Secure Boot y TPM 2.0 para los anticheat (VALORANT, FACEIT): cómo comprobarlos y activarlos

VALORANT se detiene en VAN 9001 o VAN 9003, Battlefield 6 muestra un error de Secure Boot, Call of Duty informa de un Failed Attestation Status o FACEIT muestra un error. Todos quieren TPM 2.0 y Secure Boot activados en el firmware del PC. Microsoft señala que la mayoría de las placas base comerciales para PC montados por uno mismo vienen con el TPM desactivado, "even though it is almost always available to be enabled", así que compruébalo antes de comprar nada. Las trampas del camino son BitLocker y un disco del sistema MBR. Si en cambio FACEIT avisa de que faltan actualizaciones de seguridad de Windows o de un driver PawnIO prohibido, no es un ajuste del firmware; los dos casos están más abajo.

Qué comprueba el anticheat

Según Microsoft, Secure Boot ayuda a evitar que se cargue software malintencionado cuando se inicia un PC con Windows, porque durante el arranque solo deja ejecutarse software de confianza firmado digitalmente. Su objetivo son los rootkits: Microsoft dice que se inician antes que el sistema operativo, lo que significa que pueden ocultarse por completo.

El TPM convierte eso en una prueba. FACEIT explica que realiza un "Measured Boot" (arranque medido), en el que registra una huella de cada componente de la cadena de arranque, y que puede dar al anticheat un informe firmado, llamado atestación, de que el inicio fue limpio. FACEIT también afirma que el TPM y Secure Boot no afectan al rendimiento.

Quién pide qué, a fecha de octubre de 2026

Windows 11 solo exige un PC compatible con Secure Boot, no que Secure Boot esté activado.

Comprueba lo que tienes

Información del sistema. Presiona Windows + R, escribe msinfo32, presiona Entrar y lee Modo de BIOS y Estado de arranque seguro. La guía de Riot los interpreta así:

Administración de TPM. Ejecuta tpm.msc: quieres ver TPM está listo para usarse y una Versión de la especificación 2.0 en Información del fabricante del TPM. Microsoft interpreta No se encuentra el TPM compatible como un TPM que puede estar deshabilitado.

Seguridad de Windows. En Seguridad del dispositivo > Detalles del procesador de seguridad, FACEIT quiere que Atestación y Almacenamiento estén los dos en Listo. Si no aparece ninguna entrada de Procesador de seguridad, dice Microsoft, lo probable es que no haya TPM o que esté desactivado en el firmware.

En un PC en modo Legacy, Administración de discos muestra el Estilo de partición del disco de Windows: en el panel inferior, haz clic derecho en el número de ese disco, por ejemplo Disco 0, y luego en Propiedades > Volúmenes.

w0a lee los seis requisitos y muestra dónde está cada interruptor; Pocos FPS y tirones en CS2 explica la lista.

Antes de cambiar nada: BitLocker

BitLocker protege la unidad contra el robo o la exposición de datos de dispositivos perdidos, robados o retirados de forma inadecuada, según Microsoft, y los cambios en la forma en que arranca el PC pueden hacer que pida su clave de recuperación de 48 dígitos. Entre los desencadenantes que enumera Microsoft están borrar el TPM, los cambios en el administrador de arranque y en la tabla de particiones, y una actualización del firmware de la BIOS o UEFI, así que varios de los pasos de abajo están en la lista. El cifrado de dispositivo, la forma automática de BitLocker, puede activarse solo en cuanto un PC cumple los requisitos, por ejemplo al activar Secure Boot, dice Microsoft.

1. Antes del primer reinicio al firmware, busca tu clave de recuperación y guárdala fuera de este PC. Para una cuenta Microsoft, la página de Microsoft remite a aka.ms/myrecoverykey; según esa página, el soporte técnico de Microsoft no puede recuperar, proporcionar ni volver a crear una clave de recuperación de BitLocker perdida.
2. Si Panel de control > Cifrado de unidad BitLocker muestra la unidad protegida, selecciona Suspender protección antes de cada reinicio al firmware. La unidad sigue cifrada, pero su clave queda guardada sin protección hasta que la protección se reanuda automáticamente en el siguiente reinicio.

