Certificados Secure Boot de 2011 caducan en 2026: cómo comprobar si tu PC está protegido

Respuesta rápida. Microsoft advierte que algunos certificados de Arranque seguro (Secure Boot) emitidos en 2011 han comenzado a caducar en 2026 y recomienda preparar la transición a los certificados de 2023. Esto no significa que todos los ordenadores con Windows dejen de arrancar ni que se desactiven automáticamente el 1 de enero de 2027. El riesgo principal para dispositivos no actualizados es perder capacidad de validar o recibir determinadas protecciones futuras de arranque.

Qué protege Secure Boot

Secure Boot es una función del firmware UEFI que comprueba firmas de componentes ejecutados durante el arranque. Su objetivo es dificultar que código no autorizado se cargue antes del sistema operativo. No debe confundirse con el antivirus que examina archivos durante una sesión normal de Windows ni con BitLocker, que cifra unidades.

Para validar componentes, el firmware mantiene claves y certificados de confianza. Cuando certificados antiguos expiran, los fabricantes y Microsoft necesitan distribuir nuevas cadenas de confianza y asegurar que los dispositivos sean capaces de utilizarlas correctamente.

¿Qué ha cambiado en 2026?

Microsoft explica que parte de la infraestructura de confianza basada en certificados de 2011 se sustituye por certificados de 2023. Algunos certificados antiguos expiran desde junio de 2026. La transición no es una simple actualización de un archivo dentro de Windows: pueden intervenir firmware, configuración UEFI, compatibilidad del fabricante y el estado del sistema.

La documentación oficial señala expresamente que un PC sin los nuevos certificados puede continuar arrancando y recibiendo actualizaciones estándar. Sin embargo, podría no aprovechar protecciones futuras destinadas a componentes que actúan antes de cargar Windows.

Cómo comprobar el estado sin modificar firmware

Primero abre Información del sistema (msinfo32) y comprueba si el estado de Arranque seguro figura como activado. Este dato indica el estado de la función, pero no prueba por sí solo que todos los certificados de 2023 estén instalados.

Para un análisis más profundo, Microsoft documenta señales específicas en los registros del sistema y en determinados valores relacionados con el estado de certificados. En entornos profesionales puede examinarse el evento 1801 o información relacionada con UEFICA2023Status. El significado debe interpretarse según la versión de Windows y la guía vigente; no uses un valor aislado como diagnóstico definitivo.

Qué debe hacer un usuario doméstico

1. Mantén Windows actualizado desde Configuración > Windows Update.
2. Comprueba las actualizaciones de BIOS/UEFI en el portal del fabricante de tu ordenador o placa base.
3. Haz una copia de seguridad antes de modificar firmware.
4. Si tienes BitLocker activo, asegúrate de disponer de la clave de recuperación antes de una actualización de firmware importante.
5. Evita tutoriales que recomiendan borrar manualmente las claves Secure Boot o restablecerlas sin documentación del fabricante.

Las actualizaciones pueden distribuirse de forma progresiva en función de modelos y comprobaciones de compatibilidad. No todos los equipos presentan el mismo calendario.

Qué deben revisar los administradores de TI

Microsoft recomienda inventariar dispositivos con certificados antiguos, identificar versiones de firmware, probar actualizaciones en grupos piloto representativos y verificar tanto el estado posterior como la ausencia de solicitudes de recuperación inesperadas de BitLocker.

En organizaciones, los mecanismos de gestión compatibles pueden incluir Intune, políticas u otras opciones documentadas. No conviene desplegar cambios de confianza UEFI simultáneamente a todos los equipos sin prueba previa.

Riesgos de una actualización mal gestionada

Los problemas pueden incluir errores de validación al arrancar, peticiones de recuperación de BitLocker o incompatibilidades con firmware antiguo. Estos riesgos justifican seguir procedimientos oficiales, no ignorar la transición ni forzar modificaciones experimentales.

Preguntas frecuentes

¿Secure Boot dejará de funcionar de repente en todos los PCs? No. Microsoft describe un proceso de transición con efectos distintos según el dispositivo.

¿Basta con que msinfo32 diga «Activado»? No; ese indicador no certifica por sí solo la presencia de la nueva cadena de certificados.

¿Debo desactivar Secure Boot para evitar errores? No es una solución general y puede reducir la protección del arranque.

Conclusión: prioriza actualizaciones de Windows y firmware verificadas, conserva las claves de recuperación y comprueba el estado con los métodos admitidos por Microsoft.