[CONSEJO] ¿Qué versión de Windows 11 instalar?

[Waldin]

Buenos días.
Ayer, después de muchos años de indecisión, por fin me decidí y compré en PC Componentes este portátil HP Portátil HP OMEN 17-db1003ns AMD Ryzen AI 7 350 32GB DDR5 1TB SSD RTX 5060 8GB 17.3" | PcComponentes.com para sustituir mi viejo HP DV7-6090es que tiene 15 años.

La duda es que versión de Windows 11 ponerle al equipo nuevo. El viejo tiene actualmente Windows 11 IoT Enterprise LTSC porque no es compatible con Windows 11 Pro. El caso es que me gusta esta versión de Windows... me he acostumbrado a la limpieza de instalación, sin programas basura extras añadidos.

¿Me recomendáis alguna versión diferente que no meta mierdas? ¿O para aprovechar mejor la potencia del nuevo equipo conviene la Pro? Viene sin Sistema Operativo. Entiendo que tampoco serían necesarios los programas típicos que suele meter HP.

Muchas gracias.

[noSign]

Un portátil potente gaming.
Con LTSC tendrás problemas con juegos.
Asi que todo depende a que lo vayas dedicar.
Windows 11 Pro o Enterprise

Luego ya suprimes lo que no uses.
Tienes scripts como el de Sophia Debloat Script y Titus, aunque sabiendo que desactivas
Jose te dirá con razón, que nunca los uses, como todo, el charco es tuyo.

[jmtella]

Opino lo mismo... Pro o Enterprise..

[Waldin]

Muchas gracias.

No soy de juegos... pero me gusta comprarlo exigente para que me dure más tiempo. El que tengo ahora, con el tiempo le he puesto el máximo de RAM permitido (16 GB), que venía con 4 GB, y luego lo pasé a 8 GB y luego al máximo, y un disco SSD. Y la verdad es que aún rinde. Lo cambio porque algunas teclas han dejado de funcionar y estoy con teclado externo USB.

Bueno, ya tengo un pen preparado con la versión Pro, pero estoy tentado de preparar otro con la versión Enterprise

[Waldin]

Buenas. Ya escribo desde mi nuevo equipo. Después de instalar Windows 11 Pro y varias actualizaciones y programas de HP, se me actualizó la BIOS en dos ocasiones. Conseguí activar el arranque seguro (antes de las actualizaciones de BIOS).

Windows me da el mensaje que pongo pero no sé como debo arreglarlo, si es que puedo hacerlo.

[noSign]

Buenas. Ya escribo desde mi nuevo equipo. Después de instalar Windows 11 Pro y varias actualizaciones y programas de HP, se me actualizó la BIOS en dos ocasiones. Conseguí activar el arranque seguro (antes de las actualizaciones de BIOS).

Windows me da el mensaje que pongo pero no sé como debo arreglarlo, si es que puedo hacerlo.

Tienes activo SB en Bios, pero te faltaran certificados CA 2023 o algunos drivers sin actualizar sus certificados.


En Powershell (adm)

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

¿Te sale true?

[Waldin]

Si, me pone True

[noSign]

En la cartela que te sale "Más información" ¿donde te lleva?
Seguramente tengas un driver de terceros que no esta su certificado actualizado

Durante la renovación del certificado Microsoft Corporation UEFI CA 2011, dos certificados separan la firma del cargador de arranque de la firma de rom de opción. Esto permite un control más preciso sobre la confianza del sistema. Por ejemplo, los sistemas que necesitan confiar en las ROM de opción pueden agregar la ROM de opción de Microsoft UEFI CA 2023 sin agregar confianza para los cargadores de arranque de terceros.

En Configuración ---> Seguridad de Windows ---> Seguridad del Dispositivo vigila los mensajes


Pruebas de dispositivos con claves del Registro
Al probar dispositivos individuales para asegurarse de que los dispositivos procesarán las actualizaciones correctamente, las claves del Registro pueden ser una forma sencilla de probar.

Para probar, ejecute cada uno de los siguientes comandos por separado de un símbolo del sistema de PowerShell de administrador:

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f

Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

Reinicie manualmente el sistema cuando AvailableUpdates se 0x4100

Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

https://support.microsoft.com/es-es/topic/actualizaciones-de-claves-del-registro-para-arranque-seguro-dispositivos-windows-con-actualizaciones-administradas-por-ti-a7be69c9-4634-42e1-9ca1-df06f43f360d

[Waldin]

Ya está. Lo he arreglado con la ayuda de este hilo

¿Qué sucede cuando expiran los certificados de arranque seguro en Windows 11 y Windows 10? - jmtella








Gracias.