Actívalos en este orden

1. Si el disco es MBR, conviértelo primero, desde Windows. Riot advierte de que, si cambias la BIOS a UEFI sin convertir antes la unidad, Windows no arrancará. MBR2GPT, de Microsoft, convierte el disco del sistema sin modificar ni eliminar los datos del disco, pero su salida advierte "These changes cannot be undone!", así que haz antes una copia de seguridad y asegúrate de que el PC admite UEFI. En una unidad cifrada, MBR2GPT necesita BitLocker suspendido y que se vuelvan a crear sus protectores después; Riot y Activision piden en cambio desactivar el cifrado, lo que deja la unidad sin protección hasta que se vuelva a activar. En un Símbolo del sistema como administrador, ejecuta mbr2gpt /validate /allowFullOS y, si lo supera, mbr2gpt /convert /allowFullOS, y ve directamente al firmware.
2. Abre la configuración del firmware. En Windows 11, ve a Configuración > Sistema > Recuperación y selecciona Reiniciar ahora junto a Inicio avanzado (Windows 10: Configuración > Actualización y seguridad > Recuperación), y luego Solucionar problemas > Opciones avanzadas > Configuración de firmware UEFI > Reiniciar. O presiona la tecla del firmware al encender; Riot menciona Supr (Del), F2 o F10.
3. Modo de arranque UEFI, CSM desactivado. Donde se puedan habilitar a la vez UEFI y Legacy/CSM, Microsoft dice que elijas que UEFI sea la primera o la única opción; Riot y Activision dicen que desactives CSM si existe ese ajuste.
4. Activa el TPM del firmware. Microsoft dice que a veces está en Advanced, Security o Trusted Computing, con la etiqueta Security Device, Security Device Support, TPM State, AMD fTPM switch, AMD PSP fTPM, Intel PTT o Intel Platform Trust Technology. Para VAN: RESTRICTION, Riot necesita el TPM del firmware, no solo un módulo dedicado.
5. Pon Secure Boot en Enabled. En las placas ASUS, FACEIT dice que uses "Windows UEFI Mode". Si aparece en gris, Activision dice que selecciones el modo UEFI, guardes y vuelvas a abrir el firmware; si sigue en gris, el arreglo de Riot es "Restore Factory Keys" (restaurar las claves de fábrica), en Key Management, algo que, con BitLocker activado, según Riot cambiará las mediciones del TPM y activará la recuperación de BitLocker en el siguiente arranque.
6. Guarda, inicia Windows y vuelve a comprobarlo. Modo de BIOS en UEFI, Estado de arranque seguro en Activada, TPM listo en 2.0; EA señala que algunas versiones de Windows pueden necesitar un reinicio más.

Si está activado y el juego sigue diciendo que no

• Firmware antiguo. Según Riot, una BIOS antigua puede indicar que Secure Boot está activado y, aun así, no pasar las comprobaciones de directivas que exige Vanguard. Instala la última BIOS para tu placa exacta, que msinfo32 nombra en Fabricante de la placa base y Producto de placa base.
• Versión del TPM de AMD 3.*.0.*. Si tpm.msc muestra AMD con una Versión del fabricante como 3.92.0.5, FACEIT y Activision remiten los dos a una actualización de la BIOS.
• Bucles de arranque o cierres después de un cambio. El consejo de FACEIT: deshaz el último cambio del firmware, actualiza la BIOS y luego vuelve a activar las funciones de una en una.
• "Secure Boot Violation" o "Invalid Signature Detected". FACEIT dice que los certificados de Secure Boot de la placa están desactualizados, y que las actualizaciones de BIOS modernas traen los certificados de Microsoft de 2023 necesarios. Su vía desactiva Secure Boot solo para arrancar y actualizar; mientras está desactivado, el PC no tiene esa protección, y Microsoft recomienda volver a activarlo una vez resuelto el problema.
• "Your system is missing important Windows security updates." FACEIT dice que a este Windows le faltan parches de seguridad que el anticheat exige. Ejecuta Windows Update e instala lo que ofrezca; si no llega nada, los siguientes pasos de FACEIT son la herramienta de Microsoft para actualizar a Windows 11 o una descarga manual desde el historial de actualizaciones de Microsoft. Si una guía de tweaks desactivó los servicios de actualización, la tarjeta Windows Update de w0a los devuelve a los valores predeterminados de Windows; FACEIT no admite un Windows modificado que bloquee las actualizaciones. En Windows 10, FACEIT exige la versión 22H2 (compilación 19045); el soporte terminó el 14 de octubre de 2025, así que las correcciones de seguridad ya solo llegan a través del programa de Actualizaciones de seguridad extendidas, que Microsoft mantiene hasta el 12 de octubre de 2027. Si el hardware cumple los requisitos, FACEIT señala la actualización gratuita a Windows 11 como solución duradera.

