- Microsoft introduce KMS Hardware-Secured, un sistema que exige verificación TPM en servidores empresariales para activar Windows a gran escala.
- La medida no afecta a los ordenadores personales ni a los métodos de activación domésticos como HWID o Massgrave.
- Los avisos de preparación comenzarán en agosto de 2026 en Windows Server 2025, pero la obligatoriedad llegará con una futura versión LTSC.
- El objetivo es evitar que atacantes clonen servidores KMS falsos en redes corporativas, no perseguir a usuarios particulares.
En los últimos días han circulado rumores que apuntaban a un endurecimiento de las medidas antipiratería de Windows 11 mediante el uso del chip TPM, generando cierta alarma entre los usuarios domésticos. Sin embargo, la realidad es muy distinta: Microsoft ha confirmado que los cambios anunciados solo afectan a entornos corporativos y no tienen ningún impacto en los ordenadores personales. La confusión surgió al mezclar dos conceptos diferentes: la activación empresarial a través de servidores KMS y los métodos que emplean los particulares para instalar el sistema.
La compañía de Redmond ha presentado una nueva funcionalidad llamada KMS Hardware-Secured, que exige que el servidor interno de una organización demuestre su identidad mediante el chip TPM antes de poder activar equipos en la red. Esta verificación por hardware pretende cerrar la puerta a los servidores KMS falsos o clonados que los atacantes utilizan para conceder licencias ilegítimas. Pero, como insisten desde Microsoft, esta medida está pensada exclusivamente para grandes empresas con cientos de dispositivos, no para el usuario que tiene Windows 11 instalado en su portátil de casa.
¿Qué es KMS Hardware-Secured y cómo funciona?
El Key Management Service (KMS) es la tecnología que Microsoft ofrece a las organizaciones para activar Windows a gran escala desde un servidor interno, sin necesidad de introducir una clave por cada equipo. Hasta ahora, ese servidor se identificaba únicamente mediante su configuración de software, lo que permitía a los atacantes clonar o falsificar el host KMS y activar copias piratas dentro de la red corporativa. Con la nueva función, el servidor debe presentar una atestación criptográfica basada en el chip TPM, que Microsoft valida antes de permitir cualquier activación.
El proceso exige que el host demuestre dos cosas: su identidad de hardware (verificada por Microsoft) y que la plataforma no ha sido manipulada desde la última comprobación. Si falla cualquiera de estas pruebas, el servidor queda inhabilitado para emitir licencias. De esta forma, la confianza se ata a un componente físico concreto, imposible de duplicar por software. Según la documentación oficial, esta verificación se aplicará primero a Windows Server 2025, y los administradores podrán comprobar el estado de sus servidores mediante comandos como
Calendario de implantación: avisos en agosto, obligatoriedad más adelante
Microsoft no va a imponer el requisito de forma inmediata. A partir de agosto de 2026, Windows Server 2025 empezará a mostrar notificaciones que indicarán si un servidor concreto cumple ya los requisitos de seguridad basada en hardware. Esta fase de aviso permitirá a los equipos de TI planificar la transición sin prisas, revisando el inventario de servidores KMS y asegurándose de que los físicos están certificados en el catálogo de Windows Server y tienen el TPM habilitado.
La obligatoriedad llegará con la próxima versión LTSC (Long-Term Servicing Channel) de Windows Server, cuya fecha aún no se ha concretado. Hasta entonces, los servidores KMS existentes seguirán funcionando con normalidad. Los administradores de sistemas son los únicos que deben tomar medidas ahora, y solo aquellos que gestionen su propio servidor KMS físico. Para los servidores virtuales, Microsoft aún no ha publicado los requisitos específicos, aunque promete hacerlo en una próxima comunicación.
¿Por qué los usuarios domésticos no deben preocuparse?
La confusión mediática ha llevado a muchos a pensar que Microsoft iba a bloquear las activaciones no oficiales de Windows 11 en ordenadores personales. Nada más lejos de la realidad. KMS Hardware-Secured comprueba el servidor, no el cliente. En un PC doméstico no hay ningún servidor KMS que validar, por lo que el cambio no le afecta en absoluto. Además, los métodos más populares para activar Windows en casa, como HWID o las herramientas tipo Massgrave, ni siquiera utilizan servidores KMS. Lo que hacen es registrar el identificador del equipo directamente en los servidores de Microsoft, simulando una licencia digital de por vida.
Microsoft es consciente de que su verdadero negocio no está en vender licencias individuales de Windows, sino en los servicios asociados como OneDrive, Office 365, la publicidad integrada y las herramientas de inteligencia artificial como Copilot en Windows 11. La compañía prefiere que los usuarios sigan usando Windows aunque no hayan pagado a que se pasen a Linux o a un Mac. Por eso, no tiene sentido que persiga a los particulares con medidas de este tipo. El objetivo real es proteger a las empresas de intrusiones y fraudes en sus redes internas.
Lo que cambia realmente y lo que no
Para resumir, el nuevo sistema antipiratería basado en TPM solo afecta a los servidores KMS de las organizaciones. Los usuarios particulares no notarán ningún cambio en su experiencia con Windows 11, independientemente de cómo hayan activado el sistema. Los avisos de preparación comenzarán en agosto de 2026 en Windows Server 2025, pero la obligatoriedad no llegará hasta una futura versión LTSC. Mientras tanto, los administradores de sistemas deben empezar a revisar sus servidores físicos para asegurarse de que cuentan con TPM habilitado y están certificados.
En definitiva, el revuelo generado en torno a este anuncio ha sido fruto de una mala interpretación de la documentación técnica. Microsoft sigue avanzando en su estrategia de seguridad basada en hardware, pero lo hace centrándose en el ámbito empresarial, donde el riesgo de servidores KMS falsos es real. Para el resto de usuarios, la tranquilidad está garantizada: su PC con Windows 11 no va a perder la licencia ni va a recibir mensajes de error por culpa de esta medida.