[jmtella]

Buenas. Ya escribo desde mi nuevo equipo. Después de instalar Windows 11 Pro y varias actualizaciones y programas de HP, se me actualizó la BIOS en dos ocasiones. Conseguí activar el arranque seguro (antes de las actualizaciones de BIOS).

Windows me da el mensaje que pongo pero no sé como debo arreglarlo, si es que puedo hacerlo.

Esto dice ChatGPT:

No parece que tengas mal activado el Arranque seguro. Ese mensaje significa otra cosa: Windows ve Secure Boot activado, pero aún usa una configuración/cadena de confianza antigua, basada en certificados de Secure Boot de 2011, que Microsoft está sustituyendo por certificados de 2023 antes de su caducidad en 2026. Microsoft está mostrando estos estados dentro de Seguridad de Windows y desplegando la actualización por Windows Update de forma gradual. (Microsoft Support)

La frase clave de tu captura es: “Aún no hay suficientes datos para clasificar el dispositivo para la actualización automática”. Traducido: tu combinación concreta de modelo HP + versión de BIOS/UEFI + firmware todavía no está en el grupo de “alta confianza” para que Windows aplique automáticamente los nuevos certificados. Microsoft lo describe como un grupo “Under Observation / More Data Needed”: no está necesariamente bloqueado, pero la actualización puede posponerse hasta que haya más validación. (Microsoft Support) Qué haría ahora


Primero, no tocaría a mano las claves de Secure Boot en la BIOS: no usaría opciones tipo “reset Secure Boot keys”, “restore factory keys”, “clear keys”, ni desactivaría Secure Boot salvo emergencia. Microsoft documenta escenarios en los que cambiar o restablecer las bases de datos de Secure Boot puede impedir el arranque si el equipo ya ha pasado a componentes firmados con los certificados nuevos. (Microsoft Support)

Después haría esto:

1. Ten a mano la clave de recuperación de BitLocker, aunque no recuerdes haberlo activado. En Windows 11 Pro y equipos HP es frecuente que el cifrado esté activo. Cambios de BIOS/Secure Boot pueden provocar una pantalla de recuperación de BitLocker; Microsoft indica que, si aparece, se necesita la clave de 48 dígitos. (Microsoft Support)
2. Actualiza Windows completamente: Configuración → Windows Update → Buscar actualizaciones. Mira también en Opciones avanzadas → Actualizaciones opcionales, por si aparece firmware, BIOS, HP o controladores. Microsoft recomienda que el sistema esté en una versión compatible, sin actualizaciones pausadas y con Secure Boot activado. (Microsoft Support)
3. Actualiza solo desde HP oficial: HP Support Assistant o la página de soporte de HP para tu modelo exacto. Si ya te actualizó la BIOS dos veces, no pasa nada; simplemente comprueba que no haya una BIOS más reciente. La parte de certificados depende tanto de Windows como del firmware UEFI, y Microsoft señala que algunas limitaciones o fallos de firmware requieren actualización del fabricante. (Microsoft Support)
4. Reinicia varias veces y espera al siguiente ciclo de Windows Update. En muchos equipos esto se resuelve solo cuando Microsoft clasifica esa combinación de hardware/firmware como segura para la actualización automática.

Cómo comprobar el estado sin cambiar nada


Abre Terminal o PowerShell como administrador y ejecuta:
Confirm-SecureBootUEFI


Debería devolver:
True


Luego ejecuta:
$path = 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot \Servicing'
if (Test-Path $path) {
Get-ItemProperty $path | Select-Object UEFICA2023Status, UEFICA2023Error, UEFICA2023ErrorEvent, ConfidenceLevel
} else {
"Todavía no hay estado UEFICA2023 registrado."
}


Interpretación práctica:
UEFICA2023Status = Updated


significa que ya está solucionado.
UEFICA2023Status = NotStarted


o
UEFICA2023Status = InProgress


sin error claro, suele significar “esperar a Windows Update”.
UEFICA2023Error = algo distinto de 0


o un UEFICA2023ErrorEvent repetido ya apunta a problema que puede requerir firmware/BIOS de HP o soporte. Microsoft documenta ese valor UEFICA2023Status como el indicador del despliegue: NotStarted, InProgress o Updated, y el error como señal de fallo que hay que investigar. (Microsoft Support)

También puedes comprobar que la tarea de Windows encargada de aplicar esto exista y esté habilitada:
schtasks.exe /Query /TN "\Microsoft\Windows\PI\Secure-Boot-Update" /FO LIST /V


Busca Status. Si aparece Ready, está bien. Si aparece Disabled, Error o Not Found, entonces sí habría algo que reparar en Windows; Microsoft indica que esa tarea es necesaria para aplicar las actualizaciones de certificados de Secure Boot. (Microsoft Support) Lo que no te recomiendo


