Seguridad de Windows: Qué Protege de Verdad y Qué Deja Fuera

Abres Seguridad de Windows, ves todo en verde y la pregunta llega sola: ¿con esto basta?

Defender protege mejor de lo que mucha gente cree, y las pruebas independientes lo respaldan. Pero hay cosas que Seguridad de Windows no hace, y casi nunca es un fallo suyo: vienen apagadas, tu edición no las incluye, o nunca estuvieron en su terreno.

Las recorremos una por una, comprobándolas en equipos reales.

En corto

• Defender obtiene 99,0% de protección en AV-Comparatives y 6/6 en AV-TEST: está a la par de las suites de pago.
• Acceso controlado a carpetas y Protección de administrador ya vienen en tu equipo, y las dos llegan desactivadas. Smart App Control aparece apagado en los equipos que subieron desde Windows 10.
• La documentación técnica de Microsoft sigue diciendo que Smart App Control exige reinstalar Windows. Su propia página de preguntas frecuentes dice lo contrario, y en un equipo actualizado desde Windows 10 lo activamos sin reinstalar nada.
• El firewall bloquea lo que entra y deja salir todo, salvo que tú escribas una regla.
• Ninguna función de Seguridad de Windows cifra el tráfico que sale del equipo hacia una red ajena.

¿Seguridad de Windows es un antivirus? Es eso y bastante más

Lo que no está roto, primero.

Microsoft Defender Antivirus obtuvo 99,0% de protección en la prueba de mundo real de AV-Comparatives del periodo febrero-mayo de 2026: bloqueó 396 de 400 casos. AV-TEST le da 6 sobre 6 en protección, la misma nota que las suites comerciales de pago.

Pagar por otro antivirus rara vez compra más detección, y esa pregunta tiene artículo propio: si hace falta un antivirus de pago en Windows 11.

Y si lo que buscabas era apagarlo, desactivar la app Seguridad de Windows es otro camino. Aquí vamos en sentido contrario.

Entonces, ¿qué es lo que falta en tu equipo?

Si el antivirus funciona, la pregunta razonable es qué queda fuera. Y lo que queda fuera cae en tres grupos distintos, que conviene no mezclar.

Lo que Windows trae y no enciende. Protecciones desarrolladas, instaladas y desactivadas de fábrica. Están a un interruptor de distancia, y el interruptor no se anuncia.

Lo que tu edición no incluye. Funciones que Microsoft anuncia y que nunca llegan a un equipo doméstico, porque son exclusivas de Enterprise o dependen de hardware que tu portátil quizá no tenga.

Lo que nunca fue su trabajo. Aquí no hay interruptor que buscar: el problema pertenece a otra categoría.

Seguridad es impedir que algo comprometa la máquina: malware, un exploit, alguien que no debería tener acceso a tu equipo. El adversario actúa de forma ilegítima y el objetivo es el equipo.

Privacidad es impedir que te observen y te perfilen. Aquí el que mira no está haciendo nada ilegal: es el sistema operativo enviando diagnósticos, la red publicitaria siguiéndote entre sitios, tu proveedor de internet viendo qué dominios consultas, el dueño del wifi al que te acabas de conectar.

Seguridad de Windows trabaja casi por completo en la primera columna. Buena parte de lo que la gente espera de ella vive en la segunda, y ahí no llega: no es lo que hace.

Lo que sale de tu equipo hacia una red ajena

Defender protege la máquina: lo que se ejecuta en ella, lo que escribe en su disco, lo que intenta entrar desde fuera.

En cuanto los datos salen del equipo hacia una red que no administras —el wifi de un hotel, un aeropuerto, una cafetería, la red compartida de una oficina— atraviesan una infraestructura cuyo operador no conoces. Defender puede estar impecable y no cambia nada: el tráfico sigue pasando por ahí.

Ese hueco no se cierra con antivirus, porque no es un problema de detección. Se cierra cifrando la conexión antes de que salga del equipo.

Es lo que hace una VPN como Proton VPN: levanta un túnel cifrado entre tu equipo y el servidor de la VPN, y desde ahí el tráfico continúa hacia su destino. Quien opera la red a la que te conectaste deja de ver tus sesiones: solo ve tráfico ilegible viajando hacia ese servidor.

Elegir entre proveedores es otra discusión, con sus propios criterios de jurisdicción, registros y rendimiento: nuestra comparativa de servicios VPN los ordena uno a uno.

Buena parte de lo que Windows trae viene apagado

Acceso controlado a carpetas impide que un programa no autorizado escriba en Documentos, Imágenes o Escritorio. Aunque un cifrador llegue a ejecutarse, no puede tocar lo que esa lista protege.

