Tactical RMM: qué es, licencia, requisitos e instalación

Tactical RMM es una plataforma de monitorización y gestión remota (RMM) que instalas en tu propio servidor. Desde un panel web controlas equipos Windows, Linux y macOS: escritorio remoto, shell, scripts, parches, alertas e inventario. Su código es público, pero su licencia no es de código abierto y varias funciones requieren patrocinio.

Si todavía no tienes claro qué hace un RMM y por qué lo usan los proveedores de servicios gestionados, empieza por nuestra guía sobre qué es un RMM y por qué lo utilizan los MSP.

En resumen

• Tactical RMM es un RMM autoalojado: el servidor es tuyo, y también su mantenimiento y su seguridad.
• No es software de código abierto. Su propia licencia lo dice, aunque permite usarlo para gestionar tus sistemas y los de tus clientes.
• El agente de Windows sin firmar es gratis. Los agentes de macOS y Linux, el agente de Windows firmado, el módulo de informes y el SSO son funciones de patrocinio, desde 55 dólares al mes (80 para el módulo de informes).
• Para instalarlo necesitas una VM limpia con Debian o Ubuntu, al menos 4 GB de RAM, tres subdominios y el puerto 443 abierto a internet.
• Puedes probarlo antes en la demo oficial: demo.tacticalrmm.com.

Qué es Tactical RMM y cómo está construido

Tactical RMM lo desarrolla AmidaWare LLC. El servidor está construido con Django (backend) y Vue (interfaz web), y en cada equipo gestionado se instala un agente escrito en Go.

Para el escritorio remoto se apoya en MeshCentral, que se instala junto con el servidor. Según la documentación de la integración, MeshCentral se encarga de Take Control (el escritorio remoto) y del explorador de archivos; la terminal, desde la v1.5.0, es nativa del propio agente.

MeshCentral también funciona por su cuenta como herramienta de escritorio remoto, y en nuestra comparativa de programas de escritorio remoto de código abierto lo medimos frente a RustDesk y otras opciones.

La gran diferencia con un RMM en la nube es dónde vive el servidor. En Tactical RMM no pagas por equipo gestionado a un proveedor: alojas tú el servidor, lo expones a internet y te encargas de actualizarlo, respaldarlo y protegerlo.

Qué puede hacer Tactical RMM: funciones principales

Según la documentación oficial, Tactical RMM incluye estas funciones:

• Escritorio remoto completo a través de MeshCentral (la documentación lo describe como similar a TeamViewer).
• Shell remota en tiempo real en el equipo gestionado, con un permiso propio para controlar qué técnicos pueden usarla.
• Explorador de archivos remoto, para subir y descargar archivos.
• Editor del Registro de Windows a distancia.
• Ejecución remota de comandos y scripts en Bash, batch, PowerShell, Python, Nushell y Deno.
• Visor de registros de eventos de Windows.
• Gestión de servicios del sistema.
• Gestión de parches de Windows.
• Comprobaciones automáticas (checks) con alertas por correo electrónico, SMS o webhooks (por ejemplo, de CPU, disco, memoria, servicios, scripts o registros de eventos).
• Tareas programadas, como ejecutar scripts según un horario.
• Instalación remota de software con Chocolatey.
• Inventario de hardware y software de cada equipo.

Los webhooks son útiles si ya trabajas con un sistema de tickets o un canal de chat del equipo: la alerta llega a donde ya miras, sin depender solo del correo.

Licencia de Tactical RMM: ¿es de código abierto?

No. El código fuente de Tactical RMM se puede ver en GitHub, pero se publica bajo una licencia propia, la Tactical RMM License Version 1.0 (AmidaWare LLC, 2022). Su archivo de licencia lo dice textualmente:

“The Tactical RMM License is not an open-source software license.” (La licencia de Tactical RMM no es una licencia de software de código abierto.)

Tactical RMM es software de código fuente disponible: puedes leer el código, pero no tienes las libertades de una licencia de código abierto.

La licencia permite usar el software para monitorizar y gestionar redes y sistemas internos (los de tu propia organización) y redes y sistemas de clientes. En la práctica, una empresa puede usarlo para su parque de equipos y un MSP puede usarlo para gestionar los equipos de sus clientes, dentro de las restricciones que siguen.

Entre otras cosas, la licencia no permite:

• Ofrecer o vender servicios o productos basados en el software, con o sin la marca Tactical RMM.
• Ofrecerlo como servicio a terceros a través de la red o como parte de un SaaS.
• Ofrecer servicios de instalación o configuración de Tactical RMM.
• Usarlo dentro de un servicio de hosting gestionado.

Para cualquiera de estos usos hace falta un permiso escrito de AmidaWare.

Además, la licencia no concede el uso de la marca “Tactical RMM”. Y si distribuyes un trabajo derivado, debes publicar su código fuente completo.

La frontera entre “gestionar los sistemas de mis clientes” (permitido) y “ofrecer un servicio comercial basado en el software” (prohibido) no siempre es evidente. Si tu modelo de negocio cae cerca de esa línea, no lo interpretes por tu cuenta: consúltalo directamente con AmidaWare antes de desplegar.

¿Tactical RMM es gratis? Lo libre y lo que requiere patrocinio

En parte. Puedes instalar el servidor y gestionar equipos Windows con el agente sin firmar, sin pagar licencia. Otras piezas son lo que el proyecto llama Sponsorship Features (funciones de patrocinio), reservadas a sus patrocinadores.

Para Linux y macOS, la FAQ oficial añade: “You must have a paid code signing certificate while Linux/macOS support is in the post-alpha/beta“.

Es decir, mientras ese soporte siga en fase post-alfa o beta, los agentes de Linux y macOS requieren la firma de código de pago.

Esa firma llega como un token que AmidaWare entrega a sus patrocinadores. Según la página de firma de código, el token se pide abriendo un ticket de soporte y cubre una instancia autoalojada; con él, el servidor genera agentes firmados, incluidos los de Linux y macOS.

La FAQ deja otra vía para quien no patrocina: leer el código y montarlo por su cuenta (lo que llama “DIY”), sin la instalación sencilla que da el token.

Cuánto cuesta el patrocinio

AmidaWare publica sus niveles de patrocinio en la página oficial de patrocinio. Los precios están en dólares estadounidenses:

Dos niveles marcan el acceso a las funciones de pago:

• Tier 1 es el mínimo para el agente de Windows firmado, los agentes de Linux y macOS y el SSO.
• Tier 2 es el mínimo para el módulo de informes (Reporting), con excepciones para los “Founders” y las organizaciones sin ánimo de lucro.

Una vez que recibes el token de firma de código, el pago no es reembolsable.

Sistemas operativos compatibles con el agente de Tactical RMM

El agente de Tactical RMM funciona en estos sistemas:

El README del proyecto solo lista agentes para Windows, Linux y macOS; no incluye ninguno para Android ni para otros dispositivos móviles.

Si tu parque es casi todo Windows, la versión gratuita cubre lo esencial. Si gestionas muchos servidores Linux o equipos Mac, cuenta desde el principio con el patrocinio.

Que el agente de Windows gratuito no esté firmado tiene consecuencias prácticas: algunos antivirus o soluciones EDR pueden marcarlo como sospechoso (un falso positivo típico) y obligarte a crear exclusiones.

La guía de antivirus de Tactical RMM da las rutas a excluir (C:\Program Files\TacticalAgent\*, C:\Program Files\Mesh Agent\* y C:\ProgramData\TacticalRMM\*, entre otras) y sus procesos. Para Windows Defender enlaza scripts de la comunidad, y para Bitdefender GravityZone y SentinelOne, instrucciones paso a paso.

