Secure Boot y TPM 2.0
Las dos piezas de seguridad del firmware que exige Windows 11: el arranque seguro (Secure Boot), que solo deja arrancar software de confianza, y el TPM 2.0, que guarda claves. Dónde se activan y qué precauciones tomar.
Aprender con BIOS reales
No buscamos que el alumno memorice una maqueta. Queremos que vea BIOS distintas y aprenda a identificar funciones comunes aunque cambie la marca, el color o la distribución.
Crédito: Paowee · CC BY-SA 4.0 · ficha y licencia
Observa esta BIOS real
Secure Boot
Aunque la imagen principal sea de una UEFI real de ThinkPad, la ubicación exacta de Secure Boot suele estar en Security. Su objetivo es validar la cadena de arranque.
TPM 2.0
TPM almacena y protege claves. En Intel puede aparecer como PTT y en AMD como fTPM.
Relación con Windows
Windows moderno puede utilizar TPM y Secure Boot para funciones de seguridad.
Precaución con cifrado
Antes de cambiar TPM o Secure Boot en un equipo con BitLocker, hay que disponer de la clave de recuperación.
Qué debe aprender el alumno
No memorizar una posición exacta, sino reconocer la función aunque la BIOS sea de otra marca.
Paso a paso: activar TPM 2.0 y Secure Boot
- Comprueba primero en Windows. Win + R → tpm.msc (estado del TPM) y Win + R → msinfo32 («Estado de arranque seguro» y «Modo de BIOS: UEFI»).
- ¿Hay BitLocker? Si el disco está cifrado, guarda antes la clave de recuperación (en tu cuenta Microsoft: aka.ms/myrecoverykey). Cambiar TPM o Secure Boot puede pedirla al arrancar.
- Activa el TPM. En la UEFI, sección Security o Advanced: Intel PTT o AMD fTPM → Enabled.
- Comprueba el modo UEFI. Secure Boot necesita arrancar en UEFI puro: desactiva CSM. Ojo: si Windows está instalado en MBR/Legacy, dejará de arrancar (hay que convertir el disco a GPT con mbr2gpt).
- Activa Secure Boot. Sección Boot → Secure Boot → Enabled. Si aparece en «Setup Mode», elige «Install default Secure Boot keys» (instalar claves de fábrica).
- Guarda y comprueba. F10, arranca Windows y vuelve a mirar msinfo32: «Estado de arranque seguro: Activado».
Vídeo de BIOS real
Lenovo Support — recorrido por UEFI BIOS. Vídeo publicado por el canal oficial del fabricante indicado; se muestra integrado desde YouTube.
Errores frecuentes y método seguro
Evita
- Cambiar varias opciones a la vez.
- Guardar sin saber qué has modificado.
- Copiar ajustes de otra placa diferente.
- Forzar voltajes o frecuencias por probar.
Hazlo así
- Anota el valor original.
- Cambia una sola cosa.
- Comprueba el resultado.
- Si algo falla, vuelve a valores estables.
Práctica guiada
- Busca Secure Boot.
- Busca TPM/PTT/fTPM.
- Comprueba si el equipo usa cifrado antes de tocar estos valores.
Mini evaluación
¿Qué función valida la cadena de arranque?
Puesto al día 2026 NUEVO
- Requisito de Windows 11
- TPM 2.0 y equipo compatible con arranque seguro. Las plataformas actuales los traen; muchas placas vienen con ellos desactivados.
- Certificados 2026
- Los certificados de Secure Boot de Microsoft de 2011 caducan a partir de junio de 2026 y se están sustituyendo por los de 2023 mediante Windows Update y actualizaciones de BIOS. Mantén ambos al día.
- Linux
- Ubuntu, Fedora, Mint y otras grandes distribuciones arrancan con Secure Boot activado. Algunas pequeñas o drivers propios pueden necesitar desactivarlo.
- Claves
- Secure Boot usa una cadena de claves (PK, KEK, db y la lista de revocados dbx) guardada en la UEFI.
¿Este PC puede llevar Windows 11?
Simplificado. La herramienta oficial es «Comprobación de estado del PC» de Microsoft.
Fotos reales
Fotografías de Wikipedia y Wikimedia Commons; pulsa «Wikipedia» en cada una para ver autor y licencia.
Lo que tienes que saber
Marca cada punto cuando lo sepas explicar sin mirar. Se guarda en este navegador.
Test de la lección · 15 preguntas
Glosario con fotos
Videoteca de apoyo
Vídeos libres que se ven aquí mismo y, en cada tema, un botón para buscar más en YouTube. Complementan el vídeo de la lección.