Arranque seguro 2026: verifique certificados y programe actualizaciones de forma segura

Breve conclusión: Los certificados de arranque seguro de 2011 caducan en 2026. Según Microsoft, esto no significa que un PC ya no se inicie automáticamente en la fecha límite: las actualizaciones periódicas de Windows también pueden seguir ejecutándose. Sin embargo, sin los certificados más nuevos, es posible que falten futuras actualizaciones tempranas de protección de arranque. Por lo tanto, verifique el estado, tenga en cuenta el firmware UEFI y BitLocker e implemente los cambios de manera controlada.

Qué cambiará en 2026

El arranque seguro verifica las firmas digitales en el firmware UEFI de los componentes que se cargan antes de Windows. Esto incluye programas de inicio y controladores UEFI. Las entradas de confianza se encuentran en bases de datos de firmware como DB, DBX y KEK. La renovación afecta a esta cadena de confianza; no es una actualización de funciones ordinaria de Windows.

Microsoft enumera los certificados de 2011 como vencidos. La CA KEK de Microsoft Corporation de 2011 tiene fecha del 24 de junio de 2026, la CA UEFI de Microsoft tiene fecha del 27 de junio de 2026 y la PCA de producción de Microsoft Windows tiene fecha del 19 de octubre de 2026. Los nuevos certificados son de 2023. Cuál de estos necesita un dispositivo depende de su uso y del firmware; Para cargadores de arranque de terceros y ROM opcionales, son relevantes zonas de confianza UEFI separadas.

La clasificación es importante: un certificado caducado no desactiva el arranque seguro en todos los ámbitos. Microsoft dice que los dispositivos afectados pueden continuar arrancando y recibiendo actualizaciones normales de Windows. Sin embargo, es posible que en el futuro falten nuevas medidas de protección para administradores de arranque, listas negras u otros componentes de arranque temprano. Este es un problema de seguridad y mantenimiento, no hay razón para cambiar la configuración del BIOS sin verificar el dispositivo.

¿Qué debo comprobar primero?

1. Notas de Windows y OEM: Instale actualizaciones periódicas compatibles de Windows y consulte la página de soporte del fabricante del dispositivo o de la placa base para conocer el modelo exacto y la versión UEFI.
2. Mensajes de estado: Microsoft menciona los ID de evento 1801 y 1795 y el valor de estado UEFICA2023Status como posibles pistas. Son señales de diagnóstico y deben evaluarse en el contexto de la documentación de Microsoft.
3. Configuración de arranque seguro: Compruebe si el arranque seguro está realmente activo en el dispositivo y si existen casos especiales, como sistemas de arranque alternativos, arranque de red o tarjetas de expansión más antiguas.
4. BitLocker y recuperación: Microsoft cita consultas inesperadas de recuperación de BitLocker como un posible problema con firmware incompatible u obsoleto. Por lo tanto, tenga lista la ruta de recuperación prevista antes de realizar cualquier cambio de firmware o certificado.

Ventajas y limitaciones de la actualización

• Ventaja: Los datos de confianza UEFI actualizados mantienen la protección de los componentes de arranque temprano según lo previsto.
• Ventaja: Un procedimiento controlado hace visible qué modelos de dispositivos ya están actualizados y cuáles requieren soporte OEM.
• Limit: El procedimiento depende del dispositivo, la versión del firmware y la gestión. Una intervención de registro general no es un reemplazo seguro de las instrucciones del fabricante.
• Limit: Pueden ocurrir problemas de firmware con dispositivos más antiguos o especialmente configurados. Microsoft recomienda verificar primero el firmware y probar los cambios con diferentes dispositivos y configuraciones de BitLocker.

Recomendación para usuarios privados y equipos de TI

Usuarios privados: Mantenga Windows actualizado, consulte la página de soporte del fabricante del dispositivo para obtener información sobre el firmware y no desactive ciegamente el arranque seguro si se informan errores. Si los eventos indican un problema o aparece BitLocker Recovery, comuníquese con el fabricante del dispositivo o con el soporte técnico calificado con el modelo y la versión UEFI.

IT Equipos: Capture fabricante, modelo, firmware y estado de BitLocker. Utilice los canales de administración admitidos por Microsoft, como Intune, directiva de grupo, CSP o políticas de registro documentadas, y configure un pequeño grupo piloto con múltiples OEM y niveles de firmware. Luego verifique el estado y solo entonces la amplia distribución. A veces se aplican instrucciones separadas a los servidores; la planificación del cliente descrita aquí no debe transferirse sin verificarla.

Para obtener información general sobre la planificación de la compatibilidad de Windows, consulte también nuestro artículo ya publicado Windows 10 después del final del soporte: ¿Comprobar o cambiar la PC?.

Fuentes relacionadas

• Soporte de Microsoft: Certificados de arranque seguro y actualizaciones de CA: fechas de los certificados, significado e impacto.
• Microsoft Learn: actualización de certificados en dispositivos Windows: indicadores de estado, comprobación y pilotaje de firmware.
• Microsoft Learn: Arranque seguro para fabricantes de dispositivos - Cadena de confianza UEFI, DB/DBX y KEK.

Vídeo en profundidad: de MicrosoftPregunte a Microsoft Anything: Arranque seguro - febrero de 2026 (canal Windows At Work). El vídeo es una sesión de preguntas y respuestas más larga para administradores de TI y, por lo tanto, solo está vinculado como fuente original, no incrustado. El título y el canal se verificaron a través de YouTube oEmbed el 19 de octubre de 2026.

Consultado el 19 de octubre de 2026. Autor: TechDesk PE Digital.Networks. Esta orientación no reemplaza ninguna instrucción del fabricante relacionada con el dispositivo.