Activar el arranque seguro de Windows 11 en la UEFI

El arranque seguro solo permite software de arranque con firma digital

El arranque seguro es una función de seguridad de la UEFI que verifica que el software de arranque provenga de una fuente de confianza firmada digitalmente. Así evita que código malicioso se instale antes de que se cargue Windows. Windows 11 exige el arranque seguro como uno de sus requisitos de sistema, junto con un chip TPM 2.0.

Esta función solo funciona en un PC que arranque en modo UEFI y cuyo disco del sistema use la tabla de particiones GPT. Si tu PC aún usa el modo Legacy o BIOS antiguo con un disco MBR, tendrás que convertirlo primero. Esa es la razón más común por la que la opción no aparece o está desactivada en sistemas antiguos.

Internamente, el arranque seguro mantiene una lista de firmas digitales de confianza. Al iniciar, la UEFI compara la firma de cada cargador de arranque con esa lista. Si la firma no coincide, el equipo se niega a cargar el código. Así bloquea, por ejemplo, un rootkit que intente colarse entre la UEFI y Windows. Junto con el chip TPM 2.0, que almacena claves de cifrado, esto constituye la base de seguridad en la que se apoya Windows 11.

Esta guía comprueba primero el estado actual, convierte el disco a GPT si es necesario y, después, activa el arranque seguro desde la UEFI. El orden es importante: si conviertes el disco después de haber cambiado la UEFI, el PC no podrá arrancar. Sigue los pasos en el orden indicado y no te saltes ninguno, aunque creas que algún paso ya está bien.

Comprueba primero el estado del arranque seguro con msinfo32

Antes de tocar nada, mira en qué punto estás. Windows muestra el estado en la ventana de información del sistema.

1. Pulsa Windows + R, escribe msinfo32 y pulsa Enter.
2. Quédate en la pestaña Resumen del sistema.
3. Busca la línea Arranque seguro (Secure Boot State). Si pone Activado, el arranque seguro ya está activo.
4. Mira también Modo de BIOS. Si pone UEFI, la UEFI está bien configurada; si pone Heredado (Legacy), tendrás que cambiarlo primero.

Si el arranque seguro está en Desactivado pero el modo de BIOS ya es UEFI, solo tienes que activarlo en la UEFI (salta a la sección correspondiente). Si el modo de BIOS aparece como Heredado, primero tendrás que convertir el disco.

Si prefieres consultar el estado desde un script o PowerShell rápidamente, ejecuta el siguiente comando en una ventana de PowerShell como administrador. Devuelve True si el arranque seguro está activado y False si está desactivado. Si el equipo aún funciona en modo Legacy, indicará que el arranque seguro no es compatible con esta plataforma.

Confirm-SecureBootUEFI

El arranque seguro requiere modo UEFI y un disco GPT

El arranque seguro y el antiguo modo de arranque Legacy son incompatibles. Esta función es propia de UEFI, la firmware moderna que sustituyó a MBR. Por tanto, deben cumplirse dos condiciones.

Así compruebas el formato del disco: abre Administración de discos (pulsa Windows + X y selecciona Administración de discos), haz clic derecho en el disco del sistema, selecciona Propiedades > Volúmenes y mira el Estilo de partición. Si pone GUID-partitietabel (GPT), ya cumples el requisito para el arranque seguro. Si es MBR, tendrás que convertirlo primero.

La tercera condición, desactivar CSM, está relacionada con las dos primeras. CSM es la capa de compatibilidad que permite a la UEFI arrancar a la antigua usanza Legacy. Mientras está activada, el equipo se mantiene en un estado híbrido y muchas placas ocultan la opción de arranque seguro. Desactivarás CSM en la misma UEFI donde activas el arranque seguro, lo veremos más adelante.

Convierte un disco MBR a GPT de forma segura con mbr2gpt

MBR (Master Boot Record) y GPT (GUID Partition Table) son dos formas de describir la estructura de un disco. MBR es el estándar antiguo propio del arranque Legacy; GPT es la variante moderna que exigen UEFI y el arranque seguro. Windows incluye desde hace años la herramienta mbr2gpt, que convierte un disco de MBR a GPT sin borrar tus archivos. Se ejecuta desde el propio Windows.

Haz primero una copia de seguridad de los archivos importantes. La conversión suele ser segura, pero cualquier cambio en la estructura del disco conlleva un pequeño riesgo. Después, desactiva BitLocker o suspende la protección; de lo contrario, el PC te pedirá la clave de recuperación al reiniciar.

