nhà sản xuất TPM. Giá trị phải là 2.0.

Cách 2: Dùng ứng dụng Bảo mật Windows

Mở Bảo mật Windows (Windows Security), chọn Bảo mật thiết bị (Device security). Nếu có mục Bộ xử lý bảo mật (Security processor), chọn Chi tiết bộ xử lý bảo mật và xem Specification version. Nếu không thấy mục này, nhiều khả năng TPM đang bị tắt.

Nếu phiên bản thấp hơn 2.0, ví dụ TPM 1.2 trên máy đời cũ, máy không đáp ứng yêu cầu của Windows 11.

Kiểm tra Secure Boot và chế độ BIOS bằng msinfo32

Secure Boot là tính năng của UEFI, chỉ cho phép phần mềm khởi động đã được ký tin cậy chạy khi bật máy. Nó giúp chặn các loại mã độc cài vào giai đoạn khởi động. Windows 11 yêu cầu firmware UEFI hỗ trợ Secure Boot.

1. Nhấn Windows + R, gõ msinfo32 rồi nhấn Enter để mở Thông tin hệ thống.
2. Ở mục Tóm tắt hệ thống (System Summary), tìm dòng BIOS Mode. Giá trị UEFI là tốt. Giá trị Legacy nghĩa là máy đang chạy chế độ BIOS cũ.
3. Tìm dòng Secure Boot State. On là đã bật, Off là có hỗ trợ nhưng đang tắt, Unsupported là máy hiện không hỗ trợ ở chế độ đang chạy.

Trường hợp BIOS Mode là Legacy cần cẩn thận nhất. Windows cài ở chế độ Legacy thường nằm trên ổ đĩa kiểu MBR. Nếu chỉ chuyển UEFI sang chế độ thuần UEFI, máy có thể không khởi động được Windows hiện tại. Microsoft có công cụ MBR2GPT để chuyển kiểu ổ đĩa, nhưng đây là thao tác có rủi ro. Hãy sao lưu toàn bộ dữ liệu trước, hoặc nhờ người có kinh nghiệm.

Cách bật TPM (Intel PTT, AMD fTPM) trong UEFI

TPM được bật trong phần mềm UEFI của bo mạch chủ, không bật trong Windows. Cách vào UEFI an toàn từ Windows:

1. Trên Windows 10, vào Cài đặt > Cập nhật và bảo mật > Khôi phục. Trên Windows 11, vào Cài đặt > Hệ thống > Khôi phục.
2. Ở mục Khởi động nâng cao, chọn Khởi động lại ngay.
3. Chọn Troubleshoot (Khắc phục sự cố) > Advanced options (Tùy chọn nâng cao) > UEFI Firmware Settings, rồi Restart.

Bạn cũng có thể nhấn phím vào BIOS ngay khi bật máy, thường là Del, F2 hoặc F10 tùy hãng. Trong UEFI, tùy chọn TPM thường nằm ở thẻ Security, Advanced hoặc một menu con tên Trusted Computing. Theo Microsoft, tên tùy chọn có thể là:

• Intel Platform Trust Technology hoặc Intel PTT trên máy dùng CPU Intel.
• AMD fTPM switch hoặc AMD PSP fTPM trên máy dùng CPU AMD.
• Security Device Support trên một số bo mạch chủ.

Chuyển tùy chọn sang Enabled, lưu (thường là F10) và khởi động lại. Sau đó mở lại tpm.msc để chắc chắn TPM 2.0 đã sẵn sàng. Nếu không tìm thấy tùy chọn, hãy tra tài liệu hỗ trợ của hãng máy hoặc hãng bo mạch chủ. Microsoft cũng khuyên làm vậy nếu bạn không quen với các thiết lập này.

Cách bật Secure Boot

Secure Boot thường nằm ở thẻ Boot hoặc Security trong UEFI. Cách làm chung:

1. Kiểm tra chế độ khởi động là UEFI. Nếu có tùy chọn CSM (Compatibility Support Module), chế độ này phải tắt thì Secure Boot mới bật được. Chỉ tắt CSM khi msinfo32 đã báo BIOS Mode là UEFI, nếu không máy có thể không vào được Windows.
2. Tìm mục Secure Boot, chuyển sang Enabled. Một số bo mạch yêu cầu chọn kiểu hệ điều hành là Windows UEFI mode hoặc khôi phục khóa mặc định (Restore Factory Keys) trước.
3. Lưu và khởi động lại, rồi mở msinfo32 kiểm tra Secure Boot State là On.

Tên mục khác nhau rất nhiều giữa các hãng như ASUS, MSI, Gigabyte, Dell, HP hay Lenovo. Nếu không chắc, chụp ảnh màn hình UEFI trước khi đổi để có thể đặt lại như cũ.

Nếu máy đang bật BitLocker hoặc mã hóa thiết bị, việc đổi cài đặt TPM, Secure Boot hay cập nhật BIOS có thể khiến máy đòi khóa khôi phục ở lần khởi động sau. Hãy sao lưu khóa trước, theo hướng dẫn trong bài tìm và sao lưu khóa khôi phục BitLocker.

Khi bộ xử lý không nằm trong danh sách hỗ trợ

Yêu cầu về bộ xử lý không chỉ là tốc độ và số nhân. Microsoft công bố danh sách bộ xử lý tương thích, được liên kết ngay trong trang yêu cầu hệ thống. Nếu PC Health Check báo bộ xử lý không được hỗ trợ, không có tùy chọn UEFI nào thay đổi được điều đó.

Trên mạng có nhiều cách sửa registry hoặc tạo bộ cài để bỏ qua kiểm tra. Chúng tôi không hướng dẫn các cách này. Máy chạy Windows 11 không đạt yêu cầu nằm ngoài cấu hình Microsoft hỗ trợ, và bạn có thể gặp lỗi khi cập nhật hoặc mất tính năng bảo mật dựa trên TPM.

Lúc này lựa chọn hợp lý là cân nhắc giữa nâng cấp linh kiện, mua máy mới hoặc tiếp tục dùng máy cũ với biện pháp bảo vệ phù hợp. Microsoft đã ngừng hỗ trợ Windows 10 từ ngày 14/10/2025, nên máy Windows 10 không còn nhận bản sửa lỗi bảo mật miễn phí. Bài Windows 10 hết hỗ trợ: nâng cấp hay mua PC mới phân tích kỹ từng lựa chọn.

Sau khi bật xong: kiểm tra lại và nâng cấp

Bật TPM và Secure Boot xong, mở lại PC Health Check và chọn Check now. Nếu máy đã đạt, bạn có thể nâng cấp qua Windows Update. Trước khi nâng cấp, hãy sao lưu dữ liệu quan trọng ra ổ ngoài hoặc dịch vụ đám mây, cập nhật trình điều khiển và giải phóng ổ C cho đủ chỗ. Chuyên mục Thủ thuật có thêm các hướng dẫn chuẩn bị cho Windows 11.