Windows 11: la nueva norma de Microsoft sobre el TPM no afecta a su ordenador

Desde el fin de semana, han circulado informes que indican que Microsoft va a poner fin, por fin, a las instalaciones piratas de Windows 11. Todo ello se desencadenó a raíz de una entrada publicada en el blog Windows IT Pro con fecha del 22 de julio. En ella se aborda el tema del TPM, el chip de seguridad de la placa base, y la activación de Windows. Sin embargo, la entrada dice en realidad algo distinto de lo que afirman los titulares.

En qué consiste realmente el KMS

Las empresas no activan Windows ordenador por ordenador a través de Microsoft. En su lugar, utilizan su propio servidor interno, el Servicio de gestión de claves (Key Management Service), o KMS para abreviar. Cada ordenador de la red consulta este servidor y recibe su activación. Esto supone un ahorro de esfuerzo, pero presenta un punto débil. Hasta ahora, un servidor KMS se identificaba únicamente a través de su configuración de software, y esta puede copiarse.

Según Microsoft, eso es exactamente lo que está ocurriendo. Los atacantes configuran servidores KMS falsos o clonados que se hacen pasar por auténticos dentro de la red corporativa y conceden licencias a equipos por los que nadie ha pagado. Esto genera un problema de licencias y cumplimiento normativo para la empresa.

Qué está haciendo Microsoft al respecto

La nueva función se denomina «KMS Hardware-Secured» y exige que el servidor KMS proporcione una certificación TPM. El Módulo de Plataforma Confiable (TPM) es un chip integrado en la placa base capaz de verificar criptográficamente la identidad del hardware y confirmar que no ha sido manipulado. El servidor debe demostrar dos cosas antes incluso de que se le permita emitir una licencia: su identidad de hardware, que Microsoft verifica, y que la plataforma no ha sufrido modificaciones desde entonces. Si no supera cualquiera de estas comprobaciones, ya no podrá activar nada.

El calendario y lo que se aplica actualmente

Nada de esto ha entrado aún en vigor. A partir de agosto de 2026, Windows Server 2025 se limitará a mostrar notificaciones que indiquen si un host está preparado. Estas notificaciones pueden consultarse mediante el comando `slmgr /dlv` y en el Visor de eventos, en «Registros de aplicaciones y servicios», «Servicio de gestión de claves». Un mensaje indica que el dispositivo es apto como host KMS con seguridad basada en hardware; el otro indica que no cumple los requisitos.

La certificación TPM no será obligatoria hasta la próxima versión de Windows Server que se publique a través del Canal de mantenimiento a largo plazo (LTSC). Microsoft no ha especificado una fecha para ello. Hasta entonces, las instalaciones KMS existentes seguirán funcionando con normalidad. Si desea comprobar si su hardware es compatible, puede hacerlo en PowerShell con privilegios de administrador utilizando el comando `Get-TpmSupportedFeature -FeatureList "Key Attestation"`. Si el servidor responde con «Key Attestation», la función está disponible.

Por qué su ordenador no tiene nada que ver con esto

Y esto nos lleva al punto en el que la información difundida se ha desviado del tema. La función «KMS Hardware-Secured» comprueba el servidor, no el cliente. No ocurre nada en el ordenador que tiene delante. Cualquier persona que utilice Windows para uso personal no notará el cambio, independientemente de su tipo de licencia.

El malentendido se derivó de un segundo punto. Microsoft había dejado inutilizable un método de activación denominado KMS38 a finales de 2025, lo que llevó a la expectativa de que se produciría el siguiente cambio. Sin embargo, KMS38 no tenía nada que ver con los servidores KMS ni con el TPM. El método aprovechaba un archivo de soporte de actualización de Windows para simular una fecha de caducidad lejana. Microsoft ya había eliminado anteriormente de su propia documentación de soporte las instrucciones para eludir la comprobación del TPM, por lo que este asunto no es nuevo.

Ni siquiera se ve afectada la solución alternativa cuyo nombre incluye «KMS». Esta no se conecta a un servidor KMS real, sino que inicia un servidor falso en el propio ordenador del usuario que simplemente aprueba la solicitud. No existe ningún componente que pueda realizar una comprobación del TPM. De todos modos, los métodos que se utilizan ampliamente en la actualidad funcionan según un principio totalmente diferente.

El hecho de que el TPM no sea siempre tan obligatorio en Windows 11 como parece ya era evidente al actualizar ordenadores más antiguos.

¿Quién debe tomar medidas ahora realmente?

Los administradores se ven afectados, y de entre ellos, únicamente aquellos que dispongan de su propio servidor KMS. En el caso de los servidores físicos, Microsoft exige que el dispositivo esté certificado en el Catálogo de Windows Server y que cuente con un TPM instalado y habilitado. Actualmente no existen requisitos para los servidores KMS virtuales. Microsoft tiene previsto facilitar estos detalles en una publicación posterior, por lo que aún no ha publicado las normas específicas para este caso concreto.