Ese cifrador no es hipotético. Solo en España, INCIBE gestionó 55.411 casos de malware durante 2025, de los cuales 392 fueron de ransomware. El total de incidentes —122.223— creció un 26% respecto al año anterior.

La defensa que Windows trae específicamente contra ese escenario viene desactivada. Lo comprobamos en un Windows 11 recién instalado.

Al encenderlo, durante los primeros días bloquea programas legítimos —editores de vídeo, juegos que guardan partidas en Documentos, respaldos de terceros— y hay que ir autorizándolos a mano. Después deja de molestar.

Protección de administrador separa tu actividad diaria de los permisos de administrador y exige autenticarte con Windows Hello cada vez que algo pide elevarse. Está disponible en Home, Pro, Enterprise y Education, y llega desactivada; se enciende desde Seguridad de Windows, en Protección de cuentas.

Microsoft es explícito en un punto: no la considera un límite de seguridad formal. La función endurece el modelo de elevación de privilegios, no lo blinda.

Smart App Control: apagado, y probablemente puedas activarlo

Smart App Control filtra por reputación en lugar de por firma de malware: bloquea aplicaciones desconocidas o sin firmar antes de que lleguen a ejecutarse. Es una capa distinta del antivirus.

En los equipos que llegaron a Windows 11 actualizando desde Windows 10 aparece apagado. Hasta aquí, nada nuevo.

La documentación técnica de Microsoft sostiene que solo puede activarse en una instalación limpia o tras un “Restablecer este PC”, y que en un equipo actualizado no hay forma de hacerlo sin reinstalar el sistema. Ese es el texto que se ha copiado en las guías.

La propia página de preguntas frecuentes de Microsoft dice otra cosa: que actualizaciones recientes de Windows permiten volver a activar Smart App Control sin reinstalar.

Lo probamos en un portátil con Windows 11 Home Single Language que subió desde Windows 10. El control estaba en Desactivado y la opción Evaluación, en gris. Pero Activado no estaba bloqueado.

Lo activamos. El sistema lo aceptó.

Las dos páginas son de Microsoft y dicen cosas distintas: la técnica describe un comportamiento que ya cambió y nadie ha actualizado la página.

Si tu equipo subió desde Windows 10 y diste por perdida esta protección porque lo leíste en alguna guía, vuelve a mirar: puede que el interruptor esté disponible. Y si al activarlo te incomoda, se revierte en la misma pantalla.

Otra parte no existe en tu edición

Estas funciones no están apagadas: no las tienes.

Cifrado de dispositivo es la versión reducida de BitLocker que llevan las ediciones Home.

Se activa solo, pero únicamente si inicias sesión con una cuenta Microsoft y tu equipo cumple unos requisitos de hardware y arranque que varían según la versión de Windows. En 24H2 esos requisitos se relajaron, así que hoy califican más equipos que en 2024. Si falla uno, el disco queda sin cifrar y nada te avisa.

No hace falta que te aprendas la lista. El estado actual del cifrado se comprueba desde PowerShell como administrador.

También puedes mirarlo con msinfo32.exe: la línea “Compatibilidad con el cifrado de dispositivos”, al final del resumen del sistema, dice si tu equipo califica y, si no califica, cuál es el requisito que falla.

El cifrado importa el día que pierdes el portátil: ningún antivirus decide si el disco es legible en manos de otro.

Cifrado de datos personales, que protege carpetas concretas con tu identidad de Windows Hello, existe solo en Enterprise y Education.

Los titulares sobre “nuevas funciones de seguridad de Windows” rara vez aclaran a qué edición se refieren, y una parte de lo que anuncia Microsoft no va a llegar nunca al equipo que tienes en casa.

La copia de seguridad no respalda tu equipo

Windows 11 incluye una herramienta llamada Copia de seguridad de Windows, y el nombre promete más de lo que entrega.

Respalda las carpetas conocidas —Escritorio, Documentos, Imágenes, Vídeos y Música—, la lista de aplicaciones instaladas desde Microsoft Store y algunas preferencias del sistema.

No respalda las aplicaciones Win32, es decir, todo lo que instalaste con un .exe descargado. No respalda archivos fuera de esas cinco carpetas. Y no crea una imagen del sistema: el día que muere el disco recuperas tus archivos personales en un equipo nuevo, no tu equipo.

Hay un segundo límite. Ese respaldo no va a tu disco: va a OneDrive, y una cuenta Microsoft gratuita tiene 5 GB. Son los mismos 5 GB que ya usan tus fotos del teléfono y tus adjuntos de correo, así que la copia se detiene a los pocos días con un aviso de espacio.

