Para saber si un PC está preparado para la transición de certificados de Secure Boot, la comprobación principal en 2026 se hace en la aplicación Seguridad de Windows: abre Seguridad del dispositivo > Arranque seguro y lee el mensaje de estado de los certificados. Desde abril de 2026, Microsoft muestra allí si se aplicaron las actualizaciones necesarias. Una marca verde por sí sola no basta: el estado concluyente es el que indica que Secure Boot está activado, que se aplicaron las actualizaciones de certificado necesarias y que no quedan más cambios pendientes.
Esta comprobación es importante porque los certificados de Microsoft emitidos en 2011 no caducan todos el mismo día. En 2026, algunos llegaron a su fecha de caducidad en junio, mientras que el certificado utilizado para firmar el cargador de arranque de Windows vence en octubre. El equipo no necesariamente deja de arrancar cuando caduca un certificado antiguo; el problema real es perder la capacidad de recibir nuevas protecciones para la cadena de arranque.
Qué certificados de 2011 caducan en 2026
Microsoft publicó el calendario oficial de sustitución. Los nuevos certificados de 2023 deben incorporarse a los almacenes de confianza del firmware para que Windows pueda seguir recibiendo actualizaciones de seguridad relacionadas con el proceso de arranque.
| Certificado de 2011 | Caducidad | Sustituto de 2023 | Función principal |
|---|---|---|---|
| Microsoft Corporation KEK CA 2011 | 24 de junio de 2026 | Microsoft Corporation KEK 2K CA 2023 | Firma actualizaciones de las bases DB y DBX de Secure Boot. |
| Microsoft UEFI CA 2011 | 27 de junio de 2026 | Microsoft UEFI CA 2023 y Microsoft Option ROM UEFI CA 2023 | Proporciona confianza para cargadores UEFI, aplicaciones EFI y option ROMs de terceros. |
| Microsoft Windows Production PCA 2011 | 19 de octubre de 2026 | Windows UEFI CA 2023 | Firma el cargador de arranque de Windows. |
Eso significa que, en septiembre de 2026, las fechas del 24 y 27 de junio ya han pasado, mientras que el 19 de octubre sigue siendo un hito importante para el certificado relacionado con Windows Boot Manager. La referencia oficial y mantenida está en Windows Secure Boot certificate expiration and CA updates.
Cómo comprobar si Windows recibió los certificados de 2023
- Abre Inicio y busca Seguridad de Windows.
- Entra en Seguridad del dispositivo.
- Abre Arranque seguro.
- Lee el mensaje completo de estado junto al indicador, no solo el color o el icono.
El mejor resultado es el estado que Microsoft denomina completamente actualizado: el dispositivo recibió todas las actualizaciones necesarias de certificados de Secure Boot y también está instalado el Boot Manager actualizado. En ese estado no se recomienda ninguna acción adicional.
Si aparece un estado equivalente a todavía no actualizado, el PC sigue usando una configuración de confianza de arranque más antigua. Para usuarios domésticos, Microsoft recomienda mantener el equipo conectado a internet, instalar las últimas actualizaciones de Windows y reiniciar cuando se solicite. El despliegue es gradual y, en muchos equipos compatibles que reciben actualizaciones directamente de Microsoft, los certificados llegan automáticamente mediante Windows Update.
Microsoft también puede mostrar una advertencia amarilla cuando existe una recomendación que requiere atención o una limitación de hardware/firmware, y un estado rojo cuando una vulnerabilidad de seguridad del arranque no puede resolverse con la configuración actual del dispositivo. Los detalles están en Secure Boot certificate update status in the Windows Security app.
msinfo32 ayuda, pero no confirma la migración a 2023
Existe una segunda comprobación útil: pulsa Windows + R, escribe msinfo32 y busca Estado de arranque seguro. Si aparece como activado, Secure Boot está habilitado en el firmware.
Esta comprobación solo responde si Secure Boot está activado. No sustituye el estado de actualización de certificados mostrado por Seguridad de Windows. Un PC puede tener Secure Boot habilitado y seguir utilizando una configuración de confianza antigua.
Seguir arrancando no es lo mismo que seguir recibiendo nuevas protecciones de arranque
| Situación | Qué ocurre |
|---|---|
| Caduca un certificado antiguo y el PC todavía no recibió la nueva configuración de confianza | El dispositivo puede seguir arrancando y funcionando con normalidad; las actualizaciones estándar de Windows también pueden seguir instalándose. |
| Nuevas correcciones requieren los certificados de 2023 | El dispositivo puede dejar de recibir nuevas protecciones para Windows Boot Manager, bases de Secure Boot, listas de revocación y mitigaciones para vulnerabilidades recién descubiertas en las primeras fases del arranque. |
| Funciones de seguridad dependen de la confianza de Secure Boot | Escenarios como el refuerzo de BitLocker, la integridad de código en el arranque, cargadores de terceros y option ROMs pueden verse afectados si dependen de una cadena de confianza actualizada. |
Esta diferencia es esencial: la caducidad no es una “fecha límite de apagado” de Windows. El riesgo es que el PC siga siendo utilizable mientras se queda progresivamente atrás en nuevas protecciones del proceso de arranque. Microsoft explica este comportamiento en When Secure Boot certificates expire on Windows devices.
Cuándo buscar una actualización de firmware del fabricante
Consulta el soporte del fabricante del PC o de la placa base cuando Seguridad de Windows indique que la actualización automática de certificados no es compatible debido a limitaciones de hardware o firmware, cuando una advertencia amarilla persista después de actualizar Windows y reiniciar, o cuando la propia guía mostrada indique que debes contactar al OEM.
En esos casos, el firmware UEFI puede necesitar una actualización específica para aceptar o aplicar correctamente las nuevas entradas de certificados. Microsoft mantiene una página con enlaces a fabricantes como Acer, ASUS, Dell, HP, Lenovo, Samsung, Positivo y otros: Original Equipment Manufacturer (OEM) pages for Secure Boot.
No desactives Secure Boot solo para eliminar una advertencia de certificado. La recomendación general de Microsoft es actualizar a los certificados de 2023 y, cuando sea necesario, instalar el firmware del fabricante, porque desactivar Secure Boot reduce la protección frente a malware y modificaciones maliciosas en las primeras etapas del arranque.
Qué revisar antes de concluir que existe un problema
- Windows actualizado: instala las actualizaciones disponibles y reinicia si se solicita.
- Secure Boot activado: confírmalo con msinfo32, pero usa Seguridad de Windows para verificar el estado de los certificados.
- Mensaje de estado: busca la confirmación de que se aplicaron todas las actualizaciones de certificado necesarias.
- Advertencia amarilla o roja: sigue el texto mostrado por Windows; las limitaciones de firmware pueden requerir soporte del OEM.
- Windows 10: el soporte regular terminó el 14 de octubre de 2025; la propia guía de Microsoft indica que los dispositivos Windows 10 necesitan una vía de soporte aplicable, como ESU cuando corresponda, para seguir recibiendo actualizaciones de seguridad.
Resumen práctico
Para la mayoría de los PC domésticos compatibles, el procedimiento es sencillo: mantén Windows actualizado y comprueba Seguridad de Windows > Seguridad del dispositivo > Arranque seguro. Si el estado indica que se aplicaron las actualizaciones de certificado necesarias, el PC está preparado para la nueva cadena de confianza de 2023. Si todavía aparece una configuración antigua, primero actualiza y reinicia; si Windows señala una limitación de hardware o firmware, consulta al fabricante. Lo más importante es no confundir “el PC todavía arranca” con “el PC todavía puede recibir todas las nuevas protecciones de Secure Boot”.
