Migração para Windows 11: Guia para Empresas

O prazo já venceu: onde sua empresa está agora

O suporte ao Windows 10 terminou em 14 de outubro de 2025. Desde essa data, a Microsoft parou de distribuir atualizações de segurança, correções de bugs e suporte técnico para a versão 22H2 nas edições Home, Pro, Enterprise e Education. O sistema continua ligando e funcionando normalmente — e é exatamente isso que cria a falsa sensação de segurança que faz muitas empresas adiarem a migração indefinidamente.

Máquinas sem atualização de segurança acumulam vulnerabilidades conhecidas mês após mês. Cada Patch Tuesday que passa é um conjunto de falhas documentadas publicamente que existem no seu parque e não serão corrigidas. Ransomware e ferramentas de exploração automatizada trabalham exatamente com esse cenário: alvos com CVEs públicos e sem patch disponível. O risco não é teórico e não cresce de forma linear — ele se acumula.

Existe uma ponte oficial: o programa ESU (Extended Security Updates). Para clientes corporativos, ele pode ser contratado por até três anos, chegando a outubro de 2028, com custo por dispositivo que dobra a cada ano de renovação. Para usuários domésticos, a janela era de apenas um ano e se encerra em outubro de 2026. O ESU entrega somente correções críticas e importantes de segurança — sem novos recursos, sem correções de funcionalidade e sem suporte técnico geral. É um paliativo caro para ganhar tempo, não um plano.

ESU não é uma extensão de vida útil. É o preço que você paga pelo tempo que não usou para planejar a migração.

Requisitos de hardware: por que o Windows 11 recusa metade do parque

O Windows 11 impôs um piso de hardware muito mais rígido que qualquer versão anterior do Windows, e é aí que a maioria dos projetos de migração trava. Não se trata de desempenho — se trata de recursos de segurança baseados em hardware que a Microsoft tornou obrigatórios para habilitar isolamento de memória, integridade de código e proteção de credenciais.

Os requisitos mínimos são:

• TPM 2.0 — módulo de plataforma confiável, habilitado e visível ao sistema operacional
• UEFI com Secure Boot — o disco precisa estar em GPT, não em MBR com BIOS legado
• Processador compatível — Intel de 8ª geração ou superior, AMD Ryzen série 2000 ou superior, Qualcomm série 8180 ou superior
• 4 GB de RAM (na prática, 8 GB é o mínimo realista para uso corporativo)
• 64 GB de armazenamento livre
• DirectX 12 com driver WDDM 2.0

O ponto que gera mais confusão é o TPM. Boa parte das máquinas fabricadas a partir de 2016 já traz TPM 2.0 no chipset — Intel PTT ou AMD fTPM — mas vem com o recurso desabilitado de fábrica no firmware. Ou seja: o hardware passa no requisito, mas a ferramenta de verificação reprova a máquina até que alguém entre no setup UEFI e habilite. Em um parque de duzentas estações, isso é a diferença entre um projeto de troca de equipamentos e um roteiro de firmware executável em massa.

O segundo ponto crítico é o particionamento. Máquinas instaladas em BIOS legado com disco MBR não fazem upgrade in-place para o Windows 11. A conversão pode ser feita com a ferramenta MBR2GPT incluída no próprio Windows, sem perda de dados, mas exige validação prévia do layout de partições e alteração do modo de boot no firmware na sequência correta. Errar a ordem deixa a máquina sem inicializar.

Inventário e análise de compatibilidade: a etapa que não pode ser pulada

Nenhuma migração corporativa começa pelo primeiro computador. Começa por saber exatamente o que existe. O inventário precisa responder, para cada dispositivo: modelo, geração de CPU, quantidade de RAM, capacidade e tipo de disco, versão de firmware, estado do TPM, modo de boot e aplicações instaladas com suas versões.

Ferramentas como o Microsoft Intune com Endpoint Analytics, o Configuration Manager ou soluções de RMM produzem esse levantamento automaticamente. Para ambientes menores, scripts PowerShell com Get-Tpm, Get-CimInstance e consulta ao registro dão o mesmo resultado sem custo de licença. O importante é que o dado seja coletado da máquina real, não estimado a partir da nota fiscal de compra.

Com o inventário pronto, o parque se divide em quatro grupos:

1. Compatíveis prontas — TPM ativo, UEFI, CPU na lista. Vão direto para upgrade in-place.
2. Compatíveis com ajuste de firmware — hardware atende, mas precisa habilitar TPM/Secure Boot ou converter MBR para GPT.
3. Recuperáveis com upgrade parcial — CPU compatível, mas falta RAM ou disco. Um SSD e mais memória custam menos que uma máquina nova.
4. Substituição obrigatória — CPU fora da lista de suporte. Não há workaround corporativamente aceitável.

Sobre esse último grupo: existem métodos não oficiais de instalar o Windows 11 em hardware não suportado, via chaves de registro ou mídia customizada. Em ambiente doméstico, é uma escolha pessoal. Em ambiente corporativo, é uma escolha ruim — a Microsoft não garante entrega de atualizações para essas máquinas, e um parque que pode parar de receber patches a qualquer momento recria o problema que a migração deveria resolver.

Compatibilidade de aplicações e o risco do sistema legado

O hardware é o obstáculo visível. As aplicações são o obstáculo caro. O Windows 11 mantém alta compatibilidade com software de 64 bits moderno, mas costuma quebrar em três categorias específicas que aparecem com frequência em empresas brasileiras.

A primeira é o software de 16 bits ou com componentes de 16 bits em instaladores antigos — comum em ERPs e sistemas verticais legados. A segunda são drivers de dispositivos periféricos: impressoras fiscais, leitores biométricos, catracas, balanças, coletores de dados e tokens de certificado digital. Fabricantes que descontinuaram a linha simplesmente não publicaram driver assinado para Windows 11, e a exigência de assinatura de driver com integridade de memória ativada é mais rígida. A terceira são aplicações web internas presas ao Internet Explorer — que não existe mais como aplicativo separado, restando apenas o modo IE do Edge, com data de fim de suporte já anunciada.

O caminho é testar antes, não descobrir depois. Monte um grupo piloto de 5% a 10% do parque, cobrindo pelo menos um usuário de cada departamento e de cada perfil de uso crítico — financeiro com certificado digital, expedição com impressora fiscal, engenharia com software CAD. Rode esse piloto por duas a quatro semanas em produção real antes de liberar a implantação ampla. Para casos onde não há solução nativa, o App Assure da Microsoft oferece suporte de remediação sem custo adicional para clientes elegíveis, e a virtualização de aplicações via Azure Virtual Desktop ou RemoteApp resolve sistemas legados que não têm mais fabricante.

Estratégia de implantação sem parar a operação

A migração pode seguir três caminhos técnicos, e a escolha entre eles muda o custo e o risco do projeto.

O upgrade in-place preserva aplicações, dados e perfis de usuário. É o método mais rápido — cerca de 60 a 90 minutos por máquina, boa parte em segundo plano — e o de menor impacto no usuário. Funciona bem em parque padronizado e razoavelmente saudável. O wipe-and-load formata e reinstala do zero, entregando um sistema limpo sem heranças de configuração acumuladas em anos de uso. Custa mais tempo e exige backup e restauração de perfil, mas resolve máquinas degradadas. O provisionamento moderno, via Windows Autopilot com Intune, entrega a máquina configurando-se sozinha a partir do primeiro boot, sem imagem local — o modelo certo para equipamentos novos e trabalho híbrido.

Independentemente do método, algumas regras valem para qualquer implantação corporativa:

• Backup validado antes de tocar em qualquer estação — com teste de restauração, não apenas job concluído com sucesso
• Ondas progressivas: TI primeiro, depois piloto multidepartamental, depois blocos de 10% a 20% do parque
• Janela de manutenção fora do horário comercial, com máquina reserva disponível para funções críticas
• Ponto de rollback definido: até quando é possível voltar ao Windows 10 e qual o procedimento exato
• Comunicação prévia ao usuário sobre o que muda na interface — menu Iniciar centralizado, novo menu de contexto, Teams integrado
• Padronização de políticas via Intune ou GPO antes da implantação, não depois

O erro mais comum não é técnico, é de sequenciamento: começar a migrar antes de fechar o inventário e o teste de aplicações. Isso transforma o projeto em uma sequência de incidentes descobertos em produção, com usuário parado e TI apagando incêndio.

Como a Duk conduz migrações de parque

Migrar sistema operacional em escala não é instalar Windows várias vezes. É um projeto com inventário, análise de compatibilidade, decisão de investimento em hardware, teste de aplicação crítica, cronograma por onda e plano de contingência — executado sem que a operação da empresa pare.

Com mais de 18 anos de mercado e 550+ empresas atendidas, a Duk Informática & Cloud já conduziu esse ciclo em parques de todos os portes, do escritório com trinta estações à indústria com centenas de dispositivos distribuídos em várias unidades. Como Microsoft Gold Partner, temos acesso direto aos canais de suporte, aos programas de compatibilidade de aplicações e às condições de licenciamento por volume que reduzem o custo total do projeto.

Nosso processo começa pelo levantamento completo do parque, com relatório de compatibilidade máquina a máquina e recomendação clara de upgrade, substituição ou ajuste de firmware para cada uma. A partir daí montamos o cronograma de ondas, executamos o piloto, validamos as aplicações críticas do seu negócio e conduzimos a implantação com suporte 24/7 e SLA definido em contrato — incluindo o acompanhamento pós-migração, quando aparecem os ajustes finos de política, impressão e periférico.

Se sua empresa ainda opera com Windows 10, cada mês adicional é exposição acumulada e, no caso do ESU, custo crescente sem contrapartida. Fale com a Duk para receber o diagnóstico de compatibilidade do seu parque e um plano de migração dimensionado para a sua operação.