Para una imagen completa del sistema sigue estando la herramienta clásica, “Copia de seguridad y restauración (Windows 7)”, escondida en el Panel de control. Funciona, pero Microsoft la mantiene como pieza heredada y no la ha modernizado. El procedimiento completo está en nuestra guía de copias de seguridad en Windows 11.

Donde el firewall deja de mirar: las conexiones salientes

El Firewall de Windows filtra lo que intenta entrar a tu equipo. Hacia afuera funciona al revés, y lo dice el propio firewall cuando se le pregunta.

BlockInbound, AllowOutbound, en los tres perfiles. Las conexiones salientes se permiten por defecto y solo se bloquean si existe una regla explícita que lo diga: un programa ya instalado puede abrir una conexión hacia internet sin que el firewall te consulte.

Windows permite crear esas reglas. La consola donde se hacen, wf.msc, está en todas las ediciones, pero es una herramienta de administrador. Y una regla por programa casi nunca basta: una aplicación cualquiera usa varios ejecutables y servicios.

Auditar qué está escuchando en tu máquina no instala nada y se resuelve con dos comandos, que dejamos explicados en cómo ver y cerrar puertos abiertos en Windows.

Lo que viaja sin cifrar

Cada vez que abres un sitio, tu equipo pregunta primero por la dirección de ese dominio. Esa consulta viaja en claro y es legible para cualquiera que comparta la red contigo. No verá lo que haces dentro del sitio, pero sí qué sitios visitas.

Windows 11 sabe cifrar esa consulta con DNS sobre HTTPS. En el equipo que revisamos, la lista de fábrica devolvía doce entradas: Google, Cloudflare y Quad9, en IPv4 e IPv6. Todas con AutoUpgrade en False. El sistema sabe que existen y no los usa por iniciativa propia.

Hay que activarlo a mano, y además por cada adaptador de red: el wifi por un lado, el cable por otro. El procedimiento, adaptador por adaptador, está en cómo habilitar DNS sobre HTTPS en Windows.

Windows Hello protege lo que tú le pidas que proteja

Windows Hello no sirve solo para desbloquear el equipo. Funciona como autenticador estándar: puede guardar claves de acceso y, con ellas, entrar a servicios de terceros sin contraseña, autorizando con tu huella, tu rostro o tu PIN.

Esa clave solo funciona donde tú la hayas creado. Tus cuentas no quedan protegidas porque tu portátil se desbloquee con huella: si en tu correo o en tu banco sigues entrando con usuario y contraseña, ahí Hello no interviene y lo que te falta es un segundo factor de autenticación.

Hay una prueba casera. Abre esas cuentas desde el navegador de otro equipo: si entras solo con la contraseña, esa cuenta sigue teniendo una puerta que no pasa por Hello.

La telemetría que no puedes apagar

Esto ya no es seguridad. Es la otra columna, la de la privacidad.

Windows 11 envía a Microsoft dos clases de datos de diagnóstico. Los opcionales se desactivan en Configuración, en Privacidad y seguridad, apartado Diagnósticos y comentarios.

Los requeridos no: en Home y en Pro no hay forma de apagarlos desde la interfaz, y la clave de registro que teóricamente los desactiva se interpreta como el nivel mínimo. El apagado real solo está disponible en Enterprise y Education.

Eso deja a Microsoft en una posición doble: es quien te protege y, a la vez, quien te observa. Ajustar qué sale de tu equipo hacia Microsoft tiene entidad propia: Debotnet agrupa esos interruptores en una sola ventana.

Preguntas frecuentes

Qué revisar esta semana

Cinco comprobaciones; ninguna instala nada nuevo:

1. Enciende Acceso controlado a carpetas en Protección contra virus y amenazas, y cuenta con autorizar programas a mano los primeros días.
2. Mira si Smart App Control te deja activarlo, aunque tu equipo haya subido desde Windows 10.
3. Ejecuta manage-bde -status para ver si tu disco está cifrado ahora mismo, y msinfo32.exe si quieres saber además por qué tu equipo no califica.
4. Abre la Copia de seguridad de Windows y mira qué está incluyendo. Que una aplicación figure en la lista no significa que esté respaldada, y tus archivos de trabajo solo lo están si viven dentro de las carpetas incluidas.
5. Desactiva los datos de diagnóstico opcionales en Privacidad y seguridad.

La última solo llega hasta ahí: apaga los diagnósticos opcionales, no los que Windows envía igualmente. Esa frontera no la cierra ninguna casilla de Seguridad de Windows.