CachyOS en un portátil: la wifi no vuelve al suspender y Secure Boot se activa solo

Dos problemas que aparecieron en un portátil con CachyOS y que se arreglan por separado: la wifi que no vuelve al abrir la tapa y un Secure BootEl Arranque seguro: la UEFI solo deja arrancar sistemas firmados con claves de confianza. que se reactiva solo y deja el sistema sin arrancar.

Probado en un portátil con CachyOS, arranque con Limine, disco cifrado con LUKSEl cifrado de discos estándar en Linux. y wifi Intel AX201 (controlador iwlwifi). Lo del wifi depende de la placa: puede que en la tuya no pase. Los pasos de Secure Boot siguen la documentación de CachyOS, consultada el 4 de octubre de 2026.

Sin wifi después de cerrar la tapa

Qué pasa: cierras la tapa, el portátil se suspende, y al abrirla la wifi sale «desactivada» y no se deja activar. Solo se arregla reiniciando.

Cómo saber si es esto: mira el registro del sistema después de abrir la tapa:

journalctl -b | grep -iE "suspend entry|Rfkill was toggled"

Si sale Rfkill was toggled during suspend, la placa bloqueó la wifi por hardware durante la suspensión profunda («deep»). Ni rfkill unblock wifi ni recargar el controlador lo arreglan: solo quitan bloqueos de software.

Arreglo: usar siempre la suspensión ligera (s2idle), en la que la placa no toca la wifi. Crea el fichero de configuración:

sudo mkdir -p /etc/systemd/sleep.conf.d
sudoedit /etc/systemd/sleep.conf.d/wifi-s2idle.conf

Con este contenido:

[Sleep]
MemorySleepMode=s2idle

Comprueba: suspende y abre la tapa. Esta orden debe mostrar suspend entry (s2idle) y no debe salir «Rfkill was toggled»:

journalctl -b | grep -iE "suspend entry|Rfkill was toggled"

Y cat /sys/power/mem_sleep te dice cuál se usa: la palabra entre corchetes.

Si sigue fallando:

1. Fuerza s2idle desde el arranque: añade mem_sleep_default=s2idle a KERNEL_CMDLINE en /etc/default/limine y ejecuta sudo limine-update.
2. En la BIOSEl programa de la placa que arranca el PC antes que el sistema. Hoy casi siempre es UEFI, aunque se le siga llamando BIOS., si hay una opción de wifi o «Wireless» en Advanced → Built-in Device Options, déjala activada.
3. Si no hay manera, que la tapa no suspenda: Configuración del sistema → Energía → Al cerrar la tapa: no hacer nada. En un portátil que va siempre enchufado, suspender ahorra poco.

Secure Boot se activa solo y CachyOS no arranca

Qué pasa: en algunos portátiles, al quitar la corriente la BIOS vuelve a sus valores de fábrica y activa Secure Boot. CachyOS no viene firmado para ese arranque, así que no arranca hasta que entras en la BIOS y lo desactivas.

Solución: firmar el arranque con claves propias y guardarlas en la BIOS con sbctl. Así arranca aunque Secure Boot esté activado, y las claves siguen en la memoria de la BIOS.

Trabajas con claves de arranque: si te equivocas, el equipo puede no arrancar. Ten a mano un USB de CachyOS y no sigas si no estás seguro de un paso.

1. En Linux, con Secure Boot desactivado

sudo pacman -S sbctl
sudo sbctl create-keys
echo 'ENABLE_ENROLL_LIMINE_CONFIG=yes' | sudo tee -a /etc/default/limine
sudo limine-update
sudo sbctl verify

sbctl verify debe marcar como firmado (✓) el BOOTX64.EFI de Limine. Si sale algún fichero sin firmar, fírmalo con sudo sbctl sign -s RUTA.

Con Limine 11.2 o posterior, la documentación de CachyOS pide además dar de alta la suma de comprobación de la configuración: añadir el hash BLAKE2B (b2sum) a la imagen de fondo en /boot/limine.conf y ejecutar sudo limine-enroll-config. Mira su página antes de seguir.

2. En la BIOS

Entra con systemctl reboot --firmware-setup o con la tecla de tu portátil (en un HP, F10). En Security o Advanced → Secure Boot Configuration:

• Deja Secure Boot desactivado por ahora.
• Marca «Clear Secure Boot Keys» (borrar claves). Algunos equipos piden un código de cuatro cifras al reiniciar.

Así la BIOS queda en «modo configuración» (Setup Mode), que permite meter claves nuevas. Algunas placas MSI y ASUS no tienen ese modo y se hace de otra forma: mira la documentación de CachyOS.

3. De vuelta en Linux

sudo sbctl status

Debe decir Setup Mode: ✓ Enabled. Entonces:

sudo sbctl enroll-keys -m

La -m mete también las claves de Microsoft. No la quites: sin ellas, Windows y algunos componentes del equipo pueden dejar de arrancar. La documentación de CachyOS añade --firmware-builtin para guardar también las claves del fabricante, y avisa de que en placas ASUS y Gigabyte no se debe usar. Nosotros usamos solo -m.

4. De nuevo en la BIOS

Activa Secure Boot, guarda y reinicia.

5. Comprueba

sudo sbctl status

Debe decir Secure Boot: ✓ Enabled. Después, desenchufa un momento, vuelve a enchufar y comprueba que arranca sin tocar la BIOS.

Mantenimiento

• Las actualizaciones del kernel y de Limine se firman solas: limine-update llama a sbctl sign si sbctl está instalado.
• Si un día no arranca con Secure Boot, desactívalo en la BIOS, arranca y ejecuta sudo sbctl verify para ver qué falta por firmar.
• Riesgo: si al quitar la corriente la BIOS repone también las claves de fábrica (y no solo los ajustes), las tuyas se pierden y hay que repetir los pasos 2 a 4. Las claves de sbctl se quedan en el disco (/var/lib/sbctl), así que no hay que crearlas otra vez.