Puntos clave
- Conoce los requisitos: solo está disponible en Windows 11 versión 24H2 o posterior y en Windows Server 2025 o posterior; necesitas SMB 3.0 o superior tanto en el cliente como en el servidor.
- Usa PowerShell: ejecuta «Set-SmbClientConfiguration -RequireEncryption $true» en una sesión de PowerShell con privilegios elevados. Para desactivarlo, sustituye «$true» por «$false».
- Usa la directiva de grupo: ve a «Configuración del equipo» > «Plantillas administrativas» > «Red» > «Lanman Workstation» y establece la directiva «Require Encryption» en «Habilitada» o «Deshabilitada».
- Usa el registro: establece el valor DWORD «RequireEncryption» en «1» (activar) o «0» (desactivar) en «HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanWorkstationParameters.”
- Vigila los problemas de compatibilidad: haz pruebas con un despliegue por fases antes de aplicarlo en toda la organización y ten preparado un plan de reversión con PowerShell o el Editor del Registro.
SMB, siglas de Server Message Block, es un protocolo fundamental que utilizan los sistemas Windows para compartir archivos, impresoras y puertos serie en una red. En esencia, es un protocolo cliente-servidor: tú (el cliente) solicitas acceso a archivos u otros recursos de un servidor, y el servidor responde concediendo el acceso solicitado.
Como puedes imaginar, esto puede suponer una vulnerabilidad de la seguridad, sobre todo en entornos de TI gestionados. La opción requisito de cifrado del cliente SMB de Windows 11 (versión 24H2 o posterior) obliga a cifrar todas las conexiones salientes del cliente SMB. Esta función permite a los administradores de TI garantizar que los datos sensibles queden protegidos frente a escuchas e interceptaciones, especialmente en redes públicas o no confiables.
Si prefieres una guía visual, mira nuestro vídeo: Cómo activar o desactivar el requisito de cifrado del cliente SMB en Windows 11.
📌 Estrategias de despliegue recomendadas:
Haz clic para elegir un método | 💻 Mejor para usuarios individuales | 💻💻💻 Mejor para empresas |
| Método 1: con PowerShell | ✓ | ✓ |
| Método 2: con la directiva de grupo | ✓ | |
| Método 3: con el Editor del Registro | ✓ | ✓ |
| Método 4: ejemplo de archivo .reg | ✓ | ✓ |
Cómo configurar el requisito de cifrado del cliente SMB en Windows 11
Método 1: con PowerShell (recomendado)
📌 Casos de uso: ideal para despliegues mediante scripts, configuraciones manuales o administración remota
📌 Requisitos previos:
- Necesitas privilegios de administrador.
- Hacen falta las versiones de SMB 3.0 o superiores tanto en el cliente como en el servidor.
- La directiva de ejecución de PowerShell debe permitir ejecutar comandos y scripts.
- Normalmente no hace falta reiniciar, pero es una buena práctica después de un cambio.
- Te recomendamos apuntarte a este curso intensivo gratuito: PowerShell para ninjas de TI.
Pasos:
- Abre PowerShell con privilegios elevados.
- Ejecuta cualquiera de los comandos siguientes.
Para activar el cifrado obligatorio del cliente SMB:
Set-SmbClientConfiguration -RequireEncryption $true
Para desactivar el cifrado obligatorio del cliente SMB:
Set-SmbClientConfiguration -RequireEncryption $false
Para comprobar tu configuración actual:
Get-SmbClientConfiguration
Busca el campo RequireEncryption en el resultado para confirmar si el cifrado es obligatorio en este momento. También puedes ejecutar directamente cualquiera de estos comandos:
Get-SmbClientConfiguration | Format-List -Property RequireEncryption
Método 2: con la directiva de grupo (despliegue empresarial)
📌 Casos de uso: la mejor opción para despliegues a escala empresarial en varios equipos unidos a un dominio.
📌 Requisitos previos:
- Necesitas un equipo unido a un dominio.
- Hace falta acceso de administrador al Editor de directivas de grupo.
- Los sistemas deben admitir la aplicación de directivas de grupo.
- También se necesita SMB 3.0 o superior.
Pasos:
- Pulsa Win + R, escribe gpedit.msc y pulsa Intro.
- Ve a Configuración del equipo > Plantillas administrativas > Red > Lanman Workstation.
- Busca Cifrar todas las conexiones del cliente SMB o Require Encryption (según tu compilación de Windows 11) y haz doble clic.
- Establécela en Habilitada para exigir el cifrado en todas las conexiones del cliente.
- Establécela en Deshabilitada o No configurada para permitir conexiones sin cifrar.
- Haz clic en Aceptar y aplica los cambios.
- Abre el símbolo del sistema con privilegios elevados y ejecuta gpupdate /force para que la directiva surta efecto de inmediato. También puedes reiniciar el equipo.
Método 3: con el Editor del Registro
📌 Casos de uso: adecuado para cambios manuales, entornos sin conexión o entornos sin acceso a la directiva de grupo.
📌 Requisitos previos:
- Necesitas privilegios de administrador.
- Es preferible que tengas experiencia editando el registro.
