Fecha de publicación original: 10 de marzo de 2026
KB ID: 5084464
En este artículo
Introducción y ámbito
La base de datos de alta confianza admite la forma en que Windows ofrece actualizaciones de certificados de arranque seguro mediante la identificación de configuraciones de dispositivo y firmware que han demostrado un comportamiento de actualización correcto en función de las señales observadas de mantenimiento y confiabilidad.
En este artículo se explica lo que representa la base de datos de confianza alta, cómo se determina la confianza y cómo el servicio de Windows publica y usa los datos. Está destinado a profesionales de TI, equipos de seguridad e ingenieros de soporte técnico que quieren comprender cómo los datos de confianza informan de las decisiones de actualización de certificados de arranque seguro, incluyendo cómo se exponen estos datos a través de actualizaciones acumulativas y se publican para dar visibilidad al cliente.
Qué representa la base de datos de alta confianza
La base de datos de alta confianza refleja la evaluación de Microsoft de qué configuraciones de dispositivo y firmware están listas para recibir actualizaciones de certificados de arranque seguro en función de las señales de mantenimiento y confiabilidad observadas.
Dada la escala y la diversidad de combinaciones de hardware y firmware en el ecosistema de Windows, la base de datos proporciona una forma práctica de evaluar la preparación de las actualizaciones agrupando dispositivos con características similares y midiendo los resultados de las actualizaciones en el mundo real. Estos datos de confianza se incluyen en las actualizaciones acumulativas para ayudar a Windows a entregar las actualizaciones de certificados de arranque seguro de forma controlada que prioriza los resultados correctos.
Limitaciones y consideraciones de cobertura
La base de datos de alta confianza refleja dónde Microsoft tiene datos de mantenimiento observados suficientes para evaluar la disponibilidad de actualizaciones de certificados de arranque seguro. La mayoría de estos datos proceden de dispositivos cliente de Windows, donde las señales de mantenimiento son amplias y coherentes. Como resultado, las plataformas de cliente están más representadas.
Otros tipos de dispositivos, como Windows Server y Windows IoT, tienen una representación menor debido a las diferencias en los patrones de implementación, la disponibilidad de telemetría y los flujos de trabajo de actualización. Esto no indica compatibilidad reducida para estas plataformas. Refleja que hay disponibles menos señales observadas para informar las evaluaciones de confianza. Los clientes que implementen actualizaciones de certificados de arranque seguro en estos entornos deben planear implementaciones con un enfoque y validación adicionales alineados con su modelo de implementación y los requisitos operativos.
Estructura y clasificación de datos
La base de datos de alta confianza se organiza en cubos de dispositivos que agrupan dispositivos que comparten atributos comunes de hardware, firmware y plataforma. Este enfoque permite que el servicio de Windows evalúe el comportamiento de las actualizaciones de arranque seguro en un nivel de clase de dispositivo en lugar de cada sistema individual.
A cada bucket se le asigna una clasificación de confianza que refleja la evaluación actual de la preparación de actualización de certificados de arranque seguro. Estas clasificaciones se exponen a través de eventos de Windows, incluidos los eventos 1801, 1802, 1803 y 1808. Para obtener más información, consulta Eventos de actualización de variables DB y DBX de arranque seguro. La clasificación de confianza también está disponible a través de la clave del Registro ConfidenceLevel . Consulta Actualizaciones de claves del Registro para arranque seguro: dispositivos Windows con actualizaciones administradas por TI para obtener más información.
Clasificaciones de confianza
La base de datos de alta confianza agrupa los dispositivos en clasificaciones de confianza que reflejan la evaluación actual de Microsoft de la preparación de actualizaciones de certificados de arranque seguro y se usan para guiar las decisiones de implementación.
-
Alta confianza: Los dispositivos de este grupo han demostrado, a través de los datos observados, que pueden actualizar correctamente el firmware mediante los nuevos certificados de arranque seguro.
-
Pausado temporalmente: Los dispositivos de este grupo se ven afectados por un problema conocido. Para reducir el riesgo, las actualizaciones de certificados de arranque seguro se pausan temporalmente mientras Microsoft y sus asociados trabajan para lograr una resolución admitida. Esto puede requerir una actualización de firmware. Busca un evento 1802 para obtener más detalles.
-
No compatible: limitación conocida: Los dispositivos de este grupo no admiten la ruta de actualización del certificado de arranque seguro automatizado debido a las limitaciones de hardware o firmware. Actualmente, no hay ninguna resolución automática compatible disponible para esta configuración.
-
En Observación - Se necesitan más datos: Los dispositivos de este grupo no están bloqueados actualmente, pero aún no hay datos suficientes para clasificarlos como de alta confianza. Las actualizaciones de certificados de arranque seguro pueden aplazarse hasta que haya datos suficientes disponibles.
-
No se observaron datos : acción requerida: Microsoft no ha observado este dispositivo en los datos de actualización de arranque seguro. Como resultado, no se pueden evaluar las actualizaciones automáticas de certificados para este dispositivo y es probable que se requiera una acción de administrador. Esta clasificación no se incluye en la base de datos de alta confianza y La emite Windows cuando el dispositivo no se encuentra en la base de datos.
