En esta guía te damos una visión general de cómo configurar la longitud mínima del PIN de Windows Hello. Aunque el valor predeterminado de unos cuatro dígitos sirve para uso personal, los MSP y las organizaciones de sectores regulados pueden querer exigir un PIN más largo para reducir el riesgo de accesos no autorizados y alinear la autenticación de los dispositivos con los distintos requisitos de cumplimiento normativo en TI. Otros motivos para configurar la longitud mínima del PIN son:
- Aplicar métodos de autenticación más estrictos: los PIN más largos aumentan la complejidad y ponen más difícil que los actores de amenazas intenten un ataque de fuerza bruta.
- Mejorar la seguridad del inicio de sesión local y del método alternativo a la biometría: un PIN robusto mantiene la seguridad cuando falla la autenticación biométrica.
- Cumplir las políticas corporativas o el marco normativo: las organizaciones suelen tener requisitos concretos sobre los métodos de autenticación, y ajustar la longitud del PIN ayuda a cumplir esos estándares.
- Evitar PIN débiles o fáciles de adivinar en los dispositivos gestionados: los PIN cortos o simples se comprometen con facilidad. Exigir una longitud mínima reduce ese riesgo.
Si prefieres verlo explicado paso a paso, consulta Cómo cambiar la longitud mínima del PIN de Windows en Windows 11.
📌 Estrategias de implementación recomendadas:
| Haz clic para elegir un método | 💻 Mejor para usuarios particulares | 💻💻💻 Mejor para empresas |
| Método 1: con directivas de grupo | ✓ | |
| Método 2: con el Editor del Registro | ✓ | |
| Método 3: con PowerShell | ✓ | ✓ |
| Método 4: ejemplo de archivo .reg | ✓ | ✓ |
Cómo cambiar la longitud mínima del PIN de Windows Hello
Método 1: con directivas de grupo
📌 Casos de uso: ideal para dispositivos independientes o unidos a un dominio de Active Directory local
📌 Requisitos previos:
- Tu dispositivo debe ejecutar Windows 11 en edición Pro, Enterprise o Education.
- Necesitas privilegios de administrador.
- El Editor de directivas de grupo debe estar disponible en el sistema.
- Este método solo se aplica a la directiva local del dispositivo, no a políticas gestionadas desde el cloud o por MDM, salvo que estén integradas con las directivas de grupo.
Pasos:
- Pulsa Win + R, escribe gpedit.msc y pulsa Intro.
- Ve a: Configuración del equipo > Plantillas administrativas > Sistema > Complejidad del PIN
- Haz doble clic en Longitud mínima del PIN, selecciona Habilitada e introduce un número entre 4 y 127. Por ejemplo, si escribes 6, el PIN deberá tener al menos seis dígitos.
💡 Consejo: por lo general, los PIN tienen entre 4 y 6 dígitos. Aun así, revisa los distintos requisitos de cumplimiento normativo en TI para determinar la longitud que mejor le conviene a tu empresa.
- Haz clic en Aplicar y luego en Aceptar.
- Abre el símbolo del sistema con privilegios elevados y ejecuta gpudate /force para aplicar los cambios de inmediato. Como alternativa, reinicia el dispositivo.
Método 2: con el Editor del Registro
📌 Casos de uso: recomendado para entornos empresariales que necesitan una configuración remota o mediante scripts sin depender de las directivas de grupo
📌 Requisitos previos:
- Tu dispositivo debe ejecutar Windows 11 (preferiblemente en edición Pro, Enterprise o Education).
- Necesitas privilegios de administrador.
- Conviene que tengas cierto nivel de conocimiento del Editor del Registro o que te manejes con él.
- Haz una copia de seguridad del Registro antes de hacer cualquier cambio. Una configuración incorrecta puede provocar inestabilidad en el sistema.
- Este método solo se aplica a dispositivos con Windows Hello para empresas habilitado.
Pasos:
- Pulsa Win + R, escribe regedit y pulsa Intro.
- Ve a: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\PassportForWork\PINComplexity
- Si las claves PassportForWork o PINComplexity no existen, tendrás que crearlas.
- Haz clic con el botón derecho en la clave Microsoft, selecciona Nuevo > Clave y ponle el nombre PassportForWork.
- Después haz clic con el botón derecho en PassportForWork > Nuevo > Clave y ponle el nombre PINComplexity
- Si las claves PassportForWork o PINComplexity no existen, tendrás que crearlas.
- Crea o edita el valor MinimumPINLength
- En el panel derecho, haz clic con el botón derecho en un espacio vacío y selecciona Nuevo > Valor DWORD (32 bits).
- Ponle el nombre MinimumPINLength
- Haz doble clic en la entrada, selecciona Decimal e introduce el valor (longitud) que quieras, por ejemplo 6 para un PIN mínimo de 6 dígitos.
- Haz clic en Aceptar y cierra el Editor del Registro.
- Reinicia el sistema o abre el símbolo del sistema con privilegios elevados y ejecuta el comando gpudate /force.
