El pasado 19 de octubre caducó el último de los tres certificados Secure Boot que Microsoft creó en 2011, los que llevan más de una década validando que tu PC arranca con un sistema de confianza. Antes, en junio, ya habían vencido los otros dos. Microsoft lleva meses sustituyéndolos por los nuevos certificados de 2023 a través de Windows Update.
La buena noticia: tu ordenador no va a dejar de arrancar de un día para otro. La no tan buena: hay equipos que necesitan una actualización de la BIOS para completar el cambio, y algunos casos concretos en los que conviene revisar las cosas con calma. Te contamos cómo comprobarlo en un par de minutos.
Secure Boot – El guardián del arranque cambia de llaves
Secure Boot (arranque seguro) es una función del firmware UEFI de tu placa base que comprueba que todo lo que se carga al encender el PC está firmado por alguien de confianza. Así impide que un malware tipo bootkit se cuele antes que el propio Windows, donde ningún antivirus podría verlo. Es uno de los requisitos de Windows 11, junto con el TPM 2.0.
Para hacer esas comprobaciones, el firmware guarda una serie de certificados. Los originales de Microsoft eran de 2011 y tenían fecha de caducidad:
- Microsoft Corporation KEK CA 2011: caducó el 24 de junio de 2026.
- Microsoft UEFI CA 2011: caducó el 27 de junio de 2026.
- Microsoft Windows Production PCA 2011: caducó el 19 de octubre de 2026.
¿Qué pasa si mi PC todavía tiene los certificados antiguos?
Windows sigue arrancando y funcionando con normalidad. El problema es a medio plazo: un equipo que no tenga los certificados de 2023 no podrá recibir futuras actualizaciones de seguridad del gestor de arranque, y quedará más expuesto a ataques que se aprovechen de versiones antiguas y vulnerables de ese gestor.
Hay además un caso delicado: si tu equipo ya usa el gestor de arranque firmado con los certificados nuevos y restableces la BIOS a valores de fábrica, y esos valores de fábrica no incluyen el certificado de 2023, el PC puede dejar de arrancar. Por eso conviene tener la BIOS actualizada antes de tocar nada de la configuración de arranque.
Cómo comprobar que tu PC está al día
1. Instala las actualizaciones de Windows. Microsoft distribuye los certificados nuevos con las actualizaciones mensuales. Para la mayoría de usuarios domésticos con Windows 11 al día, esto es todo lo que hay que hacer.
2. Revisa Seguridad de Windows. Abre Seguridad de Windows > Seguridad del dispositivo. En el apartado de arranque seguro verás un indicador de color con el estado de los certificados: verde si está todo correcto, amarillo o rojo si falta algún paso.
3. Actualiza la BIOS/UEFI si te lo pide. Algunos equipos necesitan primero una actualización del firmware del fabricante para poder aceptar los certificados nuevos. Entra en la web de soporte de tu marca (o de tu placa base, si el PC es montado) y busca la última BIOS para tu modelo. Varios fabricantes han publicado guías específicas sobre este cambio.
Ojo si instalaste Windows 11 con trucos
Si en su día desactivaste Secure Boot para instalar Windows 11 en un equipo no compatible usando métodos no oficiales, los certificados nuevos no se aplicarán correctamente. En esos equipos tienes dos caminos: actualizar la BIOS y volver a activar Secure Boot si el hardware lo permite, o pasar a una edición pensada para funcionar sin esos requisitos, como Windows 11 IoT Enterprise LTSC 2024, que no exige TPM ni Secure Boot y tiene soporte durante años.
Y si gestionas varios equipos en una empresa, revisa el estado de todo el parque cuanto antes: los equipos con firmware antiguo son los que más problemas pueden dar.
Prueba el programa original
OFICIAL – PROBAR PROGRAMA ORIGINAL
¿Necesitas reinstalar o regularizar tus equipos?
Si aprovechas para reinstalar Windows con Secure Boot activado o para pasar un equipo sin TPM a una edición compatible, en Tienda Artista tienes licencias originales con factura oficial con IVA.
Licencia Windows 11 Pro Retail – Activación permanente
Licencia Windows 11 IoT Enterprise LTSC 2024 – 1PC
Tal vez te interesen: