Secure Boot: vence el certificado del arranque de Windows, pero el PC seguirá iniciando
Microsoft Windows Production PCA 2011 vence el 19 de octubre de 2026. Los equipos sin los certificados de 2023 seguirán arrancando y recibiendo actualizaciones normales, pero dejarán de recibir nuevas protecciones del arranque temprano. El despliegue continúa por Windows Update y puede depender del firmware del fabricante.
Mañana llega la fecha, no un apagón
El lunes 19 de octubre expira Microsoft Windows Production PCA 2011, uno de los certificados que intervienen al validar Windows Boot Manager durante el arranque. La fecha cierra el último gran plazo de la transición de Secure Boot prevista para 2026, pero no es una orden de apagado: Microsoft dice que los dispositivos que aún no tengan los certificados nuevos seguirán iniciando con normalidad y recibirán las actualizaciones normales de Windows.
La consecuencia es menos espectacular y más importante para la seguridad a largo plazo. Los equipos que no hayan recibido la nueva confianza dejarán de obtener protecciones recientes para el proceso de arranque, como versiones nuevas de Windows Boot Manager, cambios en las bases de firmas y revocaciones frente a componentes vulnerables. El riesgo no es que todos dejen de arrancar el martes, sino quedarse atrás cuando aparezca una amenaza que requiera actualizar esa cadena previa a Windows.
-WinCrew dice: la fecha llama la atención, pero la señal útil para cada equipo es el estado real de sus certificados, no el calendario del titular.-
Qué certificado cambia
Secure Boot comprueba que el software cargado antes de Windows esté firmado por una autoridad de confianza guardada en el firmware. Microsoft Windows Production PCA 2011 reside en la base DB, que contiene certificados autorizados, y se utiliza para firmar el cargador de Windows. Su reemplazo es Windows UEFI CA 2023; no es un parche que cambie la interfaz de Windows ni una nueva versión del sistema operativo.
La transición también incluye otros certificados de 2011, entre ellos uno de la jerarquía KEK que autoriza cambios en las bases de confianza y otro para cargadores de terceros. Sus fechas fueron en junio. El plazo del 19 de octubre corresponde específicamente al certificado que firma el cargador de Windows, así que no conviene mezclarlo con los otros dos ni presentarlo como si todos los equipos compartieran una única fecha de expiración.
La documentación de Microsoft incluye distintas versiones de Windows 10 y Windows 11, además de Windows Server. Eso describe el ámbito de la guía, no significa que cada dispositivo esté afectado por igual: importa qué certificados conserva su firmware y si ya recibió los nuevos. Microsoft distribuye los certificados a muchos equipos mediante Windows Update; algunos pueden depender de una actualización de firmware del fabricante.
Cómo revisar el estado del equipo
En Windows 11, la ruta indicada es Seguridad de Windows > Seguridad del dispositivo > Arranque seguro. Windows Latest recoge varios estados que la aplicación puede mostrar: desde certificados actualizados hasta una configuración antigua, una incidencia conocida o una limitación de hardware o firmware. Lee el mensaje concreto antes de intervenir: si el propio sistema indica una limitación del fabricante, consulta la página de soporte del modelo en lugar de cambiar claves UEFI a mano.
Si aparece que faltan actualizaciones y el equipo no señala una limitación, instala las actualizaciones pendientes de Windows y reinicia; después vuelve a consultar el estado. Microsoft continúa desplegando los certificados gradualmente, por lo que una fecha próxima no demuestra por sí sola que una máquina concreta haya quedado sin protección. En equipos administrados, conviene revisar varios modelos y anillos antes de convertir una alerta individual en una incidencia general.
-WinCrew dice: en una transición de firmware, “ya instalé una actualización” y “el equipo confirmó los certificados nuevos” no siempre son la misma comprobación.-
Windows Latest atribuye a Microsoft que desactivar Secure Boot no es una solución para el vencimiento. La comprobación útil es confirmar la nueva cadena de confianza y resolver los avisos del modelo, no reducir una protección del arranque para ocultar el aviso. Si no aparece la sección de Secure Boot o el estado sigue bloqueado, el siguiente paso depende del firmware y del fabricante.
Diccionario de la Crew
Secure Boot — Función de UEFI que valida firmas del software cargado antes de iniciar Windows.
UEFI — Firmware moderno que inicializa el equipo y entrega el control al cargador del sistema operativo.
DB — Base de firmas permitidas que el firmware usa para decidir qué software puede ejecutarse antes de Windows.
KEK — Clave que autoriza actualizaciones de las bases de confianza y revocación de Secure Boot.