Al encender un ordenador, el primer software que se ejecuta puede decidir qué sistema arranca y qué código llega a la memoria. El secure boot, conocido en Windows como arranque seguro, comprueba ese proceso para bloquear cargadores no autorizados. Aquí explico qué protege, cómo comprobarlo y activarlo, y qué hacer si el equipo deja de arrancar después del cambio.
Lo esencial para proteger el arranque de tu ordenador
- Verifica firmas digitales antes de cargar Windows u otro sistema operativo.
- No es un antivirus ni cifra los archivos del disco.
- En Windows puedes comprobar su estado con Información del sistema.
- Para activarlo suele ser necesario usar UEFI y desactivar el modo Legacy o CSM.
- Antes de modificar el firmware, guarda la clave de recuperación de BitLocker.
Qué es el arranque seguro y cómo funciona
El arranque seguro es un mecanismo de seguridad integrado en el firmware UEFI del ordenador. Su tarea consiste en comprobar la firma digital del cargador de arranque antes de permitir que se ejecute. Si el archivo ha sido alterado o no coincide con una clave autorizada, el firmware puede detener el proceso.
La confianza se organiza mediante certificados y listas de claves almacenadas en la placa base. Los equipos con Windows suelen aceptar componentes firmados por Microsoft y por el fabricante, mientras que otros sistemas, como algunas distribuciones de Linux, utilizan cargadores firmados compatibles con esa cadena de confianza.
La idea es evitar que un rootkit se instale antes de Windows y se esconda de las herramientas de seguridad. Ese tipo de amenaza es especialmente delicado porque actúa en una fase en la que el antivirus todavía no se ha iniciado. En mi opinión, esta protección tiene mucho sentido en portátiles y ordenadores de uso profesional, donde el acceso físico al equipo puede ser un riesgo real.
Qué protege en Windows y cuáles son sus límites
Cuando está activo, el arranque seguro ayuda a impedir que se carguen gestores de arranque manipulados, determinados controladores UEFI no autorizados y algunos programas maliciosos diseñados para ejecutarse antes del sistema operativo. También refuerza la cadena de confianza desde el firmware hasta la pantalla de inicio de Windows.
Eso no significa que el ordenador quede completamente protegido. Esta función no sustituye al antivirus, no evita el phishing, no bloquea programas maliciosos que se ejecutan dentro de Windows y tampoco cifra los documentos. Si alguien conoce tu contraseña y entra en tu sesión, el arranque seguro no puede resolver ese problema.
También existen límites técnicos. Una vulnerabilidad en el firmware, una clave comprometida o un componente legítimamente firmado pero malicioso puede quedar fuera de la protección. Por eso conviene combinarla con actualizaciones del firmware, Windows Defender, cifrado del dispositivo y una cuenta sin privilegios de administrador.
Cómo comprobar si está activado en tu PC
La forma más sencilla en Windows es abrir el menú Inicio, escribir Información del sistema y ejecutar la aplicación. En la ventana aparecerá el campo “Estado de arranque seguro”, que normalmente muestra “Activado”, “Desactivado” o “No compatible”.
Conviene revisar también el campo “Modo de BIOS”. Para utilizar esta protección, el equipo debe arrancar en modo UEFI. Si indica “Heredado” o “Legacy”, probablemente el ordenador utiliza el antiguo sistema BIOS y será necesario cambiar la configuración antes de activar el arranque seguro.
Los usuarios que prefieran PowerShell pueden abrir una consola con permisos de administrador y ejecutar:
Confirm-SecureBootUEFIEl resultado True indica que está activo, mientras que False significa que el equipo es compatible pero la función está desactivada. Si aparece un error, puede que Windows se haya iniciado en modo Legacy o que el firmware no ofrezca esta opción.
Cómo activarlo sin dejar Windows inutilizado
Antes de tocar la configuración UEFI, recomiendo hacer una copia de los archivos importantes y localizar la clave de recuperación de BitLocker, si el cifrado está activo. Un cambio de modo de arranque puede hacer que Windows solicite esa clave en el siguiente inicio, aunque el sistema no tenga ningún problema.
- Entra en la configuración de Windows y abre las opciones de recuperación para reiniciar el equipo en el menú de firmware UEFI.
- También puedes reiniciar y pulsar la tecla indicada por el fabricante, que suele ser Supr, F2, F10 o Esc.
