Windows 10 ha terminado: Windows 11 es el mínimo, no el plan

Windows 10 llegó al fin del soporte el 14 de octubre de 2025. La versión 22H2 fue la última, y la actualización que salió ese día fue la última actualización de seguridad gratuita que recibirá jamás. Esa fecha ya quedó atrás, no está por delante. Un parque que hoy sigue con Windows 10 está en uno de tres lugares: ya en Windows 11, pagando Extended Security Updates para ganar tiempo, o sin parches y confiando en la suerte. Solo uno de ellos es un plan.

Llevamos organizaciones por este cambio desde hace mucho, desde farms globales en la Comisión Europea hasta parques de clientes Fortune 500, y el error es casi siempre el mismo: tratarlo como un recambio de PC en lugar de la decisión de puesto de trabajo que en realidad es. Este artículo es el cómo, con los comandos, incluida la parte que un simple recambio de equipos suele no ver: el mismo Windows 10 que cuesta dinero mantener vivo en un escritorio es gratis de mantener vivo en Azure.

El reloj no se paró, se puso un precio

Las máquinas con Windows 10 siguen arrancando. Ese es precisamente el problema. Nada se rompe el 15 de octubre; el riesgo es silencioso, y se acumula. Para seguir recibiendo actualizaciones de seguridad Críticas e Importantes, un dispositivo físico tiene ahora que estar inscrito en el programa de pago Extended Security Updates (ESU), que Microsoft cobra a 61 dólares por dispositivo el primer año, duplicándose cada año siguiente, hasta un máximo de tres años, hasta octubre de 2028. ESU es un puente que se paga para cruzar, no un sitio para vivir.

Las Microsoft 365 Apps enturbian aún más el cuadro. Word y Outlook siguen recibiendo actualizaciones de seguridad en Windows 10 hasta el 10 de octubre de 2028, pero se congelan en la versión 2608: sin funciones nuevas, y si abres un caso de soporte por un problema que solo ocurre en Windows 10, la respuesta es pasar a Windows 11. Acabas pagando por quedarte quieto, en dos contadores separados.

Windows 11 es una barrera de hardware, no una descarga

La razón de que esto no sea una actualización de un clic es el listón del hardware. Windows 11 exige TPM 2.0 y UEFI Secure Boot, en un procesador de una lista aprobada. Esos dos requisitos son los que dejan fuera mucho del hardware comprado antes de 2018, y ninguna cantidad de RAM lo cambia. Por eso el primer número real del proyecto no es un recuento de licencias, es cuánto del parque es siquiera elegible.

# Per device: the two gates that stop most pre-2018 hardware.
(Get-Tpm).TpmPresent -and (Get-Tpm).TpmReady   # TPM 2.0 present and ready
Confirm-SecureBootUEFI                          # True only on UEFI with Secure Boot on

Primero, conocer el parque

No se planifica lo que no se ha contado. Si los dispositivos ya están en Intune, una consulta con el SDK de Microsoft Graph PowerShell da el reparto entre Windows 10 y Windows 11, y las compilaciones exactas, en todo el parque de una vez:

# Who is still on Windows 10, and on which build?
# 10.0.19045 = Windows 10 22H2; 10.0.22000 and above = Windows 11.
Connect-MgGraph -Scopes "DeviceManagementManagedDevices.Read.All"
Get-MgDeviceManagementManagedDevice -All -Filter "operatingSystem eq 'Windows'" |
  Group-Object osVersion | Sort-Object Count -Descending |
  Select-Object Count, Name

Esa única tabla decide la forma del proyecto: cuántas máquinas admiten Windows 11 en el sitio, cuántas hay que sustituir, y cuántas son candidatas a un Cloud PC.

Autopilot: dejar de montar máquinas a mano

La forma antigua de instalar Windows era construir una imagen maestra, y reconstruirla cada vez que algo cambiaba. Windows Autopilot acaba con eso. El dispositivo se entrega, el usuario lo enciende y entra con su cuenta de trabajo, y el dispositivo se une a Entra ID, se inscribe en Intune, instala sus aplicaciones, aplica su configuración (BitLocker, Windows Hello) y se comprueba su cumplimiento, todo desde la nube. Una Enrollment Status Page retiene el escritorio hasta que la máquina está de verdad lista, en dos fases: una de dispositivo y otra de usuario.

