كيفية تفعيل Secure Boot وTPM 2.0 لتثبيت ويندوز 11

وصلت إلى شاشة تثبيت ويندوز 11، وظهرت لك رسالة "This PC can't run Windows 11"، أو رفض برنامج التثبيت المتابعة رغم أن جهازك ليس قديماً؟ قد يكون السبب تعطيل ميزتين أساسيتين ضمن متطلبات ويندوز 11 الرسمية معطّلتان من BIOS: Secure Boot و TPM 2.0.

يشترط Windows 11 رسميًا وجود TPM 2.0، وأن يكون الجهاز قادرًا على استخدام Secure Boot. وقد تكون ميزتا TPM أو Secure Boot معطّلتين في البرنامج الثابت، لكن لا تفترض ذلك قبل التحقق من حالة الجهاز ومتطلبات المعالج والذاكرة وبقية المواصفات.

هذا يعني أن جهازك قد يكون مؤهلاً تماماً لتشغيل ويندوز 11 من الناحية العتادية، لكنه يظهر كأنه "غير مدعوم" فقط بسبب إعداد بسيط يمكن تغييره في دقائق معدودة دون الحاجة لأي قطعة عتاد جديدة. في هذا الدليل ستتعلم الفرق بين Secure Boot وTPM 2.0، كيف تتحقق من حالتهما الحالية بثلاث طرق مختلفة، وكيف تفعّلهما خطوة بخطوة على أجهزة Dell وHP ولينوفو وأيسوس وأيسر وMSI وGigabyte، بالإضافة إلى حلول لأشهر رسائل الخطأ التي تظهر أثناء التثبيت.

🔧 الحل السريع

إذا كنت تريد الحل مباشرة دون قراءة التفاصيل:

1. ادخل BIOS
2. فعّل وضع UEFI
3. فعّل Secure Boot
4. فعّل Intel PTT أو AMD fTPM
5. احفظ الإعدادات
6. أعد تشغيل الجهاز

ثم أكمل القراءة أدناه لمعرفة التفاصيل والخطوات الدقيقة لكل شركة.

ما هو Secure Boot؟

Secure Boot هو معيار أمني ضمن مواصفة UEFI، يتحقق من توقيع رقمي لكل برنامج يعمل أثناء إقلاع الجهاز (نظام التشغيل، برامج التشغيل، أدوات الإقلاع) قبل السماح له بالعمل. إذا لم يكن البرنامج موقّعاً رقمياً من جهة موثوقة، يرفض BIOS تشغيله.

كيف يعمل: عند تشغيل الجهاز، يقارن UEFI توقيع كل عنصر إقلاع بقاعدة بيانات مفاتيح موثوقة مخزّنة في شريحة اللوحة الأم. أي برنامج غير موقّع، أو تم التلاعب به، يُرفض تلقائياً قبل تحميل نظام التشغيل بالكامل.

لماذا أضافته Microsoft: الهدف الأساسي هو منع نوع خطير من البرمجيات الخبيثة يُسمى Bootkit أو Rootkit، وهي برمجيات تصيب مرحلة الإقلاع نفسها قبل أن يبدأ نظام التشغيل ومضاد الفيروسات في العمل، ما يجعلها شبه غير قابلة للاكتشاف بالطرق التقليدية.

هل يؤثر على الأداء؟ لا. Secure Boot يعمل فقط في اللحظات الأولى من الإقلاع، ولا يوجد أي تأثير ملحوظ على سرعة النظام أو الألعاب أو أي تطبيق بعد إقلاع ويندوز.

هل يمكن تعطيله؟ نعم تقنياً، لكن تعطيله بعد تثبيت ويندوز 11 قد يمنع النظام من الإقلاع في بعض الإعدادات، وقد يُفعّل BitLocker إعادة طلب مفتاح الاسترداد. الأفضل تركه مفعّلاً دائماً ما لم يكن هناك سبب تقني واضح (مثل تشغيل نظام تشغيل قديم لا يدعمه، أو استخدام توزيعة لينكس معيّنة تتطلب تعطيله مؤقتاً أثناء التثبيت).

من المهم التفريق بين Secure Boot ووضع UEFI نفسه؛ فوضع UEFI هو البنية التي يعمل ضمنها Secure Boot، بينما Secure Boot ميزة اختيارية داخل UEFI يمكن تفعيلها أو تعطيلها بشكل منفصل. لذلك قد تجد جهازاً يعمل بوضع UEFI لكن Secure Boot معطّل فيه تحديداً، وهذا هو السبب الأشيع وراء رسالة الخطأ رغم أن الجهاز حديث نسبياً.

