[PC comercial] Anuncio sobre la actualización del certificado de arranque seguro de Windows

2.1 No afectado (Nuevo certificado compatible por defecto)

Todos los PCs empresariales enviados en 2024 o después, así como todos los modelos nuevos futuros, tienen el nuevo certificado de Secure Boot preintegrado. No se requiere actualización manual.

Portátiles (NB): Los siguientes modelos, así como todas las series lanzadas después de 2024.

Sobremesas: Los siguientes modelos, así como todas las series lanzadas después de 2024.

Todo en uno (AIO): Los siguientes modelos, así como todas las series lanzadas después de 2024.

2.2 Modelos que requieren una actualización

Si su modelo no aparece en la lista anterior, significa que el dispositivo está utilizando actualmente el certificado anterior y necesitará ser actualizado.

¿Cómo obtengo la actualización?

Para los modelos afectados, ASUS ha completado la presentación del nuevo certificado. La actualización se entregará automáticamente por Microsoft a través de Windows Update.

Acción recomendada: Vaya a Configuración > Windows Update y asegúrese de que las actualizaciones automáticas estén habilitadas.

Instalación automática: El sistema descargará e instalará automáticamente el certificado de seguridad más reciente—no se requieren herramientas ni descargas manuales.

Esta sección explica los certificados de Arranque Seguro de terceros de Microsoft. Si su dispositivo necesita ejecutar entornos que no sean Windows (por ejemplo, Linux) o hardware de terceros (por ejemplo, GPUs externas), por favor revise lo siguiente.

3.1 Resumen del Certificado de Terceros de Microsoft

3.2 Si se requieren certificados de terceros de Microsoft, consulte las siguientes instrucciones

Nota: Si su equipo comercial tiene Windows BitLocker habilitado, suspenda esta función con anticipación siguiendo las instrucciones a continuación antes de realizar cualquier operación de Secure Boot.

Los dispositivos enviados en 2026 ya incluyen estos certificados. Puede ingresar a la configuración de BIOS (presione F2 durante el inicio) para verificar o configurar las opciones de certificados de terceros.

Además, puede consultar la Sección 8.3 para verificar si los certificados de terceros están presentes. Si no están incluidos, actualice la BIOS a la versión más reciente y siga la Sección 5. SOP 1: Actualizar certificados de Secure Boot.

Si los certificados de terceros requeridos aún no aparecen, continúe con la Sección 6. SOP 2: Agregar certificados de Secure Boot.

En caso de que al restablecer las claves de Secure Boot aparezca la siguiente pantalla al iniciar Windows, siga la Sección 7. SOP 3: Restaurar certificados de Secure Boot.

Referencias

1. https://learn.microsoft.com/es-es/windows-hardware/manufacture/desktop/windows-secure-boot-key-creation-and-management-guidance?view=windows-11
2. https://support.microsoft.com/es-es/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e

Notas previas a la operación:

1. Se recomienda encarecidamente hacer una copia de seguridad de todos los datos en su ordenador con antelación para evitar cualquier posible pérdida de datos durante el proceso de actualización manual.
2. Si BitLocker está activado, por favor asegúrese de que esté suspendido antes de continuar con los siguientes pasos. Una vez que el proceso haya finalizado, BitLocker puede volver a ser activado.
3. No suspender BitLocker puede resultar en un escenario de bloqueo. En casos donde BitLocker no pueda desbloquear automáticamente la unidad de Windows cifrada, se requerirá una clave de recuperación. Esta clave es un código numérico de 48 dígitos que le permite recuperar el acceso a su disco duro. Si no está familiarizado con los procedimientos que se describen a continuación, por favor contáctenos para recibir asistencia.

Si necesitas recuperar tu clave de recuperación de BitLocker, consulta el artículo: Cómo recuperar tu clave de recuperación de BitLocker.

Pasos del procedimiento

1. Enciende o reinicia el sistema, luego pulsa F2 para entrar en la configuración del BIOS.    
   Pulsa F7 para cambiar al Modo Avanzado, luego navega a Seguridad > Arranque seguro (o directamente Seguridad > Arranque seguro).    
   
2. Selecciona Administración de claves.    
   
3. Selecciona Firmas autorizadas (db).    
   
4. Elige Actualizar.    
   
5. Selecciona Sí.    
      
   Nota: Seleccionar “Sí” restaurará los certificados correspondientes a su configuración predeterminada de fábrica. Cualquier certificado agregado previamente por el sistema o usuario será eliminado.
6. Seleccione Detalles para verificar que los certificados de Firmas Autorizadas (db) se hayan actualizado correctamente.    
   
7. Presione F10 para Guardar & Salir.
8. Si BitLocker fue suspendido previamente, por favor asegúrese de volver a habilitarlo.

1. Descargue Windows UEFI CA 2023: https://go.microsoft.com/fwlink/?linkid=2239776, y guárdelo en el directorio raíz de una unidad USB (por ejemplo, "D:\windows uefi ca 2023.crt").
2. Encienda o reinicie el sistema, luego presione F2 para entrar en la configuración del BIOS.    
   Presione F7 para cambiar al Modo Avanzado, luego navegue a Seguridad > Arranque Seguro (o directamente Seguridad > Arranque Seguro).    
   
3. Seleccione Gestión de Claves.    
   
4. Seleccione Firmas Autorizadas (db).    
   
5. Elija Añadir.    
   
6. Seleccione No.    
   
7. Seleccione la unidad USB.
8. Ubique y seleccione el archivo almacenado en el directorio raíz: "windows uefi ca 2023.crt".
9. Seleccione Public Key Certificate, luego presione Enter en la pantalla de confirmación del GUID.    
   
10. Seleccione Sí.    
    
11. Verifique que Windows UEFI CA 2023 ahora esté listado en Firmas Autorizadas (db).    
    
12. Presione F10 para Guardar y Salir.
13. Si BitLocker está habilitado, asegúrese de tener su clave de recuperación de BitLocker disponible.

¿Cómo verificar el estado de la clave de UEFI Secure Boot? Los siguientes procedimientos no afectan el estado de Windows BitLocker.

8.1 Pasos preliminares

Escriba PowerShell en la barra de búsqueda de Windows.

En los resultados de búsqueda, haga clic derecho en Windows PowerShell y seleccione Ejecutar como administrador.

8.2 Verificación de certificados de Secure Boot de Microsoft Windows

1. Confirma que la Clave de Intercambio de Claves (KEK) incluye “Microsoft Corporation KEK 2K CA 2023”.   
   Ejecuta: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'Microsoft Corporation KEK 2K CA 2023'   
   Un resultado Verdadero indica que el certificado "Microsoft Corporation KEK 2K CA 2023" está presente.   
   
2. Confirma que las Bases de Datos de Firmas (DB) incluyen "Windows UEFI CA 2023".   
   Ejecuta: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'   
   Un resultado Verdadero indica que el certificado "Windows UEFI CA 2023" está presente.   
   

8.3 Verificando los Certificados de Secure Boot de Terceros de Microsoft

1. Confirma que las Bases de Datos de Firmas (DB) incluyen "Microsoft UEFI CA 2023".   
   Ejecuta: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft UEFI CA 2023'   
   Un resultado Verdadero indica que el certificado "Microsoft UEFI CA 2023" está presente.   
   
2. Confirme que las Bases de Datos de Firmas (DB) incluyen "Microsoft Option ROM UEFI CA 2023".   
   Ejecute: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match ‘Microsoft Option ROM UEFI CA 2023'   
   Un resultado de Verdadero indica que el certificado "Microsoft Option ROM UEFI CA 2023" está presente.