Cómo activar o desactivar el acceso controlado a carpetas en Windows 11

El acceso controlado a carpetas (CFA) es una función de seguridad de Microsoft Defender Antivirus diseñada para impedir que aplicaciones no autorizadas modifiquen archivos en directorios protegidos. Cuando lo activas, el CFA bloquea las apps no confiables o desconocidas para que no realicen cambios en las carpetas del usuario. Así proteges tus datos frente a manipulaciones y filtraciones, y mejoras la seguridad de la red.

Para los administradores de TI y los usuarios avanzados, gestionar el acceso controlado a carpetas en Defender puede reforzar el marco de seguridad de un entorno gestionado. Esta guía explica los pasos para activar o desactivar el acceso controlado a carpetas en Windows 11 con distintos métodos, como Seguridad de Windows, PowerShell, directivas de grupo y el Editor del Registro.

Si prefieres una versión visual de esta guía, mira Cómo activar o desactivar el acceso controlado a carpetas en Windows 11

Cómo gestionar el acceso controlado a carpetas en Defender

Antes de activar o desactivar el acceso controlado a carpetas en Microsoft Defender, debes cumplir estos requisitos:

• Microsoft Defender debe estar activo y funcionando. Si usas un antivirus de terceros, desactívalo primero y luego activa Microsoft Defender. Ten en cuenta que los ajustes del CFA no aparecerán si otra solución antivirus lo ha sustituido.
• La protección en tiempo real debe estar activada. Es necesaria para supervisar y bloquear la actividad no confiable.
• Necesitas permisos de administrador. Debes ser administrador para activar o desactivar el acceso controlado a carpetas desde PowerShell, el Registro y las directivas de grupo.
  
• Edición de Windows 11. Las opciones de directivas de grupo y PowerShell requieren Windows 11 Pro, Enterprise o Education.

Método 1: activar o desactivar el acceso controlado a carpetas desde Seguridad de Windows (GUI)

Es el método más sencillo para gestionar el CFA, aunque resulta más adecuado para equipos individuales que para configuraciones masivas.

⚠️ Para que este método funcione, Microsoft Defender debe estar completamente activado y no debe haber ninguna plataforma de ciberseguridad de terceros en funcionamiento. De lo contrario, algunos de los menús que se indican abajo no aparecerán.

1. Pulsa Win + I para abrir la Configuración, y ve a Privacidad y seguridad > Seguridad de Windows > Protección contra virus y amenazas. Se abrirá Seguridad de Windows en otra ventana.
2. A continuación, baja y haz clic en Administrar la protección contra ransomware. Esta opción está en la sección Protección contra ransomware.
3. Desde ahí puedes activar o desactivar el acceso controlado a carpetas.
   • Pon el interruptor en Activado para habilitar el CFA. Así se bloqueará el acceso de apps no confiables o desconocidas a los archivos de las carpetas protegidas.
   • Ponlo en Desactivado para deshabilitar el CFA. Todas las aplicaciones podrán acceder a las carpetas protegidas sin restricciones.
4. Opcional: si quieres proteger más ubicaciones o excluir las predeterminadas, puedes añadir o quitar carpetas desde Carpetas protegidas. De forma predeterminada se incluyen carpetas como Documentos, Imágenes y Escritorio.
5. Cuando se bloquea una app de confianza que intenta modificar una carpeta protegida, puedes permitirla manualmente. Para ello, haz clic en Permitir una aplicación a través del acceso controlado a carpetas y añádela a la lista de permitidos.
   

Método 2: configurar el acceso controlado a carpetas con directivas de grupo (para entornos empresariales o gestionados)

Este método es ideal para entornos empresariales y gestionados. Permite a los administradores y responsables de TI aplicar o probar el acceso controlado a carpetas de Windows Defender en muchos equipos a la vez.

1. Abre el Editor de directivas de grupo. Usa el atajo Win + R, escribe gpedit.msc y pulsa Intro.
   
2. Después, ve a esta ruta de la directiva del CFA:
   Configuración del equipo > Plantillas administrativas > Componentes de Windows > Microsoft Defender Antivirus > Microsoft Defender Exploit Guard > Acceso controlado a carpetas.
3. Ahora ajusta la directiva del CFA. Haz doble clic en Configurar el acceso controlado a carpetas y pon la directiva en Habilitada.
   
4. Después puedes elegir cualquiera de estos modos de aplicación:
   • Activar el acceso controlado a carpetas: bloquea los cambios no autorizados en las carpetas protegidas.
   • Desactivar el acceso controlado a carpetas: desactiva el CFA por completo.
   • Modo de auditoría: registra los eventos del CFA en el Visor de eventos de Windows sin bloquear ninguna app. Es la mejor opción para hacer pruebas.
5. Haz clic en Aplicar, abre el símbolo del sistema, y ejecuta este comando para aplicar los cambios de inmediato: gpupdate /force.

