Microsoft prepara un cambio importante en la activación por volumen de Windows. La compañía introducirá KMS Hardware-Secured, una evolución de Key Management Service que obligará a los servidores de activación a demostrar su identidad mediante certificación criptográfica respaldada por el Trusted Platform Module (TPM). El objetivo es impedir que un host falso, clonado o emulado por software pueda hacerse pasar con facilidad por un servidor KMS legítimo.

Las claves del nuevo KMS protegido por TPM en 30 segundos

• Microsoft vinculará la identidad de los servidores KMS a claves protegidas por el TPM.
• La validación se aplicará al host empresarial que activa equipos, no directamente a cada ordenador doméstico.
• Windows Server 2025 comenzará a mostrar avisos de preparación en agosto de 2026.
• La certificación será obligatoria en la próxima versión LTSC de Windows Server.
• Los entornos virtualizados requerirán indicaciones adicionales, todavía pendientes de publicar.
• El cambio dificultará los activadores KMS falsos, pero no eliminará por sí solo todas las copias ilegales de Windows.

El endurecimiento afecta a uno de los mecanismos más utilizados por empresas, administraciones y grandes organizaciones para activar cientos o miles de equipos desde una infraestructura interna. También apunta a una de las técnicas más conocidas para eludir la licencia de Windows: levantar un servidor KMS falso que responde como si perteneciera a una organización con licencias por volumen.

La diferencia respecto al modelo actual es que la confianza dejará de depender únicamente de la configuración del software. El servidor deberá aportar una prueba ligada al hardware, validada a través del TPM, antes de recibir autorización para atender solicitudes de activación.

De la confianza en software a una identidad ligada al hardware

Key Management Service permite que una organización gestione la activación de Windows sin que cada equipo tenga que contactar directamente con Microsoft. Los clientes KMS buscan dentro de la red un host autorizado y renuevan periódicamente su estado de activación.

Este sistema reduce el trabajo administrativo y facilita la gestión de grandes despliegues, laboratorios, escritorios virtuales y equipos que operan en redes restringidas. Sin embargo, el diseño tradicional también permite que una implementación falsa imite las respuestas esperadas por el cliente.

Herramientas no autorizadas han aprovechado durante años este comportamiento para simular un entorno empresarial. El ordenador recibe una respuesta KMS aparentemente válida y queda activado durante un periodo determinado. Un servicio o tarea programada puede repetir después el proceso para renovar ese estado.

KMS Hardware-Secured introduce una capa adicional. El servidor deberá utilizar el TPM como raíz de confianza y demostrar que su identidad criptográfica está asociada a una plataforma concreta. Microsoft podrá verificar esa prueba antes de permitir que el host distribuya activaciones.

El planteamiento dificulta varios tipos de abuso:

• copiar la configuración de un servidor legítimo;
• exportar sus secretos y reutilizarlos en otra máquina;
• clonar una máquina virtual KMS sin conservar la cadena de confianza;
• emular completamente el servicio mediante software;
• modificar la plataforma sin que la alteración quede reflejada en la certificación.

El TPM puede proteger claves de forma que no resulten exportables como un archivo convencional. También puede aportar evidencias sobre el estado de arranque y la integridad de la plataforma, aunque Microsoft todavía deberá precisar qué mediciones exigirá exactamente al servidor KMS.

El TPM no inspeccionará cada PC con Windows

El anuncio puede interpretarse como una nueva medida antipiratería, pero su alcance es más limitado de lo que sugieren algunos titulares.

Microsoft no ha anunciado que el TPM de cada ordenador vaya a buscar activadores, analizar archivos o decidir de forma independiente si la licencia instalada es legítima. La certificación se aplicará al host KMS, es decir, al servidor que afirma estar autorizado para activar otros sistemas dentro de una organización.

Los clientes continuarán enviando sus solicitudes al servidor configurado. La diferencia estará en que ese host deberá haber superado previamente una validación basada en hardware.

Para un usuario doméstico con una licencia digital, una clave comercial o una licencia incluida por el fabricante del ordenador, el cambio no debería exigir ninguna acción. Tampoco modifica directamente los métodos de activación asociados a la cuenta de Microsoft o a claves OEM.