FACEIT y el driver PawnIO

PawnIO es el driver opcional que w0a ofrece para leer la temperatura del procesador y los tiempos de la RAM; una instalación predeterminada de w0a no carga ningún driver de kernel. La lista de drivers bloqueados de FACEIT nombra PawnIO.sys con una sola indicación: actualizar PawnIO a la última versión. Con un driver bloqueado cargado, el anticheat no se inicia y muestra el error "Forbidden driver"; según FACEIT, reiniciar el PC bloquea entonces el driver y deja funcionar al anticheat, y FACEIT recomienda quitar los drivers de la lista o, si necesitas el programa, actualizarlo. En una máquina, PawnIO 2.2.0 funcionó junto a FACEIT, con partidas jugadas sin bloqueo. Es una sola observación, no una garantía: la lista de FACEIT sigue nombrando a PawnIO.

w0a solo instala PawnIO cuando tú lo pides y confirmas el editor que Windows verificó, y siempre descarga la última versión. Si le pides que instale o repare PawnIO con FACEIT instalado y un PawnIO anterior a 2.2.0 presente, w0a te avisa primero y solo sigue si aceptas. Para quitar PawnIO, desinstálalo desde la lista de aplicaciones instaladas de Windows; como explica Desinstalar w0a, quitar w0a no lo quita.

El cambio de certificados de 2026

Los certificados de Microsoft en los que se apoya Secure Boot se emitieron en 2011 y empezaron a caducar el 24 de junio de 2026; el último caduca el 19 de octubre. Los reemplazos de 2023 llegan por Windows Update, y según Microsoft la mayoría de los usuarios de sistemas Windows compatibles no tienen que hacer nada. Desde abril de 2026, Seguridad de Windows está implantando un estado de los certificados en Seguridad del dispositivo > Arranque seguro; Microsoft advierte de que una marca de verificación verde por sí sola no confirma que tus certificados estén actualizados, así que busca la línea que dice que se han aplicado todas las actualizaciones de certificados necesarias.

Lo que no ayuda

• Desactivar Secure Boot para que deje de salir un aviso. Microsoft dice que Secure Boot no debe desactivarse para esquivar la caducidad de los certificados, y que hacerlo reduce de forma significativa la protección del dispositivo y elimina las salvaguardas contra el malware a nivel de arranque. Los juegos de arriba también dejan de funcionar.
• Desactivar el fTPM de AMD para curar los tirones. Riot dice que AMD corrigió los tirones del fTPM de los primeros sistemas Ryzen en actualizaciones de BIOS posteriores, y que desactivar el fTPM te deja sin los juegos con Vanguard.
• Borrar el TPM como primer arreglo. Puede activar la recuperación de BitLocker, y Microsoft dice que hagas antes una copia de seguridad de tus datos.

Relacionado

• Pocos FPS y tirones en CS2: una lista basada en mediciones
• Volver a activar la integridad de memoria
• Resizable BAR y Smart Access Memory: qué es y cómo comprobarlo
• Intel de 13.ª y 14.ª gen: cierres en juegos y el arreglo que importa
• Los ajustes de Windows 11 que de verdad importan para jugar