Windows 10 ha terminado: Windows 11 es el mínimo, no el plan
El soporte terminó en octubre de 2025. Tanto si el parque ya está en Windows 11 como si paga Extended Security Updates o sigue sin más expuesto, la decisión de fondo es la misma: cambiar los PC, o aprovechar el cambio forzado para modernizar el puesto de trabajo que hay detrás. Aquí está el cómo, con los comandos de Intune, Autopilot y Azure, y la razón por la que ese mismo Windows 10 sale gratis de mantener vivo en la nube.
Windows 10 llegó al fin del soporte el 14 de octubre de 2025. La versión 22H2 fue la última, y la actualización que salió ese día fue la última actualización de seguridad gratuita que va a recibir. Esa fecha ya ha quedado atrás, no está por delante. Un parque que hoy sigue con Windows 10 está en uno de estos tres sitios: ya en Windows 11, pagando Extended Security Updates para ganar tiempo, o sin parches y confiando en la suerte. Solo uno de los tres es un plan.
Llevamos mucho tiempo acompañando a organizaciones en este cambio, desde farms globales en la Comisión Europea hasta parques de clientes Fortune 500, y el error es casi siempre el mismo: tratarlo como una renovación de PC en lugar de como la decisión de puesto de trabajo que en realidad es. Este artículo es el cómo, con los comandos, incluida la parte que una simple renovación de equipos no suele ver: ese mismo Windows 10 que cuesta dinero mantener vivo en un escritorio sale gratis en Azure.
El reloj no se paró, se puso un precio
Las máquinas con Windows 10 siguen arrancando. Ese es precisamente el problema. Nada se rompe el 15 de octubre; el riesgo es silencioso y se va acumulando. Para seguir recibiendo actualizaciones de seguridad Críticas e Importantes, un dispositivo físico tiene ahora que estar inscrito en el programa de pago Extended Security Updates (ESU), que Microsoft cobra a 61 dólares por dispositivo el primer año, y que se duplica cada año siguiente, hasta un máximo de tres años, es decir, hasta octubre de 2028. ESU es un puente que se paga para cruzarlo, no un sitio donde quedarse a vivir.
Las Microsoft 365 Apps enturbian aún más el cuadro. Word y Outlook siguen recibiendo actualizaciones de seguridad en Windows 10 hasta el 10 de octubre de 2028, pero se congelan en la versión 2608: sin funciones nuevas y, si abre un caso de soporte por un problema que solo ocurre en Windows 10, la respuesta es pasar a Windows 11. Se acaba pagando por quedarse quieto, en dos contadores distintos.
Windows 11 es una barrera de hardware, no una descarga
La razón de que esto no sea una actualización de un clic es el listón del hardware. Windows 11 exige TPM 2.0 y UEFI Secure Boot, sobre un procesador de una lista aprobada. Esos dos requisitos son los que dejan fuera buena parte del hardware comprado antes de 2018, y por mucha RAM que se añada eso no cambia. Por eso el primer número real del proyecto no es un recuento de licencias, sino qué parte del parque es siquiera elegible.
# Per device: the two gates that stop most pre-2018 hardware.
(Get-Tpm).TpmPresent -and (Get-Tpm).TpmReady # TPM 2.0 present and ready
Confirm-SecureBootUEFI # True only on UEFI with Secure Boot on
Primero, conocer el parque
No se planifica lo que no se ha contado. Si los dispositivos ya están en Intune, una consulta con el SDK de Microsoft Graph PowerShell da el reparto entre Windows 10 y Windows 11, con las compilaciones exactas, en todo el parque de una sola vez:
# Who is still on Windows 10, and on which build?
# 10.0.19045 = Windows 10 22H2; 10.0.22000 and above = Windows 11.
Connect-MgGraph -Scopes "DeviceManagementManagedDevices.Read.All"
Get-MgDeviceManagementManagedDevice -All -Filter "operatingSystem eq 'Windows'" |
Group-Object osVersion | Sort-Object Count -Descending |
Select-Object Count, Name
Esa sola tabla decide la forma del proyecto: cuántas máquinas admiten Windows 11 sin cambiar el equipo, cuántas hay que sustituir y cuántas son candidatas a un Cloud PC.
Autopilot: dejar de montar máquinas a mano
La forma antigua de instalar Windows era construir una imagen maestra y reconstruirla cada vez que algo cambiaba. Windows Autopilot acaba con eso. El dispositivo se entrega, el usuario lo enciende y entra con su cuenta de trabajo, y a partir de ahí el equipo se une a Entra ID, se inscribe en Intune, instala sus aplicaciones, aplica su configuración (BitLocker, Windows Hello) y pasa la comprobación de cumplimiento, todo desde la nube. Una Enrollment Status Page retiene el escritorio hasta que la máquina está de verdad lista, en dos fases: una de dispositivo y otra de usuario.
