Preguntas frecuentes sobre la transición al arranque seguro

Sistemas operativos afectados:

• Windows

Tabla de contenido

• Información general
• Computadoras y actualizaciones de Dell
• Comunicación y pautas para clientes
• Impacto y recuperación
• Costos y duración

Información general:

• ¿Qué es la transición de clave de arranque seguro?
  • Los certificados de arranque seguro actuales de Microsoft 2011 comenzarán a vencer en junio del 2026. Estos serán reemplazados por una nueva cadena de certificados del 2023: CA KEK del 2023, CA UEFI del 2023, CA UEFI del 2023 de Windows
• ¿Se requieren los certificados del 2023 para instalar Windows 11 25H2?
  • No. Los dispositivos pueden instalar 25H2 con los certificados del 2011.
• ¿Qué sucede cuando el certificado de arranque seguro actual vence?
  • La computadora de todos modos puede arrancar. Sin embargo, con un certificado vencido, la computadora no puede obtener futuras actualizaciones del cargador de arranque ni del arranque seguro.
• ¿Cuál es la estrategia de doble certificado de Dell?
  • Para facilitar la transición, Dell comenzó a enviar los certificados del 2011 y 2023 en las plataformas lanzadas recientemente a fines del 2024 y, para fines del 2025, en todas las plataformas con soporte activo que se envíen desde las fábricas de Dell. Esto permite a los clientes empresariales con imágenes más antiguas arrancar imágenes firmadas con cualquiera de los certificados.
• ¿Cuál es la diferencia entre la base de datos de arranque seguro activa y la predeterminada?
  • La base de datos de arranque seguro activa es la que utiliza la computadora durante el inicio para verificar el software de confianza. La base de datos de arranque seguro predeterminada es un conjunto de respaldo de claves de confianza originales que se puede restaurar de ser necesario.
    En resumen:
    • Activa: aplicada actualmente (en general, se actualiza a través de Windows Update)
    • Predeterminada: versión de restablecimiento de fábrica no utilizada a menos que se restaure (se actualiza mediante una actualización del BIOS)
    Nota: Es importante que la base de datos de arranque seguro predeterminada se actualice a los certificados del 2023. De lo contrario, si se alterna el Modo experto de teclas, es posible que se borren las variables activas provenientes de Windows Update.
• ¿Cómo se actualiza la base de datos activa?
  • La base de datos activa se puede actualizar mediante Windows Update. Esto evita interrupciones en las funciones de seguridad como BitLocker. Sin embargo, si Windows Update no es una opción y el cliente es un usuario experto, la base de datos activa se puede sobrescribir mediante un comando en el BIOS para restablecer las claves. Consulte Cómo actualizar la base de datos de arranque seguro activa desde el BIOS para obtener más información.
• ¿Cómo se actualiza la base de datos predeterminada?
  • La base de datos predeterminada se actualiza mediante una actualización FLASH del BIOS.
• ¿Qué sucede cuando el certificado de arranque seguro actual vence?
  • La computadora de todos modos puede arrancar. Sin embargo, con un certificado vencido, la computadora no puede obtener futuras actualizaciones del cargador de arranque ni del arranque seguro.

Volver al principio

Computadoras y actualizaciones de Dell:

• ¿Qué computadoras Dell reciben actualizaciones del BIOS?
  • Actualizaciones de Dell:
    • Plataformas comerciales y de consumidor con una finalización del ciclo de vida (EoSL) después del 31 de diciembre del 2025, que se envían desde fábricas de Dell o en el campo
  • Dell no realiza la actualización:
    • Plataformas con una EoSL anterior al 1 de enero del 2026. Esto significa que, si bien Microsoft puede hacer que los nuevos certificados estén disponibles, es posible que el BIOS en estas computadoras más antiguas no los admita o no los conserve, especialmente si se alterna el arranque seguro o se restablecen los valores predeterminados del BIOS.
• ¿Qué está haciendo Dell para mitigar el impacto en los clientes?
  • Entregar actualizaciones del BIOS para las plataformas admitidas a fines del 2025
  • Coordinar con Microsoft las herramientas de recuperación
  • Publicar artículos de la base de conocimientos
  • Actualizar los medios de arranque
• ¿Qué sucede con el impacto en las tarjetas gráficas de otros fabricantes y las computadoras basadas en Linux?
  • Microsoft creó dos nuevos CA de otros fabricantes del 2023 para reemplazar los CA de otros fabricantes del 2011 que vencían. En otras palabras, el CA UEFI del 2011 de Microsoft Corporation se dividió en el CA UEFI del 2023 de Microsoft (para cargadores de arranque) y el CA UEFI del 2023 de ROM de opción de Microsoft (para ROM de opción). Además, ya se han realizado actualizaciones en el Centro de dispositivos de hardware (HDC) de Microsoft para admitir la firma de controladores de otros fabricantes que necesitan estos nuevos CA del 2023. Aunque los socios pueden comenzar a firmar con los nuevos CA del 2023 en octubre del 2025, Microsoft y los OEM continúan admitiendo el CA UEFI del 2011 de Microsoft Corporation existente hasta que el ecosistema haya tenido tiempo suficiente para migrar a los nuevos CA del 2023.
• ¿Cómo obtiene un cliente empresarial un nuevo certificado del 2023 en su flota actual de dispositivos?
  • Los clientes empresariales tienen la opción de permitir que Microsoft administre las actualizaciones en sus dispositivos a través de Windows Update (WU) o, de manera alternativa, aplicar manualmente las actualizaciones a los dispositivos de la flota. Las pautas para esta última opción se encuentran disponibles aquí: Dispositivos basados en Windows con actualizaciones administradas por TI. Además, Dell envía las actualizaciones del BIOS a los dispositivos en servicio, las cuales se pueden utilizar para completar la base de datos activa. Para obtener instrucciones, consulte Cómo actualizar la base de datos de arranque seguro activa desde el BIOS.
• ¿Hay algún requisito de hardware específico para obtener este certificado?
  • Los dispositivos deben admitir el arranque seguro y ser compatibles con las actualizaciones de firmware de UEFI. Dell está validando las plataformas a nivel interno y publicó una lista de computadoras admitidas en el artículo de la base de conocimientos de Dell Vencimiento del certificado de arranque seguro de Microsoft 2011.