ما هو TPM 2.0؟

TPM اختصار لـ Trusted Platform Module، وهي شريحة أمنية (أو وحدة مدمجة في المعالج حديثاً) مهمتها تخزين مفاتيح التشفير، شهادات الأمان، وبصمات التحقق من سلامة النظام، بمعزل تام عن نظام التشغيل ومساحة التخزين الرئيسية.

الفرق بين TPM 1.2 و TPM 2.0: الإصدار 2.0 أحدث ويدعم خوارزميات تشفير أقوى (مثل SHA-256 مقابل SHA-1 في الإصدار القديم)، وهو الإصدار الوحيد الذي يقبله ويندوز 11 رسمياً. أي جهاز لا يزال يحمل شريحة TPM 1.2 فقط لا يفي بمتطلبات ويندوز 11.

لماذا يحتاجه ويندوز 11: تعتمد عليه ميزات أمنية أساسية مثل BitLocker (تشفير القرص)، Windows Hello (تسجيل الدخول بالبصمة أو الوجه)، وحماية بيانات الاعتماد (Credential Guard) من هجمات سرقة كلمات المرور من الذاكرة.

هل كل الأجهزة تحتوي عليه؟ كثير من الأجهزة الحديثة، خصوصاً تلك المصنّعة خلال السنوات الأخيرة والمؤهلة لتشغيل ويندوز 11 رسمياً، تحتوي على TPM 2.0 مدمج في المعالج (يُعرف باسم Intel PTT لدى إنتل وAMD fTPM لدى AMD)، لكنه غالباً معطّل افتراضياً من BIOS، وليس غائباً فعلياً كما يظن كثيرون.

جدير بالذكر أن TPM ليس ميزة حصرية لويندوز 11؛ فقد كانت مستخدمة فعلياً في بيئات الشركات منذ سنوات لتشفير الأقراص وحماية بيانات تسجيل الدخول قبل أن تصبح شرطاً إلزامياً للمستخدم العادي. اختيار Microsoft جعلها إلزامية كان تحديداً لرفع الحد الأدنى من الأمان في كل جهاز يعمل بويندوز 11، بدلاً من تركها اختيارية كما كانت في ويندوز 10.

الفرق بين Secure Boot و TPM 2.0

رغم أن كلا المتطلبين يظهران معاً عند تثبيت ويندوز 11، إلا أن وظيفتهما مختلفة تماماً:

كيفية معرفة ما إذا كان Secure Boot مفعلاً

قبل الدخول إلى BIOS، يمكنك التحقق من الحالة الحالية مباشرة من داخل ويندوز بثلاث طرق:

عبر msinfo32: اضغط Win + R، اكتب msinfo32 واضغط Enter. في نافذة "معلومات النظام"، ابحث عن سطر BIOS Mode (يجب أن يكون UEFI وليس Legacy) وسطر Secure Boot State الذي يوضّح إن كان On أو Off أو Unsupported.

عبر Windows Security: افتح تطبيق Windows Security، ثم Device security، ثم Core isolation details أو قسم معلومات الأمان الأساسي، وستجد حالة Secure Boot موضّحة هناك مباشرة.

من BIOS مباشرة: إذا كان ويندوز مثبتاً بالفعل، ادخل BIOS (راجع دليل مفتاح Boot Menu لجميع الأجهزة لمعرفة المفتاح الصحيح لجهازك)، وابحث عن خيار Secure Boot عادة داخل تبويب Boot أو Security أو Authentication.

كيفية معرفة ما إذا كان TPM 2.0 موجوداً

عبر tpm.msc: اضغط Win + R، اكتب tpm.msc واضغط Enter. إذا أظهرت نافذة TPM أن الوحدة جاهزة للاستخدام وكان إصدار المواصفة 2.0، فهذا يؤكد أن Windows يتعرف على TPM 2.0. أما رسالة "Compatible TPM cannot be found" فتعني أن Windows لا يتعرف على TPM حاليًا؛ وقد يكون معطّلًا في إعدادات البرنامج الثابت أو غير متاح على هذا الجهاز. لا تكفي الرسالة وحدها لتحديد السبب.

عبر Windows Security: في نفس قسم Device security، ستجد بطاقة منفصلة باسم Security processor تعرض تفاصيل TPM مباشرة، بما في ذلك رقم الإصدار والشركة المصنّعة للشريحة.

عبر Device Manager: افتح Device Manager، ثم وسّع قسم Security devices. إذا وجدت "Trusted Platform Module 2.0"، فالشريحة مفعّلة ويتعرف عليها ويندوز بشكل صحيح.