Requisitos de Tactical RMM: qué necesitas para instalar el servidor

Estos son los requisitos de la guía oficial de instalación:

Ubuntu 24.04 no tiene soporte oficial. En una discusión del repositorio de abril de 2026, el mantenedor explicó que habrá soporte para una versión nueva antes del fin de soporte de Ubuntu 22.04, y que probablemente el proyecto salte directo a Ubuntu 26.04 sin pasar por la 24.04.

Debian 13 tampoco tiene soporte oficial.

Además, ten en cuenta dos condiciones:

• El servidor debe ser nuevo. El script de instalación asume una máquina sin otros servicios. No lo instales en un servidor que ya aloja tu web, tu correo o tu proxy.
• Configura los tres subdominios antes de ejecutar el script: ten listos los registros DNS de rmm, api y mesh. Durante el proceso, el script te pide publicar un registro TXT _acme-challenge en tu DNS (el desafío DNS de Let’s Encrypt) para emitir el certificado comodín.

Instalación tradicional o con Docker: pros y contras

Tactical RMM se puede instalar de dos formas: con el script tradicional sobre una VM o con Docker, y conviene elegir desde el principio.

No se puede migrar de un tipo de instalación al otro. Si después cambias de idea, tendrás que levantar un servidor nuevo y migrar los agentes a mano: la guía de consideraciones de instalación no ofrece script de migración.

Instalación tradicional (script sobre una VM):

• Es una VM o máquina dedicada. Puedes respaldarla entera si tu hipervisor hace copias de seguridad de VM.
• Incluye scripts de copia de seguridad y restauración: backup.sh y restore.sh. La restauración solo funciona en un servidor recién instalado y vacío.
• Es mucho más fácil diagnosticar problemas cuando algo falla.
• Ofrece mejor rendimiento y es más fácil de ajustar y personalizar.

Instalación con Docker:

• Es conceptualmente más compleja: trabajas con volúmenes e imágenes.
• La copia de seguridad y la restauración se hacen solo con los métodos propios de Docker: el script de copia de seguridad de la instalación tradicional no funciona con Docker.
• Permite replicación de contenedores para redundancia o varios servidores.
• Pide los mismos tres nombres DNS: rmm, api y mesh.

Según su guía de instalación, Docker no tiene soporte oficial por ahora y no se recomienda para producción salvo que seas un usuario avanzado de Docker.

Por eso recomendamos la instalación tradicional, sobre todo si es la primera vez o gestionas un parque pequeño o mediano: es la que describe la guía de requisitos y la más fácil de mantener.

Docker tiene sentido si tu equipo ya opera contenedores a diario y necesita redundancia.

Demo en vivo de Tactical RMM: cómo probarlo sin instalar

Puedes probar la interfaz en la demo oficial, demo.tacticalrmm.com, que la documentación enlaza como “LIVE DEMO”. El enlace antiguo que circula en algunos artículos (rmm.tacticalrmm.io) ya no es el de la demo actual.

Al recorrerla vimos que la pantalla de acceso trae el usuario (demo) y la contraseña ya escritos, así que entras sin teclear nada. Antes del panel, la demo pide un código de doble factor (2FA), también prellenado.

Dentro verás un parque de ejemplo de 250 equipos Windows y macOS repartidos en seis empresas ficticias. Puedes abrir la ficha de cualquier equipo con su inventario de hardware, el estado de sus comprobaciones y el botón Take Control para el escritorio remoto, y desde la barra superior, entrar al menú Reporting.

Cuando la probamos, la demo corría la v1.4.0 y mostraba el aviso de que la v1.5.2 ya estaba disponible.

Según el README del proyecto, muchas funciones están desactivadas por seguridad y la base de datos se reinicia cada hora, así que la demo sirve para ver el panel, la lista de agentes, las comprobaciones y las alertas, pero no para medir rendimiento ni para probar el despliegue de agentes en tu red.

Seguridad: cómo proteger tu propio servidor RMM

Un servidor RMM tiene control total sobre todos los equipos que gestiona: puede ejecutar scripts, abrir una shell o tomar el escritorio de cualquiera de ellos. Si alguien compromete ese servidor, compromete a la vez todos tus equipos y los de tus clientes.

