Microsoft emite los nuevos certificados de Arranque Seguro, claves para la seguridad de Windows

Microsoft ha comenzado a emitir los nuevos certificados de Arranque Seguro para computadoras con Windows. Afecta a todas las versiones actualmente activas, Windows Server y versiones cliente para empresas, consumidores y sector educativo. Se incluyen máquinas con Windows 11 y también las gobernadas por Windows 10 que hayan activado el programa de seguridad extendida.

Microsoft lleva meses alertando de una situación importante para la seguridad de todo el ecosistema de Windows. Y es que los certificados iniciales para la función de Arranque Seguro están llegando al final de su vida útil planificada después de 15 años y están programados para expirar en junio de 2026. Algo que los profesionales de TI deben tener muy en cuenta.

El programa representa uno de los mayores esfuerzos coordinados de mantenimiento de seguridad para todo el ecosistema, que abarca el mantenimiento de Windows, las actualizaciones de firmware y millones de configuraciones únicas de dispositivos proporcionadas por fabricantes de hardware o fabricantes de equipos originales (OEM) en todo el mundo.

La importancia de los certificados de Arranque Seguro

Nuno Costa, responsable del Servicio y Entrega de Windows en Microsoft, ha detallado la importancia de la renovación y su aplicación en todas las máquinas de Windows.

El Arranque Seguro es una función de seguridad fundamental de Windows y Windows Server, ya que proporciona protección desde el momento en que se enciende el dispositivo. Introducido en 2011, el Arranque Seguro se ejecuta al inicio (antes de que Windows cargue) y ayuda a garantizar que solo se ejecute software confiable y firmado digitalmente. Al bloquear el código no confiable en la etapa inicial del proceso de arranque, el Arranque Seguro ayuda a protegerse contra amenazas sofisticadas que pueden ser difíciles de detectar posteriormente.

Esta confianza se refuerza mediante certificados almacenados en el firmware de los PCs. Tras más de 15 años de servicio continuo, los certificados originales de Arranque Seguro están llegando al final de su ciclo de vida previsto y expirarán a finales de junio de 2026.

A medida que evoluciona la seguridad criptográfica, los certificados y las claves deben actualizarse periódicamente para mantener una protección sólida. Retirar certificados antiguos e introducir nuevos es una práctica habitual en la industria que ayuda a evitar que las credenciales obsoletas se conviertan en un punto débil y mantiene las plataformas alineadas con las expectativas de seguridad modernas.

Preparación del ecosistema

Dado que el Arranque Seguro funciona a nivel de firmware y afecta al arranque de los PCs, estos cambios han requerido una preparación minuciosa para minimizar las interrupciones y, al mismo tiempo, mantener la seguridad y la fiabilidad de los dispositivos a gran escala.

Este trabajo implicó una estrecha colaboración con los fabricantes de dispositivos y los proveedores de firmware responsables de la Interfaz de Firmware Extensible Unificada (UEFI) mediante un enfoque basado en estándares. Este esfuerzo también incluyó la incorporación de capacidades y herramientas de servicio para facilitar una implementación gradual y supervisada, así como mejoras de firmware para garantizar la aplicación segura de las actualizaciones de certificados, explica Costa:

«Nuestros socios del ecosistema desempeñan un papel fundamental en la transición a los nuevos certificados de Arranque Seguro. Los fabricantes de equipos originales (OEM) han estado implementando certificados actualizados en dispositivos nuevos y en muchas PC más nuevas fabricadas desde 2024, y casi todos los dispositivos entregados en 2025 ya incluyen los certificados y no requieren ninguna acción por parte de los clientes. Los socios OEM también han colaborado estrechamente con nuestros equipos de ingeniería para garantizar que los dispositivos disponibles en el mercado puedan aplicar las actualizaciones sin problemas y han proporcionado su propia guía para ayudar a los clientes a prepararse para la transición».

¿Qué pasará cuando los certificados caduquen?

Si un dispositivo no recibe los nuevos certificados de Arranque Seguro antes de que caduquen los de 2011, el PC seguirá funcionando con normalidad y el software existente seguirá ejecutándose. Sin embargo, el dispositivo entrará en un estado de seguridad degradado que limita su capacidad para recibir futuras protecciones a nivel de inicio.

A medida que se descubren nuevas vulnerabilidades para el sistema de arranque, los sistemas afectados quedan cada vez más expuestos, ya que ya no pueden instalar nuevas mitigaciones. Con el tiempo, esto también puede generar problemas de compatibilidad, ya que los sistemas operativos, el firmware, el hardware o el software dependiente del Arranque Seguro más recientes pueden no cargarse.

Es importante tener en cuenta que los dispositivos con versiones no compatibles (Windows 10 y anteriores, excepto aquellos que se han suscrito a las Actualizaciones de Seguridad Extendidas ) no recibirán actualizaciones de Windows ni los nuevos certificados. «Recomendamos a los clientes que siempre usen una versión compatible de Windows para obtener el mejor rendimiento y protección», dice el ejecutivo de Microsoft.

¿Qué acciones deben realizar usuarios y empresas?

Para la mayoría de empresas y consumidores que permiten que Microsoft administre las actualizaciones de su PC, los nuevos certificados se instalarán automáticamente mediante el proceso de actualización mensual de Windows, sin necesidad de realizar ninguna acción adicional. Algunos sistemas especializados, como ciertos servidores o dispositivos IoT, pueden seguir procesos de actualización diferentes y deben evaluarse como parte de la planificación de la implementación.

Para una fracción de los dispositivos, podría requerirse una actualización de firmware independiente del fabricante antes de que el sistema pueda aplicar los nuevos certificados de Arranque Seguro proporcionados a través de Windows Update. Para prepararse, recomendamos a los clientes que consulten las páginas de soporte de su OEM para asegurarse de tener las últimas actualizaciones de firmware.

En los próximos meses, la aplicación de Seguridad de Windows incluirá mensajes sobre el estado de actualización de los certificados para que los usuarios puedan realizar un seguimiento más preciso de las actualizaciones. 

Para las organizaciones, los nuevos certificados se entregarán a través de las actualizaciones mensuales regulares de Windows, donde los dispositivos proporcionan datos de diagnóstico suficientes para validar la preparación. En escenarios donde los dispositivos no pueden validarse con confianza a través de este enfoque, las organizaciones deben planificar la implementación y el monitoreo de los nuevos certificados utilizando el manual del administrador de TI y sus herramientas de administración existentes.

Una base segura para el futuro

La actualización del certificado de Arranque Seguro marca una renovación generacional de la base de confianza que sustenta el arranque de los PC modernos. Al renovar estos certificados, el ecosistema Windows garantiza que las futuras innovaciones en hardware, firmware y sistemas operativos puedan seguir basándose en un proceso de arranque seguro y alineado con la industria.

La seguridad a este nivel no es un evento puntual, sino una responsabilidad continua compartida entre Microsoft y el ecosistema de PC en general. «A lo largo de este esfuerzo, hemos valorado la colaboración de los fabricantes de dispositivos y los socios de firmware para lograr una implementación eficiente y segura. Esta colaboración se ha centrado en la planificación proactiva, la transparencia y en proporcionar la visibilidad, las herramientas y la orientación que los clientes necesitan para afrontar la transición con confianza», explican desde Microsoft.

• Más información sobre Arranque Seguro
• Recursos de soporte adicionales