Sí puede afectar indirectamente a las herramientas que dependen de una infraestructura KMS falsa. Si el ecosistema termina exigiendo una identidad criptográfica certificada, reproducir únicamente el protocolo o las respuestas de activación dejará de ser suficiente.

Eso no implica que desaparezcan todos los métodos ilegales. Existen técnicas diferentes que no funcionan como un servidor KMS convencional, y es previsible que quienes mantienen este tipo de herramientas intenten buscar nuevas vías.

Windows Server 2025 empezará a evaluar la compatibilidad en agosto

La transición comenzará con una fase informativa.

Desde agosto de 2026, Windows Server 2025 mostrará mensajes para indicar si un equipo está preparado para actuar como host KMS con seguridad basada en hardware. Durante esta etapa, las advertencias servirán para que los departamentos de sistemas identifiquen incompatibilidades antes de que la certificación pase a ser obligatoria.

Los administradores podrán consultar el estado ampliado de la licencia mediante:

slmgr /dlv

El sistema podrá mostrar un mensaje que confirme que el dispositivo cumple los requisitos para funcionar como servidor KMS protegido por hardware. En caso contrario, indicará que el host no reúne las condiciones necesarias.

También aparecerán avisos en el Visor de eventos, dentro de la ruta:

Applications and Services Logs > Key Management Service

Microsoft recomienda comprobar si el TPM admite la función de certificación de claves con PowerShell:

Get-TpmSupportedFeature -FeatureList "Key Attestation"

Si la respuesta incluye Key Attestation, el dispositivo dispone de la capacidad básica requerida para la nueva arquitectura.

Esta comprobación no sustituye a una validación completa. También será necesario revisar que el TPM esté habilitado, que el firmware esté actualizado y que el servidor figure como compatible con la versión correspondiente de Windows Server.

La próxima versión LTSC hará obligatoria la certificación

Microsoft ha confirmado que la certificación mediante TPM será obligatoria con la siguiente versión Long-Term Servicing Channel (LTSC) de Windows Server.

La empresa no ha concretado todavía el nombre comercial ni el calendario de esa versión. Tampoco ha detallado cuándo dejará de aceptar el modelo KMS tradicional en los entornos que migren al nuevo servidor.

Las organizaciones deberán revisar con tiempo sus hosts actuales. Algunos equipos físicos pueden incluir un TPM compatible que permanece desactivado en la UEFI. Otros servidores antiguos podrían carecer del módulo o incorporar una versión que no soporte la certificación de claves requerida.

La migración puede obligar a:

• activar el TPM desde el firmware;
• actualizar la BIOS o UEFI;
• sustituir un módulo físico;
• trasladar el servicio KMS a otro servidor;
• revisar procedimientos de copia y recuperación;
• documentar cómo se conserva la identidad del host ante una avería.

El cambio también afecta a los planes de continuidad. Si la identidad del servidor queda ligada a un TPM concreto, restaurar únicamente la máquina desde una copia de seguridad puede no ser suficiente. La recuperación deberá contemplar las claves protegidas por hardware y los mecanismos de reinscripción que Microsoft establezca.

El gran interrogante está en la virtualización

Muchas empresas ya no ejecutan KMS sobre un servidor físico independiente. Lo alojan como máquina virtual en Hyper-V, VMware, Proxmox VE, plataformas hiperconvergentes o nubes privadas.

Microsoft ha reconocido que publicará instrucciones específicas para estos entornos más adelante. Por ahora, no debe asumirse que añadir un vTPM a una máquina virtual resolverá automáticamente todos los requisitos.

Un TPM virtual suele depender de la seguridad del hipervisor, del host físico y de un servicio de protección de claves. La cadena de confianza es, por tanto, más compleja que en un servidor físico.

Quedan varias preguntas técnicas pendientes:

• cómo se certificará el vTPM frente a Microsoft;
• qué ocurrirá cuando la VM migre a otro nodo;
• si será posible utilizar migración en caliente;
• cómo funcionarán las réplicas para recuperación ante desastres;
• si un clon de la máquina conservará o perderá su identidad;
• qué requisitos deberán cumplir VMware, Hyper-V o Proxmox;
• cómo se gestionará una restauración tras la pérdida del host.

