Cómo activar o desactivar el botón Borrar TPM en Seguridad de Windows en Windows 11

Un Trusted Platform Module (TPM) refuerza la seguridad del dispositivo almacenando claves de cifrado. Además, da soporte a funciones como el cifrado de unidad BitLocker, la autenticación de usuarios y el Sistema de cifrado de archivos (EFS).

Una configuración incorrecta puede permitir que los usuarios borren el TPM desde la aplicación Seguridad de Windows. Esta acción puede provocar fallos de acceso a BitLocker, pérdida de credenciales biométricas y pérdida de datos. Los administradores deberían aplicar políticas coherentes de gestión del TPM con herramientas administrativas para evitar estos problemas.

Esta guía explica cómo controlar el acceso a la función Borrar TPM, describe los aspectos clave de su implementación y responde a las dudas más habituales.

¿Prefieres verlo en vídeo? Consulta nuestra guía: Cómo activar o desactivar el botón Borrar TPM en Seguridad de Windows en Windows 11.

Métodos para configurar el botón Borrar TPM

Antes de hacer cualquier cambio, comprueba que tu sistema cumple estos requisitos previos para que los cambios se apliquen sin problemas:

• Privilegios de administrador. Necesitas derechos de administrador para definir quién puede acceder a la configuración del TPM, sobre todo si aplicas el cambio a todo el sistema con el Editor de directivas de grupo local o con el Registro de Windows.
• Edición de Windows. El Editor del Registro está disponible en todas las ediciones de Windows 11. En cambio, el Editor de directivas de grupo local solo está accesible en las ediciones Pro, Enterprise y Education de Windows 11.
• TPM 2.0. Para que la configuración sea sencilla, asegúrate de que el TPM 2.0 está presente y activado en el firmware UEFI/BIOS de tu sistema. Para confirmar la versión, pulsa Win + R, escribe tpm.msc y pulsa Intro. En Versión de especificación, dentro de Información del fabricante del TPM, debería aparecer 2.0.
• Alcance de la configuración. Los pasos de esta guía se aplican a todo el sistema y no se despliegan automáticamente en un dominio o en un entorno de red.

Método 1: desactivar el botón Borrar TPM desde el Editor de directivas de grupo local

En entornos empresariales o unidos a un dominio conviene regular el acceso al TPM. Impedir que los usuarios finales puedan borrar el TPM evita pulsaciones accidentales que podrían comprometer las funciones de seguridad de un endpoint.

1. Pulsa Win + R, escribe gpedit.msc en el cuadro de diálogo y pulsa Ctrl + Mayús + Intro.
2. Así se abre el Editor de directivas de grupo local como administrador.
3. Dentro del Editor de directivas de grupo local, ve a la siguiente ruta: Configuración del equipo > Plantillas administrativas > Componentes de Windows > Seguridad de Windows > Seguridad del dispositivo.
4. En el panel derecho, busca y haz doble clic en Deshabilitar el botón Borrar TPM.
5. Configura la directiva según el nivel de acceso que quieras:
   • Selecciona No configurada: deja la directiva en su valor predeterminado y muestra el botón Borrar TPM.
   • Selecciona Habilitada: configura la directiva para ocultar el botón Borrar TPM.
6. Tras configurar la directiva, pulsa Aplicar y luego Aceptar, en la parte inferior de la ventana.
7. Reinicia el sistema para aplicar los cambios.
   • También puedes abrir el Símbolo del sistema y escribir gpupdate /force.

🥷 Consejo rápido: aunque este método solo afecta al equipo local cuando se hace con el Editor de directivas de grupo local (gpedit.msc), también puedes desplegarlo de forma centralizada como parte de un objeto de directiva de grupo en Active Directory utilizando la Consola de administración de directivas de grupo (GPMC).

Método 2: configurar el acceso a Borrar TPM desde el Editor del Registro

Si necesitas aplicar esta configuración en equipos con Windows 11 Home o en entornos donde el Editor de directivas de grupo local no está disponible, el Registro de Windows ofrece otra forma de impedir el acceso al botón Borrar TPM en la aplicación Seguridad de Windows.

⚠️ Precaución: a diferencia del Editor de directivas de grupo local, el Registro de Windows no tiene plantillas que seguir durante la configuración, por lo que es más fácil hacer cambios incorrectos que desestabilicen el dispositivo. Por eso, se recomienda hacer una copia de seguridad de la configuración del registro antes de continuar.

