Impedir que los usuarios sin permisos de administrador ejecuten la consola es una forma eficaz de crear o reforzar un entorno controlado. Si tienes acceso de administrador y quieres desactivar el símbolo del sistema, esta guía te explica el proceso paso a paso y te ofrece claves adicionales para aplicar políticas de seguridad.
El símbolo del sistema es una herramienta potente que permite ejecutar todo tipo de tareas administrativas y de resolución de problemas mediante comandos de texto.
Métodos para desactivar el símbolo del sistema
Hay dos formas de impedir que los usuarios finales abran la consola del símbolo del sistema:
✔️ Con el Editor de directivas de grupo local
✔️ Con el Editor del Registro
El Registro de Windows está disponible en todos los dispositivos Windows, pero editar sus valores puede dañar el sistema si no se hace con cuidado. Te recomendamos crear una copia de seguridad y un punto de restauración del Registro de Windows antes de continuar.
Por otro lado, aunque la directiva de grupo local (GPO) conlleva menos riesgo, solo está disponible en las ediciones Pro, Enterprise y Education de Windows. Dicho esto, echa un vistazo a los pasos que encontrarás a continuación para empezar.
Opción 1: con el Editor de directivas de grupo local (recomendada)
- Pulsa Win + R, escribe «gpedit.msc» en el cuadro de diálogo y pulsa Aceptar.
- En el Editor de directivas de grupo local, ve a Configuración de usuario → Plantillas administrativas → Sistema.
- Busca la directiva Impedir el acceso al símbolo del sistema, haz doble clic en ella y configúrala como Habilitada.
🥷 Consejo: (opcional) después de habilitar la directiva, verás también la directiva Deshabilitar el procesamiento de scripts del símbolo del sistema. Al aplicarla, evitarás que los usuarios ejecuten archivos por lotes para saltarse la restricción del símbolo del sistema.
Opción 2: con el Editor del Registro (para usuarios avanzados)
- Pulsa Win + R, escribe «regedit» en el cuadro de diálogo y pulsa Aceptar para abrir el Editor del Registro.
- Ve a esta ruta o pégala en la barra de direcciones del Registro:
- HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows
- Si la clave System no está dentro de Windows, haz clic derecho en Windows, selecciona Nuevo → Clave y llámala System. Si ya existe, haz clic en System para continuar.
- Dentro de System, selecciona Nuevo → Valor de DWORD (32 bits) y llámalo DisableCMD.
- Haz doble clic en DisableCMD y asigna el valor:
- 1 → Desactiva el símbolo del sistema y los scripts .bat y .cmd
- 2 → Desactiva el símbolo del sistema
Otras medidas de seguridad alternativas o complementarias
Desactivar el símbolo del sistema es una buena base para reforzar el control de acceso de los usuarios sin permisos de administrador, pero puede no ser suficiente para evitar que se ejecuten scripts no autorizados en otras consolas (por ejemplo, PowerShell).
Estas son algunas capas de seguridad adicionales que merece la pena tener en cuenta.
Restringir el acceso a PowerShell con la directiva de grupo local
Conviene bloquear el acceso no autorizado a PowerShell, ya que esta consola puede ejecutar muchas utilidades de línea de comandos, incluso más potentes que las del símbolo del sistema. Además, algunos usuarios podrían aprovecharla para saltarse las restricciones aplicadas al símbolo del sistema.
Estos son los pasos para desactivar PowerShell desde la directiva de grupo local:
- Pulsa Win + R, escribe «gpedit.msc» en el cuadro de diálogo y pulsa Aceptar.
- Ve a Configuración de usuario → Plantillas administrativas → Sistema.
- Busca la directiva No ejecutar aplicaciones de Windows especificadas y haz doble clic en ella.
- A continuación, ve a Opciones, haz clic en Mostrar y escribe powershell.exe en la selección Valor.
- Haz clic en Aceptar y luego en Aplicar para confirmar los cambios.
También puedes añadir powershell_ise.exe (la interfaz PowerShell ISE) y pwsh.exe (PowerShell 7) en la columna Valor para evitar que los usuarios eludan las restricciones.
Bloquear la ejecución de scripts no autorizados con AppLocker
AppLocker, incluido de serie en Windows, también cuenta con sus propios parámetros para impedir la ejecución de scripts y archivos por lotes no autorizados. Eso sí, ten en cuenta que AppLocker por sí solo no evitará que algunos scripts se ejecuten en el modo de lenguaje restringido de PowerShell.
