Hoy, 24 de junio, comienza a caducar una parte poco visible, pero importante, de la seguridad de millones de ordenadores con Windows: los certificados originales de Secure Boot. No vamos a encontrarnos con PCs que dejen de arrancar de repente, pero sí conviene revisar que nuestro equipo haya recibido las nuevas claves para no perder protección frente a esas amenazas capaces de actuar antes incluso de que se cargue el sistema operativo.
Normalmente, cuando hablamos de actualizaciones de seguridad, pensamos en los parches mensuales de Windows, vulnerabilidades del navegador o nuevas versiones del antivirus. Sin embargo, hay otra capa que suele pasar completamente desapercibida: la que protege el arranque del ordenador.
Hoy empieza a caducar una pieza clave de la seguridad de Windows
Secure Boot es una función integrada en los equipos con firmware UEFI cuyo trabajo consiste en comprobar que los componentes que se cargan al encender el ordenador, como el gestor de arranque, sean legítimos y estén firmados correctamente. Gracias a ello, Windows puede bloquear ciertos ataques especialmente peligrosos, como los bootkits o el malware capaz de instalarse antes de que arranque el sistema operativo y antes incluso de que el antivirus tenga oportunidad de actuar.
El problema es que muchos equipos todavía dependen de certificados emitidos en 2011. Estos certificados han llegado al final de su ciclo de vida, y Microsoft los está sustituyendo por otros nuevos, emitidos en 2023.
La compañía lleva meses distribuyendo estos certificados mediante Windows Update. No obstante, el despliegue no llega igual ni al mismo tiempo a todos los ordenadores, especialmente cuando hay firmware antiguo, configuraciones poco habituales o medidas de protección como BitLocker activadas.
No, tu ordenador no va a dejar de arrancar de golpe
Conviene dejar clara una cosa: que llegue el 24 de junio no significa que nuestro PC vaya a quedarse bloqueado, que Windows deje de iniciar o que perdamos nuestros archivos. Un ordenador que no haya recibido todavía los nuevos certificados puede seguir arrancando normalmente y continuar recibiendo las actualizaciones habituales de Windows. El problema aparece a medio y largo plazo.
Si seguimos utilizando los certificados antiguos, Secure Boot podría dejar de proteger correctamente futuras actualizaciones relacionadas con el arranque del sistema. En otras palabras, nuestro ordenador seguiría funcionando, pero tendría una capa de seguridad menos preparada frente a amenazas que atacan antes de que Windows se cargue.
En los casos más complicados, sobre todo en equipos antiguos o con firmware desactualizado, pueden aparecer avisos relacionados con Secure Boot, solicitudes de recuperación de BitLocker o problemas al aplicar futuras actualizaciones de seguridad.
Por eso no debemos tratarlo como una emergencia de última hora, pero tampoco ignorarlo.
Cómo comprobar si nuestro PC ya está preparado
Lo primero que debemos hacer es asegurarnos de tener Windows completamente actualizado. Podemos ir a Configuración > Windows Update y pulsar en Buscar actualizaciones. Conviene instalar tanto las actualizaciones acumulativas como cualquier actualización opcional relacionada con firmware, BIOS o controladores ofrecida por el fabricante.
Después, en Windows 11, podemos comprobar el estado desde la aplicación Seguridad de Windows. Solo tenemos que abrir: Configuración > Privacidad y seguridad > Seguridad de Windows > Seguridad del dispositivo y dentro del apartado Secure Boot veremos un indicador específico que confirma si los certificados nuevos ya están instalados.
Si aparece en verde, significa que el equipo ya tiene aplicada la actualización necesaria. Si vemos un aviso amarillo o rojo, debemos revisar las actualizaciones pendientes y, si el problema continúa, consultar si el fabricante ha publicado una actualización de BIOS o UEFI para nuestro modelo.
En los ordenadores más modernos, este proceso debería realizarse de forma prácticamente automática. Donde más conviene prestar atención es en los equipos con varios años, ordenadores montados por piezas, sistemas con BIOS antiguas o dispositivos que llevan tiempo sin recibir actualizaciones del fabricante.
Los equipos antiguos y las empresas son los que deben prestar más atención
Para un usuario doméstico, la recomendación es sencilla: mantener Windows actualizado, no desactivar Secure Boot y comprobar que el indicador aparece en verde.
Las empresas, centros educativos y administradores de sistemas tienen un escenario más delicado. En estos casos puede haber equipos con configuraciones personalizadas, cifrado BitLocker, sistemas de arranque dual con Linux o políticas internas que bloqueen determinadas actualizaciones. Aquí no basta con instalar el último parche disponible, sino que conviene comprobar la compatibilidad del firmware, probar los cambios en unos pocos equipos antes de desplegarlos en toda la organización y revisar cualquier aviso relacionado con Secure Boot o BitLocker.