Comprueba primero si el disco es apto para la conversión. Abre un símbolo del sistema como administrador y ejecuta la validación:

mbr2gpt /validate /disk:0 /allowFullOS

Si la herramienta indica que la validación se ha completado correctamente, ejecuta la conversión:

mbr2gpt /convert /disk:0 /allowFullOS

Sustituye /disk:0 por el número de disco que aparezca en Administración de discos si tu disco de sistema tiene otro número. Tras una conversión exitosa, apaga Windows, entra en la UEFI y configura el modo de arranque en UEFI. Si cambias la UEFI antes de convertir el disco, Windows no arrancará. La documentación oficial con todas las opciones está disponible en la página de Microsoft Learn sobre mbr2gpt.

Activar el arranque seguro desde la UEFI

Ahora que el disco está en GPT, entra en la UEFI para cambiar los ajustes. Puedes acceder de dos formas: desde el menú de recuperación de Windows o pulsando una tecla durante el arranque. La ruta desde Windows es más fiable, porque no necesitas acertar con el momento exacto de la tecla.

1. Ve a Configuración > Sistema > Recuperación (o Recuperación) y, en Opciones de inicio avanzadas, haz clic en Reiniciar ahora.
2. Selecciona Solucionar problemas > Opciones avanzadas > Configuración de firmware UEFI y reinicia.
3. Busca en la UEFI el apartado Arranque (Boot) o Seguridad (Security).
4. Desactiva CSM (Módulo de compatibilidad) o el arranque Legacy y configura el modo de arranque en UEFI.
5. Activa Arranque seguro en Enabled. Si la placa te pide las claves predeterminadas, elige Instalar claves de arranque seguro predeterminadas o Restaurar claves de fábrica.
6. Guarda con Guardar y salir, normalmente pulsando la tecla F10.

Si no consigues entrar en la UEFI desde Windows, reinicia y, nada más encender, pulsa repetidamente la tecla de acceso a la UEFI. Varía según la marca: suele ser Supr o F2, a veces F10, F12 o Esc. Tras guardar, Windows se iniciará con normalidad. Comprueba con msinfo32 que el arranque seguro aparezca como Activado.

Los nombres de los ajustes varían según el fabricante. Lo que en una placa está en Boot puede llamarse en otra Security, Authentication o Startup. Busca los términos Secure Boot, CSM, Legacy y Boot Mode; esos aparecen en todas. Si no encuentras Secure Boot, comprueba primero que CSM está totalmente desactivado, porque mientras esa capa de compatibilidad siga activa, muchas placas ocultan el ajuste de arranque seguro.

La opción de arranque seguro aparece atenuada o el PC no arranca

La mayoría de los problemas surgen por un orden incorrecto o por un ajuste que bloquea la opción. Repasa estos puntos.

• La opción de arranque seguro aparece atenuada: CSM o el arranque Legacy sigue activado. Desactívalo primero y reinicia la UEFI.
• Te pide una contraseña: algunas placas requieren establecer una contraseña de administrador en la UEFI antes de poder activar el arranque seguro. Configúrala en el apartado Seguridad.
• El PC ya no arranca tras el cambio: has configurado la UEFI en modo UEFI cuando el disco seguía en MBR. Vuelve a poner la UEFI en Legacy, inicia Windows y convierte el disco con mbr2gpt primero.
• BitLocker pide la clave de recuperación: olvidaste suspender la protección. Introduce la clave o, en el futuro, suspende BitLocker antes de modificar la UEFI.
• La validación de mbr2gpt falla: el disco tiene demasiadas particiones o poco espacio para el nuevo formato. Elimina particiones innecesarias y vuelve a validar antes de convertir.

Si el PC sigue dando problemas tras modificar la UEFI, ten en cuenta que un cambio de hardware importante también puede afectar a la activación; consulta cómo recuperar tu licencia de Windows después de un cambio de hardware. Si dudas de si tu PC cumple los requisitos de Windows 11 con la edición adecuada, echa un vistazo a la guía sobre cómo actualizar de Windows 11 Home a Pro para ver los requisitos de edición.

Vuelve a activar BitLocker y comprueba la preparación para Windows 11

Después de activar el arranque seguro, aún quedan un par de cosas por hacer, sobre todo si has convertido el disco o suspendido BitLocker.

1. Reanuda la protección de BitLocker si la habías suspendido. Ve a Panel de control > Sistema y seguridad > Cifrado de unidad BitLocker y selecciona Reanudar protección.
2. Abre la aplicación Comprobación de estado del PC de Microsoft para confirmar que el equipo cumple todos los requisitos de Windows 11, incluidos el arranque seguro y TPM 2.0.
3. Comprueba que el disco de arranque se reconoce correctamente y que Windows se inicia sin mensajes de recuperación.

Si después de la conversión notas un arranque más lento o un mensaje de error sobre el orden de arranque, vuelve a entrar en la UEFI y coloca el disco del sistema en el primer lugar de la lista de arranque. Así te aseguras de que el PC sepa desde qué unidad debe iniciar. Con esto, el arranque seguro está activado y tu PC está listo para instalar o actualizar a Windows 11.