- Se necesita SMB versión 3.0 o superior.
- Te recomendamos hacer una copia de seguridad del registro antes de continuar. Una configuración incorrecta puede provocar inestabilidad en el sistema.
Pasos:
- Pulsa Win + R, escribe regedit y pulsa Intro.
- Ve a la siguiente clave: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters
- Crea o modifica el valor DWORD (32 bits) RequireEncryption:
- Establece el valor en 1 para exigir el cifrado.
- Establece el valor en 0 para desactivar el requisito (valor predeterminado).
- Para aplicar los cambios, reinicia el equipo.
Método 4: ejemplo de archivo .reg
📌 Casos de uso: ideal para despliegues sencillos en los que no hace falta usar scripts, pero la automatización sigue siendo útil.
📌 Requisitos previos:
- Este método requiere privilegios de administrador.
- El usuario debe tener permiso para combinar archivos .reg.
- Hay que reiniciar manualmente o cerrar e iniciar sesión para aplicar los cambios.
- Te recomendamos hacer una copia de seguridad del registro antes de continuar. Una configuración incorrecta puede provocar inestabilidad en el sistema.
Pasos:
Para activar el cifrado:
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters]
"RequireEncryption"=dword:00000001
Para desactivar el cifrado:
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters]
"RequireEncryption"=dword:00000000
Otros aspectos a tener en cuenta al modificar el requisito de cifrado SMB
- Compatibilidad: activar la opción RequireEncryption implica que se rechazará cualquier servidor SMB que no admita el cifrado. Esto puede afectar a los sistemas antiguos.
- Rendimiento: el cifrado añade cierta sobrecarga, sobre todo en entornos de alto rendimiento. Mide el impacto en escenarios críticos antes de hacer despliegues a gran escala.
- Firma SMB: mientras que la firma SMB verifica la integridad de los datos, el cifrado también protege frente a las escuchas. Activar el cifrado hace innecesaria la firma en la práctica. Dicho esto, conviene saber que Windows 11 (versión 24H2) Enterprise, Pro y Education ya exigen de forma predeterminada la firma SMB tanto saliente como entrante.
- SMB v1: este protocolo antiguo no admite el cifrado y está obsoleto. Por motivos de seguridad, conviene desactivarlo en todos los entornos modernos. (Consulta Cómo activar o desactivar el protocolo de uso compartido de archivos SMB1 en Windows para más información.)
⚠️ Aspectos que debes vigilar
| Riesgos | Posibles consecuencias | Cómo revertirlo |
| Activar el cifrado en clientes cuando el servidor no lo admite | Fallos de conexión; imposibilidad de acceder a los recursos compartidos SMB | Desactiva RequireEncryption con PowerShell, la directiva de grupo o el Registro de Windows. |
| Usar la directiva de grupo en entornos con distintos SO | La directiva puede no aplicarse correctamente o incluso interrumpir las conexiones con clientes no compatibles. | Devuelve la configuración del GPO a No configurada o Deshabilitada y ejecuta gpupdate /force en un símbolo del sistema con privilegios elevados. |
| Modificar el registro de forma incorrecta | Puede provocar inestabilidad en el sistema o romper el uso compartido de archivos | Haz una copia de seguridad del registro antes de continuar. Si ocurre después, prueba a restaurar la copia de seguridad o a devolver el DWORD a 0. |
| Exigir el cifrado en redes antiguas | Puede romper la compatibilidad con NAS o sistemas Windows más antiguos | Plantéate despliegues por fases o excepciones donde sea necesario. |
Mejora la seguridad de los datos con el cifrado del cliente SMB
Exigir el cifrado del cliente SMB es una forma eficaz de proteger el uso compartido de archivos en red en entornos Windows 11. Tanto si gestionas un solo endpoint como si despliegas directivas en toda una empresa, exigir el cifrado refuerza la seguridad de los datos y ayuda a garantizar el cumplimiento.
Temas relacionados:
- ¿Qué es SMB (Server Message Block)?
- ¿Qué es el cifrado de archivos?
- Cómo desactivar SMBv1 (protocolo Server Message Block) con PowerShell
Guía de inicio rápido
En Windows 11 puedes activar o desactivar el cifrado del cliente SMB mediante la directiva de grupo o el registro. Así se hace:
1. Con la directiva de grupo:
– Abre el Editor de directivas de grupo
– Ve a: Configuración del equipo > Plantillas administrativas > Red > Lanman Workstation
– Busca y configura las directivas «Habilitar inicios de sesión de invitado no seguros» y «Habilitar el cifrado SMB»
2. Con el registro (puedes hacerlo con un script de NinjaOne):
REG ADD «HKLMSYSTEMCurrentControlSetServicesLanmanWorkstationParameters” /v «RequireSmb2Encryption» /t REG_DWORD /d 1 (para activarlo)
REG ADD «HKLMSYSTEMCurrentControlSetServicesLanmanWorkstationParameters” /v «RequireSmb2Encryption» /t REG_DWORD /d 0 (para desactivarlo)
Para una configuración más precisa, te recomendamos revisar tus requisitos de seguridad concretos y hacer pruebas en un entorno controlado.
