- El Secure Boot requiere obligatoriamente que el sistema esté en modo UEFI y que el disco duro utilice el formato de particiones GPT.
- Es imprescindible desactivar el módulo de compatibilidad CSM para que la función de arranque seguro pueda habilitarse correctamente.
- En caso de que el estado aparezca como No activo, es necesario restablecer las claves de fábrica desde el menú de Gestión de Claves de la BIOS.
Si te has dado cuenta de que el Arranque seguro de tu ordenador ha dejado de funcionar o aparece como desactivado tras actualizar la BIOS, no te preocupes, que es un problema más común de lo que parece. Esta función es básicamente un guardaespaldas que vigila que solo el software firmado y de confianza se cargue al encender el PC, evitando que cualquier malware malintencionado se cuele en el proceso de inicio.
Aunque parezca un lío técnico, ponerlo a punto es sencillo si sabes por dónde moverte. En esta guía vamos a analizar a fondo cómo dejarlo estupendamente configurado, pasando por los chequeos previos en Windows, la conversión de discos y los trucos específicos para que el estado pase de «No activo» a «Activado» sin romper nada por el camino.
Comprobaciones previas en Windows
Antes de lanzarte a tocar los menús de la BIOS, lo más inteligente es mirar cómo está el patio desde el propio sistema operativo. Para ello, pulsa la combinación de teclas Windows + R, escribe msinfo32 y dale a Enter. En la ventana de Información del sistema, fíjate bien en dos puntos: el Modo BIOS y el Estado de arranque seguro.
Si ves que el modo es UEFI y el estado ya está activado, puedes cerrar todo y olvidarte del problema. Pero si aparece como «Desactivado», ya sabemos que hay que trabajar. El problema real viene cuando pone «Heredado» o «CSM»; en ese caso, el Secure Boot no puede funcionar y tendrás que hacer un cambio estructural en el arranque antes de seguir.
El dilema del disco: MBR frente a GPT
Para que el Arranque seguro se lleve bien con tu equipo, el disco donde tienes instalado Windows debe utilizar una tabla de particiones estilo GPT. Si tu disco sigue usando el viejo formato MBR, el modo UEFI no arrancará y el Secure Boot se quedará fuera de juego. Puedes comprobarlo haciendo clic derecho en el botón de Inicio, yendo a Administración de discos, haciendo clic derecho sobre el disco principal y revisando las Propiedades en la pestaña de Volúmenes.
Si te das cuenta de que estás en MBR, no hace falta que formatees todo el PC. Microsoft tiene una herramienta llamada mbr2gpt que hace el trabajo sucio. Abriendo el Símbolo del sistema como administrador, primero debes validar la conversión con el comando mbr2gpt /validate /allowFullOS y, si todo sale bien, ejecutar mbr2gpt /convert /allowFullOS. Eso sí, haz una copia de seguridad de tus archivos importantes antes de hacer esto, porque jugar con las particiones siempre tiene un pequeño riesgo.
Requisitos adicionales: TPM 2.0 y BitLocker
Si eres usuario de Windows 11, el chip TPM 2.0 es obligatorio. Aunque no es estrictamente necesario para que el Secure Boot funcione, suelen ir de la mano en los requisitos modernos. Puedes verificar que esté activo escribiendo tpm.msc en el buscador de Windows; si dice que está «Listo para usar», todo marcha sobre ruedas.
Un aviso muy importante: si tienes el disco cifrado con BitLocker, ten a mano la clave de recuperación. Al cambiar ajustes críticos en la BIOS como el modo de arranque o el TPM, es muy probable que Windows se ponga celoso y te pida la clave para desbloquear la unidad al reiniciar. No te quedes bloqueado por no tener el código anotado.
Cómo entrar en la BIOS/UEFI
Hay dos formas de llegar al «cerebro» de tu placa base. La más clásica es reiniciar el equipo y machacar la tecla de acceso durante el encendido; las más habituales suelen ser F2, Supr, F10, F12 o Esc, dependiendo de si tienes un ASUS, MSI, Gigabyte, HP o Dell. En algunos portátiles gaming, puede que necesites mantener presionado el botón de bajar volumen y el de encendido a la vez.
