Política de bloqueo de cuentas de Windows y guía completa de 3 métodos de recuperación
Cinco contraseñas incorrectas y la cuenta se cierra de golpe: esa es la política de bloqueo de cuentas que hace su trabajo. El problema comienza cuando la cuenta bloqueada es el único administrador en la PC. Esta guía explica la política correctamente y luego explica los tres métodos de recuperación que todo administrador de TI debería conocer.
🎥 Mire el video completo: Política de bloqueo de cuentas de Windows y los 3 métodos de recuperación, demostrados paso a paso
La política de bloqueo de cuentas es una de las políticas de seguridad más comunes en Windows. También es uno de los más incomprendidos. Cuando está bien configurado, detiene silenciosamente los ataques de adivinación de contraseñas. Cuando está mal configurado, o cuando nadie planeó el día en que el administrador también se bloquea, un error de contraseña de dos minutos se convierte en una interrupción total del trabajo. A continuación encontrará qué hacen realmente los tres valores de política, dónde configurarlos y los 3 métodos de recuperación del vídeo: desbloqueo a través de otra cuenta de administrador, recuperación sin conexión de WinPE y las rutas de último recurso para controladores de dominio. Cada método aquí es para máquinas que usted posee o está autorizado a administrar.
Windows sign-in screen — the message every locked user sees
Sign-in
La cuenta a la que se hace referencia está actualmente bloqueada y no se puede iniciar sesión en ella.
👆 Esta redacción exacta significa bloqueo, no una contraseña incorrecta ni una cuenta deshabilitada (pantalla de inicio de sesión recreada con el mensaje real de Windows)
1
Qué hace realmente la política de bloqueo de cuentas
La política tiene exactamente tres partes funcionales. Los tres se encuentran en Políticas de cuenta → Política de bloqueo de cuenta, en secpol.msc en una sola PC o en la Política de dominio predeterminada para un dominio completo:
Umbral de bloqueo de cuenta: cuántas contraseñas incorrectas se permiten antes de que se bloquee la cuenta. Configúrelo en 5 y el quinto intento incorrecto bloqueará la cuenta. Configúrelo en 0 y el bloqueo se desactivará por completo; ese es el valor predeterminado de Windows en una instalación nueva.
Duración del bloqueo de la cuenta: cuántos minutos permanece bloqueada la cuenta. Pasado este tiempo se desbloquea solo. Establezca 0 aquí y el bloqueo nunca caduca; solo un administrador puede desbloquearlo.
Restablecer el contador de bloqueo de cuenta después: durante cuánto tiempo Windows recuerda los intentos fallidos. Si el umbral es 5 y esta ventana es de 30 minutos, el atacante (o el usuario olvidadizo) debe cometer los 5 errores en 30 minutos para activar el bloqueo. Este valor nunca puede ser mayor que la duración.
Un detalle importante: en un dominio, cada controlador de dominio cuenta las contraseñas incorrectas para una cuenta por separado y el bloqueo se registra en el controlador de dominio que procesó las fallas. Es por eso que un DC puede mostrar una cuenta como bloqueada mientras que otro todavía muestra solo algunos intentos fallidos, y por eso el emulador de PDC es siempre el primer lugar para verificar.
2
Método 1: desbloquear a través de otra cuenta de administrador
La recuperación más rápida y limpia es aquella con la que comienza el vídeo: inicia sesión con cualquier otra cuenta de administrador y simplemente borra el bloqueo. Esto también funciona de forma remota: un ingeniero de soporte de TI puede hacerlo durante una sesión de soporte sin tener que visitar el escritorio.
PC independiente: inicie sesión con una segunda cuenta de administrador, abra lusrmgr.msc, haga doble clic en el usuario bloqueado y desmarque La cuenta está bloqueada. En Windows Home (sin lusrmgr), use una ventana de administración de PowerShell: Unlock-LocalUser -Name "Ravi"
PC de dominio: abra Usuarios y equipos de Active Directory, busque el usuario, abra Propiedades → pestaña Cuenta y marque Desbloquear cuenta. O una línea de PowerShell: Unlock-ADAccount -Identity ravi.kumar
¿No hay un segundo administrador a mano, pero la duración está establecida? Esperar es una solución legítima. Si la duración es de 30 minutos, la cuenta se libera sola en 30 minutos y nadie tiene que tocar nada.
