- Los certificados de arranque seguro emitidos originalmente en 2011 caducarán próximamente, lo que podría dejar el sistema vulnerable.
- Microsoft distribuye las renovaciones automáticamente vía Windows Update, aunque algunos equipos antiguos requieren intervención manual.
- La aplicación de Seguridad de Windows implementará un sistema de colores para alertar sobre el estado de estas actualizaciones.
Si te gusta tener tu ordenador al día y que todo funcione como la seda, probablemente te hayas dado cuenta de que Microsoft ha encendido las alarmas sobre un tema técnico que puede sonar aburrido, pero que es vital para la seguridad de tu equipo. Resulta que algunos certificados digitales, esos que sirven para decir «sí, este archivo es seguro y viene de Microsoft», están a punto de caducar, y si no se renuevan, podrías encontrarte con que Windows Update deja de funcionar o que tu PC queda expuesto a ataques bastante feos.
La movida principal tiene que ver con el Arranque Seguro o Secure Boot, una función que básicamente impide que el malware se cuele en el sistema antes incluso de que Windows empiece a cargar. Para los que tienen equipos fabricados hace unos años, los certificados de 2011 ya no darán más de sí, por lo que hay que pasarse a los de 2023. No te agobies, que la mayoría se actualizan solos, pero hay casos donde toca meterle mano al sistema para que no nos deje colgados.
El semáforo de Seguridad de Windows
Para que no tengamos que ser expertos en informática, Microsoft va a integrar en la aplicación de Seguridad de Windows (dentro de Seguridad del dispositivo > Arranque seguro) un sistema de iconos visuales muy intuitivos. Básicamente, funcionará como un semáforo que nos dirá si estamos tranquilos o si hay que ponerse las pilas.
- Icono verde: Todo va viento en popa. El equipo está protegido y no tienes que mover un dedo.
- Icono amarillo: Hay una recomendación de seguridad. Puede que haya una limitación de hardware o firmware que esté bloqueando la actualización automática.
- Icono rojo: Atención inmediata. Existe una vulnerabilidad o el certificado ya ha caducado, lo que requiere que tomes medidas ya mismo.
A partir de mayo de 2026, es probable que veas alertas más directas fuera de la aplicación, como notificaciones del sistema, para que no se te pase por alto que el estado de arranque seguro necesita atención. Si ves el icono amarillo o rojo, podrás descartar la advertencia si eres administrador, aunque esto no soluciona el problema de fondo, solo quita el aviso de la vista.
Cómo saber si tu PC está al día
Si no quieres esperar a que el semáforo te avise, hay formas de comprobarlo ahora mismo. Para los más valientes que no temen abrir una consola, existe un comando de PowerShell ejecutado como administrador que te da la respuesta en blanco y negro: ([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFIdb).bytes) -match 'Windows UEFI CA 2023'). Si el sistema te responde «True», puedes irte a dormir tranquilo; si sale «False», tus certificados caducarán y habrá que actuar.
Otra vía más tradicional es entrar en el Administrador de Certificados escribiendo certmgr.msc en el buscador. Allí, en la carpeta de «Entidades de certificación raíz de confianza», puedes buscar los emitidos por Microsoft y revisar que las fechas de expiración no estén ya vencidas. Si ves que algo huele mal o que tienes advertencias en navegadores como Chrome o Edge, es una señal clara de que la lista de certificados raíz no se ha actualizado correctamente.
Guía paso a paso para solucionar problemas de certificados
Si has descubierto que tu equipo no está actualizado, no entres en pánico. Hay varios caminos dependiendo de cuánta prisa tengas y de cómo esté configurado tu PC. El primer paso, y el más sencillo, es ir a Configuración > Windows Update y forzar la búsqueda de actualizaciones. Asegúrate de mirar también las «Actualizaciones opcionales», ya que ahí es donde suelen esconderse los controladores y parches de firmware necesarios.
Si Windows Update no encuentra nada pero sabes que necesitas el parche, puedes intentar ejecutar un comando de registro para forzar la disponibilidad de las actualizaciones: reg add HKLM\\System\\CurrentControlSet\\Control\\Secureboot /vAvailableUpdates /t REG_DWORD /d 0x5944 /f. Además, es fundamental que el Secure Boot esté habilitado en la BIOS/UEFI de tu placa base, ya que si está apagado, la actualización no tiene dónde instalarse.
Para aquellos que gestionan redes empresariales con WSUS o SCCM, el riesgo es mayor porque un certificado caducado en el servidor puede bloquear los parches de toda la oficina. Los administradores deben distribuir los paquetes de certificados manualmente y supervisar los informes de cumplimiento para evitar que los equipos aislados queden vulnerables. En casos extremos, si el sistema sigue dando errores, ejecutar herramientas como SFC /scannow y DISM puede ayudar a reparar archivos corruptos que impidan la correcta instalación de los nuevos certificados.
Consecuencias de quedarse con certificados obsoletos
Podrías pensar que «da igual» y seguir usando el PC, pero el riesgo es real. Si los certificados caducan, es posible que Windows Update deje de descargar parches críticos de seguridad, exponiéndote a vulnerabilidades que ya han sido corregidas para el resto del mundo. En el peor de los casos, podrías sufrir problemas de compatibilidad donde el sistema operativo o el firmware no carguen correctamente al arrancar.
Es especialmente delicado en equipos fabricados antes de 2024, ya que estos dependen totalmente de la actualización del firmware. Si el fabricante (Dell, HP, Lenovo, etc.) ha sacado una actualización de BIOS específica, es muy recomendable instalarla, ya que suele ser la forma más limpia de renovar las claves de confianza del arranque seguro.
Mantener el sistema actualizado no es solo cuestión de tener las últimas funciones, sino de asegurar que la puerta de entrada a tu PC esté cerrada con llave. Ya sea revisando el semáforo de Seguridad de Windows, ejecutando comandos de PowerShell o forzando Windows Update, lo importante es no dejar que los certificados de 2011 expiren sin haber migrado a los de 2023, evitando así que el equipo quede desprotegido o deje de recibir soporte técnico esencial.