Estas cuestiones serán especialmente relevantes en clústeres donde la alta disponibilidad mueve automáticamente las máquinas entre nodos. Si la certificación queda vinculada al hardware subyacente, Microsoft deberá ofrecer un método que permita mantener la seguridad sin bloquear las operaciones normales de una infraestructura virtualizada.

Más seguridad, pero también más dependencia operativa

La ventaja principal del nuevo modelo es clara: un atacante tendrá más dificultades para copiar un servidor KMS o robar sus credenciales de activación.

La certificación basada en TPM puede reducir la suplantación, proteger secretos y ofrecer a Microsoft una mayor garantía sobre la identidad del servidor. También puede ayudar a las empresas a detectar hosts no autorizados dentro de su propia red.

Sin embargo, la dependencia del hardware añade complejidad. Una avería de placa, un cambio de servidor o una migración mal planificada podrían afectar a la capacidad de activar nuevos equipos si no existe un procedimiento de recuperación bien documentado.

Las organizaciones deberán tratar el servidor KMS como una pieza crítica de seguridad y licenciamiento, no como una máquina auxiliar que puede clonarse o reconstruirse sin consecuencias.

El cambio encaja con una estrategia más amplia de Microsoft. Windows lleva años trasladando funciones sensibles hacia raíces de confianza respaldadas por hardware: BitLocker, Windows Hello, Credential Guard, Secure Boot, protección de claves y certificación remota.

KMS era una de las piezas que todavía dependían en gran medida de una identidad basada en software. KMS Hardware-Secured pretende cerrar esa diferencia.

Qué deberían hacer ahora los administradores

La primera tarea consiste en inventariar todos los servidores KMS de la organización. Es frecuente encontrar hosts antiguos, secundarios o destinados a recuperación que siguen registrados pero apenas aparecen en la documentación.

Después conviene identificar:

• versión de Windows Server;
• servidor físico o virtual;
• presencia y versión del TPM;
• soporte para Key Attestation;
• hipervisor utilizado;
• método de copia de seguridad;
• procedimiento de recuperación;
• dependencias de red y DNS;
• número de clientes que dependen de cada host.

También será necesario vigilar las actualizaciones que Microsoft publique sobre virtualización y fechas de aplicación obligatoria.

No parece recomendable renovar hardware únicamente con la información disponible. En muchos casos bastará con habilitar funciones ya presentes. Pero sí resulta conveniente detectar cuanto antes los servidores que no podrán adaptarse sin cambios.

La nueva arquitectura no convierte al TPM en una herramienta que vaya revisando uno por uno todos los Windows instalados. Su función será más concreta y técnicamente relevante: servir como credencial criptográfica del servidor que tiene permiso para activar los equipos de una organización.

Preguntas frecuentes

¿Microsoft usará el TPM para comprobar si cada Windows es legal?

No según el anuncio publicado. La certificación se aplicará al servidor KMS empresarial, no a una inspección individual de todos los ordenadores.

¿Cuándo comenzarán los cambios?

Windows Server 2025 mostrará avisos de preparación desde agosto de 2026. La certificación será obligatoria con la próxima versión LTSC de Windows Server.

¿Los servidores KMS virtuales necesitarán vTPM?

Es probable que la confianza basada en hardware requiera alguna forma de TPM virtual, pero Microsoft todavía no ha publicado los requisitos completos para entornos virtualizados.

¿Desaparecerán los activadores KMS?

El cambio puede bloquear o dificultar los que se basan en servidores falsos y emulación por software. No garantiza que desaparezcan todos los métodos de activación no autorizada.

Fuentes:

• Microsoft Tech Community, Strengthening Key Management Service (KMS) with Hardware-Based Trust.
• Microsoft Learn, documentación sobre Key Management Service y activación por volumen.
• Microsoft Learn, documentación técnica sobre TPM y Key Attestation.
• Microsoft Learn, seguridad basada en virtualización y TPM virtual en Windows Server.