Por eso lo tratamos como el activo más sensible de la red. Dos fallos publicados en 2026 muestran el riesgo:

• CVE-2025-69516 (Tactical RMM). Según OSV, es una inyección de plantillas del lado del servidor (SSTI) en /reporting/templates/preview/, publicada el 29 de enero de 2026. Un usuario con pocos privilegios y permiso para ver o gestionar informes puede ejecutar comandos en el servidor. Tiene un CVSS 3.1 de 8,8 (alta), afecta a la v1.3.1 y anteriores y se corrigió en la v1.4.0.
• CVE-2026-66420 (MeshCentral). Según VulnCheck, se publicó el 30 de julio de 2026. Es un secuestro de WebSocket entre sitios por un fallo de validación de origen cuando se usan certificados autofirmados. Un atacante sin autenticar podría forjar sesiones y tomar control de los equipos gestionados. Afecta a MeshCentral 1.1.21 y tiene un CVSS de 8,6.

Con Tactical RMM en la v1.4.0 o superior quedas fuera del primero. En cuanto al segundo, la v1.5.2 actualizó el MeshCentral integrado a la versión 1.2.4, posterior a la afectada, aunque el aviso no indica en qué versión se corrigió.

Estas son las medidas mínimas:

• Mantén Tactical RMM y MeshCentral actualizados. Revisa las notas de cada versión en GitHub y actualiza pronto.
• Exige autenticación en dos pasos (2FA) a todos los técnicos. Según la documentación de SSO, las cuentas locales de Tactical RMM tienen 2FA obligatorio (la demo lo pide al entrar), pero si entras con SSO depende de tu proveedor de identidad, que puede no exigirlo por defecto: actívalo también ahí.
• Haz copias de seguridad periódicas y guárdalas fuera del propio servidor. Comprueba que sabes restaurarlas antes de necesitarlo.
• Expón solo el 443. No dejes el puerto 22 abierto a todo internet: limítalo a tu IP de administración o a una VPN, y aplica las buenas prácticas de seguridad SSH.
• Da a cada técnico su propia cuenta con los permisos justos, y revisa los accesos cuando alguien deja el equipo. Para eso está el Permission Manager (Settings > Permission Manager), donde creas grupos de permisos y asignas a cada usuario el suyo.
• Vigila el propio servidor: registros de inicio de sesión, cambios de configuración y scripts nuevos.

Si además usas escritorio remoto fuera del RMM, revisa cómo publicas esos accesos; lo explicamos en nuestra guía de escritorio remoto seguro sin abrir puertos.

¿Para quién es Tactical RMM (y para quién no)?

Encaja si…

• Eres técnico de sistemas o administras la TI de una pyme y quieres un RMM sin pagar por equipo.
• Eres un MSP pequeño que da soporte a los equipos de sus clientes y puede mantener su propio servidor.
• Tu parque es mayoritariamente Windows, o aceptas pagar el patrocinio para Linux y macOS.
• Tienes tiempo y conocimientos para mantener un servidor Linux expuesto a internet: actualizaciones, copias de seguridad y protección del servidor.

No encaja si…

• Quieres revender Tactical RMM, ofrecerlo como servicio alojado o cobrar por instalarlo: la licencia lo prohíbe.
• No quieres o no puedes mantener tu propio servidor. En ese caso, un RMM en la nube te ahorra ese trabajo.
• Tu parque es sobre todo Linux o Mac y no quieres pagar patrocinio: consulta antes la tabla de precios.
• Solo necesitas soporte remoto puntual a algunos equipos, sin monitorización, parches ni alertas: un RMM completo es demasiado para eso.

Si Tactical RMM no encaja con tu caso, revisa nuestra comparativa de las mejores herramientas de monitorización remota (RMM), donde analizamos opciones en la nube y autoalojadas.

Preguntas frecuentes sobre el uso de Tactical RMM