No seguiría tutoriales de foros que fuerzan la actualización cambiando el registro, por ejemplo estableciendo AvailableUpdates = 0x5944, salvo que tengas copia de seguridad, clave de BitLocker y estés siguiendo una guía oficial para tu caso. Microsoft documenta ese método principalmente para despliegues administrados por TI; ese valor inicia cambios en certificados y en el gestor de arranque. (Microsoft Support) Cuándo sí preocuparse


Yo solo escalaría el problema si ocurre una de estas cosas: Windows Seguridad cambia a aviso amarillo/rojo, aparece un error UEFICA2023 distinto de 0, HP no ofrece BIOS compatible para tu modelo, o tras varios ciclos de Windows Update el mensaje cambia a “limitaciones de hardware o firmware”. En ese caso, contactaría con HP dando el modelo exacto, Product Number, versión de BIOS y la salida de los comandos anteriores.

De momento, con el texto exacto de tu captura, lo más prudente es: mantener Windows y BIOS HP al día, no tocar claves de Secure Boot manualmente y esperar a que Windows Update lo aplique cuando tu modelo quede validado.

[noSign]

Ya está. Lo he arreglado con la ayuda de este hilo

¿Qué sucede cuando expiran los certificados de arranque seguro en Windows 11 y Windows 10? - jmtella








Gracias.

Si, el hilo lo puse yo, pero en concreto que medidas has activado.. Todas las imágenes son de chequeo y ya comentaste que la CA 2023 la tenías instalada.

¿Los tres Apply?

[noSign]

Me falta que compruebes si tienes una tarea programada que actualiza las variables de Arranque seguro

Secure-Boot-Update

\Microsoft\Windows\Pi\Secure-Boot-Update

[Waldin]

Esto dice ChatGPT:

No parece que tengas mal activado el Arranque seguro. Ese mensaje significa otra cosa: Windows ve Secure Boot activado, pero aún usa una configuración/cadena de confianza antigua, basada en certificados de Secure Boot de 2011, que Microsoft está sustituyendo por certificados de 2023 antes de su caducidad en 2026. Microsoft está mostrando estos estados dentro de Seguridad de Windows y desplegando la actualización por Windows Update de forma gradual. (Microsoft Support)

La frase clave de tu captura es: “Aún no hay suficientes datos para clasificar el dispositivo para la actualización automática”. Traducido: tu combinación concreta de modelo HP + versión de BIOS/UEFI + firmware todavía no está en el grupo de “alta confianza” para que Windows aplique automáticamente los nuevos certificados. Microsoft lo describe como un grupo “Under Observation / More Data Needed”: no está necesariamente bloqueado, pero la actualización puede posponerse hasta que haya más validación. (Microsoft Support) Qué haría ahora


Primero, no tocaría a mano las claves de Secure Boot en la BIOS: no usaría opciones tipo “reset Secure Boot keys”, “restore factory keys”, “clear keys”, ni desactivaría Secure Boot salvo emergencia. Microsoft documenta escenarios en los que cambiar o restablecer las bases de datos de Secure Boot puede impedir el arranque si el equipo ya ha pasado a componentes firmados con los certificados nuevos. (Microsoft Support)

Después haría esto:

1. Ten a mano la clave de recuperación de BitLocker, aunque no recuerdes haberlo activado. En Windows 11 Pro y equipos HP es frecuente que el cifrado esté activo. Cambios de BIOS/Secure Boot pueden provocar una pantalla de recuperación de BitLocker; Microsoft indica que, si aparece, se necesita la clave de 48 dígitos. (Microsoft Support)
2. Actualiza Windows completamente: Configuración → Windows Update → Buscar actualizaciones. Mira también en Opciones avanzadas → Actualizaciones opcionales, por si aparece firmware, BIOS, HP o controladores. Microsoft recomienda que el sistema esté en una versión compatible, sin actualizaciones pausadas y con Secure Boot activado. (Microsoft Support)
3. Actualiza solo desde HP oficial: HP Support Assistant o la página de soporte de HP para tu modelo exacto. Si ya te actualizó la BIOS dos veces, no pasa nada; simplemente comprueba que no haya una BIOS más reciente. La parte de certificados depende tanto de Windows como del firmware UEFI, y Microsoft señala que algunas limitaciones o fallos de firmware requieren actualización del fabricante. (Microsoft Support)
4. Reinicia varias veces y espera al siguiente ciclo de Windows Update. En muchos equipos esto se resuelve solo cuando Microsoft clasifica esa combinación de hardware/firmware como segura para la actualización automática.