Hay dos variantes. Autopilot clásico registra cada dispositivo primero por su hardware hash, para que el servicio lo reconozca en el primer arranque:

# Once per device (or done by the OEM): harvest the hardware hash and upload it to Intune.
Install-Script -Name Get-WindowsAutopilotInfo -Force
Get-WindowsAutopilotInfo -Online   # asks for an Intune Administrator sign-in, then uploads

El más reciente Autopilot device preparation prescinde del paso del hardware hash: se asigna una directiva de preparación a un grupo de usuarios, y cualquier dispositivo en el que ese usuario entre durante la instalación se une a Entra ID, se inscribe en Intune, recibe sus aplicaciones y scripts, e incluso puede sacar al usuario del grupo de administradores locales automáticamente. Para un parque Windows 10 que se va a reinstalar igual, es el camino más corto a una máquina Windows 11 limpia y gestionada.

Las directivas que se definen una vez

Autopilot pone el dispositivo bajo gestión. Lo que lo mantiene seguro es un puñado de directivas, definidas una vez y asignadas a grupos, nunca pulsadas máquina a máquina:

• un perfil de implementación de Autopilot, con Entra join y una Enrollment Status Page, para que el primer arranque quede ya configurado;
• una directiva de cumplimiento que exige BitLocker activado, Microsoft Defender en marcha y una compilación mínima del sistema, para que un dispositivo que se desvíe se detecte;
• una directiva de Conditional Access que solo admite dispositivos conformes y exige autenticación multifactor, para que la identidad y el estado del dispositivo se comprueben juntos, y no por separado;
• una directiva de actualización de características de Windows Update que pasa los dispositivos elegibles a Windows 11 por anillos, en un calendario que controlas, y no todos a la vez.

Esas cuatro son la diferencia entre un parque que por casualidad corre Windows 11 y uno que está de verdad gestionado. El plazo es la razón para ponerlas ahora, mientras cada máquina se abre de todos modos.

El ángulo Azure: el mismo Windows 10 es gratis de mantener vivo en la nube

Aquí está la parte que cambia las cuentas, y es la parte que un simple recambio de equipos nunca ve. Esos 61 dólares por dispositivo, que se duplican cada año, son para máquinas físicas. Para Windows 10 corriendo como máquina virtual en Azure, las Extended Security Updates son gratis, y automáticas. Sin claves, sin inscripción, sin configuración: Azure reconoce la máquina por sus propios metadatos. Se aplica a máquinas virtuales de Azure, a Azure Virtual Desktop (sesión única y multisesión), a Azure Dedicated Host, a Azure Local, a la familia Azure Stack, y a los Cloud PC de Windows 365.

# Azure: list your Windows VMs to find the Windows 10 ones. ESU is already free here.
az vm list -d \
  --query "[?storageProfile.osDisk.osType=='Windows'].{name:name, rg:resourceGroup, image:storageProfile.imageReference.sku}" \
  -o table

Eso cambia la decisión para dos grupos de máquinas. El parque que corre Windows 10 en Azure Virtual Desktop no hay que rescatarlo de un coste, hay que llevarlo hacia adelante: pasa los hosts de sesión a Windows 11 multisesión a tu ritmo, sabiendo que las actualizaciones de seguridad siguen llegando gratis mientras tanto. Una salvedad ya en vigor: la imagen AVD de Windows 10 22H2 que venía con las Microsoft 365 Apps se retiró del Azure Marketplace en abril de 2026; solo queda la imagen sin las Microsoft 365 Apps, hasta 2028, así que cualquier host construido a partir de la antigua es el primero en moverse.

Y las máquinas físicas que no pasaron la comprobación de hardware no se convierten en residuo. Un Cloud PC de Windows 365 da a sus usuarios un escritorio Windows 11 gestionado, transmitido al hardware antiguo, que lo ejecuta como cliente ligero. El equipo antiguo hasta queda cubierto: un dispositivo Windows 10 que se conecta a un Cloud PC con licencia tiene él mismo derecho a ESU, sin coste adicional, hasta tres años. El escritorio que parecía una factura pasa a ser una puerta de entrada.

El suelo, no el destino

El fin de Windows 10 no es, en el fondo, una historia sobre Windows. Es el momento en que la industria dejó de dejar que las organizaciones aplazaran el Modern Workplace. Windows 11 no es el destino, es el suelo sobre el que se construye identidad, gestión y seguridad, ya sea ese suelo un portátil unido a Entra con Autopilot o un Cloud PC en Azure. La única pregunta que el plazo de octubre de 2025 hizo, en realidad, fue si ibas a poner ese suelo a propósito, o bajo presión.