Puntos clave
Cómo configurar el ajuste «No mostrar el último usuario que inició sesión» en la pantalla de inicio de sesión
- Windows 11 muestra por defecto el último usuario que inició sesión, con su nombre de usuario y, a veces, su dirección de correo en la pantalla de inicio de sesión. Esto resulta cómodo, pero puede exponer credenciales en entornos compartidos o públicos.
- La directiva «Inicio de sesión interactivo: no mostrar el último inicio de sesión» permite a los administradores ocultar el nombre del último usuario que inició sesión y protege frente a la exposición de credenciales y los ataques de fuerza bruta.
- Puedes activar o desactivar esta directiva con cuatro métodos:
- Configurar desde el Editor de directivas de grupo local
- Configurar desde el Editor del Registro
- Script de PowerShell para automatizar
- Usar un archivo .reg para automatizar
- Los requisitos previos para esta tarea son privilegios de administrador y acceso al Editor de directivas de grupo local y/o al Editor del Registro.
- Presta atención a cuestiones como:
- El GPO tiene prioridad sobre el Registro
- Modificar la directiva «Inicio de sesión interactivo: no mostrar el último inicio de sesión» sin privilegios elevados
- Modificar el Registro sin una copia de seguridad
- Desplegar configuraciones del Registro sin probarlas
Windows 11 muestra en la pantalla de bloqueo el nombre y, en algunos casos, la dirección de correo del último usuario que inició sesión. Aunque resulta cómodo, dejar tus credenciales a la vista puede convertirse en una vulnerabilidad de la seguridad en entornos compartidos o públicos. Si desactivas la directiva Inicio de sesión interactivo: no mostrar el último inicio de sesión, protegerás las credenciales porque se exigirá una autenticación completa sin revelar nombres de usuario al iniciar sesión.
Si prefieres verlo explicado paso a paso, consulta Cómo activar o desactivar «no mostrar el último inicio de sesión» en la pantalla de inicio de sesión de Windows 11.
Formas de gestionar la directiva «Inicio de sesión interactivo: no mostrar el último inicio de sesión»
Al activar esta directiva se obliga a escribir las credenciales completas, lo que reduce el riesgo de ataques de fuerza bruta: el atacante tiene que adivinar tanto el nombre de usuario como la contraseña de la cuenta. Dicho de otro modo, impedir la enumeración de nombres de usuario refuerza la seguridad en entornos empresariales.
Sin embargo, no todos los escenarios requieren este cambio, ya que, si se deja sin configurar, los usuarios finales acceden con mayor facilidad. Esto se aplica sobre todo a los dispositivos personales o domésticos, donde suele primar la comodidad de acceso sobre unas directivas de seguridad más estrictas.
📌 Requisitos previos:
- Privilegios de administrador
- Acceso al Editor de directivas de grupo local
- Acceso al Editor del Registro
💡 Estrategias de despliegue recomendadas:
Haz clic para elegir un método | 💻 Ideal para usuarios individuales | 💻💻💻 Ideal para empresas |
| Método 1: configurarla desde el Editor de directivas de grupo local | ✓ | ✓ |
| Método 2: configurarla desde el Editor del Registro | ✓ | |
| Método 3: script de PowerShell para automatizar | ✓ | ✓ |
| Método 4: usar un archivo .reg para automatizar | ✓ |
(Consulta ⚠️ Aspectos a tener en cuenta.)
Método 1: configurarla desde el Editor de directivas de grupo local
El Editor de directivas de grupo local (LGPE) ofrece un acceso sencillo a las directivas y permite ver con claridad el efecto de cada configuración. Además, incluye parámetros predefinidos que resultan fáciles de aplicar, supervisar y revertir con un solo clic. Así se evitan entradas no válidas y errores de sintaxis al configurar un equipo local.
📌 Casos de uso: este método es ideal para dispositivos con varios usuarios, ya que se aplica a todo el sistema y garantiza que cada persona escriba sus credenciales completas al iniciar sesión. Además, los administradores pueden usarlo para probar la directiva en un equipo local antes de desplegarla mediante la Consola de administración de directivas de grupo (GPMC).
📌 Requisitos previos:
- El dispositivo de destino debe ejecutar Windows 11 Pro, Enterprise o Education.
- Acceso a la GPMC para despliegues a nivel empresarial.
- Pulsa Win + R, escribe gpedit.msc y pulsa Ctrl + Mayús + Intro.
