Microsoft reforzará la activación por volumen de Windows mediante una nueva versión de Key Management Service (KMS) que exigirá verificar la identidad y la integridad del servidor de licencias a través del módulo de plataforma segura, conocido como TPM. La medida puede dificultar el funcionamiento de activadores ilegales que imitan servidores corporativos, pero no supone que Microsoft vaya a utilizar el chip de cada ordenador doméstico para comprobar individualmente si Windows es legal.
Las claves del nuevo KMS de Windows en 20 segundos
- Microsoft vinculará los servidores KMS autorizados a una identidad protegida por el TPM.
- Windows Server 2025 comenzará a mostrar avisos de compatibilidad en agosto de 2026.
- La comprobación será obligatoria en la próxima versión LTSC de Windows Server.
- El cambio afecta a la infraestructura empresarial, no directamente a cada PC doméstico.
- Los activadores que simulan servidores KMS tendrán más dificultades para hacerse pasar por sistemas legítimos.
La nueva tecnología recibe el nombre de KMS Hardware-Secured y traslada la confianza desde una configuración basada principalmente en software hacia una prueba criptográfica asociada al hardware. Antes de activar los equipos de una organización, el servidor KMS deberá demostrar ante Microsoft que se ejecuta sobre una plataforma reconocida y que sus elementos esenciales no han sido manipulados.
El cambio está dirigido a empresas, administraciones y otras organizaciones que utilizan licencias por volumen. Estos clientes no suelen introducir manualmente una clave diferente en cada ordenador. En su lugar, instalan un servidor interno que se encarga de atender las solicitudes de activación de cientos o miles de dispositivos.
Cómo funciona KMS y por qué también se utiliza para activar Windows sin licencia
Key Management Service permite centralizar la activación de Windows y otros productos de Microsoft dentro de una red corporativa. Los ordenadores configurados como clientes KMS contactan periódicamente con el servidor de la empresa para comprobar que siguen perteneciendo a una organización que dispone de las licencias correspondientes.
Este modelo simplifica la administración de grandes parques informáticos. También permite activar máquinas que no deben conectarse directamente a los servicios públicos de Microsoft o que trabajan dentro de redes con restricciones específicas.
El problema es que el sistema tradicional deposita buena parte de la confianza en el software del servidor KMS. Esa característica ha sido aprovechada por herramientas de activación no autorizadas que ejecutan un servicio falso en el propio equipo o dentro de una red.
El ordenador recibe respuestas parecidas a las que ofrecería el servidor de una empresa y puede quedar activado temporalmente como si estuviera cubierto por una licencia por volumen. Algunas herramientas repiten después el proceso de manera periódica para mantener ese estado.
Con KMS Hardware-Secured ya no bastará con copiar una configuración o reproducir las respuestas esperadas. El servidor tendrá que presentar una prueba criptográfica respaldada por el TPM y asociada a la plataforma física sobre la que se ejecuta.
Microsoft podrá verificar esa identidad antes de permitir que el host emita activaciones. La compañía busca así reducir el uso de servidores clonados, secretos extraídos o implementaciones KMS falsificadas por software.
Qué papel desempeña realmente el TPM
El Trusted Platform Module es un componente de seguridad que puede estar integrado en la placa base, incorporado al procesador o implementado mediante firmware. Su función consiste en proteger claves criptográficas y proporcionar pruebas sobre el estado de un dispositivo.
Windows ya utiliza el TPM para funciones como BitLocker, Windows Hello, el arranque medido y la protección de credenciales. También fue uno de los requisitos que más polémica generaron con la llegada de Windows 11.
En el nuevo modelo de KMS, el módulo actuará como una raíz de confianza. El servidor utilizará claves protegidas por el TPM para demostrar su identidad y aportar evidencias sobre la integridad de la plataforma.
La certificación o attestation permite comprobar que una clave privada se encuentra protegida por un TPM y que no ha sido simplemente exportada a otra máquina. Esto dificulta que un atacante copie la identidad completa de un servidor autorizado y la traslade a un sistema diferente.
La modificación no implica que el TPM examine los archivos del usuario, busque activadores instalados o envíe una lista de programas a Microsoft. Su función se limita a respaldar criptográficamente la identidad del host KMS.
Tampoco significa que todos los ordenadores clientes deban someterse a una nueva certificación individual. La comprobación anunciada se concentra en el servidor que distribuye las activaciones dentro de la organización.
Windows Server 2025 empezará con avisos en agosto de 2026
Microsoft introducirá una fase de preparación antes de convertir el nuevo sistema en obligatorio.
Desde agosto de 2026, Windows Server 2025 mostrará mensajes para indicar si un equipo cumple los requisitos necesarios para funcionar como servidor KMS protegido por hardware. Estos avisos tendrán carácter informativo y permitirán a los administradores detectar incompatibilidades antes de que comience la aplicación obligatoria.
El estado podrá comprobarse mediante el comando:
slmgr /dlv
Un servidor compatible mostrará un mensaje indicando que el dispositivo puede actuar como host KMS con seguridad basada en hardware. Los sistemas que no cumplan los requisitos recibirán una advertencia.
También aparecerán registros dentro de:
Applications and Services Logs > Key Management Service
Los administradores pueden comprobar si el TPM admite la certificación de claves desde una sesión de PowerShell con privilegios elevados:
Get-TpmSupportedFeature -FeatureList "Key Attestation"
Si el resultado incluye Key Attestation, el servidor dispone de la capacidad que Microsoft solicita para el nuevo KMS.
Durante esta primera etapa la falta de compatibilidad no bloqueará las activaciones. Su finalidad es ofrecer tiempo para inventariar los servidores, revisar configuraciones y planificar posibles actualizaciones.
