Arranque seguro

Al encender el ordenador, la UEFI comprueba que el programa que va a cargar el sistema operativo tiene una firma digital de confianza. Si no la tiene, no lo arranca. Así se evita un tipo de malware que se esconde en el arranque, antes de que el antivirus esté funcionando.

Windows 11 exige un equipo compatible con arranque seguro. Puedes ver si está activado en Información del sistema (msinfo32), en la línea «Estado de arranque seguro».

Un ejemplo

Al instalar Windows 11, el asistente dice que el equipo no cumple los requisitos; en la UEFI ves que el arranque seguro estaba desactivado.

Por qué importa

El arranque seguro protege una fase en la que el antivirus todavía no ha empezado a trabajar. Un tipo de malware, los llamados bootkits, se instala antes del propio sistema operativo y, si lo consigue, puede esconderse de casi cualquier programa de seguridad. Al exigir firmas digitales en el cargador, la UEFI cierra esa vía.

Se nota sobre todo en dos momentos. El primero, al instalar Windows 11, que lo pide junto con el TPM: si está desactivado, el instalador puede decir que el equipo no es compatible aunque el hardware sí lo sea, y bastará con activarlo en la UEFI. El segundo, al arrancar sistemas alternativos, porque algunos USB o distribuciones antiguas no están firmados.

Muchos juegos con sistemas anti-trampas modernos y algunas empresas lo exigen como requisito de seguridad, así que conviene saber dónde está y no desactivarlo sin necesidad.

Confusiones frecuentes

Se confunde con frecuencia con el antivirus o con una contraseña de arranque. No es ninguna de las dos cosas: no analiza archivos ni pide clave, solo comprueba firmas del software que arranca el equipo. Tampoco impide usar Linux: las distribuciones más populares llevan cargadores firmados y funcionan con él activado, aunque otras requieren desactivarlo o registrar su propia clave. Y no hay que confundirlo con el modo seguro de Windows, que es una forma de arrancar con lo mínimo para reparar problemas y no tiene relación con la UEFI.

Preguntas frecuentes

¿Cómo compruebo si lo tengo activado?

Pulsa Windows + R, escribe msinfo32 y busca la línea «Estado de arranque seguro». Si pone «No compatible» o «Desactivado», tendrás que revisarlo en la UEFI.

¿Puedo activarlo sin reinstalar Windows?

Normalmente sí, pero el disco debe usar el esquema de particiones GPT y no el antiguo MBR. Si es MBR, hay que convertirlo antes; haz copia de seguridad primero.