كيفية تفعيل Secure Boot في BIOS لجميع الشركات

الخطوات العامة متشابهة في كل الشركات: ادخل BIOS، تأكد أن وضع الإقلاع UEFI وليس Legacy أو CSM، فعّل Secure Boot، ثم احفظ واخرج (Save & Exit أو F10 غالباً). الجدول التالي يلخّص مفتاح الدخول إلى BIOS ومكان خيار Secure Boot تقريباً لكل شركة، وتفاصيل كل شركة تجدها بعده مباشرة:

قد تحتاج أيضاً إلى مفتاح Boot Menu المؤقت (وليس BIOS نفسه) لاختيار الفلاشة كوسيلة إقلاع لمرة واحدة، وهو غالباً مفتاح مختلف عن مفتاح الدخول إلى BIOS:

إذا كان مفتاح Boot Menu يعمل لكن فلاشة تثبيت ويندوز لا تظهر ضمن قائمة أجهزة الإقلاع، فقد تحتاج إلى تشخيص المشكلة بشكل مختلف. راجع حل مشكلة عدم ظهور الفلاشة في Boot Menu عند تثبيت ويندوز لمعرفة الأسباب المحتملة المتعلقة بالفلاشة وUSB Boot وUEFI وSecure Boot.

للاطلاع على القائمة الكاملة لجميع الشركات بما فيها Acer وMSI وGigabyte وغيرها، راجع دليل مفتاح Boot Menu لجميع الأجهزة المخصص لهذا الموضوع بالتفصيل.

Dell

ادخل BIOS بالضغط على F2 عند الإقلاع. اذهب إلى تبويب Boot Sequence، تأكد من ضبط Boot List Option على UEFI. بعدها انتقل إلى تبويب Secure Boot، وفعّل Secure Boot Enable. احفظ بالضغط على F10.

HP

اضغط F10 أو Esc ثم F10 مباشرة بعد تشغيل الجهاز للدخول إلى BIOS. انتقل إلى System Configuration ثم Boot Options. إذا كان خيار Legacy Support مفعلاً فقم بتعطيله أولاً، ثم غيّر Secure Boot إلى Enabled. بعد الانتهاء اضغط F10 لحفظ التغييرات وإعادة تشغيل الجهاز.

Lenovo

في معظم أجهزة Lenovo ThinkPad يمكنك الدخول إلى BIOS بالضغط على F1 عند تشغيل الجهاز، بينما تستخدم بعض الطرازات F2. بعد الدخول انتقل إلى Security > Secure Boot ثم غيّر الحالة إلى Enabled. إذا كان خيار Secure Boot غير متاح، انتقل إلى تبويب Startup واضبط UEFI/Legacy Boot على UEFI Only، ثم احفظ التغييرات بالضغط على F10.

ASUS

اضغط F2 أو Delete عند الإقلاع، ثم انتقل لوضع Advanced Mode إن دخلت في الوضع المبسّط. اذهب إلى تبويب Boot، ثم Secure Boot، ثم OS Type واضبطه على Windows UEFI mode. فعّل بعدها Secure Boot Control.

Acer

اضغط F2 عند الإقلاع. اذهب إلى تبويب Boot، تأكد أن Secure Boot ظاهر ومفعّل. إذا كان مخفياً، فعّل أولاً UEFI Mode من نفس التبويب، وقد يتطلب الأمر أيضاً تعيين كلمة مرور للمشرف (Supervisor Password) قبل السماح بتغيير هذا الخيار.

MSI

اضغط Delete عند الإقلاع، وادخل Advanced Mode (F7 داخل BIOS). اذهب إلى تبويب Settings، ثم Advanced، ثم Windows OS Configuration، وفعّل Secure Boot من هناك مباشرة.

Gigabyte

اضغط Delete عند الإقلاع، وادخل Advanced Mode. اذهب إلى تبويب BIOS، ثم قسم Secure Boot، وفعّل Secure Boot Enable. تأكد أن Boot Mode مضبوط على UEFI من نفس القسم.

كيفية تفعيل TPM 2.0 في BIOS

يختلف مسمّى الخيار حسب نوع المعالج، لكن الفكرة واحدة: تفعيل الوحدة الأمنية المدمجة داخل المعالج نفسه.

لمعالجات Intel: ابحث عن Intel PTT أو TPM Device ضمن تبويب Security أو داخل قائمة إعدادات المعالج المتقدمة، واضبطه على Enabled.

لمعالجات AMD: ابحث عن AMD fTPM switch أو AMD CPU fTPM، عادة داخل تبويب Advanced ثم AMD CBS ثم Security Processor Configuration. اضبطه على Enabled أو Firmware TPM.