El problema sobre el que advierte el vídeo: este método desaparece cuando la única cuenta de administrador es la que está bloqueada, y un usuario en una pantalla de inicio de sesión también puede bloquear absolutamente al administrador, simplemente escribiendo la contraseña incorrecta en la cuenta de administrador suficientes veces. Ahí es exactamente cuando pasas al Método 2.
3
Antes del método 2: el BIOS y las comprobaciones de arranque que lo hacen o lo deshacen
La recuperación sin conexión significa arrancar la PC desde algo que no sea su propio Windows, por lo que la configuración BIOS/UEFI se convierte en parte del trabajo:
Abra el menú de inicio único (comúnmente F12, F9 o Esc según la marca) y seleccione su memoria USB WinPE. Si el dispositivo nunca aparece, el modo de inicio es el sospechoso habitual: un dispositivo fabricado para UEFI no se mostrará en el modo Legacy/CSM y al revés.
Si el medio de recuperación se niega a arrancar debido al Arranque seguro, observe la configuración, cambie solo lo que necesite y vuelva a colocarlo después. En máquinas de oficina, consulte su política de cambios antes de tocarla.
Mientras estás en la configuración, echa un vistazo al reloj del sistema. Una batería CMOS agotada y un reloj muy incorrecto interrumpirán los inicios de sesión de dominio más tarde con errores de tiempo de Kerberos, una causa clásica a nivel de BIOS de fallas de inicio de sesión misteriosas.
4
Método 2: Recuperación sin conexión de WinPE cuando ningún administrador puede iniciar sesión
Cuando todas las cuentas de administrador estén bloqueadas y esperar no sea una opción, inicie la PC en un entorno de recuperación WinPE desde USB y repare la cuenta sin conexión, exactamente como se muestra en el video. Debido a que Windows no se está ejecutando, su bloqueo no puede detenerlo.
Inicie desde el USB WinPE (menú de inicio, como se explicó anteriormente) en la máquina que posee o administra.
La propia herramienta de Microsoft para este trabajo es el asistente Cerrajero en el kit de herramientas de recuperación de DaRT: existe precisamente para desbloquear y restablecer cuentas locales en una PC que no deja entrar a nadie. Las herramientas de edición SAM sin conexión hacen el mismo trabajo borrando el indicador de bloqueo de la cuenta directamente en la base de datos de la cuenta local.
Borre el bloqueo (o establezca una nueva contraseña en el administrador local), retire el USB e inicie Windows normalmente. Inicie sesión e inmediatamente establezca una contraseña adecuada y vuelva a verificar la política.
Dos límites honestos. Primero, si el disco está protegido por BitLocker, necesitará la clave de recuperación antes de que cualquier herramienta fuera de línea pueda siquiera leer la unidad; sin ella, este método simplemente no funciona, por diseño. En segundo lugar, esto sólo repara cuentas locales. El bloqueo de una cuenta de dominio reside en los controladores de dominio, no en esta PC, por lo que las herramientas fuera de línea no pueden tocarlo; los bloqueos de dominio se eliminan en el Método 1 o en el Método 3.
5
Método 3: cuando el bloqueo está en un controlador de dominio
La peor versión de este problema ocurre en un servidor: las cuentas de administrador están bloqueadas en todo el dominio y nadie puede iniciar sesión para solucionarlo. Las rutas que quedan son más lentas pero reales:
Cualquier otro administrador de dominio: suena obvio, pero las oficinas olvidan la segunda cuenta de administrador hasta el día en que la necesitan. Un administrador de dominio que funcione puede desbloquear a todos los demás desde ADUC o PowerShell.
Espera la duración: los bloqueos de dominio también caducan por sí solos cuando se establece una duración. Una hora inconveniente sigue siendo mejor que un hackeo arriesgado a un controlador de producción.
