FACEIT Anti-Cheat: jak włączyć TPM 2.0 i Secure Boot w BIOS (ASUS, MSI, Gigabyte, ASRock)

Jeśli FACEIT Anti-Cheat zatrzymuje Cię komunikatem o TPM albo Secure Boot, w większości przypadków problem sprowadza się do dwóch przełączników w BIOS-ie i kilku minut. Oba są obowiązkowe dla wszystkich graczy od 25 listopada 2025, a oficjalny poradnik FACEIT podaje ścieżki tylko dla kilku producentów i odsyła do ogólnych instrukcji. Zebraliśmy je dla czterech najpopularniejszych płyt głównych, ASUS, MSI, Gigabyte i ASRock, z oficjalnych instrukcji producentów, i sprawdziliśmy, co na każdym zrzucie ekranu naprawdę widać. Na końcu jest sekcja o certyfikatach Secure Boot: jeden z nich wygasa 19 października 2026, czyli za cztery dni.

Czego FACEIT wymaga w październiku 2026

Według oficjalnego artykułu FACEIT od 25 listopada 2025 każdy gracz musi mieć włączony TPM 2.0 i Secure Boot. Razem tworzą raport, który potwierdza, że komputer wystartował bez załadowania niezatwierdzonego lub zmodyfikowanego oprogramowania, a anti-cheat sprawdza go, zanim wpuści Cię do meczu. Do tego dochodzą IOMMU i VBS, które FACEIT wprowadza falami: w październiku 2025 wymagały ich dla 60% graczy, a od sierpnia 2025 dla wszystkich powyżej 3000 ELO. Dalsze fale będą obejmować kolejne grupy.

System operacyjny też ma znaczenie. FAQ FACEIT mówi, że od 14 października 2026 Windows 10 musi mieć wersję 22H2 z włączonymi aktualizacjami ESU, a Windows 11 stanie się obowiązkowy w październiku 2027. Opisaliśmy to szerzej w tekście o Windows 10, 22H2 i ESU na FACEIT. Ten poradnik dotyczy sprzętu, czyli BIOS-u.

Krok 1: klucz BitLocker, zanim ruszysz BIOS

Na ASUS-ie ekran ostrzeżenia pojawia się przy samym włączaniu Intel PTT: informuje, że klucz TPM trafia do pamięci Intel ME, a po utracie klucza odzyskiwania lub wymianie układu BIOS system nie wystartuje i dane zostaną zaszyfrowane bez możliwości odzyskania. Dlatego ten krok jest pierwszy.

Krok 2: sprawdź, co jest włączone

Poniższa tabela zbiera cztery kontrole z oficjalnego artykułu FACEIT. Pierwsze trzy zrobisz w dwie minuty, bez wchodzenia do BIOS-u.

Wciśnij klawisz Windows, wpisz msinfo32 i Enter, a potem znajdź w podsumowaniu systemu wiersze BIOS Mode i Secure Boot State. Następnie uruchom tpm.msc w ten sam sposób. Jeśli Windows zgłasza, że nie znajduje zgodnego TPM, najczęściej oznacza to, że chip jest wyłączony w BIOS-ie. Zdrowy wynik wygląda tak:

Jeśli FACEIT zgłasza problem mimo prawidłowych wartości w tpm.msc, otwórz Zabezpieczenia Windows (Windows Security), przejdź do Device Security i wybierz Security processor details. Pola Attestation i Storage powinny pokazywać Ready. Gdy tak nie jest, przejdź do sekcji o błędach niżej.

Krok 3: UEFI i dysk GPT

Secure Boot działa tylko wtedy, gdy BIOS Mode w msinfo32 pokazuje UEFI, a dysk systemowy ma tablicę partycji GPT. Jeśli widzisz Legacy, a dysk jest w starym formacie MBR, samo przełączenie BIOS-u na UEFI zepsuje start systemu. Producenci płyt powtarzają to w każdej instrukcji, a FACEIT opisuje ten przypadek jako najczęstszą przyczynę komputera, który po włączeniu Secure Boot się nie uruchamia.

Microsoft udostępnia do tego narzędzie MBR2GPT. Z poziomu uruchomionego Windows działa z przełącznikiem /allowFullOS. Sprawdzenie, czy dysk się nadaje, to polecenie mbr2gpt /validate /disk:0 /allowFullOS w wierszu poleceń uruchomionym jako administrator, a samą konwersję wykonuje mbr2gpt /convert /disk:0 /allowFullOS. Numer dysku 0 sprawdź w Zarządzaniu dyskami, bo w komputerze z kilkoma dyskami systemowy nie zawsze ma numer 0. Dokumentacja Microsoftu zastrzega dwie rzeczy: po konwersji trzeba przełączyć firmware na tryb UEFI, a przy dysku zaszyfrowanym BitLockerem konwersja wymaga wcześniejszego zawieszenia ochrony. Zrób kopię ważnych danych, bo tej zmiany nie da się cofnąć jednym kliknięciem.

