Puntos clave
- El umbral de bloqueo de cuenta limita los intentos de inicio de sesión fallidos en los dispositivos Windows y ayuda a las organizaciones a mantener su nivel de seguridad.
- Ve a Configuración del equipo > Configuración de Windows > Configuración de seguridad > Directivas de cuenta > Directiva de bloqueo de cuenta, busca Umbral de bloqueo de cuenta y elige un valor entre 0 y 999 para configurarlo desde el Editor de directivas de grupo.
- Usa el comando
net accounts /lockoutthreshold:<value>[/codebox] para cambiar el umbral de bloqueo de cuenta desde el símbolo del sistema.
- Los profesionales de TI deben equilibrar seguridad y usabilidad para evitar pérdidas de productividad mientras se protegen de los ataques de credential stuffing y de fuerza bruta.
- Entre las buenas prácticas están comunicar las directivas con claridad a los usuarios, revisar periódicamente la configuración de bloqueo y alinear los ajustes con las normativas de cumplimiento.
El umbral de bloqueo de cuenta en los dispositivos Windows limita los intentos de inicio de sesión fallidos y evita accesos no autorizados. Entender cómo funciona este sistema permite a los equipos de TI reforzar la seguridad de su organización y proteger los datos sensibles frente a accesos no autorizados. En esta guía te explicamos cómo proteger las cuentas locales con umbrales de bloqueo de cuenta y evitar ataques de fuerza bruta en tus dispositivos Windows.
Cómo configurar los ajustes de bloqueo de cuenta para cuentas locales en Windows 10
Puedes cambiar el umbral de bloqueo de cuenta para las cuentas locales con el Editor de directivas de grupo local o con el símbolo del sistema.
Método 1: ajustar el umbral de bloqueo con el Editor de directivas de grupo
Caso de uso: configurarlo desde el Editor de directivas de grupo es la opción ideal para un despliegue en toda la empresa.
Requisitos previos: para que este método funcione, necesitas:
- Windows 10 en edición Pro, Enterprise o Education (⚠️ IMPORTANTE: este método no funciona en la edición Windows 10 Home).
- Acceso de administrador al equipo
💡 NOTA: es buena práctica hacer una copia de seguridad de la configuración actual del sistema antes de hacer cambios, para evitar problemas.
Para usar este método, sigue estos pasos:
- Comprueba que tienes acceso de administrador al equipo.
- Haz una copia de seguridad de la configuración actual del sistema para evitar problemas.
- Pulsa Win + R para abrir el cuadro Ejecutar y escribe «gpedit.msc». Pulsa Intro para abrir el Editor de directivas de grupo local.
- Ve a Configuración del equipo > Configuración de Windows > Configuración de seguridad > Directivas de cuenta > Directiva de bloqueo de cuenta.
- Haz clic en Directiva de bloqueo de cuenta para abrir un nuevo panel a la derecha.
- Haz doble clic en «Umbral de bloqueo de cuenta».
- De forma predeterminada, el valor es 0, pero puedes escribir cualquier número entre 0 y 999 para indicar cuántos intentos de inicio de sesión no válidos puede hacer un usuario antes de que se bloquee su cuenta.
- Al fijar el umbral que quieras, se abrirá una ventana para confirmar la duración del bloqueo predeterminada y el tiempo de restablecimiento. Ambos valores están en 30 minutos por defecto, pero puedes cambiarlos a tu gusto.
- Cuando termines, haz clic en «Aceptar».
Método 2: configurar la directiva de bloqueo para cuentas locales con el símbolo del sistema
Casos de uso: usa el símbolo del sistema en dispositivos sin acceso al Editor de directivas de grupo y para correcciones rápidas basadas en scripts. Este método debería funcionar en todas las versiones de Windows.
Requisitos previos: necesitas acceso de nivel administrador para abrir un símbolo del sistema con privilegios elevados.
Para cambiar el umbral de bloqueo desde el símbolo del sistema, sigue estos pasos:
- Comprueba que tienes acceso de nivel administrador para abrir un símbolo del sistema con privilegios elevados.
- Haz una copia de seguridad de la configuración actual del sistema para evitar problemas.
