Windows 11 mais seguro: 10 configurações pra ativar hoje

Instalar o Windows 11 e ir clicando em "Avançar" até a área de trabalho aparecer deixa a máquina funcional, mas não deixa ela segura. O sistema já vem com o Microsoft Defender ativo e o firewall ligado — isso é o piso, não o teto. Boa parte das proteções que realmente fazem diferença contra ransomware, roubo de dados e exploits de kernel fica desligada esperando alguém entrar nas configurações e ativar manualmente. Esse guia cobre 10 ajustes concretos, sem precisar instalar nenhum programa de terceiros, pra fechar as brechas mais comuns de quem usa o Windows 11 sem nenhum hardening adicional.

Por que vale a pena revisar as configurações padrão

A Microsoft prioriza compatibilidade e experiência de primeiro uso sobre segurança máxima — faz sentido, já que travar tudo por padrão geraria suporte técnico em escala. O resultado prático é que recursos como criptografia de disco completa, isolamento de memória do kernel e proteção contra ransomware em pastas específicas existem no sistema, mas dependem de você saber que existem e ir até a tela certa pra ligar. Nenhum dos passos abaixo exige conhecimento avançado nem custa dinheiro — só uns minutos navegando pelo app Segurança do Windows e pelas Configurações.

Os 10 passos pra travar o Windows 11

1. 1. Troque a conta principal por uma conta padrão. Se o seu dia a dia roda numa conta de Administrador, qualquer processo malicioso que você executar (mesmo sem querer) herda esse privilégio. Em Configurações > Contas > Outros usuários, crie ou ajuste uma conta com tipo "Usuário padrão" pro uso diário e guarde a conta de admin só pra instalar programas e mudar configurações de sistema.
2. 2. Ative o BitLocker (ou Device Encryption). Sem criptografia de disco, basta alguém remover o SSD de um notebook roubado e ler os arquivos em outra máquina. No Windows 11 Home, vá em Configurações > Privacidade e segurança > Criptografia de dispositivo e ative o toggle. No Pro/Enterprise, busque "Gerenciar BitLocker" no menu Iniciar. Em ambos os casos, salve a chave de recuperação em um lugar diferente do PC — sem ela, um problema de boot vira perda total dos dados.
3. 3. Habilite o Controlled Folder Access. Esse é o recurso anti-ransomware nativo do Defender: ele bloqueia que programas não autorizados alterem arquivos em pastas protegidas (Documentos, Imagens, Área de Trabalho por padrão, dá pra adicionar outras). Abra o app Segurança do Windows > Proteção contra vírus e ameaças > Gerenciar proteção contra ransomware e ative o toggle.
4. 4. Ative o Core Isolation com Memory Integrity. Esse recurso usa virtualização pra isolar processos críticos do kernel, dificultando que driver ou malware malicioso injete código no núcleo do sistema. Caminho: Segurança do Windows > Segurança do dispositivo > Detalhes de isolamento do núcleo > Integridade da memória. Exige reiniciar pra aplicar — e em PCs antigos com driver incompatível pode dar conflito, então teste antes de uma sessão de trabalho importante.
5. 5. Configure o SmartScreen e o controle de app e navegador. O SmartScreen bloqueia downloads e sites reconhecidos como maliciosos antes mesmo de você clicar. Em Segurança do Windows > Controle de aplicativo e navegador > Configurações de proteção baseada em reputação, confirme que as três opções (apps e arquivos, Microsoft Edge, downloads não reconhecidos) estão em "Bloquear" ou "Avisar".
6. 6. Revise firewall, descoberta de rede e Área de Trabalho Remota. Em rede pública (café, aeroporto, hotel), o perfil de rede precisa estar marcado como "Público" pra desativar compartilhamento de arquivos e descoberta automática de outros dispositivos. Se você não usa Área de Trabalho Remota, desative o serviço; se usa, garanta que a autenticação em nível de rede (NLA) está ativa — sem isso, a porta 3389 exposta é prato cheio pra brute force.
7. 7. Ative login por PIN/biometria e 2FA na conta Microsoft. O Windows Hello (PIN ou impressão digital) já reduz a superfície de ataque local porque a credencial fica vinculada ao hardware, não trafega como senha. Mas isso não substitui proteger a conta Microsoft em si — ative a verificação em duas etapas nela. Se ainda usa só senha + SMS, vale entender por que o MFA fatigue consegue burlar o 2FA tradicional e considerar migrar pra passkeys, que eliminam o problema de phishing de credencial pela raiz.
8. 8. Mantenha Windows Update automático — sistema e drivers. Boa parte dos exploits em massa explora vulnerabilidade já corrigida há meses; a vítima só não tinha atualizado. Em Configurações > Windows Update, ative "Receber as atualizações mais recentes assim que disponíveis" e confirme que o Microsoft Defender está configurado pra atualizar definições automaticamente, sem esperar o ciclo mensal do Patch Tuesday.
9. 9. Audite as permissões de app. Câmera, microfone, localização e histórico de atividades acumulam permissões concedidas sem pensar muito ao longo do tempo. Em Configurações > Privacidade e segurança > Permissões de aplicativo, revise app por app e revogue o que não faz sentido — um editor de PDF não precisa de acesso à câmera.
10. 10. Tenha um backup 3-2-1 antes de qualquer coisa dar errado. Hardening reduz a chance de incidente, não zera ela. Three cópias, dois tipos de mídia diferentes, uma fora do local físico — pode ser um HD externo mais um serviço de nuvem. Sem isso, ransomware ou falha de disco depois do passo 2 (BitLocker) ainda significam dado perdido se o backup não existir.

O Windows 11 já vem seguro só de instalar?

Não totalmente. O Microsoft Defender e o firewall vêm ativos, mas recursos centrais como BitLocker, Controlled Folder Access, Core Isolation e Windows Hello continuam desligados até você configurar manualmente — e são justamente esses ajustes que bloqueiam ransomware, mitigam roubo de dados em caso de furto e dificultam exploits que tentam rodar código no kernel.

Vale notar que nem todo passo se aplica a todo perfil de usuário. Memory Integrity pode entrar em conflito com driver antigo de impressora ou periférico — se a tela travar após ativar, reinicie em modo de segurança e desative o recurso até trocar o driver. BitLocker em disco já em uso demora mais que em disco novo, porque precisa varrer todo o espaço ocupado. Nenhum desses pontos é motivo pra pular o passo — só pra fazer um por vez e confirmar que nada quebrou antes de seguir pro próximo.

O hardening não para no desktop

Se a sua rotina inclui administrar algum servidor além do notebook pessoal — uma VPS, um home lab, um serviço hospedado — o mesmo princípio de "fechar a porta que está aberta por padrão" vale lá também. O equivalente do Controlled Folder Access pra quem expõe SSH é revisar o sshd_config; já escrevemos sobre as configurações de SSH que fecham a maior parte dos vetores de brute force. E depois de aplicar os 10 passos deste post, o próximo nível natural é monitorar: auditar os logs de segurança do Windows via PowerShell mostra login falho e processo suspeito antes que virem incidente.

A lição de fundo é sempre a mesma: a maioria dos ataques contra usuário doméstico não explora zero-day nenhum — explora configuração padrão que ninguém trocou. Os 10 passos acima levam menos de uma hora juntos e não custam nada além do tempo. Se você já aplicou alguns e ainda usa só senha pra entrar nas contas online, esse é o próximo buraco a fechar.