Hay dos variantes. El Autopilot clásico registra antes cada dispositivo por su hardware hash, para que el servicio lo reconozca en el primer arranque:
# Once per device (or done by the OEM): harvest the hardware hash and upload it to Intune.
Install-Script -Name Get-WindowsAutopilotInfo -Force
Get-WindowsAutopilotInfo -Online # asks for an Intune Administrator sign-in, then uploads
El más reciente Autopilot device preparation prescinde del paso del hardware hash: se asigna una directiva de preparación a un grupo de usuarios y cualquier dispositivo en el que uno de esos usuarios entre durante la instalación se une a Entra ID, se inscribe en Intune, recibe sus aplicaciones y sus scripts e incluso puede sacar al usuario del grupo de administradores locales de forma automática. Para un parque Windows 10 que se va a reinstalar de todos modos, es el camino más corto hasta una máquina Windows 11 limpia y gestionada.
Las directivas que se definen una vez
Autopilot pone el dispositivo bajo gestión. Lo que lo mantiene seguro es un puñado de directivas, definidas una sola vez y asignadas a grupos, nunca aplicadas a mano máquina a máquina:
- un perfil de implementación de Autopilot, con Entra join y una Enrollment Status Page, para que el primer arranque quede ya configurado;
- una directiva de cumplimiento que exige BitLocker activado, Microsoft Defender en marcha y una compilación mínima del sistema, para que un dispositivo que se desvíe se detecte;
- una directiva de Conditional Access que solo admite dispositivos conformes y exige autenticación multifactor, para que la identidad y el estado del dispositivo se comprueben juntos, y no por separado;
- una directiva de actualización de características de Windows Update que pasa los dispositivos elegibles a Windows 11 por anillos, en un calendario que controla usted, y no todos a la vez.
Esas cuatro marcan la diferencia entre un parque que por casualidad corre Windows 11 y otro que está de verdad gestionado. El plazo es la razón para ponerlas ahora, mientras cada máquina se va a tocar de todos modos.
El ángulo Azure: el mismo Windows 10 es gratis de mantener vivo en la nube
Aquí está la parte que cambia las cuentas, y no tiene nada que ver con comprar equipos. Esos 61 dólares por dispositivo, que se duplican cada año, son para máquinas físicas. Para Windows 10 corriendo como máquina virtual en Azure, las Extended Security Updates son gratuitas y automáticas. Sin claves, sin inscripción y sin configuración: Azure reconoce la máquina por sus propios metadatos. Se aplica a máquinas virtuales de Azure, a Azure Virtual Desktop (sesión única y multisesión), a Azure Dedicated Host, a Azure Local, a la familia Azure Stack y a los Cloud PC de Windows 365.
# Azure: list your Windows VMs to find the Windows 10 ones. ESU is already free here.
az vm list -d \
--query "[?storageProfile.osDisk.osType=='Windows'].{name:name, rg:resourceGroup, image:storageProfile.imageReference.sku}" \
-o table
Eso cambia la decisión para dos grupos de máquinas. Al parque que corre Windows 10 en Azure Virtual Desktop no hay que rescatarlo de un coste, hay que hacerlo avanzar: pase los hosts de sesión a Windows 11 multisesión a su ritmo, sabiendo que mientras tanto las actualizaciones de seguridad siguen llegando gratis. Una salvedad ya en vigor: la imagen AVD de Windows 10 22H2 que venía con las Microsoft 365 Apps se retiró del Azure Marketplace en abril de 2026; solo queda la imagen sin las Microsoft 365 Apps, hasta 2028, así que cualquier host construido a partir de la antigua es el primero que hay que mover.
Y las máquinas físicas que no han pasado la comprobación de hardware no se convierten en chatarra. Un Cloud PC de Windows 365 les da a sus usuarios un escritorio Windows 11 gestionado, transmitido al equipo antiguo, que hace de cliente ligero. Ese equipo antiguo queda incluso cubierto: un dispositivo Windows 10 que se conecta a un Cloud PC con licencia tiene derecho él mismo a ESU, sin coste adicional, hasta tres años. El escritorio que parecía una factura pasa a ser una puerta de entrada.
El suelo, no el destino
El fin de Windows 10 no es, en el fondo, una historia sobre Windows. Es el momento en que la industria dejó de permitir que las organizaciones aplazaran el Modern Workplace. Windows 11 no es el destino: es el suelo sobre el que se construyen la identidad, la gestión y la seguridad, sea ese suelo un portátil unido a Entra con Autopilot o un Cloud PC en Azure. La única pregunta que planteó de verdad el plazo de octubre de 2025 fue si ese suelo se iba a poner a propósito o bajo presión.