- Busca una opción llamada Secure Boot, Arranque seguro o Windows UEFI Mode.
- Desactiva CSM o Legacy si el equipo todavía arranca con el modo antiguo.
- Activa la función y guarda los cambios.
El nombre de los menús cambia entre ASUS, Lenovo, HP, Dell, Acer y otros fabricantes. No conviene modificar opciones de claves o borrar certificados sin saber exactamente qué hacen. Si el firmware ofrece “Install default keys” o “Restore factory keys”, esa opción suele ser la adecuada cuando el equipo está en modo de configuración, pero siempre es prudente consultar el manual del modelo.
El punto más delicado es el disco del sistema. Los ordenadores configurados en Legacy suelen utilizar particiones MBR, mientras que UEFI normalmente necesita un disco GPT. La herramienta MBR2GPT de Windows puede convertir el disco sin reinstalar el sistema en muchos casos, pero primero hay que validar la configuración y tener una copia de seguridad, porque una interrupción o una estructura de particiones problemática puede impedir el arranque.
Qué hacer si aparece un error después del cambio
El mensaje “No bootable device”, una pantalla de recuperación o un bucle de reinicios suele indicar que Windows estaba instalado para Legacy, que el orden de arranque ha cambiado o que falta una clave de confianza. En ese caso, vuelve al firmware y comprueba que el cargador de Windows figure como Windows Boot Manager, no solo como el nombre genérico del disco.
Si el problema comenzó al desactivar CSM, puedes restaurar temporalmente el modo anterior para recuperar el acceso y preparar la conversión a GPT. No recomiendo forzar varios cambios a la vez, porque resulta más difícil saber qué ajuste causó el fallo.
En ordenadores antiguos también pueden influir tarjetas gráficas, adaptadores de almacenamiento o dispositivos PCIe con firmware que no admite UEFI. Actualizar el firmware de la placa base y los controladores del fabricante puede resolverlo, aunque algunos componentes antiguos simplemente no son compatibles con el arranque seguro.
Los usuarios de Linux deben comprobar antes si su distribución utiliza un cargador firmado. Desactivar la protección puede ser necesario para ciertos sistemas personalizados o controladores experimentales, pero lo sensato es reactivarla cuando el cargador y los módulos utilizados ya sean compatibles.
Arranque seguro, TPM y BitLocker no son lo mismo
Estas tecnologías suelen aparecer juntas en los requisitos de Windows, pero cumplen funciones diferentes. Confundirlas lleva a desactivar una protección pensando que se está solucionando otra, especialmente durante una actualización o una instalación limpia.
| Tecnología | Qué hace | Qué no hace |
|---|---|---|
| Arranque seguro | Verifica la firma del software que se ejecuta antes de Windows. | No cifra archivos ni analiza todo el sistema. |
| TPM 2.0 | Protege claves criptográficas y permite comprobar la integridad del dispositivo. | No impide por sí solo que arranque un cargador modificado. |
| BitLocker | Cifra el contenido de la unidad para protegerlo si se extrae el disco. | No evita que un atacante utilice una sesión de Windows ya desbloqueada. |
| Antivirus | Detecta y bloquea amenazas dentro del sistema operativo. | No controla por completo la fase previa al inicio de Windows. |
La combinación ofrece una defensa mucho más completa. El firmware valida el comienzo de la cadena, el TPM ayuda a proteger secretos y BitLocker mantiene los datos ilegibles cuando el equipo está apagado. Ninguna de las tres herramientas reemplaza las actualizaciones ni los buenos hábitos, pero juntas reducen riesgos distintos.
La comprobación final que yo haría en cualquier ordenador Windows
Después de activar la función, volvería a abrir Información del sistema y confirmaría que el modo de BIOS sea UEFI y que el estado del arranque seguro indique “Activado”. También comprobaría que Windows inicia con normalidad, que BitLocker no solicita recuperación de forma repetida y que los periféricos importantes siguen funcionando.
Si el ordenador es muy antiguo, utiliza una distribución de Linux modificada o depende de controladores especiales, no activaría el ajuste a ciegas. En un equipo moderno con Windows 11, firmware actualizado y copia de seguridad preparada, mantenerlo activo es una medida sencilla que aporta una capa de protección útil desde el primer segundo de encendido.
