Cómo habilitar Secure Boot en Windows 11 (comprobar, corregir, verificar)

Por Mirko Peters · 2026-11-12

Cómo habilitar Secure Boot en Windows 11: comprueba el estado actual, abre la configuración de UEFI, cambia del modo heredado, convierte MBR a GPT y verifícalo en Intune.

Traducido automáticamente con IA a partir de la publicación original. Lee el original en inglés

Para habilitar Secure Boot en Windows 11, reinicia en la configuración del firmware UEFI (Configuración, Sistema, Recuperación, Inicio avanzado, Reiniciar ahora, y después Solucionar problemas, Opciones avanzadas, Configuración de firmware UEFI), asegúrate de que el modo de arranque sea UEFI en lugar de Legacy o CSM, y activa Secure Boot en la pestaña Arranque o Seguridad. Después, confírmalo desde Windows. Este artículo está dirigido a administradores de TI que tienen un PC o una flota donde Secure Boot está desactivado, o donde Windows 11 indica que el equipo no puede ejecutarlo. Muestra cómo comprobar el estado actual, habilitar la opción, convertir un disco de MBR a GPT cuando el firmware está atascado en modo heredado, y verificar el resultado en Intune.

Puntos clave

• Secure Boot es una opción de firmware UEFI, así que se habilita en la configuración del firmware, no en Windows. Ábrela desde Configuración, Sistema, Recuperación, Inicio avanzado.
• Secure Boot requiere que el firmware esté en modo UEFI. Si el PC funciona en modo Legacy o CSM, cambia primero a UEFI. Los nombres de los menús dependen del fabricante.
• Una instalación en modo BIOS con disco MBR normalmente debe convertirse a GPT con MBR2GPT antes de que el firmware pueda usar el modo UEFI. La conversión no se puede deshacer, así que haz una copia de seguridad antes.
• Comprueba el resultado con Confirm-SecureBootUEFI en PowerShell como administrador. True significa que Secure Boot está activado.
• En Intune, el ajuste de cumplimiento Requerir Secure Boot depende de la certificación de estado del dispositivo y de TPM 2.0. Un dispositivo sin TPM 2.0 aparece como no conforme.

Qué hace Secure Boot y por qué Windows 11 lo exige

Microsoft describe Secure Boot como una función de seguridad que ayuda a impedir que se cargue software no autorizado al iniciar el PC. Con esta función activada, el firmware comprueba que el gestor de arranque esté firmado por un certificado de confianza antes de iniciarse, y después Windows continúa la cadena de confianza. Los detalles están en Microsoft Learn, en Proteger el proceso de arranque de Windows.

Para Windows 11, los requisitos pertinentes están en los requisitos de hardware: el firmware del sistema debe ser UEFI y compatible con Secure Boot, y el PC necesita TPM 2.0. "Compatible" es la palabra que confunde a la gente. Un PC puede admitir Secure Boot y tenerlo desactivado, o funcionar en un modo heredado en el que no se puede usar en absoluto. La página de Microsoft sobre Secure Boot para Windows 11 añade que, para habilitarlo, hay que cambiar el modo de arranque de Legacy (también llamado modo CSM) a UEFI, y que si el firmware ofrece ambos, UEFI debe ser la primera opción o la única.

Comprueba primero el estado actual

Antes de tocar el firmware, averigua qué tienes. Tarda un minuto y te ahorra un reinicio.

1. Abre PowerShell como administrador.
2. Ejecuta Confirm-SecureBootUEFI.

Microsoft Learn documenta el resultado: True si el equipo es compatible con Secure Boot y está habilitado, False si es compatible pero está deshabilitado. Si el equipo no es compatible con Secure Boot o es un equipo BIOS (no UEFI), el cmdlet indica que no se admite en esta plataforma. El cmdlet necesita un símbolo del sistema ejecutado como administrador; de lo contrario, aparece un mensaje de acceso denegado.

También puedes ejecutar msinfo32 y revisar Resumen del sistema. La fila Modo BIOS debería mostrar UEFI. El artículo de solución de problemas de Intune de Microsoft usa la misma herramienta para comprobar el Modo BIOS y la configuración de PCR7. Información del sistema también tiene una fila Estado de Secure Boot, que muestra Activado, Desactivado o No compatible. Esa fila no se describe en las páginas de Microsoft que utilicé, así que confía antes en el resultado de PowerShell.

Después del cambio, la guía de habilitación de Microsoft ofrece otra comprobación: abre Configuración, Seguridad, Protección de integridad y confirma que Secure Boot muestra Activado. La etiqueta puede variar entre versiones de Windows.

