El inicio de sesión funcionó ayer. Hoy, el Escritorio remoto se detiene con un error de autenticación NTLM o el mensaje primo sobre la corrección de Oracle de cifrado CredSSP. No hay nada roto en su instalación de Windows: Microsoft está retirando NTLM deliberadamente y la solución es una orden de configuración, no una reinstalación.
NTLM es el antiguo protocolo de autenticación de Windows de la era Windows NT. Es débil contra ataques de retransmisión y de paso de hash, por lo que Microsoft ha desaprobado NTLM y lo está desactivando por etapas. NTLMv1 ya se eliminó de Windows 11 versión 24H2 y Windows Server 2025, y en enero de 2026 Microsoft publicó un plan de tres fases que termina con la red NTLM desactivada de forma predeterminada en una futura versión de Windows Server. Cuando su PC o servidor todavía intenta usar NTLM y la otra parte ya no lo acepta, obtiene exactamente esta familia de errores. En el video de arriba, Anshu corrige la versión de Escritorio remoto de este error en aproximadamente un minuto; aquí está el orden de reparación completo detrás de él, desde la verificación más segura hasta la configuración que cambia en la pantalla.
El error exactamente como lo ven los usuarios en Conexión a Escritorio remoto. La redacción es un ejemplo del diálogo real de Windows.
Nada en su instalación está corrupto. Un lado de la conexión todavía ofrece NTLM (o una versión antigua de CredSSP) y el otro lado ha sido actualizado o reforzado para rechazarlo. Tres factores desencadenantes causan casi todos los casos:
Debido a que la causa es una discrepancia en la política o el protocolo, reinstalar Windows no cambia nada excepto hacerle perder el día: las mismas políticas y los mismos valores predeterminados actualizados regresan inmediatamente.
BlockNtlmv1SSO de Audit a Enforce, que bloquea el inicio de sesión único derivado de NTLMv1 para conexiones Wi-Fi, 802.1X por cable y VPN.Esta es la solución genuina más rápida y no necesita ninguna configuración. Kerberos, el sustituto moderno de NTLM, sólo funciona cuando se dirige a una máquina por su nombre, porque el ticket se emite con ese nombre.
Si el nombre se conecta donde falló la dirección IP, su problema fue el respaldo NTLM desde el principio, y ya está resuelto de manera segura.
mstscSERVER01 o SERVER01.office.local, no 192.168.1.50.La mitad CredSSP de esta familia de errores es puramente una discrepancia a nivel de parche: el lado parcheado se niega a hablar con el lado no parcheado para proteger sus credenciales (este comportamiento existe debido a la vulnerabilidad CredSSP CVE-2018-0886). La solución recomendada por Microsoft es simple y a menudo se omite:
Una sorprendente cantidad de estos errores desaparecen aquí. Continúe solo si ambas partes están completamente actualizadas y el error persiste.
Este es el método que Anshu demuestra en la pantalla. En la máquina a la que intenta comunicarse, la configuración remota se vuelve a seleccionar para que el host acepte la conexión limpiamente:
Por qué funciona: La autenticación a nivel de red (NLA) realiza el inicio de sesión antes de que se abra la sesión, utilizando CredSSP, que es exactamente donde afecta el bloqueo NTLM. Al desactivar NLA, el inicio de sesión se mueve a la pantalla de inicio de sesión normal de Windows, para que la conexión se realice.
mstsc usando el nombre de usuario y la contraseña correctosEn las oficinas, el bloqueo generalmente proviene de la Política de grupo en lugar de la pestaña Remoto. La política CredSSP se encuentra en Computer Configuration - Administrative Templates - System - Credentials Delegation - Encryption Oracle Remediation. Sus tres niveles también se almacenan como el valor de registro AllowEncryptionOracle en HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters:
Aplique el cambio con gpupdate /force y reinicie. La respuesta correcta a largo plazo es siempre: parchear la máquina sin parchear y luego volver al nivel 0 o 1.
0 - Forzar clientes actualizados: el estado final seguro. Sólo clientes parcheados.1 - Mitigado: un nivel medio razonable mientras algunas máquinas aún se están actualizando.2 - Vulnerable: permite el comportamiento anterior. Úselo sólo como un puente corto para llegar a una máquina sin parches y luego retírelo.Si la máquina de destino rechaza los inicios de sesión NTLM, observe dos configuraciones más en Computer Configuration - Windows Settings - Security Settings - Local Policies - Security Options:
Cambie una configuración a la vez y pruebe después de cada cambio. Los cambios en la escopeta hacen que el siguiente problema sea imposible de rastrear.
El proceso completo con demostración en vivo: cada configuración se muestra en pantalla, paso a paso.
Watch Full VideoPorque un lado de la conexión intentó autenticarse con NTLM y el otro lado ya no lo acepta. Los desencadenantes habituales son la conexión por dirección IP en lugar del nombre de la computadora, una máquina de destino reforzada por una política o una actualización reciente, o la eliminación de NTLMv1 de Windows 11 24H2 y Windows Server 2025.
No. El bloqueo proviene de políticas y valores predeterminados de protocolo, no de archivos del sistema dañados. Una reinstalación restaura los mismos valores predeterminados actualizados, por lo que vuelve el error. En su lugar, siga el orden de reparación: nombre de la computadora, actualizaciones en ambos extremos, usuarios de la pestaña Remota y NLA, luego políticas CredSSP y NTLM.
Es una solución temporal legítima y es exactamente lo que hace que muchas personas vuelvan a ingresar, porque el intercambio NTLM bloqueado ocurre durante la etapa NLA. Pero NLA existe para autenticarse antes de que se abra una sesión, por lo que dejarlo desactivado expone permanentemente la pantalla de inicio de sesión a la red. Vuelva a habilitarlo una vez que se solucione la causa real.