Publicación de la base de datos de alta confianza
La base de datos de alta confianza se publica a través de dos mecanismos complementarios. Uno admite el mantenimiento automatizado de Windows. La otra proporciona visibilidad de los datos de confianza para clientes y partners.
Acceso a los datos en GitHub
Microsoft publica una versión legible para el usuario de la base de datos de alta confianza en GitHub para proporcionar transparencia en los datos usados para evaluar la disponibilidad de la actualización del certificado de arranque seguro. Esta versión incluye los atributos del dispositivo utilizados para formar cubos de confianza y está destinado a la inspección y el análisis por parte de los seres humanos. El servicio de Windows no lo usa directamente.
Los datos están disponibles en el repositorio de GitHub de objetos de arranque seguro de Microsoft y pueden ser útiles para las audiencias siguientes:
-
Administradores de TI y equipos de seguridad: Evalúa la preparación de la implementación de arranque seguro y comprende qué clases de dispositivos pueden ser aptas para las actualizaciones de certificados entregadas a través de actualizaciones acumulativas.
-
Fabricantes de dispositivos: Revisa cómo se representan las configuraciones de dispositivo y firmware en todo el ecosistema de Windows.
-
Otros proveedores de sistemas operativos, incluidas las distribuciones de Linux: Comprender cómo se clasifican las configuraciones de dispositivo y firmware y, cuando sea aplicable, alinearse con el enfoque de implementación por fases de Microsoft.
Los datos se actualizan dos veces al mes, alineados con las actualizaciones de seguridad mensuales el segundo martes del mes y las actualizaciones opcionales de vista previa no relacionadas con la seguridad el cuarto martes del mes.
Datos de alta confianza incluidos en las actualizaciones de mantenimiento
Una versión firmada de la base de datos de alta confianza se incluye con las actualizaciones acumulativas de Windows y la usa directamente el servicio de Windows para evaluar la disponibilidad de las actualizaciones de certificados de arranque seguro. Estos datos están protegidos y evaluados localmente, lo que permite tomar decisiones de mantenimiento incluso cuando un dispositivo no es visible para la telemetría de Microsoft.
En el dispositivo, los datos se almacenan como BucketConfidenceData.cab en:
%SystemRoot%\System32\SecureBootUpdates\
Esta versión integrada de mantenimiento contiene una representación estructurada y compacta de depósitos de confianza. Incluye solo los atributos necesarios para determinar la pertenencia al bucket y la clasificación de confianza asociada. Los metadatos de versión y marca de tiempo garantizan el uso de los datos aplicables más recientes. Esta versión está optimizada para confiabilidad, tamaño y seguridad y no está pensada para inspección o modificación directas.
Recibir actualizaciones de base de datos de confianza alta con más frecuencia
Los dispositivos que ejecutan Windows 11, versión 24H2 o 25H2, pueden recibir actualizaciones de la base de datos de alta confianza con más frecuencia que la cadencia de actualizaciones de seguridad mensual. Además de las actualizaciones de seguridad mensuales, estas versiones también reciben actualizaciones de vista previa opcionales no relacionadas con la seguridad, que pueden incluir datos de confianza más recientes. La instalación de estas actualizaciones permite a los clientes estar más cerca de los datos de confianza más recientes mientras permanecen dentro del servicio estándar de Windows.
Reutilizar datos de confianza alta en todas las versiones de Windows
En algunos entornos, los administradores pueden elegir implementar la base de datos de confianza alta en versiones compatibles de Windows anteriores a Windows 11, versión 24H2 o 25H2.
En este escenario, la base de datos procede de Windows 11, versión 24H2 o 25H2, que reciben datos de confianza más recientes a través de actualizaciones opcionales de vista previa no relacionadas con la seguridad. La implementación de esta base de datos permite evaluar evaluaciones de confianza más recientes solo en versiones anteriores de Windows compatibles antes que con las actualizaciones de seguridad mensuales. Esto no cambia cómo se calcula la confianza ni cómo se aplican las actualizaciones de certificados de arranque seguro.
Implementar la base de datos de alta confianza en otras versiones de Windows
Para implementar BucketConfidenceData.cab, use un proceso alineado con las herramientas y prácticas de implementación de su organización.
-
Obtén BucketConfidenceData.cab de un sistema de Windows 11, versión 24H2 o 25H2, que ejecute las últimas actualizaciones no relacionadas con la seguridad. El archivo se encuentra en:
%SystemRoot%\System32\SecureBootUpdates\
-
En los dispositivos de destino, como administrador, cree el siguiente directorio si aún no existe:
%ProgramData%\Microsoft\Windows\SecureBootUpdates
-
Implemente BucketConfidenceData.cab en ese directorio.
La próxima vez que se ejecute la tarea programada, normalmente en 12 horas, Windows usará este archivo si es más reciente que la versión incluida con las actualizaciones de mantenimiento.
Cómo selecciona Windows los datos de confianza
Un dispositivo puede contener más de una copia de la base de datos de alta confianza. Para garantizar un comportamiento coherente, Windows aplica un modelo de prioridad definido al evaluar los datos de confianza.
Cuando se incluye un archivo de datos de confianza firmado con una actualización acumulativa, esa copia de mantenimiento se usa de forma predeterminada. Si hay varias copias, Windows selecciona la versión aplicable más reciente en función de los metadatos de versión y marca de tiempo.
