Microsoft implementará una medida de seguridad basada en hardware, el Módulo de Plataforma Segura (TPM), para endurecer la activación de Windows en servidores empresariales. Esta estrategia busca cerrar la vulnerabilidad de los emuladores KMS que facilitaban la activación de copias no originales. La nueva política afectará principalmente a Windows Server y comenzará a aplicarse de forma obligatoria en futuras versiones, aunque el mercado de licencias baratas y otras soluciones ya se ha anticipado.
En el pasado, la activación de copias de Windows se realizaba con un simple número de serie, como la famosa clave de licencia por volumen FCKGW-RHQQ2-YXRKT-8TG6W-2B7Q8. Esta clave, destinada a empresas, permitía evitar el contacto con Microsoft al usar la edición adecuada. Este fallo impulsó a Microsoft a mejorar la protección de Windows con Vista y su Volume Activation 2.0, dando origen a los servidores KMS para activaciones a gran escala.
Sin embargo, estos servidores KMS abrieron una puerta inesperada, ya que los emuladores KMS facilitaron la activación de Windows. Microsoft desarrolló KMS para el ámbito empresarial, permitiendo a las grandes compañías activar sus equipos de manera sencilla y masiva. La comunidad de Windows encontró la forma de emular estos servidores para activar no solo Windows, sino también Office. El resultado era que activar una copia no original de Windows era tan sencillo como ejecutar AutoKMS en el ordenador.
Debido a que esta vía era demasiado sencilla y peligrosa para los equipos profesionales con Windows, Microsoft ha decidido endurecer el proceso. Para ello, cuenta con un componente de hardware que no puede ser emulado por software, al menos por ahora: el TPM. El Módulo de Plataforma Segura (TPM) está integrado en la placa base y permite firmar una identidad de hardware que Microsoft puede verificar. En teoría, es un plan maestro.
Microsoft establece un bloqueo basado en hardware. Al requerir una firma que solo puede obtenerse del hardware autorizado, el servidor KMS queda ligado a su propio TPM: debe demostrar que funciona sobre hardware legítimo antes de poder activar cualquier equipo en la red. Microsoft comenzará a notificar en agosto de 2026, cuando Windows Server 2025 indicará si el servidor cumple o no los requisitos, pero la obligación no será efectiva hasta la próxima versión LTSC de Windows Server, prevista para 2028. Solo serán válidos los servidores con un TPM capaz de atestación de claves.
Esta medida impone un bloqueo, aunque solo a los equipos empresariales. A pesar de que el chip TPM se volvió indispensable para ejecutar Windows 11, el sistema de verificación para KMS se dirige a servidores con Windows Server. Aun así, podría ser un anticipo de lo que está por venir. De hecho, la comunidad de Windows ya se ha preparado.
Las licencias se han vuelto extremadamente económicas, aunque no las ofrecidas directamente por Microsoft. El problema es que una simple búsqueda revela decenas de revendedores de claves, anunciadas como OEM, pero que a menudo provienen de países con precios más bajos o son reaprovechadas del sector educativo (y que Microsoft anula periódicamente). Este mercado paralelo ha hecho casi innecesaria la activación mediante emuladores KMS. Además, la mayoría de los equipos se venden ya ensamblados y con su propia licencia de Windows.
La situación ya está preparada, como lo demuestra TSforge: no emula servidores KMS, sino que ataca directamente la estructura DRM de Windows. Microsoft aún no está restringiendo la vía paralela de activación para particulares; su interés principal es asegurar el segmento que le genera verdaderos ingresos: el empresarial. Sin embargo, no sería sorprendente que el bloqueo por hardware TPM terminara siendo universal.
