Cómo solucionar el aviso «LSA Package is Not Signed as Expected» en Windows 11

¿Acabas de encontrarte con el aviso «LSA Package is Not Signed as Expected» en tu Windows 11? No te alarmes: este aviso forma parte del proceso de protección de la Autoridad de Seguridad Local (LSA) de Windows, que se encarga de aplicar las políticas de seguridad, incluidas la autenticación de inicio de sesión y la gestión de credenciales.

Normalmente, este aviso aparece cuando Windows detecta que uno o varios plugins de LSA no están firmados correctamente según los requisitos de seguridad de Microsoft, aunque la protección de LSA esté activada. Imagínate un retraso en una entrega: compraste un producto online, pero el camión de reparto asignado a tu domicilio no registró bien su ubicación y, de hecho, desapareció de repente y volvió a aparecer en la puerta de tu casa. Así que, aunque el repartidor esté justo delante de ti, lo más prudente es no aceptar el paquete, porque no tienes la certeza de que sea la persona correcta ni de que traiga el artículo que pediste.

Microsoft recomienda activar la protección de LSA para reducir el riesgo de robo de credenciales. Sin embargo, si sigues recibiendo el aviso «LSA protection is on, but the LSA package is not signed as expected», esto es lo que puedes hacer:

Si prefieres una explicación visual de este tema, mira Cómo solucionar el aviso «LSA Package is Not Signed as Expected» en Windows

Cómo resolver los avisos persistentes de «LSA package not signed»

Antes de empezar, conviene tener en cuenta algunos requisitos técnicos:

• Actualizaciones de Windows: instala todas las actualizaciones de Windows pendientes para asegurarte de que tu sistema está al día.
• Permisos de administrador: si trabajas en un entorno gestionado, puede que tengas que hablar con tu administrador de TI.
• Arranque seguro y VBS: Secure Boot y la seguridad basada en virtualización (VBS) deben estar activados.
• Compatibilidad con HVCI: el dispositivo debe ser compatible con Hypervisor-protected Code Integrity (HVCI).

Paso 1: comprueba el estado de la protección de LSA

Método A: desde la interfaz gráfica

1. 1. Ve a Configuración > Privacidad y seguridad > Seguridad de Windows > Seguridad del dispositivo
   2. Haz clic en Detalles de aislamiento del núcleo o Procesador de seguridad (según la configuración de tu sistema).
   3. Consulta el estado de la protección de LSA en la sección Protección de la Autoridad de seguridad local. Puede aparecer uno de estos tres mensajes:
      • ✅ La protección de LSA está activada
      • ⚠️ La protección de LSA está activada, pero el paquete de LSA no está firmado como se esperaba
      • 🛑 La protección de LSA está desactivada
   4. Reinicia el sistema para descartar mensajes pasajeros.

💡 A veces la interfaz gráfica no es fiable o simplemente no aparece, así que este método puede no funcionarte. En ese caso, prueba con estos otros:

Método B: desde el registro de eventos de Windows

1. 1. Abre el Visor de eventos. Puedes hacerlo escribiendo «Visor de eventos» en la barra de búsqueda de Windows.
   2. Ve a Registros de aplicaciones y servicios > Microsoft > Windows > CodeIntegrity > Operational.
   3. Busca el ID de evento 3089 o 3065:
      • ID de evento 3089: indica que LSA no se está ejecutando como proceso protegido.
      • ID de evento 3065: indica que LSA se ejecuta como proceso protegido, pero ha encontrado plugins sin firmar.

Método C: con msinfo32

1. 1. Pulsa Win + R, escribe msinfo32 y pulsa Intro.
   2. Baja y revisa estos campos:
      • Seguridad basada en virtualización: debería indicar «En ejecución». Si no, hay un error.
      • Credential Guard: si la protección de LSA está activada, indicará «En ejecución».

Paso 2: activa la protección de LSA

Método A: desde el Editor del Registro

1. 1. Pulsa Win + R, escribe regedit y pulsa Intro.
   2. Ve a la clave: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
   3. Revisa estos dos valores y configúralos tal como se indica:
      1. RunAsPPL
         • Si el DWORD RunAsPPL ya existe, haz doble clic en él y establece su valor en 1.
         • Si no existe:
           • Haz clic con el botón derecho en un espacio vacío y selecciona Nuevo > Valor de DWORD (32 bits).
           • Llámalo RunAsPPL.
           • Establece su valor en 1
      2. RunAsPPLBoot
         • Si el DWORD RunAsPPLBoot ya existe, haz doble clic en él y establece su valor en 1.
         • Si no existe:
           • Haz clic con el botón derecho en un espacio vacío y selecciona Nuevo > Valor de DWORD (32 bits).
           • Llámalo RunAsPPLBoot.
           • Establece su valor en 1.
   4. Reinicia el sistema para aplicar los cambios.