1. Pulsa Win + R, escribe regedit y pulsa Intro.
2. Ve a la siguiente ruta dentro del Editor del Registro: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\TPM
3. Si la clave TPM no existe, haz clic derecho en Microsoft, pulsa Nuevo > Clave y ponle el nombre TPM.
4. Busca el valor DWORD (32 bits) HideClearTPM dentro de la clave de registro TPM.
   • Si HideClearTPM no existe, haz clic derecho en TPM y selecciona Nuevo > Valor de DWORD (32 bits).
   • Asigna al nuevo DWORD el nombre HideClearTPM.
5. Haz doble clic en HideClearTPM y cambia su información de valor según lo que quieras conseguir:
   • Con el valor 1 se oculta el botón Borrar TPM.
   • Con el valor 0 se muestra el botón.
6. Reinicia el dispositivo o cierra la sesión de tu cuenta para aplicar el cambio.

Método opcional: automatizar la configuración con PowerShell

Aplicar manualmente el método del registro descrito arriba en varios endpoints resulta tedioso y lento. Además, da pie a errores humanos, como fallos tipográficos al crear las claves de registro, que pueden hacer que la configuración no funcione.

Para resolverlo, esos mismos cambios de registro se pueden adaptar a un script de PowerShell, sin necesidad de tocar el registro de Windows a mano. PowerShell también permite estandarizar los cambios de registro de forma precisa y predecible, eliminando el error humano al aplicar el mismo cambio en muchos endpoints.

1. Pulsa Win + R, escribe PowerShell y pulsa Ctrl + Mayús + Intro.
2. Con este paso puedes abrir una ventana de PowerShell con privilegios elevados.
3. Introduce los siguientes comandos según el cambio que quieras aplicar:
   • Para ocultar el botón Borrar TPM:
     New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\TPM" -Name "HideClearTPM" -PropertyType DWord -Value 1 -Force
   • Para mostrar el botón Borrar TPM:
     Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\TPM" -Name "HideClearTPM" -Value 0
4. Cierra la ventana de PowerShell.

📝 Nota: estos comandos de PowerShell se aplican a todos los usuarios de un sistema local. Para desplegarlo de forma eficaz en varios endpoints, puedes configurarlo como script de inicio de sesión mediante directiva de grupo o utilizar un motor de scripting automatizado.

Otros aspectos a tener en cuenta al gestionar la configuración del TPM

Al gestionar el acceso a la función Borrar TPM, los administradores también deben tener en cuenta las funciones que dependen del TPM, las vías de acceso alternativas y los procedimientos de auditoría.

Aspecto n.º 1: BitLocker

Si has habilitado la función Borrar TPM, acuérdate de suspender la protección de BitLocker antes de borrar el TPM. Si no lo haces, perderás todas las claves almacenadas en el TPM, incluidas las de BitLocker. Eso obliga a las unidades cifradas a entrar en modo de recuperación y necesitarás la clave de recuperación de BitLocker para desbloquear el sistema al arrancar.

Aspecto n.º 2: la interfaz del Centro de seguridad de Windows

Los métodos de esta guía permiten a los administradores evitar que el botón Borrar TPM aparezca en la aplicación Seguridad de Windows. Sin embargo, esto no desactiva la herramienta de gestión del TPM del dispositivo en su conjunto: solo limita el acceso de los usuarios finales desde la interfaz gráfica para evitar reinicios accidentales del TPM.

Aspecto n.º 3: la herramienta de administración del TPM

Como se indica en el aspecto n.º 2, los métodos de esta guía no desactivan la herramienta de administración del TPM por completo. Los administradores pueden seguir accediendo a ella y borrarlo escribiendo tpm.msc en el cuadro de diálogo Ejecutar. Además, el TPM se puede restablecer con el comando Clear-TPM desde una ventana de PowerShell con privilegios elevados.

Para bloquear por completo la configuración del TPM hacen falta restricciones adicionales, como limitar tpm.msc con AppLocker y controlar de forma más estricta los privilegios administrativos del entorno.

Aspecto n.º 4: supervisar el uso del TPM con el Visor de eventos

Los administradores pueden supervisar los cambios en la configuración del TPM desde el Visor de eventos, siguiendo la ruta Registros de aplicaciones y servicios > Microsoft > Windows > TPM > Operational. Así se detectan más rápido los borrados del TPM accidentales o no autorizados. Supervisar el TPM de forma activa también ayuda a auditar los cambios de propiedad del TPM y los bloqueos accidentales.

Protege las claves de cifrado gestionando el acceso a Borrar TPM

El Trusted Platform Module (TPM) almacena todas las claves de cifrado de un dispositivo y da acceso a los programas y archivos cifrados del sistema. Sin embargo, sin una buena gestión de accesos, los usuarios finales pueden restablecer el TPM de su dispositivo por accidente y provocar multitud de errores relacionados con la seguridad.

Para evitarlo, puedes desactivar el botón Borrar TPM desde el Editor de directivas de grupo local o el Editor del Registro, y controlar así quién puede acceder a esta función. También puedes combinar estos métodos con AppLocker y políticas de acceso administrativo más estrictas para restringir aún más el acceso a la configuración del TPM.