Cómo instalar los certificados de arranque seguro de 2023 en Windows 11 (y 10) antes de que caduquen en 2026.

• Los certificados de arranque seguro de Windows 11 (y 10) de 2011 caducan en junio de 2026.
• Los ordenadores fabricados a partir de 2024 suelen incluir los certificados de 2023. Los sistemas más antiguos pueden necesitar actualizaciones manuales.
• Estas instrucciones le ayudarán a comprobar los detalles del certificado e instalar manualmente los certificados de 2023.

En Windows 11 y Windows 10, Microsoft está validando y actualizando gradualmente los certificados de arranque seguro mediante las actualizaciones estándar del sistema. En la mayoría de los casos, basta con instalar las actualizaciones de seguridad mensuales para garantizar que su dispositivo esté listo antes de la fecha límite de junio de 2026.

Sin embargo, si desea verificar o aplicar usted mismo los certificados de arranque seguro de 2023, puede completar el proceso manualmente. Esta guía le explica los pasos a seguir.

El arranque seguro es una función de seguridad a nivel de firmware integrada en la Interfaz de Firmware Extensible Unificada (UEFI). Garantiza que un dispositivo se inicie únicamente con software firmado digitalmente y certificado por autoridades de certificación autorizadas. Al validar los gestores de arranque y los componentes del firmware antes de que se cargue el sistema operativo, el arranque seguro ayuda a prevenir que los rootkits y otro malware de bajo nivel comprometan el proceso de inicio.

Para garantizar esta protección, el arranque seguro (Secure Boot) se basa en claves criptográficas conocidas como autoridades de certificación (CA). Estas claves establecen una cadena de confianza entre el firmware y el sistema operativo, bloqueando el código no firmado o manipulado durante el arranque inicial.

Al igual que todos los certificados digitales, las autoridades de certificación de Secure Boot tienen fechas de caducidad. Los certificados originales de 2011 caducan en junio de 2026. Los sistemas deben tener instalados los certificados actualizados de 2023 antes de esa fecha para evitar errores de validación de confianza, problemas de arranque o posibles interrupciones en la recepción de futuras actualizaciones.

Los ordenadores fabricados en 2024 o posteriormente suelen incluir los certificados de 2023. Para hardware más antiguo, Microsoft distribuye los certificados actualizados a través de Windows Update como parte del mantenimiento de seguridad continuo, pero también puede instalarlos y reemplazarlos manualmente.

En esta guía , describiré los sencillos pasos para comprobar y actualizar manualmente los certificados de arranque seguro en su dispositivo Windows 11.

Importante: Aunque este proceso no es destructivo, se recomienda realizar una copia de seguridad completa de su ordenador antes de continuar. Queda avisado.

Instalar los certificados de arranque seguro de 2023 en Windows 11.

Si BitLocker está activo, debe deshabilitar temporalmente el cifrado en PowerShell ( Suspend-BitLocker -MountPoint "C:" -RebootCount 2) antes de que el firmware pueda escribir correctamente las nuevas claves en el dispositivo. Además, antes de continuar, asegúrese de que su equipo esté completamente actualizado a la Actualización de seguridad de febrero de 2026 (KB5077181) o posterior.

Para actualizar los certificados de arranque seguro antes de que caduquen en 2026, siga estos pasos:

1. Abrir Inicio .

    

    

2. Busque PowerShell (o Terminal ), haga clic con el botón derecho en el primer resultado y seleccione la opción Ejecutar como administrador .

3. Escriba este comando para confirmar que el dispositivo está utilizando UEFI con Secure Boot habilitado y presione Enter :

   Confirmar arranque seguro UEFI

   Nota importante: Si el resultado es "Verdadero", puede continuar con los pasos que se indican a continuación. De lo contrario, deberá habilitar el Arranque seguro . Si usa Windows 10, es posible que incluso tenga que cambiar de la BIOS heredada a UEFI .

4. Escriba este comando para comprobar la fecha de caducidad de los certificados de arranque seguro y pulse Intro : 

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

5. (Salida 1) Si la salida es “Verdadero”, tiene el nuevo certificado (válido hasta 2053). Deténgase y no continúe.

6. (Resultado 2) Si el resultado es "Falso", probablemente aún tenga el certificado de 2011 (que vence en 2026). Continúe con los pasos que se indican a continuación.

7. Escriba este comando para configurar la clave del Registro para implementar todos los certificados necesarios y pulse Intro : 

   reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f

8. Escriba este comando para activar manualmente los cambios de certificado y pulse Intro :

   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

   

9. Reinicia el ordenador una vez.

10. Reinicia el dispositivo por segunda vez y continúa con el proceso para comprobar los certificados.

    Nota importante: La actualización suele requerir dos reinicios para aplicarse por completo. Tras el primer reinicio, el sistema actualiza el gestor de arranque. Tras el segundo, finaliza el registro del certificado en la base de datos UEFI.

11. Abrir Inicio .

12. Busque PowerShell (o Terminal ), haga clic con el botón derecho en el primer resultado y seleccione la opción Ejecutar como administrador.

13. Escriba este comando para comprobar si la actualización se ha completado correctamente y pulse Intro : 

    [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

Una vez completados los pasos, si el resultado es "Verdadero", los nuevos certificados (válidos hasta 2053) se han instalado correctamente en su equipo. Si el resultado es "Falso", los certificados no se instalaron correctamente.

Es importante tener en cuenta que "Verdadero" confirma la inscripción de la autoridad de certificación de 2023, pero no elimina el certificado de 2011 de inmediato en todos los casos. Algunos sistemas pueden mostrar ambos temporalmente.

Si el resultado sigue siendo "Falso" tras el proceso, compruebe si hay errores en el Visor de eventos > Registros de aplicaciones y servicios > Microsoft > Windows > SecureBoot-Update . Además, confirme que la tarea programada existe ejecutando el Get-ScheduledTask -TaskName "Secure-Boot-Update"comando.

Tras la actualización, si tuviste que desactivar BitLocker, puedes reanudar el cifrado ejecutando el Resume-BitLocker -MountPoint "C:"comando, aunque -RebootCount 2se reanuda automáticamente después de dos reinicios.

Cabe destacar que los certificados de arranque seguro de 2023 no aparecen de la nada. Microsoft incluye los nuevos certificados en las actualizaciones de servicio de Windows, generalmente como parte de una actualización acumulativa o de seguridad para Windows 11 y los dispositivos Windows 10 compatibles. 

De hecho, la empresa ha estado incluyendo los nuevos certificados de arranque seguro desde el lanzamiento de la actualización de seguridad de febrero de 2026 (y versiones posteriores).

Estos certificados, conocidos como Windows UEFI CA 2023, están firmados digitalmente por Microsoft y cuentan con la confianza de Secure Boot.

Si los certificados ya están en su ordenador, estas instrucciones le ayudarán a aplicarlos inmediatamente sin tener que esperar a que el sistema procese la actualización automáticamente.