- Ve a la siguiente ruta: Configuración del equipo > Configuración de Windows > Configuración de seguridad > Directivas locales > Opciones de seguridad
- Busca la directiva Inicio de sesión interactivo: no mostrar el último inicio de sesión y haz doble clic en ella.
- Configura la directiva para decidir si se muestran o no los nombres de usuario en la pantalla de inicio de sesión:
- Habilitada: oculta el nombre de la última cuenta que inició sesión.
- Deshabilitada: muestra el nombre de la última cuenta que inició sesión.
- Habilitada: oculta el nombre de la última cuenta que inició sesión.
- Pulsa Aplicar y luego Aceptar en la parte inferior de la ventana de la directiva para guardar los cambios.
- Cierra el Editor de directivas de grupo local.
- Abre PowerShell con privilegios elevados y ejecuta gpupdate /force.
Método 2: configurar «Inicio de sesión interactivo: no mostrar el último inicio de sesión» desde el Editor del Registro
La directiva Inicio de sesión interactivo: no mostrar el último inicio de sesión del Editor de directivas de grupo local modifica el valor dontdisplaylastusername del Registro de Windows. En sistemas donde no está disponible la directiva de grupo, como los dispositivos con Windows 11 Home, los administradores pueden configurar manualmente ese valor del Registro.
⚠️ Advertencia: a diferencia del Editor de directivas de grupo local, el Registro de Windows no tiene protección frente a errores y los cambios se aplican de inmediato. Una configuración incorrecta a este nivel puede dejar el dispositivo inoperativo y no se puede deshacer salvo que revieras el cambio manualmente o lo recuperes de una copia de seguridad. [Consulta ⚠️ Aspectos a tener en cuenta.]
📌 Casos de uso: usa el Editor del Registro para gestionar la enumeración de nombres de las últimas cuentas que iniciaron sesión en equipos que no pertenecen a un dominio. Los administradores también pueden desplegar este método convirtiéndolo en un script de PowerShell o en un archivo .reg.
📌 Requisitos previos:
- Copia de seguridad del Registro de Windows
- Subclaves del Registro Policies y System
- Valor DWORD dontdisplaylastusername
- Pulsa Win + R, escribe regedit y pulsa Ctrl + Mayús + Intro.
- Ve a la siguiente ruta: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
- Busca el valor DWORD dontdisplaylastusername y haz doble clic en él.
- Cambia los datos del valor dontdisplaylastusername según el comportamiento que prefieras:
- 1 = oculta el nombre de la última cuenta que inició sesión.
- 0 = muestra el nombre de la última cuenta que inició sesión.
- 1 = oculta el nombre de la última cuenta que inició sesión.
- Pulsa Aceptar y cierra el Editor del Registro.
- Reinicia el dispositivo para aplicar los cambios.
Método 3: script de PowerShell para automatizar
Configurar el Editor del Registro una y otra vez en varios equipos puede resultar abrumador para los administradores, sobre todo al gestionar endpoints que no pertenecen a un dominio. Una alternativa es recurrir a PowerShell para garantizar que la configuración sea idéntica en todos los endpoints.
📌 Casos de uso: los administradores pueden usar PowerShell para automatizar la configuración de dontdisplaylastusername en un equipo local que no pertenece a un dominio. Este método también crea automáticamente las subclaves y el valor DWORD necesarios al aplicarse, por lo que no hace falta gestionar el Registro a mano.
📌 Requisitos previos:
- Copia de seguridad del Registro de Windows
- Pruebas en un equipo local antes del despliegue [Consulta ⚠️ Aspectos a tener en cuenta.]
- Pulsa Win + R, escribe PowerShell y pulsa Ctrl + Mayús + Intro.
- Introduce el script que se ajuste a lo que necesitas:
- Usa este comando para ocultar el nombre del último usuario que inició sesión:
New-Item -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" -Force| Out-NullSet-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" -Name "dontdisplaylastusername" -Value1 -Type DWord - Usa este comando para mostrar el nombre del último usuario que inició sesión:
New-Item -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" -Force| Out-NullSet-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" -Name "dontdisplaylastusername" -Value0 -Type DWord - Espera a que termine el script.
- Cierra la ventana de PowerShell.
💡 Consejo: puedes usar una herramienta de PowerShell remoto para desplegar el script de forma remota en los endpoints de todo el entorno.
Método 4: usar un archivo .reg para automatizar
Otra opción, si vas a aplicar cambios puntuales en el Registro de un equipo local, es usar un archivo de registro para automatizar el proceso. Así puedes gestionar dontdisplaylastusername de forma automática en entornos donde el scripting está restringido.
