注意：默认情况下，Windows 7及更高版本从一个特殊的小分区启动。该分区包含启动系统所需的文件。Windows只允许具有管理员权限的应用程序在系统运行时写入该分区。在EFI启动模式（现代PC的默认模式）下，VeraCrypt无法加密此分区，因为它必须保持未加密状态，以便BIOS可以从中加载EFI引导加载程序。这反过来意味着在EFI启动模式下，VeraCrypt仅提供对安装Windows的系统分区进行加密（用户以后可以使用VeraCrypt手动加密其他数据分区）。在MBR传统启动模式下，只有当您选择加密整个系统驱动器（而不是仅选择加密安装Windows的分区）时，VeraCrypt才会对该分区进行加密。
在启用安全启动的EFI启动模式下，VeraCrypt会在安装、修复/重新安装、升级或Windows PostOOBE修复期间，选择由Microsoft UEFI CA签名且当前固件安全启动策略允许的引导加载程序套件：每个所需CA都必须存在于允许签名数据库（db）中，并且不在禁止签名数据库（dbx）中。VeraCrypt 2023引导加载程序套件需要Microsoft UEFI CA 2023和Microsoft Option ROM UEFI CA 2023；2011引导加载程序套件需要Microsoft Corporation UEFI CA 2011。如果当前db/dbx策略不允许任何受支持的套件，VeraCrypt会中止操作，而不会安装会在下一次重启时被固件拒绝的加载程序。如果您手动更改固件安全启动db或dbx条目，请运行VeraCrypt修复/重新安装以刷新已安装的引导加载程序套件。有关详细信息，包括Microsoft 2023证书过渡和恢复步骤，请参阅 EFI安全启动。
在准备Windows功能更新之前，请安装当前版本的VeraCrypt。继续操作前，请解决所有关于Windows功能更新支持的警告。如果Windows安装程序已暂存其支持文件，请重新开始功能更新准备过程，以便暂存更新后的文件。更新VeraCrypt会更改源注册信息，但不会替换Windows安装程序已经复制的脚本。有关脚本暂存的详细信息，请参阅Microsoft的Windows安装程序文档。
如果安装程序无法更新VeraCrypt的Windows功能更新注册信息，它仍会完成安装，并显示警告，指出相关文件或注册表值。如果无法确定安装文件夹，或该文件夹中缺少VeraCrypt.exe或驱动程序文件，VeraCrypt不会注册该文件夹，而会保留现有注册信息。VeraCrypt系统服务每次启动时都会重试更新。如果警告持续出现，请解决所报告的错误，并在开始Windows功能更新之前运行修复/重新安装。如果VeraCrypt系统服务的可执行文件在升级期间正在使用，则会在Windows重启时替换该文件，在此之前不会重新启动该服务。
VeraCrypt 1.26.29及更早版本创建的恢复备份存储在ProgramData下的VeraCrypt目录中，标准用户原先可以在该目录中创建文件。只有在备份归管理员帐户或SYSTEM所有，且其他用户无法修改或替换它时，VeraCrypt才会使用或迁移该备份。VeraCrypt还会删除该目录中旧版本的Windows安装程序脚本，并阻止标准用户在其中创建文件。在BIOS系统上，自动恢复原始加载程序需要完整且可信的备份。如果该备份不可用，VeraCrypt会在不自动恢复加载程序的情况下解密或清理之前要求明确确认；请先获取可信的恢复介质。如果升级时警告原始加载程序备份缺失、损坏、无法读取或不可信，请保留所有现有备份文件，并在继续操作前获取已知可信的VeraCrypt救援盘或经过验证的原始备份。仅更改所有者或权限并不能证明旧备份的安全性。不要从加密系统当前的启动区域创建替代备份，也不要在驱动器仍处于加密状态时恢复未加密的加载程序。
新的支持文件存储在本机Common Files文件夹（通常为C:\Program Files\Common Files）下的VeraCryptSystem目录中，只有管理员才能在其中创建文件。Windows安装程序会从VeraCrypt安装文件夹将VeraCrypt驱动程序添加到更新后的系统中。卸载应用程序时会保留恢复备份和ProgramData下的VeraCrypt目录，以阻止标准用户在其中创建文件。卸载和解密操作会移除VeraCrypt的Windows安装程序注册信息；如果移除失败，会报告错误，但不会停止卸载。