Krok 4: włącz TPM 2.0 w BIOS-ie

Nowoczesne płyty nie potrzebują osobnego modułu TPM. Układ jest wbudowany w procesor: u Intela nazywa się Platform Trust Technology (PTT), u AMD firmware TPM (fTPM). W BIOS-ie ta sama funkcja bywa nazwana na kilka sposobów, a jej położenie zależy od producenta. Do BIOS-u wchodzi się zwykle klawiszem Delete przy starcie komputera.

ASUS

Według oficjalnej instrukcji ASUS (aktualizowanej w sierpniu 2026) na płytach z Intelem przejdź do Advanced, potem PCH-FW Configuration i ustaw PTT na Enable. Po zmianie pojawi się okno z ostrzeżeniem o BitLockerze, które potwierdzasz przyciskiem OK, a potem F10 zapisuje ustawienia i restartuje komputer. Na płytach z AMD wejdź w Advanced, AMD fTPM configuration i w polu TPM Device Selection wybierz Firmware TPM. Wersję TPM możesz też sprawdzić w samym BIOS-ie, w Advanced, Trusted Computing.

MSI

Na płytach MSI z interfejsem Click BIOS 5 opcja Security Device Support leży w Settings, Security, Trusted Computing. Włącz ją, a potem wybierz PTT na płycie z Intelem albo AMD CPU fTPM na płycie z AMD. W starszym wariancie Click BIOS (GSE Lite) ta sama pozycja jest w Security, Trusted Computing. Po włączeniu wyjdź z zapisem klawiszem F10, a po powrocie do BIOS-u zobaczysz wersję TPM. Tak opisuje to oficjalny wpis MSI.

Gigabyte

Oficjalny poradnik Gigabyte z października 2025 dotyczy płyt AM4 i sTRX4: wejdź w Advanced Mode, Settings, AMD CPU fTPM i wybierz Enabled. Na nowszych platformach AM5 i sTR5 z Windows 11 te funkcje są zgodnie z tym dokumentem zwykle włączone domyślnie, więc przed zmianą warto sprawdzić tpm.msc. Dla płyt Gigabyte z procesorem Intel nie znaleźliśmy w oficjalnych materiałach dokładnej ścieżki do opcji PTT. Szukaj jej w Settings pod nazwą Intel Platform Trust Technology, a jeśli jej brakuje, zacznij od aktualizacji BIOS-u: Gigabyte w swoim poradniku zaleca ją ogólnie przy brakujących opcjach TPM i Secure Boot.

ASRock

W FAQ ASRock płyty z Intelem mają opcję Intel Platform Trust Technology na stronie Security, którą trzeba włączyć (obsługa od chipsetów serii 300). Na płytach z AMD przejdź do Advanced, CPU Configuration i przestaw przełącznik AMD fTPM switch na AMD CPU fTPM (platformy AM4 od serii 300, AM5 od serii 600). ASRock zaleca, żeby przy świeżej instalacji Windows 11 wyłączyć najpierw CSM, a dopiero potem włączać PTT albo fTPM.

Krok 5: włącz Secure Boot

Kolejność ma tu znaczenie. W większości BIOS-ów opcja Secure Boot jest zablokowana, dopóki włączony jest CSM (Compatibility Support Module, tryb zgodności ze starym BIOS-em), więc najpierw wyłączasz CSM, a dopiero potem ustawiasz Secure Boot. Producenci proponują trochę inne warianty, więc dla każdej z czterech marek poniżej jest ich własna ścieżka.

ASUS

W BIOS-ie wciśnij F7, żeby przejść z trybu EZ Mode do Advanced Mode, otwórz kartę Boot i wybierz Secure Boot. W polu OS Type ustaw Windows UEFI mode: ta wartość włącza Secure Boot, a Other OS go wyłącza. Pole Secure Boot state ma wartość User, gdy w płycie są zapisane klucze, i Setup, gdy ich brak. Zapisz zmiany klawiszem F10. Tak opisuje to oficjalny poradnik ASUS (zaktualizowany w czerwcu 2026).