Volver al principio

Comunicación y pautas para clientes:

• ¿De qué manera Dell comunica esto a los clientes?
  • Dell publicó un vencimiento del certificado de arranque seguro de Microsoft 2011 que se actualiza con la lista de plataformas listas para la actualización de Dell. Dell ofrecerá mensajes adicionales alineados con las pautas públicas de Microsoft según sea necesario.
• ¿Qué deben hacer ahora los clientes empresariales?
  • Planifique las actualizaciones del BIOS antes de la implementación de Windows 25H2 usando la lista de dispositivos de Dell mantenidos en Vencimiento del certificado de arranque seguro de Microsoft 2011.
  • Si prefieren administrar los dispositivos a nivel interno (en lugar de hacerlo a través de WU), las empresas ya pueden comenzar a actualizar los dispositivos con los nuevos CA del 2023, según las pautas que aparecen aquí: Dispositivos basados en Windows con actualizaciones administradas por TI
  • Informe cualquier problema de actualización a Dell.
• ¿Cómo sabe un cliente si tiene un certificado del 2011 o 2023?
  • Microsoft planea agregar notificaciones a Windows para los usuarios finales. Además, los usuarios pueden ejecutar el siguiente comando de PowerShell para ver si tienen CA del 2011 o 2023 (metodología que se incluirá en un futuro artículo de la base de conocimientos).
• ¿Cómo sabe un cliente si su certificado venció o está a punto de vencer?
  • Computadoras con cualquiera de los tres certificados (CA) que vencerán en 2026:

    CA del 2011	Fecha de vencimiento
    CA KEK del 2011 de Microsoft Corporation	24 de junio del 2026
    Microsoft Windows Production PCA 2011	19 de octubre del 2026
    CA UEFI del 2011 de Microsoft Corporation	27 de junio del 2026

• Si un cliente tiene un certificado del 2023, ¿debe actuar?
  • No. Si los certificados CA UEFI del 2023 de Windows y CA KEK 2K del 2023 de Microsoft Corporation están presentes, no es necesario realizar ninguna otra acción.
• ¿Puede un cliente pasar a un certificado del 2023 si sus dispositivos ejecutan Windows 10 y tiene o está a punto de adquirir una actualización de seguridad extendida (ESU)?
  • Sí, Microsoft está actualizando los certificados activos para los dispositivos con Windows 11 en el campo y actualizará los dispositivos con Windows 10 si el dispositivo:
    • Ejecuta Windows LTSC 2021
    • Tiene una licencia ESU activada

Volver al principio

Impacto y recuperación:

• ¿Cuál es el impacto de un certificado vencido?
  • Una vez que vencen los certificados de arranque seguro (a partir de junio del 2026), las computadoras continúan arrancando (con el arranque seguro activado). Sin embargo, la computadora ya no recibe actualizaciones para los componentes Administrador de arranque de Windows y Arranque seguro usando Windows Update, lo que los pone en un estado de seguridad en riesgo.
• ¿Qué sucede si el arranque seguro está deshabilitado o alternado en un dispositivo?
  • En ocasiones, deshabilitar el arranque seguro puede borrar todas las variables activas de UEFI, lo que significa que cualquier CA del 2023 que ya se esté utilizando en el dispositivo podría borrarse (y luego reemplazarse por CA del 2011 más antiguos del firmware predeterminado si es que nunca se actualizó). En los dispositivos de Dell, esto ocurre si un usuario selecciona la opción Modo experto de teclas en el menú del BIOS. En este caso, las variables activas se extraen del firmware predeterminado.
    Nota: Si BitLocker está activado en el dispositivo, es posible que se le solicite ingresar la clave de recuperación de BitLocker.
• ¿Qué herramientas están disponibles para la recuperación?
  • Microsoft lanzó una herramienta de recuperación manual, pero tiene limitaciones. Las herramientas automatizadas para ayudar a los clientes aún se están desarrollando.

Volver al principio

Costos y duración:

• ¿Hay algún costo asociado con los nuevos certificados?
  • No hay ningún costo directo por recibir los certificados del 2023 mediante Windows Update, y los CA del 2023 ya están disponibles de forma gratuita en Pautas de creación y administración de claves de arranque seguro de Windows. Sin embargo, las actualizaciones del BIOS para dispositivos fuera de servicio pueden requerir intervención manual o contratación de servicios, lo que podría generar costos según los acuerdos de soporte.
• ¿Cuál es la duración del nuevo certificado?
  • Los certificados del 2023 tienen una validez de 15 años (2038).

Volver al principio