Proteção de administrador do Windows 11: o que é e como ativar a nova barreira contra malware
O Windows 11 ganhou um recurso que tira os poderes de administrador da conta no dia a dia e só os devolve, por instantes, quando você autoriza. Ele vem desligado e pouca gente sabe que existe.
Quase todo computador doméstico com Windows é usado em uma conta de administrador, e é justamente isso que os programas maliciosos procuram: com esse nível de acesso, um malware consegue desativar proteções, alterar o sistema e ler dados de outros usuários. Para reduzir esse risco, a Microsoft criou a Proteção de administrador (Administrator protection, no nome original), que segundo a documentação oficial da empresa passou a estar disponível com a atualização KB5120998, liberada em 27 de agosto de 2026 para o Windows 11 nas versões 24H2 e 25H2. O recurso vale para as edições Home, Pro, Enterprise e Education, mas chega desativado e precisa ser ligado manualmente.
O que muda em relação ao aviso que você já conhece
Quem usa Windows está acostumado com a janela do Controle de Conta de Usuário, aquela que escurece a tela e pergunta se o programa pode fazer alterações no dispositivo. O problema é que, no modelo tradicional, a conta de administrador carrega os privilégios elevados o tempo todo, e alguns componentes do próprio sistema podem ser elevados automaticamente, sem pergunta nenhuma. A Proteção de administrador muda essa lógica. Ao entrar no Windows, a conta recebe apenas permissões comuns. Quando um programa precisa de acesso elevado, como ao instalar um aplicativo, mexer no Registro ou mudar o relógio do sistema, o Windows pede a sua autorização com o Windows Hello, ou seja, PIN, impressão digital ou reconhecimento facial.
Depois da confirmação, o sistema cria uma permissão de administrador temporária a partir de uma conta oculta, gerada pelo próprio Windows e com perfil separado do seu. Essa permissão é entregue somente ao programa que pediu e é destruída assim que ele fecha. Na próxima tarefa, o processo se repete do zero. A Microsoft resume a ideia em quatro pontos: elevação apenas no momento do uso, separação de perfis, fim das elevações automáticas e integração com o Windows Hello. Na prática, um malware que rode na sua conta deixa de conseguir privilégios de administrador em silêncio.
Como ativar no seu computador
O caminho mais simples é pelo aplicativo Segurança do Windows. Abra o menu Iniciar, digite Segurança do Windows e entre no aplicativo. Em seguida, vá até a seção Proteção de contas, procure as configurações de Proteção de administrador, ligue a chave e reinicie o computador quando o sistema pedir, porque a mudança só passa a valer depois da reinicialização. A própria Microsoft avisa que essa chave está sendo distribuída aos poucos, então ela pode ainda não aparecer no seu PC mesmo com o Windows atualizado. Os nomes em português também podem variar um pouco conforme a versão do aplicativo.
Nas edições Pro e Enterprise existe uma alternativa que não depende dessa distribuição gradual. Abra a Política de Segurança Local (digite secpol.msc no menu Iniciar) e siga por Políticas locais até Opções de segurança. Ali, localize a política do Controle de Conta de Usuário que configura o tipo de Modo de Aprovação de Administrador, escolha a opção de Modo de Aprovação de Administrador com Proteção de administrador e reinicie o computador. O site especializado Pureinfotech descreve ainda um ajuste direto no Registro que funcionaria também na edição Home, mas esse método não aparece na documentação da Microsoft e um erro no Registro pode causar instabilidade, por isso a recomendação para a maioria das pessoas é esperar a chave aparecer na Segurança do Windows. Para desfazer, basta desligar a mesma chave, ou voltar a política ao valor anterior, e reiniciar.
Quando é melhor não ligar
A proteção tem custo de conveniência, e a Microsoft lista situações em que ela ainda atrapalha. Como os programas elevados rodam em outro perfil, as configurações de um aplicativo não são compartilhadas entre o modo normal e o modo administrador. Quem usa ferramentas de desenvolvimento como o WSL ou o Visual Studio com privilégios elevados precisa instalá-las e configurá-las de novo no perfil elevado. Unidades de rede não ficam acessíveis para aplicativos elevados, o que complica instaladores guardados em servidores ou em um NAS; a saída indicada é copiar os arquivos para o disco local antes. A empresa também desaconselha o recurso em máquinas que dependem do Hyper-V e em programas que acessam arquivos compartilhados entre perfis.
Dois defeitos conhecidos, o de aplicativos que não ganhavam ícone no menu Iniciar depois da instalação e o de programas com extensões do Edge que pediam elevação sem necessidade, foram corrigidos na atualização KB5124010, segundo a mesma documentação. Vale instalar essa atualização antes de ativar a proteção. E há uma ressalva importante: nas notas da KB5120998, a Microsoft afirma que o recurso não é classificado como uma fronteira formal de segurança. Ele dificulta ataques de elevação de privilégio, mas não substitui o antivírus, as atualizações em dia nem o cuidado com o que se instala.
Para quem usa o computador para navegar, estudar, trabalhar com documentos e jogar, a Proteção de administrador tende a passar quase despercebida e acrescenta uma camada de defesa relevante. Nos próximos meses, o ponto a acompanhar é a chegada da chave a todos os computadores e a eventual decisão da Microsoft de ativá-la por padrão, algo que a empresa ainda não anunciou.
Fontes consultadas:
