セキュアブート証明書の確認方法｜有効期限を確認する手順【Windows 10/11】

セキュアブート証明書とは

セキュアブートはWindows 11のハードウェア要件の1つですが、証明書がその信頼の基盤を担っています。

セキュアブート証明書の役割

セキュアブートとは、UEFIに組み込まれたセキュリティ機能で、Windowsが読み込まれる前の段階で信頼された署名済みソフトウェアだけを実行させる仕組みです。

2011年に導入されたこの仕組みは、ブートプロセス中の不正な差し替えを防ぐ役割を担います。信頼の基盤となるのがPK・KEK・db・dbxという階層構造で管理される証明書群で、OSやドライバーの署名検証を行っています。

セキュアブート証明書が期限切れになるとどうなる？

2011年発行の証明書は計画されたライフサイクルの終了を迎え、2026年6月から10月の間に順次期限切れとなります。Microsoftによれば、証明書が期限切れでもPCは正常に起動し、既存ソフトウェアや標準のWindows更新プログラムも継続利用できます。

一方で、初期ブートプロセスの新しいセキュリティ保護は受け取れなくなり、将来的な保護更新の適用能力も制限されます。

新証明書は2024年以降発売のほとんどのデバイスに既に搭載されていますが、それより前のPCや更新を長期間適用していない環境では注意が必要です。

セキュアブート証明書の確認方法

新しい証明書に対応済みかどうかは、数分で確認できます。ここではPowerShellとUEFI設定の2つの確認方法を紹介します。

方法1. PowerShellでセキュアブート証明書を確認する

PowerShellならコマンド実行だけで証明書の状態を確認できます。Windows 10・11共通の手順です。

• スタートメニューを右クリックし、「ターミナル（管理者）」を選択して管理者権限で起動。

• Confirm-SecureBootUEFIを実行し、結果が「True」ならセキュアブートは有効です。

• ([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023')を実行。

• 結果が「True」なら2023年版の新しい証明書が登録済み、「False」なら未適用です。

  

方法2. UEFIファームウェア設定からセキュアブートを確認する

UEFI画面では有効・無効の確認はできますが、証明書のバージョンまでは表示されません。それでも試す場合は、以下の確認方法を実行してみてください。

• 「設定」→「システム」→「回復」から「今すぐ再起動」を選択。

• 「トラブルシューティング」→「詳細オプション」→「UEFI ファームウェアの設定」を選択。

• 「Security」タブなどにある「Secure Boot」項目が「Enabled」になっているか確認。

  

セキュアブート証明書が期限切れ・更新対象の場合の対処法

証明書が古いままでも、自動更新の仕組みと手動での更新手段が用意されています。

方法1. Windows Updateによる証明書を自動更新

Microsoftは2026年2月の月例セキュリティアップデートから新証明書を配布しています。

• 「設定」→「Windows Update」から「更新プログラムのチェック」を行います。

• 表示された更新プログラムをすべてインストールし、PCを再起動。

• 前述のPowerShellコマンドを再実行し、証明書が更新されたか確認。

新証明書は段階的な配布のためすぐに反映されないことがあります。Windows 10は拡張セキュリティ更新プログラム（ESU）登録者のみが更新対象です。

方法2. UEFIでセキュアブート証明書を手動で更新する

Windows Serverなど自動配布が届かない環境では手動更新が必要です。

• マザーボードメーカーの公式サポートページで最新BIOSバージョンを確認します。

• 「Secure Boot Key（2023 KEK/DB/PK）」などの記載があるバージョンに更新。

• 更新後、PowerShellで証明書を再確認します。

セキュアブートを有効にするためにMBRからGPTへ変換する方法

セキュアブートを有効化するには、ディスクのパーティション形式がGPT（GUID Partition Table）である必要があります。古いPCで長く使っているディスクの場合、MBR（Master Boot Record）形式のままになっていることも珍しくありません。

Windows標準の機能でMBRからGPTへ変換する方法も存在しますが、コマンド操作や事前のバックアップ作業が煩雑になりやすく、途中でデータを損なうリスクも伴います。

その点、4DDiG Partition Managerのような、パーティション管理全般を手軽にこなせるツールを使うと便利です。データを保持したままワンクリックでMBRからGPTへの変換に対応しており、コマンド操作に不慣れな場合でも変換作業の手間を大きく減らせます。セキュアブートの有効化とWindows 11の要件対応を同時に進めたい場合の手段として、覚えておくとよいでしょう。

具体的な操作手順は次のとおりです。

• コンピュータに4DDiG Partition Managerをダウンロードしてインストールします。そして、アプリケーションを起動し、左側の列で「ディスクを変換」を選択し、「MBRをGPTに変換」をクリックして続行します。

  

• 変換するディスクを選択して、「続行」をクリックして、変換インタフェースに入ります。選択したディスクがシステムディスクの場合、プログラムはPEコンポーネントをダウンロードします。ダウンロードに成功すると、プロンプトウィンドウが表示されます。

  

• Windows PEでプログラムが起動したら、「MBRをGPTに変換」を選択して続行します。

  

• 4DDiG Partition ManagerはMBRをGPTに変換しています。 ディスク変換の速度は、ディスク上のパーティションの数によって異なります。変換は成功しました！以下の手順に従ってコンピュータを起動してください。そうしないと、コンピュータが正しく起動しない場合があります。

  

まとめ

2011年版のセキュアブート証明書は2026年6月から順次期限切れを迎えるため、PowerShellを使った確認方法を早めに行うことが大切です。ディスクがMBR形式の場合は、4DDiG Partition Managerのようなツールを使って、データを保持したままGPTへ変換する方法もあります。

よくある質問

1. セキュアブート証明書の有効期限はどこで確認できますか？

([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023')を、管理者権限のPowerShellで実行すれば確認できます。「True」なら新証明書適用済み、「False」なら旧証明書のままの可能性が高い状態です。

2. セキュアブート証明書が期限切れになるとWindowsは起動できなくなりますか？

いいえ。Microsoftによれば、期限切れでもデバイスは正常に起動し、標準のWindows更新プログラムも継続利用できます。ただし初期ブートプロセスの新しい保護は受け取れなくなります。

3. Windows 10でもセキュアブート証明書の更新は必要ですか？

はい。ただしWindows Updateによる自動更新の対象はESU登録者に限られるため、未登録の場合はBIOS更新など別の手段で対応状況を確認する必要があります。