O Windows 10 acabou: o Windows 11 é o mínimo, não o plano

O Windows 10 chegou ao fim do suporte a 14 de outubro de 2025. A versão 22H2 foi a última, e a atualização que saiu nesse dia foi a última atualização de segurança gratuita que alguma vez vai receber. Essa data já ficou para trás, não está à frente. Um parque que ainda hoje corre Windows 10 está num de três sítios: já no Windows 11, a pagar Extended Security Updates para ganhar tempo, ou sem correções e a contar com a sorte. Só um deles é um plano.

Levamos organizações por esta mudança há muito tempo, de farms globais na Comissão Europeia a parques de clientes Fortune 500, e o erro é quase sempre o mesmo: tratá-la como uma troca de PCs em vez da decisão de local de trabalho que na verdade é. Este artigo é o como, com os comandos, incluindo a parte que uma simples troca de equipamentos costuma não ver: o mesmo Windows 10 que custa dinheiro a manter vivo numa secretária é gratuito de manter vivo no Azure.

O relógio não parou, ganhou um preço

As máquinas com Windows 10 continuam a arrancar. É precisamente esse o problema. Nada se parte a 15 de outubro; o risco é silencioso, e acumula-se. Para continuar a receber atualizações de segurança Críticas e Importantes, um equipamento físico tem agora de estar inscrito no programa pago Extended Security Updates (ESU), que a Microsoft cobra a 61 dólares por dispositivo no primeiro ano, a duplicar a cada ano seguinte, até um máximo de três anos, até outubro de 2028. O ESU é uma ponte que se paga para atravessar, não um sítio para viver.

As Microsoft 365 Apps baralham ainda mais o quadro. O Word e o Outlook continuam a receber atualizações de segurança no Windows 10 até 10 de outubro de 2028, mas congelam na versão 2608: sem funcionalidades novas, e se abrires um caso de suporte para um problema que só acontece no Windows 10, a resposta é mudar para o Windows 11. Acabas a pagar para ficar parado, em dois contadores separados.

O Windows 11 é uma barreira de hardware, não um download

A razão de isto não ser uma atualização de um clique é a fasquia do hardware. O Windows 11 exige TPM 2.0 e UEFI Secure Boot, num processador de uma lista aprovada. São esses dois requisitos que deixam de fora muito do hardware comprado antes de 2018, e nenhuma quantidade de RAM muda isso. Por isso o primeiro número real do projeto não é uma contagem de licenças, é quanto do parque é sequer elegível.

# Per device: the two gates that stop most pre-2018 hardware.
(Get-Tpm).TpmPresent -and (Get-Tpm).TpmReady   # TPM 2.0 present and ready
Confirm-SecureBootUEFI                          # True only on UEFI with Secure Boot on

Primeiro, conhecer o parque

Não se planeia o que não se contou. Se os equipamentos já estão no Intune, uma consulta com o Microsoft Graph PowerShell SDK dá a divisão entre Windows 10 e Windows 11, e as compilações exatas, em todo o parque de uma vez:

# Who is still on Windows 10, and on which build?
# 10.0.19045 = Windows 10 22H2; 10.0.22000 and above = Windows 11.
Connect-MgGraph -Scopes "DeviceManagementManagedDevices.Read.All"
Get-MgDeviceManagementManagedDevice -All -Filter "operatingSystem eq 'Windows'" |
  Group-Object osVersion | Sort-Object Count -Descending |
  Select-Object Count, Name

Essa única tabela decide a forma do projeto: quantas máquinas aceitam o Windows 11 no lugar, quantas têm de ser substituídas, e quantas são candidatas a um Cloud PC.

Autopilot: deixar de montar máquinas à mão

A forma antiga de instalar o Windows era construir uma imagem-mestre, e reconstruí-la sempre que algo mudava. O Windows Autopilot acaba com isso. O equipamento é entregue, o utilizador liga-o e entra com a conta de trabalho, e o equipamento junta-se ao Entra ID, inscreve-se no Intune, instala as aplicações, aplica a configuração (BitLocker, Windows Hello) e é verificado quanto à conformidade, tudo a partir da cloud. Uma Enrollment Status Page segura o ambiente de trabalho até a máquina estar mesmo pronta, em duas fases: uma de equipamento e outra de utilizador.

