Microsoft acaba de cerrar hace solo unas horas el ciclo de vida de su último gran certificado de seguridad de 2011: el Windows Production PCA 2011, la clave digital que firma el arranque de Windows a través de Secure Boot. La mayoría de los equipos seguirán encendiendo con normalidad, pero si el firmware no ha recibido todavía las nuevas claves de 2023, el sistema puede quedar en un estado de protección degradada.
La retirada de estas claves no es un proceso improvisado: Microsoft lleva meses sustituyendo el conjunto de certificados de 2011 por uno nuevo emitido en 2023, y dos de ellos ya caducaron en junio. Hoy se completa la transición con el más relevante de todos. El impacto real para cada usuario depende de si su firmware ha recibido ya esas claves nuevas, algo que podéis comprobar en pocos pasos desde la propia configuración de Windows.
Qué certificado caduca y por qué importa
El certificado que expira hoy es el Windows Production PCA 2011, la última pieza relevante del grupo de claves que Microsoft ha usado durante más de una década para firmar el proceso de arranque de sus sistemas operativos. No es el primero en caer: otros dos certificados de la misma generación caducaron en junio de este mismo año.
Secure Boot verifica la identidad de todo lo que intenta cargarse antes de que aparezca Windows en pantalla, y para hacerlo necesita confiar en certificados vigentes. Microsoft sustituye ahora las claves de 2011 por el conjunto emitido en 2023, con el objetivo de mantener ese proceso de verificación con credenciales actualizadas. Si el firmware de una placa base no ha incorporado todavía esas claves nuevas a través de una actualización, el equipo seguirá reconociendo los certificados antiguos, pero estos dejarán de renovarse.
Si el certificado caduca, ¿tu PC deja de arrancar?
No. La inmensa mayoría de los equipos seguirán arrancando con total normalidad después de esta fecha. No hay pantallas negras previstas ni bloqueos inmediatos: el sistema operativo sigue siendo funcional y los certificados caducados continúan siendo reconocidos por el hardware durante un margen de tolerancia.
El riesgo real no está en el arranque, sino en la seguridad a medio plazo y en las actualizaciones futuras. Si el firmware no incorpora los certificados de 2023, el equipo puede entrar en lo que Microsoft describe como un estado de seguridad degradado: Windows seguirá funcionando, pero podría dejar de recibir ciertas actualizaciones relacionadas con Secure Boot o con futuras funciones de seguridad que dependan de validar las claves más recientes.
Windows 11 incluye un diagnóstico visual que indica si el certificado está en orden o si hace falta actuar, sin necesidad de recurrir a comandos ni entrar en la BIOS. Basta con que sigáis esta ruta:
- Abrir la aplicación Seguridad de Windows desde el menú Inicio.
- Entrar en Seguridad del dispositivo.
- Pulsar sobre Secure Boot para ver el mensaje de estado.
Ese mensaje os dirá si el equipo confía ya en los certificados actuales o si necesita una actualización de firmware o del propio sistema operativo para ponerse al día.
Qué significa cada aviso: verde, amarillo y rojo
El panel de Secure Boot funciona como un semáforo que resume el estado de los certificados en tres niveles. Un tic verde indica que las claves de 2023 ya están instaladas y activas, y no requiere ninguna acción adicional.
Un aviso amarillo, con el mensaje «older boot trust configuration», señala que el sistema todavía usa claves antiguas; suele resolverse instalando las actualizaciones pendientes de Windows Update y reiniciando el equipo para que el firmware aplique los cambios. La señal roja, con el aviso «requires action», es la situación más seria: el sistema avisa de que no puede recibir las actualizaciones de seguridad necesarias porque sus certificados han caducado, y en ese caso la BIOS debe actualizarse manualmente.
Identificar el color exacto ayuda a decidir el siguiente paso: con el aviso amarillo basta con esperar o forzar las actualizaciones de Windows, mientras que el rojo obliga a entrar en la web del fabricante para buscar una actualización de BIOS específica para el modelo del equipo.
Cómo actualizar la BIOS o esperar a Windows Update
Antes de tocar nada en el firmware, conviene que guardéis la clave de recuperación de BitLocker. Las actualizaciones de BIOS modifican parámetros de hardware que a veces provocan que BitLocker se bloquee al detectar el cambio, y sin esa clave a mano el acceso a los datos puede complicarse en el siguiente arranque.
Con la clave ya guardada en un dispositivo externo o en vuestra cuenta de Microsoft, los pasos para actualizar el firmware son estos:
- Localizar el modelo exacto del equipo o de la placa base en la configuración del sistema.
- Acceder a la web de soporte del fabricante y descargar la última versión de BIOS disponible para ese modelo.
- Mantener el portátil conectado a la corriente durante todo el proceso.
- Instalar la actualización siguiendo las instrucciones del fabricante, que en muchos casos ofrece herramientas ejecutables desde el propio Windows.
En la mayoría de los casos, Microsoft distribuye estos certificados de forma automática y gradual a través de Windows Update, de manera que buena parte de los usuarios ya los habrá recibido sin enterarse. Los equipos recientes y con las actualizaciones al día no suelen presentar problemas.
El riesgo se concentra en el hardware más antiguo o en los fabricantes que han dejado de ofrecer soporte de firmware para ciertos modelos. Si vuestro equipo tiene ya varios años, conviene comprobar el estado de Secure Boot hoy mismo y revisar la web del fabricante por si existe una actualización de BIOS pendiente que resuelva la caducidad de los certificados de 2011.