Por eso, lo recomendable es bloquear tanto PowerShell como el símbolo del sistema si el equipo del usuario no necesita esas funciones.
Activar el Control de cuentas de usuario (UAC) para limitar los permisos de ejecución de comandos
Configurar el UAC para restringir una cuenta de usuario estándar es otra excelente forma de favorecer un entorno seguro.
En esencia, los usuarios que no tengan privilegios elevados recibirán un aviso cada vez que intenten acceder a un programa restringido. Los administradores recibirán una notificación o el usuario tendrá que solicitar autorización antes de poder continuar.
Resolución de problemas habituales al activar o desactivar el símbolo del sistema
Aunque desactivar la consola no es un proceso complicado, hay pequeños detalles y consideraciones que se pasan por alto con facilidad. Estas son algunas pautas básicas de resolución de problemas a las que recurrir si te encuentras con un error.
Error: no se puede abrir el Editor de directivas de grupo (no se encuentra gpedit.msc)
El Editor de directivas de grupo local solo está disponible en estas ediciones de Windows:
- Pro
- Education
- Enterprise
Si tu dispositivo usa Windows Home, puedes recurrir al Editor del Registro.
Error: todavía se puede acceder al símbolo del sistema desde PowerShell
Algunos usuarios pueden saltarse la restricción del símbolo del sistema añadiendo un prefijo a los comandos en PowerShell. Además, muchos comandos y utilidades del símbolo del sistema se pueden ejecutar en PowerShell o tienen un equivalente allí. Por eso, los administradores de TI suelen restringir tanto PowerShell como el símbolo del sistema cuando limitan el acceso de los usuarios.
Error: necesitas volver a activar el símbolo del sistema
Puedes volver a activar el símbolo del sistema configurando la directiva Impedir el acceso al símbolo del sistema como No configurada o deshabilitada. Si antes usaste el Registro de Windows para aplicar las restricciones, puedes eliminar la clave System si no contiene ningún otro valor.
También puedes devolver el valor DWORD DisableCMD a 0 para reactivar por completo el símbolo del sistema.
Preguntas frecuentes sobre cómo activar o desactivar el símbolo del sistema
¿Desactivar cmd.exe afecta al rendimiento del sistema?
Desactivar el símbolo del sistema no afecta al rendimiento del sistema. Solo limita la capacidad de los usuarios sin permisos de administrador para ejecutar comandos en la consola.
¿Los administradores pueden seguir accediendo al símbolo del sistema?
No. Los administradores también se quedarán sin acceso al símbolo del sistema en ese dispositivo. Solo el sistema podrá ejecutar los scripts necesarios mediante esta consola.
¿Desactivar cmd.exe afecta a los archivos por lotes y a los scripts?
Hay muchas dudas relacionadas con este tema, como «¿cómo desactivo CMD .bat?» o «¿cómo desactivo el procesamiento de scripts del símbolo del sistema?», pero, para aclararlo: desactivar el símbolo del sistema no bloquea los archivos por lotes a menos que apliques también esa directiva.
Busca la directiva Deshabilitar el procesamiento de scripts del símbolo del sistema para gestionar esta opción.
¿Desactivar el símbolo del sistema bloquea también PowerShell?
No, PowerShell hay que desactivarlo aparte. Consulta los consejos adicionales del apartado Otras medidas de seguridad para ver cómo impedir que los usuarios accedan a PowerShell.
Conclusiones sobre cómo desactivar el símbolo del sistema en Windows 10
Deshabilitar el procesamiento de scripts del símbolo del sistema es un buen punto de partida para crear un entorno de TI seguro. Sin embargo, esta directiva por sí sola puede no bastar para disuadir a los usuarios que buscan rodear las restricciones. Por eso, puedes plantearte desactivar también PowerShell para cubrir esos huecos.
Cuando tengas claro que quieres desactivar la consola del símbolo del sistema, puedes usar el Editor del Registro o la GPO para aplicar la nueva directiva. En la mayoría de los casos recomendamos la segunda opción si tu dispositivo tiene Windows en las ediciones Pro, Enterprise o Education. Si usas Home, puedes editar el Registro de Windows tomando las debidas precauciones.
💡 Si prefieres una explicación visual, echa un vistazo a cómo desactivar el símbolo del sistema.