Jeśli Windows nadal pokazuje, że Secure Boot jest nieaktywny, ASUS radzi przywrócić klucze fabryczne. Ustaw Secure Boot Mode na Custom, wybierz Key Management i Clear Secure Boot Keys z potwierdzeniem Yes, potem Install Default Secure Boot Keys również z potwierdzeniem, a na końcu zapisz F10.

MSI

FACEIT opisuje dla MSI osobną procedurę, bo na niektórych płytach tej marki Secure Boot w ustawieniach domyślnych nie działa poprawnie, mimo że BIOS i Windows pokazują go jako włączony. Na nowszym BIOS-ie wciśnij Delete przy starcie, przejdź do Settings, Security, Secure Boot, ustaw Secure Boot Mode na Custom, a Secure Boot Preset na Maximum Security i zapisz klawiszem F10. Na starszym BIOS-ie tryb Custom otwiera Image Execution Policy, gdzie pola Removable Media i Fixed Media trzeba ustawić na Deny Execute. Jeśli nie widzisz żadnej z tych opcji, trzeba zaktualizować BIOS. Wszystko to jest w artykule o błędzie "Please set Secure Boot preset to Maximum Security".

Gigabyte

FACEIT podaje krótką wersję: wyłącz CSM, otwórz menu Secure Boot, ustaw Secure Boot Mode na Standard, a Secure Boot na Enabled. Instrukcja samego Gigabyte dla płyt AM4 i sTRX4 jest dłuższa. W Advanced Mode, Boot, CSM Support wybierz Disabled, wtedy pojawi się Secure Boot. W polu Secure Boot Mode ustaw Custom, potwierdź dwa komunikaty o instalacji kluczy fabrycznych (Install Factory Defaults, potem Reset Without Saving), a po restarcie sprawdź, czy pod Secure Boot Enabled widnieje status Active.

Obie wersje mają sens: zacznij od tej z FACEIT, a jeśli Secure Boot zostaje w stanie Not Active, przejdź na procedurę Gigabyte z przywróceniem kluczy.

ASRock

Według FAQ ASRock wciśnij F2 przy starcie, przejdź do Boot, CSM (Compatibility Support Module) i ustaw CSM na Disabled, po czym zapisz F10. Następnie otwórz Security, Secure Boot, ustaw Secure Boot Mode na Custom i wybierz Install default Secure Boot keys z potwierdzeniem Yes. Na końcu ustaw Secure Boot na Enabled, zapisz F10, a po restarcie sprawdź, czy na stronie Security, Secure Boot widnieje Active. Na platformie AM5 po wybraniu instalacji kluczy może pojawić się komunikat Discard Changes and Exit: wtedy wybierz No i przejdź do włączenia Secure Boot.

Gdy FACEIT nadal zgłasza błąd

TPM attestation is not ready lub failed. Przy procesorach AMD w tpm.msc sprawdź pola Manufacturer Name i Manufacturer Version. Jeśli producentem jest AMD, a wersja ma postać 3.*.0.* (na przykład 3.92.0.5), FACEIT wskazuje znany błąd firmware TPM, który wymaga aktualizacji BIOS-u. FACEIT zbiera linki do poprawionych BIOS-ów Acera, ASRocka, BIOSTAR, Colorful, Della, Gigabyte, HP i MSI. U MSI standardowa wersja może jeszcze nie zawierać poprawki i trzeba zainstalować najnowszą betę. ASRock precyzuje dla platformy AM4, że poprawna wersja fTPM to 3.*.2.*, a poprawiony fTPM istnieje tylko dla procesorów Raven2, Picasso, Matisse, Renoir, Cezanne i Vermeer, bo w pozostałych nie spełnisz wymagań. O powiązanych lukach w TPM AMD pisaliśmy w tekście o podatnościach TPM w Ryzenach i aktualizacji BIOS-u. Jeśli po aktualizacji Attestation nadal nie jest Ready, ASRock każe sprawdzić połączenie z siecią i zrestartować komputer. Stan attestation sprawdzisz poleceniem windowsdefender://securityprocessor wpisanym w oknie Uruchamianie (Win + R).

FACEIT wymienia też dwa inne scenariusze. Przy modułach dyskretnych (dTPM) wadliwy układ może być przyczyną błędu, a rozwiązaniem jest przełączenie na fTPM. Drugi dotyczy kafejek internetowych korzystających z CCU Cloud Update, która koliduje z TPM. W pozostałych przypadkach zwykle pomaga aktualizacja BIOS-u: model płyty znajdziesz w msinfo32 w polach BaseBoard Manufacturer i BaseBoard Product.

Please set Secure Boot preset to "Maximum Security". To komunikat dotyczący płyt MSI, opisany w sekcji o MSI wyżej. Na płytach innych producentów, jak podaje FACEIT, pomaga aktualizacja BIOS-u.

Please enable Memory Integrity. Część graczy musi włączyć integralność pamięci (Memory Integrity) w Zabezpieczeniach Windows. Jeśli opcji nie ma, sprawdź, czy w BIOS-ie włączona jest wirtualizacja: Intel VT-x albo AMD SVM. Przy niebieskich ekranach po jej włączeniu FACEIT radzi zaktualizować Windows i BIOS oraz odinstalować stary anti-cheat. IOMMU, czyli VT-d u Intela i IOMMU lub AMD-Vi u AMD, włącza się w BIOS-ie osobno, a jego nazwa zależy od płyty.

Komputer nie startuje po włączeniu Secure Boot. Zwykle winna jest niezgodność trybu UEFI z dyskiem MBR. Wyłącz Secure Boot, żeby wrócić do Windows, i wykonaj krok 3 z konwersją na GPT. FACEIT dodaje, że w razie problemów warto cofnąć ostatnią zmianę, zaktualizować BIOS i włączać funkcje po jednej.

Certyfikaty Secure Boot wygasają: czy to Twój problem

W sieci krąży sporo paniki wokół certyfikatów Secure Boot z 2011 roku, więc sprawdziliśmy to u źródła. Microsoft podaje trzy daty: Microsoft Corporation KEK CA 2011 wygasł 24 czerwca 2026, Microsoft UEFI CA 2011 wygasł 27 czerwca 2026, a Microsoft Windows Production PCA 2011, którym podpisany jest bootloader Windows, wygasa 19 października 2026. Nowe certyfikaty z 2023 roku (między innymi Windows UEFI CA 2023) mają je zastąpić.

Według Microsoftu komputer bez nowych certyfikatów dalej startuje i normalnie dostaje aktualizacje Windows. Traci jednak możliwość otrzymywania nowych zabezpieczeń dla wczesnej fazy rozruchu: poprawek Windows Boot Manager, baz Secure Boot i list unieważnień. Większość urządzeń dostanie nowe certyfikaty automatycznie przez Windows Update, a producenci wypuszczają aktualizacje firmware tam, gdzie to konieczne. W dokumentacji FACEIT nie znaleźliśmy informacji, że anti-cheat wymaga tych certyfikatów, więc nie twierdzimy, że ich brak zablokuje Cię w meczu.

Co z tym zrobić? Przy domyślnych ustawieniach wystarczy mieć włączony Secure Boot i Windows Update, a komputer pobierze certyfikaty sam. Jeśli Windows Update ich nie dostarcza, ASRock opisuje drugą drogę: zainstalować najnowszy BIOS ze strony producenta, wejść w Security, Secure Boot, ustawić tryb Custom, wybrać Key Management, Clear Secure Boot Keys, a potem Install Default Secure Boot Keys. Poprawność sprawdzisz w Key Management: w KEK powinien widnieć Microsoft Corporation KEK 2K CA 2023, a w DB między innymi Windows UEFI CA 2023. Po aktualizacji BIOS-u Windows może poprosić o klucz BitLocker, więc wróć do kroku 1.

Jeśli po restarcie widzisz ekran Secure Boot Violation lub Invalid Signature Detected, FACEIT opisuje w swoim poradniku trzy kroki: tymczasowo wyłącz Secure Boot w BIOS-ie, żeby wrócić do Windows, zaktualizuj BIOS do najnowszej wersji, a potem włącz Secure Boot ponownie. Jeśli to nie pomaga, FACEIT podaje procedurę z pendrivem FAT32 i plikiem SecureBootRecovery.efi z folderu C:\Windows\Boot\EFI, który kopiuje się jako bootx64.efi do folderu EFI\BOOT, a potem uruchamia się z niego komputer. Tej ostatniej procedury nie testowaliśmy, więc cytujemy ją za FACEIT i radzimy zrobić ją według oryginału, krok po kroku.

Co dalej

Gdy wszystkie pola w Windows świecą na zielono, anti-cheat ruszy bez komunikatów o sprzęcie. Jeśli grasz na FACEIT regularnie, zerknij też na rozszerzenie Spawnsy Faceit, które pokazuje poziomy 11-20, średnie ELO obu drużyn i szanse na wygraną jeszcze w matchroomie, a zestawy ustawień zawodowców znajdziesz w bazie celowników CS2.