بعد التفعيل من أي من الطريقتين، أعد تشغيل الجهاز وتحقق من tpm.msc كما شرحنا سابقاً للتأكد من ظهور "TPM ready for use".

إذا لم يظهر TPM داخل ويندوز بعد إعادة التشغيل، جرّب إيقاف تشغيل الجهاز بالكامل ثم تشغيله مرة أخرى، أو إعادة ضبط إعدادات BIOS وحفظها.

هل يجب تحويل القرص من MBR إلى GPT؟

يتطلب تثبيت Windows 11 رسميًا جهازًا قادرًا على الإقلاع باستخدام UEFI وSecure Boot. عند تثبيت ويندوز في وضع UEFI، يكون قرص النظام عادةً بنمط GPT. لكن GPT ليس شرطًا عامًا لكل قرص متصل بالجهاز؛ المهم هو وضع إقلاع النظام والقرص الذي سيُثبَّت عليه ويندوز.

الفرق بين MBR و GPT: نمط MBR (Master Boot Record) هو النظام القديم لتقسيم الأقراص، ويدعم فقط أقراصاً حتى 2 تيرابايت وعدداً محدوداً من التقسيمات الأساسية. أما GPT (GUID Partition Table) فهو النمط الحديث المصمم للعمل مع UEFI، ويدعم أقراصاً أكبر بكثير وعدداً أكبر من التقسيمات، وهو النمط المطلوب رسمياً لتثبيت ويندوز 11.

متى تحتاج إلى GPT فعلياً: إذا كان جهازك قديماً ويعمل حالياً بويندوز 10 على قرص MBR، فستحتاج إلى تحويله إلى GPT قبل الترقية إلى ويندوز 11. أما في التثبيت النظيف من فلاشة USB، فيمكن لأداة التثبيت إنشاء الأقسام المناسبة على القرص المستهدف عند الإقلاع بوضع UEFI. حذف الأقسام ليس خطوة تشخيصية عامة؛ فهو يمحو بيانات الأقسام المحددة، لذلك لا تنفذه إلا بعد النسخ الاحتياطي والتأكد من اختيار القرص الصحيح.

علاقة ذلك بـ Secure Boot: Secure Boot ميزة ضمن UEFI، ولا يُفعَّل عند الإقلاع بنمط Legacy/CSM. أما MBR وGPT فهما نمطان لتقسيم الأقراص، ويرتبط قرص النظام عادةً بـ GPT عند استخدام UEFI. لذلك تحقّق من وضع الإقلاع والقرص كلٌّ على حدة، ولا تفترض أن رسالة Secure Boot تعني تلقائيًا أن القرص MBR.

ماذا أفعل إذا لم أجد Secure Boot؟

إذا لم يظهر خيار Secure Boot إطلاقاً في BIOS، جرّب الأسباب التالية بالترتيب:

• وضع Legacy أو CSM مفعّل: قد لا يظهر خيار Secure Boot أو يتعذر تفعيله عند استخدام Legacy/CSM. قبل تغيير الإعداد، تحقق من وضع تثبيت ويندوز الحالي؛ فالتبديل المباشر إلى UEFI قد يمنع النظام المثبت بنمط Legacy من الإقلاع. إذا كان ذلك ينطبق عليك، راجع دليل Microsoft لأداة MBR2GPT وخذ نسخة احتياطية أولًا.
• BIOS قديم لم يُحدَّث: بعض الأجهزة الأقدم تحتاج تحديث BIOS من موقع الشركة المصنّعة رسمياً قبل ظهور خيار Secure Boot، حتى لو كانت اللوحة الأم تدعمه تقنياً.
• الجهاز لا يدعمه فعلياً: إذا كان جهازك أقدم من 2015-2016 تقريباً، فمن المرجّح أنه لا يدعم UEFI أو Secure Boot إطلاقاً، وفي هذه الحالة الخيار الوحيد هو تجاوز المتطلبات عبر أداة مثل Rufus (وهي طريقة غير مدعومة رسمياً من Microsoft).
• وضع القرص: نمط MBR لا يعني وحده أن خيار Secure Boot لن يظهر في BIOS. إذا كنت تحوّل نظامًا مثبتًا من Legacy إلى UEFI، فتحقق من أن قرص النظام مناسب للتحويل إلى GPT، واتبع تعليمات MBR2GPT الرسمية بدل تغيير وضع الإقلاع عشوائيًا.