Modo de restauración de servicios de directorio (DSRM): reinicie el DC y elija DSRM en las opciones de inicio (F8 / Configuración de inicio). Inicia sesión con la contraseña de administrador de DSRM que se estableció cuando se promovió el DC. DSRM le brinda control local del servidor mientras Active Directory está fuera de línea, para que pueda reparar la situación y reiniciar normalmente. Si nadie en la organización conoce la contraseña de DSRM, es un hallazgo que vale la pena solucionar hoy, antes de que la necesite.
Observe lo que no está en esta lista: no existe una forma compatible de "restablecer" el bloqueo de una cuenta de dominio desde el lado de la estación de trabajo. Cualquiera que te venda uno te está vendiendo un problema.
6
Establezca la política para que esto nunca vuelva a convertirse en una emergencia ⭐
La recuperación es el primer paso. El segundo paso es ajustar la política para que los errores honestos sean pequeños y los ataques reales permanezcan bloqueados:
Elija un umbral sensato: de 5 a 10 intentos incorrectos. Un umbral de 2 o 3 bloquea principalmente a los usuarios legítimos con una clave adhesiva Caps Lock.
Dale una duración real: de 15 a 30 minutos. Evite la duración 0 a menos que un equipo de administración de tiempo completo realmente desbloquee cuentas todo el día.
Establezca el contador de reinicio igual a la duración: simple, predecible y lo que hacen la mayoría de las líneas de base.
Mantenga dos cuentas de administrador en cada máquina importante y escriba la contraseña de DSRM en la bóveda de contraseñas de la empresa.
Active la auditoría de bloqueo (eventos 4740 y 4625) para que llegue el siguiente bloqueo con su propia explicación adjunta.
Cada uno de estos seguimientos tiene su propia página detallada en este sitio: encuentre lo que hace que una cuenta se vuelva a bloquear, elija números de póliza o configure la auditoría, por lo que la próxima llamada "Señor, computadora portátil bloqueada ho gaya" demora dos minutos, no dos horas.
🔴 Solo en máquinas que usted posee o administra: todos los métodos de recuperación en esta guía son para administradores y propietarios de TI que recuperan sus propios sistemas. Nunca utilice herramientas de recuperación sin conexión en una computadora que no sea de su propiedad o que no tenga permiso por escrito para realizar el mantenimiento.
🎥 Vea los métodos de recuperación de bloqueo en el video
El tutorial completo de la política de bloqueo y los 3 métodos de recuperación, mostrados en vivo en un sistema Windows real: este es el video en el que se basa esta guía.
¿Una cuenta de Windows bloqueada se desbloquea sola?
Sí, si la duración del bloqueo se establece en un valor superior a 0, la cuenta se desbloquea automáticamente cuando pasa ese tiempo. La duración 0 es la excepción: la cuenta permanece bloqueada hasta que un administrador la desbloquea manualmente.
Mi cuenta está bloqueada y soy el único administrador. ¿Qué funciona realmente?
La espera funciona si se establece una duración. De lo contrario, las rutas reales son la recuperación fuera de línea: inicie la PC desde un USB WinPE y borre el bloqueo de la cuenta local (DaRT Locksmith de Microsoft es la herramienta oficial para esto) o, para problemas de administración de dominio, el modo de restauración de servicios de directorio en un controlador de dominio. Ambos se tratan paso a paso en la guía principal anterior y en el video.
¿La cuenta de administrador integrada está protegida contra el bloqueo?
No automáticamente. Existe una opción de seguridad específica (Permitir bloqueo de cuenta de administrador) que decide si el Administrador integrado se puede bloquear y, desde las actualizaciones de Windows de octubre de 2022, los nuevos sistemas pueden bloquear al Administrador integrado después de repetidas contraseñas incorrectas de forma predeterminada. Esta es exactamente la trampa del vídeo: la cuenta bloqueada puede ser el propio administrador.
Esta guía se basa en el vídeo Anshu técnico sobre la política de bloqueo de cuentas de Windows. • ¿Atascado en un escalón? Pregunte en los comentarios del video; recibirá una respuesta 🙏