💡 Consejo: si ya has seguido el método del Registro, puedes exportar directamente el valor dontdisplaylastusername para crear el archivo .reg automáticamente.
📌 Casos de uso: este método es ideal tanto para administradores como para usuarios finales que quieran gestionar la enumeración de nombres de usuario de un equipo local sin recurrir a scripts. Además, resulta adecuado para aplicarlo a pequeña escala en endpoints que no pertenecen a un dominio.
📌 Requisitos previos:
- Copia de seguridad del Registro de Windows
- Pruebas en un equipo local antes del despliegue [Consulta ⚠️ Aspectos a tener en cuenta.]
- Pulsa Win + S, escribe Notepad y abre la aplicación Bloc de notas.
- Escribe la entrada del Registro que se corresponda con el comportamiento que quieras:
- Para ocultar el nombre del último usuario que inició sesión:
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]"dontdisplaylastusername"=dword:00000001 - Para mostrar el nombre del último usuario que inició sesión:
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]"dontdisplaylastusername"=dword:00000000
- Para ocultar el nombre del último usuario que inició sesión:
- Pulsa Ctrl + Mayús + S, pon al archivo un nombre con la extensión .reg y cambia el tipo de archivo a Todos los archivos.
- Elige la ruta donde se guardará el archivo .reg y pulsa Guardar.
- Haz doble clic en el archivo .reg y comprueba que se aplique el cambio que querías.
⚠️ Aspectos a tener en cuenta
Riesgos | Posibles consecuencias | Cómo revertirlo |
| El GPO tiene prioridad sobre el Registro. | El GPO anula el cambio que hagas en el Registro de un endpoint unido a un dominio si entra en conflicto con una directiva aplicada. | Asegúrate de que no haya conflicto entre el cambio en el Registro y la directiva de grupo de tu organización. |
| Modificar la directiva Inicio de sesión interactivo: no mostrar el último inicio de sesión sin privilegios elevados | Todos los métodos descritos en esta guía se aplican a nivel de dispositivo. Sin el acceso administrativo adecuado, la configuración dará errores o fallará sin avisar. | Es importante usar una cuenta con permisos elevados cuando apliques cambios que afectan a todo el sistema. |
| Modificar el Registro sin una copia de seguridad | Los cambios en el Registro se aplican de inmediato y un solo error puede dejar el dispositivo inoperativo. Como el Registro no tiene una función de deshacer, revertir una configuración incorrecta resulta complicado. | Conviene crear una copia de seguridad del Registro de Windows antes de modificar cualquier valor. |
| Desplegar cambios en el Registro sin probarlos | Sin pruebas previas, los errores de configuración pueden pasar desapercibidos y provocar que el cambio falle en silencio o genere multitud de errores en el sistema. | Sea cual sea el método de despliegue que uses, es fundamental probar los cambios primero en un equipo local. Así se evita desplegar por accidente configuraciones erróneas en todo el entorno. |
Qué tener en cuenta al gestionar «Inicio de sesión interactivo: no mostrar el último inicio de sesión»
Cómo se comporta la enumeración de nombres al iniciar sesión
Activar esta directiva obliga a los usuarios a escribir su nombre de usuario y su contraseña al iniciar sesión. Además, también oculta las direcciones de correo de las cuentas de Microsoft vinculadas, lo que mejora la protección de las credenciales en la organización.
Directivas relacionadas
Para reforzar la seguridad de las credenciales, habilita la directiva Inicio de sesión interactivo: no mostrar el nombre de usuario al iniciar sesión en el Editor de directivas de grupo local. Así todos los nombres de usuario quedan ocultos durante el proceso de inicio de sesión.
Kioscos y dispositivos compartidos
Si gestionas un dispositivo público o compartido, te recomendamos encarecidamente activar esta directiva para proteger las credenciales de los usuarios finales.
Protege las credenciales ocultando los nombres de usuario al iniciar sesión
Windows muestra por defecto el nombre del último usuario que inició sesión para agilizar el acceso, pero eso puede exponer credenciales en entornos que exigen seguridad. Por eso conviene ocultar el último usuario en la pantalla de inicio de sesión y proteger el entorno frente a accesos no autorizados.
Los administradores pueden gestionarlo modificando la directiva Inicio de sesión interactivo: no mostrar el último inicio de sesión en el Editor de directivas de grupo local. En equipos que no pertenecen a un dominio, el valor dontdisplaylastusername se puede establecer manualmente en el Editor del Registro o automatizar con PowerShell o archivos .reg.
Temas relacionados:
