Los certificados de arranque seguro de Windows caducan en 2026: qué revisar

Cada vez que un ordenador con Windows arranca, unos certificados comprueban que lo que se carga es de fiar. Los que se emitieron en 2011 caducan este año. Windows Update los está sustituyendo por otros nuevos, pero no todos los equipos lo completan solos.

Cómo funciona el cambio

Según Malwarebytes, una tarea programada de Windows hace el cambio en cuatro etapas, cada unas doce horas. En total tarda unas 48 horas y uno o varios reinicios. Desde la actualización de abril, Seguridad de Windows muestra el estado de los certificados en el apartado de seguridad del dispositivo, y la de mayo deja scripts de ejemplo para administradores.

Los cambios que no se ven son los que más conviene vigilar.

Dónde puede haber problemas

• Equipos antiguos que necesitan una actualización de BIOS del fabricante.
• Equipos con BIOS heredada, que quedan fuera del proceso.
• Algunas configuraciones pueden pedir la clave de recuperación de BitLocker al reiniciar.

Qué hacer

1. Ten a mano las claves de BitLocker de todos los equipos, guardadas en Entra ID o Intune.
2. Vigila los eventos 1808 y 1801: el primero confirma el cambio, el segundo indica que no se ha completado.
3. Prueba por modelo: Malwarebytes aconseja al menos cuatro equipos por cada combinación de fabricante, modelo y firmware.
4. Actualiza BIOS en los modelos que lo necesiten antes de que llegue el cambio.

En OLATIC comprobamos el estado de los certificados en los equipos que gestionamos, actualizamos firmware donde hace falta y guardamos las claves de BitLocker para que un reinicio no deje a nadie bloqueado.

Fuentes

• Malwarebytes: Your Windows PC has a security deadline in June 2026 (28/05/2026)