Si no quieres jugar a las adivinanzas con las teclas, puedes ir desde Windows: ve a Configuración, busca la sección de Recuperación y elige «Reiniciar ahora» en Inicio avanzado. Una vez que el PC reinicie en ese menú azul, navega por Solucionar problemas > Opciones avanzadas y selecciona Configuración de firmware UEFI.
Configuración del Secure Boot en el firmware
Una vez dentro, es posible que estés en un modo básico. Pulsa F7 para entrar en el Modo Avanzado y busca las pestañas de «Seguridad» (Security) o «Arranque» (Boot). El primer paso fundamental es desactivar el CSM (Compatibility Support Module) o el modo Heredado, ya que el Arranque seguro solo vive en entornos UEFI puros.
Busca la opción de Tipo de sistema operativo (OS Type) y asegúrate de elegir «Windows UEFI mode» en lugar de «Other OS». Después, localiza el interruptor de Secure Boot Control y cámbialo a «Enabled» o «Habilitado». Para que todo esto se grabe en la memoria, no olvides pulsar F10 para guardar los cambios y salir.
Solución al estado «No activo» y gestión de claves
A veces pasa lo siguiente: pones el Secure Boot en habilitado, reinicias, entras en Windows y msinfo32 sigue diciendo que está «No activo». Esto sucede porque faltan las claves criptográficas que validan el software. La solución es entrar de nuevo en la BIOS, ir a la sección de Gestión de claves (Key Management) y hacer una limpieza.
En la mayoría de portátiles y AIO, debes seleccionar la opción «Reset To Setup Mode» para borrar las bases de datos actuales y, acto seguido, elegir «Restore Factory Keys» para instalar las claves predeterminadas de fábrica. En ordenadores de sobremesa, puede que primero tengas que cambiar el modo de Secure Boot a «Custom» para que te permita limpiar e instalar las llaves por defecto. Tras hacer esto y guardar con F10, el estado debería cambiar finalmente a Activado.
Casos especiales y desactivación temporal
No todo el mundo necesita el Secure Boot siempre encendido. Si eres de los que instalan distros de Linux muy específicas, herramientas de diagnóstico antiguas o sistemas operativos no firmados, es posible que el PC se niegue a arrancar. En esos casos, puedes desactivar la función temporalmente cambiando el estado a «Disabled» o seleccionando «Other OS» en la configuración de arranque.
Es vital recordar que, aunque el Secure Boot fue criticado al principio por favorecer solo a Microsoft, hoy en día la mayoría de los sistemas de código abierto ya son compatibles. No obstante, si necesitas instalar un software no certificado, la desactivación puntual es tu única salida, siempre y cuando vuelvas a activarlo en cuanto termines para no dejar el sistema expuesto.
Resumen de pasos por tipo de equipo
Si tienes un equipo ASUS o similar con interfaz MyASUS in UEFI, la ruta es Configuración avanzada > Seguridad > Arranque seguro. Si es un PC de sobremesa clásico, busca en la pestaña de Arranque y revisa que el Modo UEFI esté prioritario. Independientemente de la marca, la receta siempre es: desactivar CSM, poner el modo UEFI de Windows, habilitar el control de Secure Boot y, si falla, resetear las claves de fábrica.
Para dejar el sistema blindado, es fundamental que el disco sea GPT, que el modo de la BIOS sea UEFI y que el CSM esté totalmente apagado. Una vez que hayas gestionado las claves en el menú de seguridad y verificado el estado en la herramienta de información del sistema, tu ordenador solo ejecutará software firmado, protegiéndote de rootkits y asegurando que el inicio sea estable y confiable.
Redactor apasionado del mundo de los bytes y la tecnología en general. Me encanta compartir mis conocimientos a través de la escritura, y eso es lo que haré en este blog, mostrarte todo lo más interesante sobre gadgets, software, hardware, tendencias tecnológicas, y más. Mi objetivo es ayudarte a navegar por el mundo digital de forma sencilla y entretenida.