Método 3: activar o desactivar el acceso controlado a carpetas con Windows PowerShell

Con PowerShell puedes activar, desactivar o auditar el acceso controlado a carpetas. Es la mejor opción para scripts, gestión remota e implementaciones automatizadas.

Primero, abre PowerShell como administrador y usa los siguientes comandos para gestionar el CFA:

1. Ejecuta este comando para comprobar el estado del CFA:
   Get-MpPreference | Select ControlledFolderAccessEnabled.
   El resultado te indicará si está activado, desactivado o en modo de auditoría.
   • 0 = Desactivado
   • 1 = Activado
   • 2 = Modo de auditoría
2. Para activar el acceso controlado a carpetas, usa este comando:
   Set-MpPreference -EnableControlledFolderAccess 1
   
3. Para desactivar el acceso controlado a carpetas, usa este comando:
   Set-MpPreference -EnableControlledFolderAccess 0
   
4. Si quieres poner el CFA en modo de auditoría, usa este:
   Set-MpPreference -EnableControlledFolderAccess 2
   

Método 4: configurar el acceso controlado a carpetas desde el Editor del Registro

El Editor del Registro de Windows permite a los administradores de TI ajustar directamente el acceso controlado a carpetas (CFA) cuando se despliegan configuraciones mediante directivas personalizadas de Intune.

1. Para empezar, abre el Editor del Registro. Usa el atajo Win + R, escribe regedit y pulsa Intro.
2. Después, ve a la ruta del Registro del CFA:
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Windows Defender Exploit Guard\controlled folder access
   
3. Crea el valor del CFA o modifica el existente.
   1. Para crearlo, haz clic con el botón derecho en el panel derecho y selecciona Nuevo > Valor DWORD (32 bits).
   2. Después, ponle el nombre EnableControlledFolderAccess.
   3. Asigna el valor según la configuración que quieras:
      • 0 = Desactivado
      • 1 = Activado
      • 2 = Modo de auditoría
4. Aplica los cambios reiniciando el equipo. También puedes abrir el símbolo del sistema (como administrador) y ejecutar este comando: sc stop WinDefend && sc start WinDefend. Así se reinicia Microsoft Defender Antivirus y se aplica el cambio del registro.

Qué tener en cuenta al gestionar el acceso controlado a carpetas

Al configurar el acceso controlado a carpetas, es fundamental equilibrar la protección sin sacrificar el acceso ni la funcionalidad.

Estos son algunos aspectos que debes tener presentes:

1. Cuando está activado, el CFA puede bloquear apps legítimas que intentan escribir en carpetas protegidas, lo que puede interrumpir tu trabajo.
   Para evitarlo, sigue el paso 5 del método 1 o usa este comando en PowerShell:
   • Add-MpPreference -ControlledFolderAccessAllowedApplications "C:\Path\To\App.exe"
   • Sustituye la ruta por la ubicación exacta del ejecutable. Si ejecutas el comando varias veces, puedes añadir varias apps fácilmente.
2. El CFA registra todas las acciones bloqueadas en el Visor de eventos, lo que facilita solucionar problemas o depurar tu lista de permitidos.
   Para consultar los registros, sigue esta ruta:
   • Visor de eventos > Registros de aplicaciones y servicios > Microsoft > Windows > Windows Defender > Operativo.
3. De forma predeterminada, el CFA protege carpetas clave como Documentos, Imágenes, Vídeos, Música, Escritorio y Favoritos. Puedes añadir carpetas protegidas desde la interfaz gráfica (sigue el método 1, paso n.º 4) o usar este comando en PowerShell; solo tienes que sustituir «Tu carpeta personalizada» por la ruta de la carpeta:
   • Add-MpPreference -ControlledFolderAccessProtectedFolders "C:\Your\Custom\Folder"
     
4. Antes de implantar el CFA, usa el modo de auditoría para detectar falsos positivos antes de cambiar las directivas: pruébalo todo primero.

Gestiona el acceso controlado a carpetas: protege tus archivos sin frenar el trabajo

El acceso controlado a carpetas es una potente capa de protección contra el ransomware integrada en Microsoft Defender Antivirus. Tanto si proteges un equipo personal como si gestionas cientos de endpoints, Windows 11 ofrece varias formas de activar, desactivar o auditar el CFA según las necesidades de tu entorno.

Usa Seguridad de Windows para una configuración sencilla a nivel de usuario. Para una gestión centralizada y con automatización, recurre a las directivas de grupo o a PowerShell. Empieza siempre por el modo de auditoría para detectar y resolver problemas de compatibilidad antes de aplicarlo, y revisa los registros de eventos con regularidad para mantener las listas de apps permitidas limpias y útiles. Con una configuración adecuada, el CFA protege los datos críticos sin interrumpir los flujos de trabajo esenciales.