API del sistema de configuración de Windows (WinCS) para arranque seguro

CLI de arranque seguro mediante el sistema de configuración de Windows (WinCS)

Objetivo: los administradores de dominios pueden usar alternativamente el Sistema de configuración de Windows (WinCS) publicado con actualizaciones del sistema operativo Windows para implementar las actualizaciones de arranque seguro en los clientes y servidores de Windows unidos a un dominio. Consiste en una utilidad de interfaz de línea de comandos (CLI) para consultar y aplicar configuraciones de arranque seguro localmente a un equipo.  

WinCS funciona con una clave de configuración que se puede usar con la utilidad de línea de comandos para modificar el estado de configuración de arranque seguro en el equipo. Una vez aplicado, el siguiente arranque seguro programado realizará acciones según la clave. 

Plataformas compatibles con WinCS

La utilidad de línea de comandos de WinCS es compatible con Windows 11, versión 23H2, Windows 11, versión 24H2, Windows 11, versión 25H2. Esta utilidad está disponible en las actualizaciones de Windows publicadas el 28 de octubre de 2025 y después, para Windows 11, versión 24H2 y Windows 11, versión 23H2.

Nota: Estamos trabajando en traer este soporte de WinCS a las plataformas Windows 10. Actualizaremos este artículo tan pronto como se habilite el soporte técnico. 

Esta es la clave de la característica de configuración de arranque seguro que los administradores de dominio consultarán y aplicarán a los dispositivos a través de WinCS. 

Valor de clave de WinCS: 

• F33E0C8E002: estado de configuración de arranque seguro = Habilitado

Cómo consultar la configuración de arranque seguro 

La configuración de arranque seguro se puede consultar con la siguiente línea de comandos:

Esto devolverá la siguiente información (en una máquina limpia): 

Observe que la configuración actual de un dispositivo está F33E0C8E001, lo que significa que la clave de arranque seguro está en estado deshabilitado .  

Cómo aplicar la configuración de arranque seguro  

La configuración específica para habilitar certificados de arranque seguro se puede configurar de la siguiente manera: 

Una aplicación correcta de la clave debería devolver la siguiente información: 

Cómo auditar la configuración de arranque seguro  

Para determinar el estado de la configuración de arranque seguro más adelante, puede volver a usar el comando de consulta inicial: 

La información devuelta será similar a la siguiente, según el estado de la marca: 

Observe que el estado de la clave ahora es Habilitado y que la configuración actual está F33E0C8E002. 

También puedes desencadenar manualmente la tarea de mantenimiento de arranque seguro siguiendo estos pasos: 

1. Abra un símbolo del sistema de PowerShell como administrador y, a continuación, ejecute el siguiente comando:

   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

2. Reinicia el dispositivo dos veces después de ejecutar el comando para confirmar que el dispositivo comienza con la base de datos actualizada de firmas de confianza (DB).

3. Para comprobar que la actualización de la base de datos de arranque seguro se realizó correctamente, abra un símbolo del sistema de PowerShell como administrador y, a continuación, ejecute el siguiente comando: 

   [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

   Si el comando devuelve True, la actualización se realizó correctamente.
   
   En el caso de errores al aplicar la actualización de la base de datos, consulta el artículo KB5016061: Abordar los administradores de arranque vulnerables y revocados.