ماذا أفعل إذا لم أجد TPM؟

• الشريحة معطّلة فقط من BIOS: الحالة الأشيع بفارق كبير. تحقق مجدداً من تبويبات Security وAdvanced بحثاً عن Intel PTT أو AMD fTPM كما شرحنا أعلاه.
• BIOS يحتاج تحديثاً: بعض اللوحات الأم القديمة تحتاج تحديث BIOS لإظهار خيار TPM حتى لو كان المعالج يدعمه تقنياً. راجع موقع الشركة المصنّعة للوحة الأم.
• اللوحة الأم لا تدعمه إطلاقاً: يحدث هذا غالباً في أجهزة أقدم من الجيل السابع لإنتل (Kaby Lake فما دون) أو معالجات AMD قبل عائلة Ryzen. إذا كان الجهاز لا يدعم UEFI/Secure Boot فعليًا، فقد لا يكون مؤهلًا للتثبيت الرسمي. لا تُقدَّم أدوات تجاوز المتطلبات كحل مكافئ للدعم الرسمي؛ راجع مخاطر تثبيت Windows على جهاز غير مدعوم قبل اتخاذ القرار.

أشهر أخطاء تثبيت ويندوز 11 المتعلقة بـ TPM و Secure Boot

ما سبب رسالة "This PC Can't Run Windows 11"؟

السبب غالباً أحد الأمور التالية:

• TPM 2.0 معطل
• Secure Boot معطل
• وضع Legacy مفعل
• القرص بنمط MBR

قبل افتراض أن جهازك غير مؤهل، اقرأ رسالة الخطأ كاملة. قد تكون المشكلة في TPM أو Secure Boot أو المعالج أو الذاكرة أو التخزين أو وسيط التثبيت؛ والرسالة العامة وحدها لا تحدد السبب دائمًا.

إذا تأكدت من أن TPM 2.0 وSecure Boot مفعّلان بالفعل، لكن رسالة الخطأ ما زالت تظهر أثناء تثبيت ويندوز 11، فغالباً لا تكون المشكلة في هذين الخيارين. في هذه الحالة راجع دليل حل مشكلة تثبيت ويندوز 11 رغم تفعيل TPM وSecure Boot الذي يشرح الأسباب الأخرى مثل إعدادات BIOS، ونمط تقسيم القرص، وإصدار BIOS، وأخطاء وسائط التثبيت.

أسئلة شائعة

💡 معلومة مهمة

في أغلب الأجهزة الحديثة، المشكلة ليست عدم وجود TPM أو Secure Boot، وإنما كونهما معطلين فقط من BIOS.

الخلاصة

إذا كانت الميزتان مفعّلتين بالفعل وما زال التثبيت يفشل، انتقل إلى الدليل التشخيصي: لماذا يفشل تثبيت ويندوز 11 رغم تفعيل TPM وSecure Boot؟؛ فهو يركّز على فحص المعالج والذاكرة ووسيط التثبيت وسجلات الإعداد بدل إعادة شرح خطوات التفعيل.

التحقق من TPM 2.0 وSecure Boot يجب أن يكون أول خطوة قبل أي محاولة لتثبيت ويندوز 11، وليس بعد ظهور رسالة الخطأ. ابدأ دائماً بالتحقق من TPM عبر tpm.msc، ثم تحقق من حالة Secure Boot عبر msinfo32، وفي أغلب الأحيان ستجد أن الميزتين موجودتان فعلياً لكن معطّلتين فقط من BIOS، وليستا غائبتين كما قد تظن.

إذا واجهتك أي مشكلة أثناء الدخول إلى BIOS نفسه، راجع دليل مفتاح Boot Menu لجميع الأجهزة لمعرفة المفتاح الصحيح لشركة جهازك. وبعد تفعيل الميزتين بنجاح، يمكنك متابعة التثبيت مباشرة عبر دليل كيفية تثبيت ويندوز 11 من الفلاشة خطوة بخطوة، وإذا لم تكن قد أنشأت فلاشة التثبيت بعد، ابدأ من دليل أفضل برامج حرق الويندوز على فلاشة USB.

إذا ظهرت لك رسالة مثل This PC can't run Windows 11 أو Secure Boot must be enabled أو TPM 2.0 must be supported رغم أنك فعّلت الميزتين بالفعل، فراجع أيضاً دليل حل مشكلة تثبيت ويندوز 11 رغم تفعيل TPM وSecure Boot. وإذا استمرت المشكلة، فاكتب اسم جهازك ورسالة الخطأ كاملة في التعليقات وسنساعدك في تحديد السبب والحل المناسب.

مصادر رسمية: راجع متطلبات Windows 11 ودليل Microsoft لأداة MBR2GPT قبل تغيير وضع الإقلاع أو تقسيم قرص النظام.