Cómo comprobar si Credential Guard está activado o desactivado en Windows

Credential Guard es una función de Windows que protege las credenciales de inicio de sesión que utilizas para acceder a Windows en entornos empresariales. En esta guía te explicamos qué es Windows Credential Guard, qué requisitos hay que cumplir para usarlo y cómo comprobar si está activado o desactivado.

Si prefieres ver un vídeo en lugar de leer, echa un vistazo a Cómo comprobar si Credential Guard está activado o desactivado en Windows.

Introducción a Windows Credential Guard

El objetivo principal de Windows Credential Guard es evitar el robo de las credenciales que se usan para iniciar sesión en dominios de Windows y otros servicios, aislándolas del resto del sistema. Esto incluye las credenciales de dominio, los hashes de NT LAN Manager (NTLM) y los tickets de Kerberos, así como los tokens derivados de ellos que se generan para la autenticación de dos factores. También protege cualquier credencial de Windows almacenada en caché.

Credential Guard no protege otras credenciales (como las de aplicaciones de terceros): está pensado únicamente para proteger los métodos de autenticación que utiliza Windows.

Credential Guard solo es compatible con las ediciones Enterprise y Education de Windows 11 y Windows 10. No es compatible con las ediciones Home o Pro de Windows 11 y Windows 10, por lo que, si eres un usuario doméstico, es poco probable que puedas acceder a él (o que lo necesites). Credential Guard requiere compatibilidad de hardware con la seguridad basada en virtualización (VBS) y que Secure Boot esté activado.

Desde la versión 22H2 de Windows 11, si tu sistema cumple los requisitos anteriores, Credential Guard estará activado de forma predeterminada.

En las versiones más recientes (incluidas Windows 11 24H2 y Windows Server 2025), Credential Guard no solo es compatible, sino que viene activado de forma predeterminada en todos los sistemas que cumplen los requisitos. Es decir, normalmente solo tendrás que intervenir manualmente si necesitas desactivarlo por compatibilidad con aplicaciones antiguas o si lo ejecutas en una máquina virtual (VM).

Por qué es importante comprobar el estado de Credential Guard

Credential Guard protege frente a los ataques pass-the-hash y pass-the-ticket, que utilizan credenciales robadas de equipos Windows para suplantar a usuarios y conseguir más acceso a las redes Windows corporativas y a los datos sensibles que contienen.

En la TI de la empresa, es fundamental aprovechar todas las tecnologías de seguridad disponibles para proteger tu infraestructura, tus datos y tus usuarios. Además, aplicar todas las medidas de seguridad razonables suele ser un requisito para el cumplimiento del RGPD, la CCPA, la HIPAA y otros marcos legales de privacidad de datos que van surgiendo.

Si Credential Guard está disponible y es compatible con los sistemas Windows de los que te encargas, no hay ningún motivo para dejarlo desactivado.

Cómo funciona Credential Guard

Credential Guard combina seguridad de hardware y seguridad basada en virtualización (VBS). Las funciones de hardware, como Secure Boot y los módulos de plataforma segura (TPM), impiden manipular los mecanismos de protección de la virtualización. Por su parte, VBS aísla las credenciales en entornos virtualizados, separados de Windows, de forma que ni el malware ni los ciberatacantes puedan leerlas.

Incluso si un sistema con Credential Guard activado se ve comprometido (aunque sea por malware que se ejecuta con privilegios de administrador), solo los procesos autorizados pueden interactuar con las credenciales de Windows protegidas.

Cómo comprobar si Credential Guard está activado o desactivado

Puedes usar cualquiera de los siguientes métodos para comprobar el estado de Windows Credential Guard en un equipo concreto.

Método 1: con Información del sistema

• Haz clic con el botón derecho en el botón Inicio y selecciona Ejecutar
• Escribe msinfo32 en el cuadro de diálogo Ejecutar y haz clic en Aceptar
• Haz clic en Resumen del sistema en el panel de navegación izquierdo
• En el panel derecho, baja hasta Servicios de seguridad basada en virtualización configurados
• Credential Guard aparecerá en el campo Valor de Servicios de seguridad basada en virtualización configurados si está activado

Si Windows Credential Guard está desactivado o no está disponible en tu sistema, no aparecerá.

Método 2: con el Editor de directivas de grupo

También puedes usar el Editor de directivas de grupo para comprobar el estado de aplicación de Windows Credential Guard:

• Haz clic con el botón derecho en el botón Inicio y selecciona Ejecutar
• Escribe gpedit.msc y haz clic en Aceptar para abrir el Editor de directivas de grupo
• Ve a Configuración del equipo/Plantillas administrativas/Sistema/Device Guard
• Busca la directiva Activar seguridad basada en virtualización y ábrela
• Si la directiva está habilitada, puedes revisar las opciones para ver si se aplica con UEFI (lo que impide desactivarla) o no

Si la directiva está en No configurada, Credential Guard no se aplica mediante directiva de grupo (pero aún puede estar activado de forma predeterminada)

Método 3: revisar el Visor de eventos de Windows

El Visor de eventos de Windows permite consultar la información que registra Credential Guard.

• Busca y abre el Visor de eventos desde el menú Inicio
• Localiza los registros de Windows Credential Guard en Registros de aplicaciones y servicios/Microsoft/Windows > DeviceGuard
• Abre el registro Operativo

Después podrás comprobar que Credential Guard funciona revisando las entradas del registro. Si no hay ningún registro, puede que Device Guard no sea compatible con tu sistema o no esté activado. Para ver el proceso de verificación paso a paso, puedes consultar este vídeo: «Cómo comprobar si Device Guard está activado o desactivado en Windows».

Método 4: con comandos de PowerShell

Puedes usar el cmdlet de PowerShell Get-CimInstance para comprobar si Credential Guard está activado o desactivado siguiendo estos pasos:

• Abre PowerShell como administrador
• Ejecuta el siguiente comando de PowerShell

[bool](Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard).SecurityServicesRunning.Contains(2)

• Si el comando devuelve True, Credential Guard está activo

Consejo: si quieres un desglose más detallado, sin la lógica True/False, basta con ejecutar:

Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

Fíjate en la propiedad SecurityServicesRunning. Si incluye el número 2, Credential Guard está activo.

¿Qué hago si Credential Guard no es compatible con mi dispositivo?

Si un dispositivo del que te encargas no cumple los requisitos de Credential Guard, puedes comprobar en la BIOS/UEFI si las funciones de hardware necesarias están desactivadas. Después podrás activar Secure Boot, el arranque UEFI y el TPM si están presentes. En algunos casos, es posible comprar un módulo TPM físico e instalarlo en sistemas compatibles que no lo incluyan.

Credential Guard solo es compatible con las ediciones Enterprise y Education de Windows 11 y Windows 10, y la protección que ofrece está pensada específicamente para entornos empresariales. Si no te dedicas a mantener un entorno de este tipo, probablemente no tengas que preocuparte por el estado de Credential Guard en tu equipo.

Nota para usuarios de máquinas virtuales: si ejecutas Windows en un entorno virtual (como VMware o Hyper-V), tendrás que activar la virtualización anidada en la configuración del host; de lo contrario, Credential Guard aparecerá como «No compatible» aunque tu hardware sí lo sea.

¿Cómo activo Credential Guard si está desactivado?

Credential Guard se activa automáticamente en los sistemas compatibles que ejecutan la última versión de Windows 11. Si quieres forzar su aplicación, puedes habilitar la directiva de grupo que hemos visto antes.

Gestionar la seguridad de los dispositivos Windows a gran escala

Aunque la directiva de grupo permite aplicar Credential Guard en todos los dispositivos de un entorno empresarial, sigue siendo importante comprobar que todos los dispositivos lo admiten y que está activo. Hacerlo manualmente llevaría mucho tiempo y podría dejar huecos de seguridad si cambia la configuración de hardware de algún dispositivo. Por eso, la monitorización y la gestión automatizadas y continuas son imprescindibles para garantizar la seguridad de las credenciales de Windows en los dominios de Windows, sobre todo cuando los empleados utilizan sus propios dispositivos.