Microsoft ha empezado a mover de forma más visible la transición de certificados de Secure Boot en Windows. Lo que durante meses parecía un aviso para administradores y fabricantes ya está llegando a los usuarios a través de Windows Update y de la app Seguridad de Windows. La buena noticia es que, en la mayoría de equipos compatibles y actualizados, no debería convertirse en un problema. La parte menos cómoda es que conviene saber qué se está actualizando y cuándo hay que prestar atención.
Secure Boot es una función de seguridad integrada en el firmware UEFI que verifica la firma del software que se ejecuta durante el arranque del equipo. Su objetivo es impedir que código no autorizado, como bootkits o malware de arranque temprano, se cargue antes del sistema operativo. Windows lo usa desde Windows 8 y en Windows 11 forma parte de los requisitos de seguridad habituales.
El cambio llega porque varios certificados de Microsoft usados desde 2011 para validar componentes del arranque seguro caducan en 2026. Microsoft los está sustituyendo por certificados de 2023 para que los equipos puedan seguir recibiendo protecciones de arranque temprano, incluidas actualizaciones de Windows Boot Manager, bases de datos Secure Boot, listas de revocación y mitigaciones ante vulnerabilidades futuras.
El PC no dejará de arrancar de golpe, pero no conviene ignorarlo
El primer mensaje para el usuario normal es sencillo: si aparece un aviso relacionado con Secure Boot en Windows Update o en Seguridad de Windows, no significa que el ordenador esté roto ni que Windows vaya a dejar de arrancar de un día para otro. Microsoft explica que los dispositivos que no reciban los nuevos certificados de 2023 seguirán arrancando y funcionando normalmente, y que las actualizaciones estándar de Windows continuarán instalándose.
El problema es otro. Si el equipo conserva los certificados antiguos después de su caducidad, con el tiempo no podrá recibir nuevas protecciones para el proceso de arranque. Eso puede afectar a actualizaciones de seguridad del arranque, revocaciones, mitigaciones contra vulnerabilidades de bajo nivel, endurecimiento de BitLocker o escenarios que dependen de la cadena de confianza de Secure Boot.
Los certificados afectados son los originales de 2011. El Microsoft Corporation KEK CA 2011 caduca el 24 de junio de 2026. El Microsoft UEFI CA 2011 caduca el 27 de junio de 2026. El Microsoft Windows Production PCA 2011 caduca el 19 de octubre de 2026. En su lugar entran nuevos certificados de 2023, como Microsoft Corporation KEK 2K CA 2023, Windows UEFI CA 2023, Microsoft UEFI CA 2023 y Microsoft Option ROM UEFI CA 2023.
| Certificado antiguo | Caducidad | Sustituto |
|---|---|---|
| Microsoft Corporation KEK CA 2011 | 24/06/2026 | Microsoft Corporation KEK 2K CA 2023 |
| Microsoft UEFI CA 2011 | 27/06/2026 | Microsoft UEFI CA 2023 |
| Microsoft UEFI CA 2011 | 27/06/2026 | Microsoft Option ROM UEFI CA 2023 |
| Microsoft Windows Production PCA 2011 | 19/10/2026 | Windows UEFI CA 2023 |
La transición no es un parche cualquiera. Secure Boot depende de variables almacenadas en el firmware, como KEK, DB y DBX. Microsoft puede aplicar parte del cambio desde Windows, pero el firmware del equipo también debe comportarse correctamente. Por eso en algunos casos puede intervenir el fabricante del PC o de la placa base.
Qué debe hacer un usuario doméstico
Para la mayoría de usuarios, la recomendación práctica es mantener Windows Update activo, instalar las actualizaciones pendientes y reiniciar cuando Windows lo pida. Si aparecen actualizaciones de firmware firmadas por el fabricante, conviene instalarlas desde Windows Update o desde la herramienta oficial del fabricante, no desde descargas dudosas ni paquetes no verificados.
Después del reinicio, el estado se puede comprobar desde la app Seguridad de Windows. La ruta es: Configuración, Privacidad y seguridad, Seguridad de Windows, Seguridad del dispositivo y Arranque seguro. Microsoft ha añadido indicadores específicos para mostrar el estado de los certificados de Secure Boot.
Hay un matiz importante: no basta con ver un check verde sin leer el texto. Microsoft indica que el estado correcto es el que muestra que Secure Boot está activado y que se han aplicado todas las actualizaciones de certificado requeridas. Si aparece ese mensaje, no hace falta tocar nada más.
Si el sistema indica que Secure Boot está activado pero usa una configuración de confianza antigua, lo normal es instalar las últimas actualizaciones de Windows y reiniciar. Si el aviso dice que la actualización está pausada por un problema conocido, Microsoft recomienda no hacer cambios manuales: el despliegue se reanudará cuando exista una resolución. Si el mensaje indica una limitación de hardware o firmware, entonces sí conviene consultar al fabricante.
El error más peligroso es entrar en la BIOS sin saber qué se está cambiando. Activar o reinicializar Secure Boot, restaurar claves, cambiar CSM, tocar TPM o modificar el modo de arranque puede dejar un equipo sin arrancar si se hace mal, especialmente en instalaciones antiguas, discos con esquemas de partición heredados o sistemas con varios sistemas operativos.
BitLocker: la clave que conviene tener a mano
Antes de aplicar firmware o cambios relacionados con Secure Boot, hay una precaución básica: tener localizada la clave de recuperación de BitLocker. Algunos cambios en firmware, TPM o configuración de arranque pueden hacer que Windows pida esa clave al iniciar.
Esto no significa que la actualización vaya a romper BitLocker. Significa que conviene no jugar con el arranque seguro sin tener una vía de recuperación. En equipos personales, la clave puede estar asociada a la cuenta Microsoft. En empresas, suele gestionarse mediante Intune, Active Directory, Azure AD o herramientas internas. En cualquier caso, buscarla después de que el equipo la pida es llegar tarde.
La secuencia prudente para un usuario sería sencilla: Windows Update activo, actualizaciones instaladas, reinicio, comprobación en Seguridad de Windows y solo después, si el aviso persiste, revisión de la web del fabricante. Si el estado aparece como correcto, no hay que forzar nada.
Empresas y administradores: probar antes de desplegar
En organizaciones, el cambio requiere más disciplina. Microsoft recomienda probar las actualizaciones en muestras representativas antes de desplegarlas a toda la flota. Esa muestra debería cubrir fabricante, modelo, versión de firmware y placa base u otros criterios de inventario. La guía para profesionales de TI sugiere probar al menos cuatro dispositivos por categoría representativa antes de extender el despliegue.
También hay que vigilar entornos virtualizados. En máquinas virtuales, los nuevos certificados pueden llegar por dos vías: a través del proveedor de la plataforma de virtualización, que actualice el firmware virtual para nuevas VMs, o mediante Windows si la VM de larga duración permite actualizar las variables Secure Boot activas.
Microsoft ofrece eventos de registro para monitorizar el estado: el Event ID 1801 indica que los certificados actualizados no se han aplicado; el Event ID 1808 informa de que el dispositivo ya tiene los nuevos certificados Secure Boot aplicados en el firmware. Para flotas grandes, esa información será más útil que revisar equipo por equipo desde la interfaz gráfica.
El punto importante para TI es no confundir actualización activa con valores por defecto del firmware. Microsoft explica que Windows puede aplicar cambios a las variables activas usadas durante el arranque normal, mientras que las actualizaciones de firmware ayudan a actualizar los valores predeterminados que podrían restaurarse si Secure Boot se reinicializa en el futuro. Por eso puede tener sentido combinar actualizaciones de Windows y firmware del OEM.
Cuándo hay que preocuparse de verdad
Hay varios casos donde merece la pena prestar más atención. Equipos antiguos, firmware sin soporte, placas base que no reciben actualizaciones, instalaciones de Windows fuera de soporte, dispositivos gestionados sin telemetría hacia Microsoft, redes corporativas cerradas, servidores, entornos IoT, arranque dual con Linux o sistemas que dependan de bootloaders de terceros.
También conviene mirar con más calma si aparece una insignia roja en Seguridad de Windows. Según Microsoft, ese estado puede indicar que existe una actualización de seguridad para la experiencia de arranque que no puede entregarse con la configuración actual del dispositivo. En ese caso, no basta con cerrar el aviso y seguir. Hay que revisar la guía de Microsoft, el soporte del fabricante o, en empresas, el procedimiento definido por TI.
Las insignias amarillas suelen ser menos urgentes, pero no deben ignorarse si persisten. Pueden indicar que el dispositivo aún usa certificados antiguos, que necesita más datos para clasificarse, que el despliegue está pausado por un problema conocido o que hay una limitación de firmware.
La transición de Secure Boot no es una actualización vistosa, pero afecta a una de las capas más delicadas del PC: la confianza antes de que Windows arranque. Si todo funciona como Microsoft espera, muchos usuarios apenas notarán el cambio. Si no se aplica, el equipo no se apagará de golpe ni quedará inutilizado, pero irá perdiendo capacidad para recibir protecciones de arranque frente a amenazas futuras.
La recomendación final es poco espectacular, pero sensata: actualizar, reiniciar, comprobar y no tocar la BIOS sin necesidad. En seguridad de bajo nivel, hacer menos suele ser mejor que hacer mucho sin entenderlo.
Preguntas frecuentes
¿Qué está actualizando Microsoft en Secure Boot?
Microsoft está sustituyendo certificados de Secure Boot emitidos en 2011, que caducan en 2026, por certificados nuevos de 2023 para mantener la cadena de confianza del arranque seguro.
¿Mi PC dejará de arrancar si no recibe los certificados nuevos?
No de forma inmediata. Microsoft indica que los equipos seguirán arrancando y funcionando, pero con el tiempo no podrán recibir nuevas protecciones para el proceso de arranque.
¿Qué debo hacer como usuario normal?
Mantener Windows Update activo, instalar actualizaciones pendientes, reiniciar cuando se solicite y revisar el estado en Seguridad de Windows, dentro de Seguridad del dispositivo y Arranque seguro.
¿Debo entrar en la BIOS para actualizar Secure Boot?
No si Windows Update y Seguridad de Windows muestran que todo está correcto. Solo conviene revisar BIOS o firmware si hay un aviso persistente, una limitación indicada por Windows o instrucciones oficiales del fabricante.
¿Por qué importa BitLocker en este proceso?
Porque algunos cambios de firmware o arranque pueden hacer que Windows solicite la clave de recuperación de BitLocker. Conviene tenerla localizada antes de aplicar actualizaciones de firmware o tocar Secure Boot.
