¿Por qué comprobar su certificado de arranque seguro en Windows 11

Tal vez haya visto recientemente la noticia como “Microsoft advierte a los usuarios de Windows sobre la actualización urgente del certificado de arranque seguro”. ¿Pero de qué va todo esto? Bien, resulta que si tiene un ordenador relativamente antiguo y no ha actualizado su firmware, ahora podría ser el momento de empezar. El certificado de arranque seguro de Windows original de Microsoft de 2011 se está quedando obsoleto, y el primero de ellos caduca a finales de junio de 2026. A continuación se explica cómo comprobar dónde se encuentra su ordenador y qué hacer si necesita una actualización.

¿Qué es un certificado de arranque seguro y por qué es importante?

Secure Boot es una función de seguridad a nivel de firmware integrada en UEFI, el reemplazo moderno de la BIOS tradicional. Su trabajo es asegurarse de que sólo se permite que el software de confianza y firmado digitalmente se ejecute durante el inicio, incluso antes de que Windows se cargue. Esto bloquea el malware que intenta secuestrar un ordenador en la fase más temprana posible, cuando las herramientas antivirus tradicionales no se ejecutan.

Para determinar el malware, Secure Boot se basa en un conjunto de autoridades de certificación (CA). Y como cualquier certificado digital, éstos tienen fechas de caducidad. Microsoft publicó su conjunto original en 2011 y, tras más de 15 años de servicio, han llegado al final de su ciclo de vida previsto. Microsoft Corporation KEK CA 2011 y Microsoft Corporation UEFI CA 2011 caducan del 24 al 27 de junio de 2026, y Windows Production PCA 2011 sigue en octubre de 2026.

En particular, los certificados de sustitución 2023 se instalaron en dispositivos más nuevos, se han desplegado automáticamente y son válidos hasta 2053, por lo que no tendrá que preocuparse por la caducidad del certificado de arranque seguro de Windows durante mucho tiempo.

La mayoría de los ordenadores funcionarán realmente con certificados antiguos. Es posible que no reciban actualizaciones si la nueva cadena de certificados no está instalada, lo que puede provocar una falta de firmware actualizado a lo largo de la línea. Esto puede causar algunos problemas de seguridad o hacer que su BitLocker solicite repetidamente la contraseña si la ha configurado.

Cómo comprobar si tiene un certificado de arranque seguro de Windows 11 antiguo

Opción 1: compruebe la aplicación de seguridad de Windows

Éste es el método más sencillo y con el que la mayoría de la gente debería empezar.

Paso 1. Abra “Inicio” y busque “Seguridad de Windows” y, a continuación, ábralo.

Paso 2. Vaya a “Seguridad del dispositivo” en el menú de la izquierda.

Paso 3. Busque la entrada “Arranque seguro” y compruebe el color de la insignia y el mensaje que la acompaña.

Si tiene el software actualizado, debería ver algunas insignias aquí. Esto es lo que significa cada uno:

• Verde: el arranque seguro está activado y se han aplicado todas las actualizaciones de certificados necesarias. No hace falta acción.
• Amarillo: su dispositivo todavía ejecuta el certificado anterior y se espera que la actualización llegue mediante Windows Update. También puede significar que la actualización está bloqueada por una limitación de hardware o firmware.
• Rojo: no se puede entregar una actualización de seguridad a la configuración actual del dispositivo y es necesaria atención inmediata.

Opción 2: compruebe con PowerShell

Si la aplicación de seguridad de Windows no tiene el estado del certificado en su dispositivo, PowerShell le dará una respuesta directa.

Paso 1. Abra “Inicio”, busque PowerShell y elija “Ejecutar como administrador”. También está disponible haciendo clic con el botón derecho en el botón Inicio y seleccionando “Terminal (Administrador)”.

Paso 2. Pegue el orden siguiente y pulse “Enter”.

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) – coincide con “Windows UEFI CA 2023”

Paso 3. Compruebe el resultado: “True” significa que el certificado 2023 (válido hasta 2053) ya está instalado. “Fals” significa que todavía está ejecutando el certificado original que empieza a caducar en junio de 2026.

Opción 3: compruebe el visor de eventos

Si las dos opciones anteriores no dan resultados, el Visor de eventos puede mostrarle dónde se encuentra un dispositivo durante el proceso de lanzamiento.

Paso 1. Abra “Inicio” y, a continuación, vaya a “EventViewer”.

Paso 2. Vaya a “Registros de Windows” y luego a “Sistema”.

Paso 3. En el panel derecho, haga clic en “Filtra el registro actual”.

Paso 4. Haga clic en el menú desplegable “Fuentes de eventos”, escriba la letra “T” y, a continuación, desplácese hacia abajo hasta “TPM-WMI” y selecciónelo. A continuación, haga clic en “Aceptar” en el diálogo.

Paso 5. Busque el identificador de evento 1801 con un mensaje como “BucketConfidenceLevel: Under Observation – More Data Needed”.

Esta entrada parece alarmante, pero simplemente significa que Windows ha descargado y puesto en escena el nuevo certificado dentro del sistema operativo, pero todavía no lo ha escrito en el firmware: el lanzamiento se realiza en dos fases y los dispositivos pueden permanecer en esta fase durante un tiempo, ya que Microsoft valida la compatibilidad antes de la activación.

Cómo actualizar su certificado de arranque

Para la gran mayoría de los usuarios domésticos, la actualización se realiza automáticamente. Si la comprobación anterior muestra un certificado más antiguo, ejecute Windows Update y descargue las últimas actualizaciones y, a continuación, vuelva a ejecutarlo. Como alternativa, algunos dispositivos necesitan una actualización del firmware del fabricante para que la actualización del certificado se aplique de forma limpia.

Para ello, debe visitar la página de asistencia del fabricante y buscar la última actualización del firmware BIOS/UEFI para su modelo exacto y, a continuación, instalarlo.

Si la aplicación de seguridad de Windows le indica que la actualización está “parada temporalmente”, es posible que Microsoft retrase el lanzamiento hasta que esté lista una solución. Esto sólo significa que puede que tenga que esperar un poco más.

Si su insignia de arranque seguro se mantiene roja o la aplicación de seguridad de Windows dice específicamente que su dispositivo no puede recibir la actualización automática debido a limitaciones de hardware o firmware, la solución debe provenir del OEM. Póngase en contacto con el equipo de asistencia del fabricante, haga referencia a la actualización del certificado de arranque seguro y pregunte si hay disponible una actualización de firmware compatible para su modelo.