Há duas variantes. O Autopilot clássico regista cada equipamento primeiro pelo seu hardware hash, para que o serviço o reconheça no primeiro arranque:

# Once per device (or done by the OEM): harvest the hardware hash and upload it to Intune.
Install-Script -Name Get-WindowsAutopilotInfo -Force
Get-WindowsAutopilotInfo -Online   # asks for an Intune Administrator sign-in, then uploads

O mais recente Autopilot device preparation dispensa o passo do hardware hash: atribui-se uma política de preparação a um grupo de utilizadores, e qualquer equipamento em que esse utilizador entre durante a instalação junta-se ao Entra ID, inscreve-se no Intune, recebe as aplicações e os scripts, e pode até tirar o utilizador do grupo de administradores locais automaticamente. Para um parque Windows 10 que vai ser reinstalado na mesma, é o caminho mais curto para uma máquina Windows 11 limpa e gerida.

As políticas que se definem uma vez

O Autopilot põe o equipamento sob gestão. O que o mantém seguro é um punhado de políticas, definidas uma vez e atribuídas a grupos, nunca clicadas máquina a máquina:

• um perfil de implementação do Autopilot, com Entra join e uma Enrollment Status Page, para que o primeiro arranque fique já configurado;
• uma política de conformidade que exige o BitLocker ligado, o Microsoft Defender a correr e uma compilação mínima do sistema, para que um equipamento que se desvie seja apanhado;
• uma política de Conditional Access que só admite equipamentos conformes e exige autenticação multifator, para que a identidade e o estado do equipamento sejam verificados juntos, e não em separado;
• uma política de atualização de funcionalidades do Windows Update que passa os equipamentos elegíveis para o Windows 11 em anéis, num calendário que controlas, e não todos ao mesmo tempo.

Estas quatro são a diferença entre um parque que por acaso corre Windows 11 e um que está mesmo gerido. O prazo é a razão para as pôr agora, enquanto cada máquina está a ser aberta de qualquer forma.

O ângulo Azure: o mesmo Windows 10 é gratuito de manter vivo na cloud

Aqui está a parte que muda as contas, e é a parte que uma simples troca de equipamentos nunca vê. Aqueles 61 dólares por dispositivo, a duplicar a cada ano, são para máquinas físicas. Para o Windows 10 a correr como máquina virtual no Azure, as Extended Security Updates são gratuitas, e automáticas. Sem chaves, sem inscrição, sem configuração: o Azure reconhece a máquina pelos seus próprios metadados. Aplica-se a máquinas virtuais do Azure, ao Azure Virtual Desktop (sessão única e multissessão), ao Azure Dedicated Host, ao Azure Local, à família Azure Stack, e aos Cloud PCs do Windows 365.

# Azure: list your Windows VMs to find the Windows 10 ones. ESU is already free here.
az vm list -d \
  --query "[?storageProfile.osDisk.osType=='Windows'].{name:name, rg:resourceGroup, image:storageProfile.imageReference.sku}" \
  -o table

Isso vira a decisão para dois grupos de máquinas. O parque que corre Windows 10 no Azure Virtual Desktop não tem de ser salvo de um custo, tem de ser levado para a frente: passa os hosts de sessão para Windows 11 multissessão ao teu ritmo, sabendo que as atualizações de segurança continuam a chegar de graça entretanto. Uma ressalva já em vigor: a imagem AVD do Windows 10 22H2 que vinha com as Microsoft 365 Apps foi retirada do Azure Marketplace em abril de 2026; só fica a imagem sem as Microsoft 365 Apps, até 2028, por isso quaisquer hosts construídos a partir da antiga são os primeiros a mover.

E as máquinas físicas que chumbaram na verificação de hardware não viram lixo. Um Cloud PC do Windows 365 dá aos utilizadores um ambiente de trabalho Windows 11 gerido, transmitido para o hardware antigo, que o corre como cliente leve. O equipamento antigo até fica coberto: um dispositivo Windows 10 que se liga a um Cloud PC licenciado tem ele próprio direito a ESU, sem custo adicional, até três anos. A secretária que parecia uma fatura passa a ser uma porta de entrada.

O chão, não o destino

O fim do Windows 10 não é, no fundo, uma história sobre o Windows. É o momento em que a indústria deixou de deixar as organizações adiar o Modern Workplace. O Windows 11 não é o destino, é o chão sobre o qual se constrói identidade, gestão e segurança, quer esse chão seja um portátil ligado ao Entra com o Autopilot, quer seja um Cloud PC no Azure. A única pergunta que o prazo de outubro de 2025 fez, na verdade, foi se ias assentar esse chão de propósito, ou sob pressão.