Cuándo será obligatorio y qué ocurrirá con las máquinas virtuales
Microsoft afirma que la certificación mediante TPM será obligatoria con la próxima versión de soporte prolongado de Windows Server, conocida como LTSC por sus siglas en inglés. La empresa todavía no ha confirmado en el anuncio el nombre comercial ni la fecha de lanzamiento de esa edición.
Los servidores físicos deberán contar con un TPM instalado, habilitado y compatible con la certificación de claves. Microsoft también recomienda comprobar que el equipo figure como certificado para Windows Server en su catálogo de hardware.
En algunos sistemas bastará con activar el TPM desde la interfaz UEFI o actualizar el firmware. En servidores antiguos puede ser necesario instalar un módulo compatible, renovar la placa o migrar el servicio KMS a otro equipo.
La situación de los hosts virtuales todavía necesita más detalles. Microsoft ha indicado que publicará posteriormente las instrucciones específicas para entornos virtualizados.
Hyper-V y otras plataformas permiten asignar un TPM virtual o vTPM a una máquina virtual, pero su presencia por sí sola no confirma que vaya a cumplir todos los requisitos de KMS Hardware-Secured. Será necesario conocer cómo se validará la cadena de confianza entre la máquina virtual, el hipervisor y el hardware físico.
Esta cuestión será relevante para las empresas que ejecutan sus servicios de activación en VMware, Hyper-V, Proxmox, nubes públicas o plataformas de infraestructura hiperconvergente. Migrar una máquina virtual KMS sin conservar correctamente su identidad criptográfica podría requerir un nuevo registro o una configuración adicional.
Qué cambia para un usuario de Windows 10 u 11
Para un particular con una licencia digital, una clave adquirida con el equipo o una licencia comercial, la modificación no exige realizar ninguna acción.
Microsoft no ha anunciado que vaya a utilizar el TPM del ordenador doméstico para decidir si su copia de Windows es legítima. Tampoco ha comunicado una desactivación masiva de equipos ni una comprobación nueva sobre todas las instalaciones de Windows 10 y Windows 11.
El efecto indirecto puede aparecer en los activadores que dependen de la emulación de KMS. Si el sistema exige en el futuro una prueba emitida por hardware autorizado y validada por Microsoft, resultará más complicado crear un servidor falso que parezca legítimo.
Sin embargo, tampoco puede afirmarse que esta medida vaya a acabar con la piratería de Windows. Existen otros métodos de activación no autorizada que no dependen de un servidor KMS convencional, y es probable que quienes desarrollan estas herramientas intenten adaptar sus técnicas.
La medida tampoco demuestra por sí sola que Microsoft vaya a identificar o sancionar a cada usuario que haya utilizado un activador. El objetivo anunciado es reforzar la infraestructura de activación empresarial y reducir el riesgo de suplantación, robo de secretos y uso indebido de licencias por volumen.
Qué deben revisar ahora las empresas
Las organizaciones que gestionan sus propias activaciones deberían empezar por localizar todos sus servidores KMS, incluidos los que puedan permanecer olvidados en máquinas virtuales antiguas o infraestructuras de recuperación ante desastres.
Después conviene comprobar:
- si el host dispone de TPM y está habilitado;
- si admite la función de certificación de claves;
- si el servidor físico está certificado para Windows Server;
- qué hipervisor aloja las máquinas virtuales KMS;
- cómo se realizan las copias, migraciones y recuperaciones del servicio;
- si existen varios hosts por disponibilidad o continuidad de negocio;
- qué versión de Windows Server ejecuta cada uno.
La introducción de una identidad ligada al hardware también obliga a revisar los planes de contingencia. Una copia de seguridad tradicional podría no ser suficiente para recuperar un servidor si la nueva activación depende de claves protegidas por un TPM concreto.
Microsoft todavía debe detallar cómo se realizarán las sustituciones de hardware, la recuperación tras una avería y la migración entre hosts virtuales. Hasta que publique esa documentación, no conviene asumir que las prácticas actuales seguirán funcionando sin cambios.
KMS Hardware-Secured supone un endurecimiento importante de la activación por volumen, pero su alcance es más concreto de lo que sugieren algunos titulares. El TPM no se convertirá de repente en un policía instalado en cada ordenador. Será el documento de identidad criptográfico del servidor que afirma estar autorizado para activar otros equipos.
Preguntas frecuentes
¿Microsoft comprobará con el TPM si cada usuario tiene un Windows legal?
No según la información publicada. La certificación mediante TPM se aplicará al servidor KMS empresarial, no a una inspección individual de todos los ordenadores domésticos.
¿Cuándo empezará a funcionar KMS Hardware-Secured?
Windows Server 2025 comenzará a mostrar avisos de preparación en agosto de 2026. La certificación será obligatoria con la próxima versión LTSC de Windows Server.
¿Este cambio bloqueará los activadores KMS?
Puede dificultar considerablemente los que dependen de servidores falsos o clonados, porque el host tendrá que demostrar una identidad vinculada al hardware. Microsoft no afirma que vaya a eliminar todos los métodos de activación ilegal.
¿Qué pasa si el servidor KMS está virtualizado?
Microsoft todavía debe publicar instrucciones específicas para entornos virtuales. La existencia de un vTPM no garantiza por sí sola que el servidor cumpla todos los futuros requisitos.
Fuentes:
- Microsoft Windows IT Pro Blog, Strengthening Key Management Service (KMS) with Hardware-Based Trust.
- Microsoft Learn, documentación sobre Trusted Platform Module y certificación de claves.
- Microsoft Learn, documentación de activación por volumen y Key Management Service.
- Microsoft Learn, funciones de seguridad de máquinas virtuales de segunda generación en Hyper-V.