Método 3: con PowerShell
📌 Casos de uso: ideal para profesionales de TI y MSP que gestionan muchos endpoints a escala
📌 Requisitos previos:
- Requiere Windows 11 en edición Pro, Enterprise o Education
- Debe ejecutarse con PowerShell elevado (Ejecutar como administrador)
- El dispositivo debe estar inscrito en Windows Hello para empresas o admitir la infraestructura Passport.
💡 Consejo: ¿necesitas repasar? Apúntate a PowerShell for IT Ninjas.
Pasos:
- Abre PowerShell.
- Para fijar la longitud mínima del PIN en 6, ejecuta el siguiente comando:
New-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\PassportForWork\PINComplexity" -Force
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\PassportForWork\PINComplexity" -Name "MinimumPINLength" -Value 6
- El primer comando crea la ruta de registro necesaria si todavía no existe.
- El segundo escribe un valor DWORD de 6 para exigir un PIN mínimo de 6 dígitos. Puedes cambiar ese valor por la longitud que prefieras.
- Este script se puede ejecutar en local o enviar de forma remota con herramientas de automatización o plataformas RMM como NinjaOne.
- Después de aplicar el script, reinicia el sistema o ejecuta gpudate /force en un símbolo del sistema con privilegios elevados.
Método 4: ejemplo de archivo .reg
📌 Casos de uso: es una gran opción para implementaciones sencillas en las que no resulta viable usar una interfaz gráfica ni scripts.
📌 Requisitos previos:
- Se aplica a Windows 11 en edición Pro, Enterprise o Education.
- El archivo .reg debe ejecutarse con privilegios de administrador.
- El sistema de destino debe admitir Windows Hello para empresas.
- Conviene validar con cuidado los archivos del Registro antes de ejecutarlos para evitar configuraciones erróneas.
Pasos:
- Abre el Bloc de notas u otro editor de texto plano.
- Pega el siguiente contenido:
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\PassportForWork\PINComplexity]
"MinimumPINLength"=dword:00000006
- Guarda el archivo con la extensión .reg.
- Haz clic con el botón derecho en el archivo y selecciona Ejecutar como administrador para aplicar los cambios.
- Una vez combinado con el Registro, reinicia el sistema o abre un símbolo del sistema con privilegios elevados y ejecuta gpudate /force para aplicar los cambios.
⚠️ Aspectos a tener en cuenta
| Riesgos | Posibles consecuencias | Cómo revertirlo |
| Si MinimumPINLength es igual o superior a MaximumPINLength, los usuarios no podrán configurar un PIN. | Los usuarios no podrán completar la configuración de Hello. |
|
| Las ediciones del Registro o los scripts con nombres de clave incorrectos fallan en silencio y no aplican la directiva. | Los dispositivos parecen no cumplir la normativa, pero no se muestra ningún error, lo que genera desfases respecto al comportamiento esperado. | Valida y corrige las rutas de las claves (PassportForWork, PINComplexity) y vuelve a aplicar la directiva con el método correcto. |
| Imponer PIN largos o complejos puede frustrar a los usuarios y reducir la adopción de Windows Hello. | Los usuarios pueden evitar el inicio de sesión con PIN o volver a las contraseñas. | Edita la directiva para fijar un mínimo más equilibrado (por ejemplo, de 6 a 8 dígitos) y vuelve a implementarla mediante GPO, script o archivo .reg. |
| En entornos híbridos, los perfiles de MDM pueden sobrescribir los cambios de GPO local o del Registro. | Los dispositivos pueden volver a la configuración gestionada desde el cloud, lo que provoca incoherencias en la aplicación de las políticas. | Revisa los perfiles de configuración de MDM (Intune, SCCM, etc.) y alinéalos o elimina las políticas duplicadas. |
Otros aspectos a considerar al cambiar la longitud del PIN en Windows 11
- Longitud máxima: también puedes definir MaximumPINLength junto con MinimumPINLength para establecer un límite superior.
- Reglas de caracteres: puedes configurar ajustes de complejidad adicionales, como RequireUppercaseLetters, RequireDigits, RequireSpecialCharacters, etc.
- No afecta a las contraseñas: estos ajustes solo afectan al PIN de Windows Hello, no a las contraseñas tradicionales.
- PIN existentes: la directiva solo se aplica a los PIN nuevos o a los que se modifiquen. Los PIN existentes no se ven afectados salvo que se restablezcan.
- Windows Hello para empresas: estos ajustes también se aplican cuando Hello se utiliza junto con Azure AD o en entornos híbridos.
Cumple la normativa de TI ajustando la longitud del PIN de Windows Hello
Hemos visto cuatro métodos para configurar la longitud mínima del PIN en Windows 11. Aunque la mayoría de los expertos coinciden en que una longitud de entre 4 y 6 dígitos es suficiente para la gestión de credenciales, te recomendamos comprobar los requisitos concretos del marco de cumplimiento normativo en TI que sigas.
Temas relacionados:
- Cómo configurar Windows Hello: guía detallada
- Cómo activar o desactivar la expiración del historial de PIN en Windows 10 y 11
- Cómo permitir o impedir que los usuarios del dominio inicien sesión con PIN en Windows 10
- Cómo activar o desactivar el restablecimiento del PIN en el inicio de sesión en Windows 10
- Cómo activar o desactivar la exigencia de minúsculas en el PIN en Windows 10