Método B: con PowerShell

1. 1. Abre PowerShell como administrador.
   2. Ejecuta estos comandos:
      • Para activar la protección de LSA:

New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RunAsPPL" -Value 1 -PropertyType DWORD -Force

• • • Para aplicar la protección desde el arranque (opcional):

New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RunAsPPLBoot" -Value 1 -PropertyType DWORD -Force

1. 3. Reinicia el sistema para aplicar los cambios.

Paso 3: busca y elimina los plugins de LSA que no cumplan los requisitos

Método A: desde el Editor del Registro

1. 1. Pulsa Win + R, escribe regedit y pulsa Intro.
   2. Ve a la clave: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
   3. Revisa los paquetes de autenticación.
      • Comprueba si hay plugins de terceros en las entradas Authentication Packages y Security Packages.
      • Entre las entradas de terceros más habituales suelen estar componentes de antivirus o software VPN antiguos.
   4. Desinstala o actualiza el software según sea necesario.
      • Identifica cualquier software de seguridad ajeno a Microsoft que pueda inyectar plugins de LSA sin firmar.
      • Desinstala esas aplicaciones o actualízalas a versiones compatibles con la protección de LSA.

Método B: con el Visor de eventos

1. 1. Pulsa Win R, escribe eventviewer.msc y pulsa Intro.
   2. Ve a Registros de Windows > Sistema.
   3. En el desplegable Orígenes de eventos, busca y selecciona:
      • LSASS (Local Security Authority Subsystem Service)
      • CodeIntegrity
      • También puedes filtrar por el ID de evento 3089 o 3065, que suelen estar relacionados con problemas de protección de LSA.
   4. Revisa los detalles y analízalos. Fíjate en las referencias a DLL concretas o a rutas de archivo, sobre todo las que estén fuera de C:\Windows\System32. Apunta también el nombre y la ubicación de cualquier plugin de terceros, como los de herramientas antivirus desactualizadas.
   5. Compara esa información con lo que ya tienes instalado en el sistema desde Configuración > Aplicaciones > Aplicaciones instaladas.
   6. Elimina el software que no cumpla los requisitos.
      • Si el plugin pertenece a una aplicación de terceros conocida:
        • Desinstálala desde Configuración > Aplicaciones > Aplicaciones instaladas.
        • Usa el desinstalador del proveedor si está disponible.
      • Si hay una versión actualizada disponible, descárgala de una fuente fiable e instálala.
   7. Reinicia el sistema para asegurarte de que se aplican todos los cambios.

Paso 4: corrige los problemas de integridad de LSA

Método A: usa la opción «Corregir» de Seguridad de Windows (si está disponible)

1. 1. Ve a Configuración > Privacidad y seguridad > Seguridad de Windows > Seguridad del dispositivo.
   2. Haz clic en Detalles de aislamiento del núcleo o Procesador de seguridad (según la configuración de tu sistema).
   3. Si aparece un botón Corregir o Reinicio necesario, haz clic en él para iniciar la corrección.
   4. Sigue las indicaciones para reiniciar el sistema.

💡 Igual que en el paso 1, a veces la interfaz gráfica no es fiable o no aparece, así que este método puede no funcionarte. En ese caso, prueba con estos otros:

Método B: confirma que el registro es correcto

Asegúrate de haber aplicado el método del Editor del Registro y el método de PowerShell para activar explícitamente RunAsPPL y, de forma opcional, RunAsPPLBoot. Estos valores tienen prioridad sobre el comportamiento de la interfaz gráfica y aplican la protección de LSA directamente a nivel de sistema.

Método C: investiga manualmente el software de terceros

Ten en cuenta que Windows no puede eliminar software de terceros; tendrás que hacerlo tú manualmente. Si hay plugins sin firmar, usa el Visor de eventos, como se explica en el paso 3, método B, para identificar el origen.

Otros aspectos a tener en cuenta sobre la protección de LSA

• En entornos empresariales puedes usar directivas de grupo o proveedores de servicios de configuración (CSP) para aplicar la protección de LSA en varios sistemas a la vez.
• Recuerda que las herramientas y el software de terceros más antiguos tienen menos probabilidades de estar firmados. En esos casos, lo recomendable es desinstalarlos o actualizar esos paquetes para que desaparezca el aviso.
• Te sugerimos revisar el Visor de eventos con regularidad o usar scripts de PowerShell para buscar los ID de evento 3065 o 3089, que señalan problemas de integridad de LSA.

Cómo resolver el aviso «LSA package is not signed as expected»

Este aviso de protección de LSA aparece cuando los plugins de terceros no cumplen los estándares actuales de integridad del código. Aunque puede resultar molesto, es una buena forma de proteger tu dispositivo frente a las amenazas. En cualquier caso, esta guía te ha mostrado los pasos necesarios para resolverlo y seguir trabajando sin interrupciones.