Si Confirm-SecureBootUEFI indica que la plataforma no es compatible, te encuentras con la situación de la que trata gran parte de este artículo: el equipo arranca en modo heredado (legacy).

Habilita Secure Boot en la configuración UEFI

La configuración está en el firmware, así que tienes que acceder a ella. Los pasos siguientes proceden de la guía de habilitación de Secure Boot de Microsoft.

1. Guarda tu trabajo. Abre Configuración, luego Sistema y después Recuperación.
2. Junto a Inicio avanzado, selecciona Reiniciar ahora.
3. En la pantalla Elegir una opción, selecciona Solucionar problemas y después Opciones avanzadas.
4. Selecciona Configuración de firmware UEFI y después Reiniciar.
5. En el firmware, busca la opción de Secure Boot, que normalmente está en la pestaña Boot o Security. Si el modo de arranque es Legacy o CSM, cámbialo primero a UEFI.
6. Habilita Secure Boot, guarda y sal.

Los menús y la terminología varían según el fabricante, y Microsoft no ofrece una ruta genérica única. Su guía enlaza con las instrucciones de cada proveedor para Surface, Acer, ASRock, ASUS, BIOSTAR, Colorful, Dell o Alienware, GIGABYTE o AORUS, HP u OMEN, Lenovo y MSI. Si montaste el equipo tú mismo, usa la guía del fabricante de tu placa base. En Surface, los pasos están en Surface UEFI: selecciona Security y, en Secure Boot, selecciona Change configuration; elige Microsoft only en la lista de certificados y selecciona OK; después, Exit y Restart now.

La advertencia de Microsoft se aplica a todos los fabricantes: cambiar la configuración del firmware de forma incorrecta puede afectar a la seguridad de tu equipo o impedir que arranque correctamente. Cambia solo los ajustes de Secure Boot que describa tu fabricante. Si el equipo no arranca después, vuelve al firmware y deshaz tu último cambio.

Cuando el equipo funciona en modo heredado con un disco MBR

Este es el caso más complicado. El firmware puede ofrecer el modo UEFI, pero Windows se instaló en modo heredado con un disco MBR, así que cambiar a UEFI hace que el equipo no arranque. La solución es convertir el disco a GPT. La herramienta MBR2GPT de Microsoft hace esto sin modificar ni eliminar datos del disco.

Primero comprueba el estilo de partición. En PowerShell, ejecuta Get-Disk | ft -Auto y lee la columna Partition Style, que muestra MBR o GPT. En Administración de discos (diskmgmt.msc) puedes abrir las Propiedades del disco y revisar Estilo de partición en la pestaña Volúmenes.

Luego, revisa los requisitos previos de Microsoft. El dispositivo debe admitir UEFI, el disco debe ser el disco del sistema y necesita espacio para las estructuras GPT. Puede tener como máximo tres particiones primarias y ninguna partición extendida o lógica. Si un volumen está cifrado con BitLocker, primero debes suspender la protección.

1. Haz una copia de seguridad del equipo. La propia salida de la herramienta advierte de que los cambios no se pueden deshacer.
2. Suspende BitLocker si está activado.
3. Validar: MBR2GPT /validate /allowFullOS (o /disk:0 desde Windows PE).
4. Convertir: MBR2GPT /convert /allowFullOS.
5. Reinicia en la configuración de firmware y cambia el modo de arranque a UEFI. Microsoft es claro en este punto: después de esto, el disco solo puede arrancar en modo GPT, y el sistema no arrancará correctamente hasta que el firmware esté en UEFI.
6. Habilita Arranque seguro como se indicó antes y reanuda BitLocker.

Por defecto, la herramienta se ejecuta desde un símbolo del sistema de Windows PE. La opción /allowFullOS permite ejecutarla en el sistema operativo completo; en ese caso, crea una nueva partición del sistema EFI reduciendo la partición del sistema operativo. El código de retorno 0 indica éxito. El código 100 indica que la conversión se completó, pero no se pudieron restaurar algunas entradas de BCD. Consulta setupact.log y setuperr.log para más detalles. La página de Microsoft indica que Windows 10 y Windows 11 son compatibles.

Comprueba también TPM 2.0

Windows 11 exige Arranque seguro y TPM 2.0 a la vez, y una comprobación de Arranque seguro en las herramientas de administración suele depender del TPM. Para comprobarlo, pulsa tecla Windows + R, escribe tpm.msc y lee Versión de especificación en Información del fabricante del TPM. Si ves el mensaje "No se puede encontrar un TPM compatible", es posible que el TPM esté deshabilitado en el firmware.