Cómo comprobar el estado sin cambiar nada


Abre Terminal o PowerShell como administrador y ejecuta:
Confirm-SecureBootUEFI


Debería devolver:
True


Luego ejecuta:
$path = 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot \Servicing'
if (Test-Path $path) {
Get-ItemProperty $path | Select-Object UEFICA2023Status, UEFICA2023Error, UEFICA2023ErrorEvent, ConfidenceLevel
} else {
"Todavía no hay estado UEFICA2023 registrado."
}


Interpretación práctica:
UEFICA2023Status = Updated


significa que ya está solucionado.
UEFICA2023Status = NotStarted


o
UEFICA2023Status = InProgress


sin error claro, suele significar “esperar a Windows Update”.
UEFICA2023Error = algo distinto de 0


o un UEFICA2023ErrorEvent repetido ya apunta a problema que puede requerir firmware/BIOS de HP o soporte. Microsoft documenta ese valor UEFICA2023Status como el indicador del despliegue: NotStarted, InProgress o Updated, y el error como señal de fallo que hay que investigar. (Microsoft Support)

También puedes comprobar que la tarea de Windows encargada de aplicar esto exista y esté habilitada:
schtasks.exe /Query /TN "\Microsoft\Windows\PI\Secure-Boot-Update" /FO LIST /V


Busca Status. Si aparece Ready, está bien. Si aparece Disabled, Error o Not Found, entonces sí habría algo que reparar en Windows; Microsoft indica que esa tarea es necesaria para aplicar las actualizaciones de certificados de Secure Boot. (Microsoft Support) Lo que no te recomiendo


No seguiría tutoriales de foros que fuerzan la actualización cambiando el registro, por ejemplo estableciendo AvailableUpdates = 0x5944, salvo que tengas copia de seguridad, clave de BitLocker y estés siguiendo una guía oficial para tu caso. Microsoft documenta ese método principalmente para despliegues administrados por TI; ese valor inicia cambios en certificados y en el gestor de arranque. (Microsoft Support) Cuándo sí preocuparse


Yo solo escalaría el problema si ocurre una de estas cosas: Windows Seguridad cambia a aviso amarillo/rojo, aparece un error UEFICA2023 distinto de 0, HP no ofrece BIOS compatible para tu modelo, o tras varios ciclos de Windows Update el mensaje cambia a “limitaciones de hardware o firmware”. En ese caso, contactaría con HP dando el modelo exacto, Product Number, versión de BIOS y la salida de los comandos anteriores.

De momento, con el texto exacto de tu captura, lo más prudente es: mantener Windows y BIOS HP al día, no tocar claves de Secure Boot manualmente y esperar a que Windows Update lo aplique cuando tu modelo quede validado.

PS C:\Users\eduri> $path = 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot \Servicing'
PS C:\Users\eduri> if (Test-Path $path) {
>> Get-ItemProperty $path | Select-Object UEFICA2023Status, UEFICA2023Error, UEFICA2023ErrorEvent, ConfidenceLevel
>> } else {
>> "Todavía no hay estado UEFICA2023 registrado."
>> }
Todavía no hay estado UEFICA2023 registrado.


PS C:\Users\eduri> schtasks.exe /Query /TN "\Microsoft\Windows\PI\Secure-Boot-Update" /FO LIST /V

Carpeta: \Microsoft\Windows\PI
Nombre de host: HP-OMEN
Nombre de tarea: \Microsoft\Windows\PI\Secure-Boot-Update
Hora próxima ejecución: N/A
Estado: Listo
Modo de inicio de sesión: Interactivo/En segundo plano
Último tiempo de ejecución: 16/05/2026 11:32:24
Último resultado: 0
Autor: Microsoft Corporation
Tarea que se ejecutará: Controlador COM
Iniciar en: N/A
Comentario: Esta tarea actualiza las variables de arranque seguro.
Estado de tarea programada: Habilitado
Tiempo de inactividad: Deshabilitado
Administración de energía:
Ejecutar como usuario: SYSTEM
Eliminar tarea si no se vuelve a programar: Deshabilitado
Eliminar tarea si ejecuta durante X horas y X minutos: 01:00:00
Programación: Datos de programación no disponibles en este formato.
Tipo de programación: Cuando se inicia el sistema
Hora de inicio: N/A
Fecha de inicio: N/A
Fecha final: N/A
Días: N/A
Meses: N/A
Repetir: cada: N/A
Repetir: hasta: hora: N/A
Repetir: hasta: duración: N/A
Repetir: detener si aún se ejecuta: N/A

[Waldin]

Si, el hilo lo puse yo, pero en concreto que medidas has activado.. Todas las imágenes son de chequeo y ya comentaste que la CA 2023 la tenías instalada.

¿Los tres Apply?

Ya dudo, pero creo que si he aplicado los tres

[Waldin]

Me falta que compruebes si tienes una tarea programada que actualiza las variables de Arranque seguro

Secure-Boot-Update

\Microsoft\Windows\Pi\Secure-Boot-Update

¿Donde las busco? Parece que no las veo