La página de Microsoft sobre cómo habilitar TPM 2.0 indica que busques un submenú llamado Advanced, Security o Trusted Computing. La opción puede llamarse Security Device o Security Device Support, TPM State, AMD fTPM o Intel PTT. Un TPM con una versión inferior a 2.0 no se puede solucionar habilitándolo, porque el dispositivo no cumple los requisitos de Windows 11.

Para administradores: verifica Arranque seguro en Intune y Autopilot

En Microsoft Intune, el parámetro de cumplimiento de Windows Require Secure Boot to be enabled on the device tiene dos opciones: Not configured y Require. Microsoft lo describe como un requisito para que el dispositivo arranque en un estado de confianza de fábrica, con los componentes básicos de arranque verificados por el firmware UEFI. El detalle está en el artículo de solución de problemas: la comprobación depende de la certificación de estado del dispositivo, que requiere TPM 2.0 o posterior. Un dispositivo sin TPM 2.0 aparece como Not Compliant aunque Arranque seguro esté activado, y el propio TPM 2.0 requiere firmware UEFI.

Si un dispositivo con Arranque seguro aparece como no conforme, las comprobaciones de Microsoft son estas:

1. Ejecuta tpm.msc y comprueba la versión de especificación.
2. Ejecuta msinfo32 y confirma que Modo BIOS es UEFI y que Configuración de PCR7 es Bound.
3. Ejecuta Confirm-SecureBootUEFI en un símbolo del sistema con privilegios de administrador y espera el valor True.
4. Ejecuta manage-bde -protectors -get $env:systemdrive y confirma que la unidad está protegida por PCR 7.

Si el dispositivo no supera algún paso, el estado Not Compliant es esperable, y la solución está en el hardware o el firmware, no en la directiva. La referencia de cumplimiento de Windows de Microsoft menciona Device Health Attestation para dispositivos Windows 10, así que consulta la documentación actual para los detalles de Windows 11.

En implementaciones con Windows Autopilot, la comprobación del firmware forma parte de la preparación del hardware. El modo de autoimplementación requiere TPM 2.0 y la certificación de dispositivo TPM, y un dispositivo sin ellos no puede usar ese modo.

Certificados de Arranque seguro y la fecha de junio de 2026

Microsoft está actualizando los certificados de Arranque seguro emitidos por primera vez en 2011, que empezarán a caducar en junio de 2026. Microsoft indica que, en las versiones compatibles de Windows, la actualización se realiza automáticamente. Para tu parque de equipos, esto es un motivo para mantener Arranque seguro activado y Windows actualizado, no para tocar el firmware manualmente. Microsoft enlaza a una guía aparte sobre la actualización gestionada por Microsoft, así que léela antes de planificar cualquier trabajo manual.

Errores comunes

• Buscar la opción en Windows. Es un ajuste del firmware, y Windows solo puede informar sobre él.
• Cambiar a UEFI en una instalación MBR. El equipo no arranca hasta que el disco se convierte o Windows se reinstala en modo UEFI.
• Convertir un disco con BitLocker todavía activo. Suspéndelo primero.
• Omitir la copia de seguridad antes de MBR2GPT. La conversión no se puede deshacer.
• Interpretar un resultado Not Compliant en Intune como un problema de Arranque seguro cuando la causa es la falta de TPM 2.0.
• Dejar Arranque seguro desactivado tras la solución de problemas. Microsoft indica que lo vuelvas a activar una vez resuelto el problema.

Temas relacionados para explorar

• ¿Cómo entro en la firmware si Windows no arranca? El artículo sobre cómo abrir la BIOS en Windows 11 explica la ruta de recuperación.
• ¿Qué pasa si Secure Boot bloquea mi memoria USB? Microsoft indica que es posible que tengas que desactivarlo temporalmente para arrancar algunos medios. Consulta el artículo sobre cómo crear una memoria USB de arranque de Windows 11.
• ¿Qué TPM tiene mi PC? Usa tpm.msc y compáralo con los requisitos de Windows 11.
• ¿Cómo lo aplico en muchos PC? Combina una directiva de cumplimiento de Intune con una comprobación del hardware en tu proceso de implementación.

Siguiente paso

Ejecuta Confirm-SecureBootUEFI en un PC hoy, anota el resultado y, si falla, comprueba el estilo de partición del disco. Una vez que sepas si el PC está en modo UEFI, la forma de habilitar Secure Boot en Windows 11 es una lista breve de cambios en la firmware en lugar de andar a ciegas.