- Define el umbral con este comando:
net accounts /lockoutthreshold:<value>[/codebox]
Debes sustituir <value> por el número de intentos fallidos que quieras permitir. - Para verificar los cambios, puedes ejecutar este comando y ver la configuración actual de la directiva de bloqueo de cuenta: net accounts[/code box]
- Ya puedes cerrar el símbolo del sistema o cambiar los 30 minutos predeterminados de la duración del bloqueo y del tiempo de restablecimiento.
¿Qué es el umbral de bloqueo de cuenta en Windows?
El umbral de bloqueo de cuenta determina cuántos intentos de inicio de sesión fallidos se permiten antes de que una cuenta local se bloquee temporalmente. Al alcanzar ese límite, la cuenta queda inaccesible durante un periodo determinado o hasta que se restablezca manualmente, según el resto de directivas de seguridad.
Configurar bien el bloqueo de cuentas en Windows ayuda a los expertos en seguridad informática a prevenir los ataques de fuerza bruta, en los que usuarios no autorizados prueban contraseñas una y otra vez hasta acertar. Modificar el umbral de bloqueo de cuenta también ayuda a prevenir otros tipos de ciberataques, como el credential stuffing.
💡 Consejo: también conviene ajustar cuánto tiempo permanecen bloqueadas las cuentas tras los intentos fallidos: consulta Cómo cambiar la duración del bloqueo de cuenta para cuentas locales para ver instrucciones detalladas.
Protege los dispositivos y los datos sin sacrificar la productividad de los usuarios finales con la herramienta todo en uno de NinjaOne para la seguridad y la gestión de endpoints.
→ Descubre cómo NinjaOne puede proteger tus dispositivos Windows.
Encuentra el equilibrio entre seguridad y usabilidad con el umbral de bloqueo adecuado. Mira Cómo cambiar el umbral de bloqueo de cuenta en Windows.
¿Por qué modificar el umbral de bloqueo de cuenta?
Aunque los sistemas Windows traen valores predeterminados para el umbral de bloqueo de cuenta, los profesionales y las organizaciones, sobre todo las que deben cumplir normativas de TI, pueden necesitar configurar la directiva de bloqueo de las cuentas locales.
Solución de problemas habituales con el umbral de bloqueo de cuenta
La directiva no se aplica correctamente
Asegúrate de tener privilegios de administrador al usar el Editor de directivas de grupo local. Cuando termines de modificar la configuración en el Editor de directivas de grupo, abre el símbolo del sistema y ejecuta:
gpupdate /force[/code box]
Este comando actualiza todas las directivas de grupo y garantiza que los cambios se apliquen.
Los cambios no se reflejan en las cuentas locales
Si el dispositivo forma parte de una red, la directiva de bloqueo de cuenta se aplica a las cuentas locales y no a las cuentas de dominio. También puedes revisar la configuración para ver si otra directiva de grupo aplicada anula tu configuración local.
Restaurar el umbral de bloqueo de cuenta a los valores predeterminados
Si los usuarios se quedan bloqueados en sus dispositivos con frecuencia, quizá tengas que ajustar el número de intentos o restablecer toda la configuración de bloqueo de cuenta a los valores predeterminados. Si necesitas restaurar los valores predeterminados, vuelve al Editor de directivas de grupo local y pon el valor de nuevo en «0». Otra forma de restaurarlos es introducir este script en el símbolo del sistema o en PowerShell:
net accounts /lockoutthreshold:0[/code block]
Buenas prácticas para las directivas de bloqueo de cuenta en Windows
Busca el equilibrio entre usabilidad y seguridad
Unos umbrales de bloqueo demasiado estrictos molestan a los usuarios legítimos y aumentan el volumen de tickets del servicio de asistencia. Por otro lado, el bloqueo de cuentas refuerza la seguridad de endpoints al impedir el acceso no autorizado a los dispositivos Windows.
Adapta la configuración de bloqueo de cuentas locales a tus necesidades
Microsoft recomienda un umbral de bloqueo de cuenta de 10 intentos fallidos para reducir los bloqueos accidentales y los tickets de soporte. Dicho esto, un rango de 3 a 5 intentos fallidos puede ser mejor en entornos de alta seguridad, porque disuade de los ataques de fuerza bruta sin provocar demasiados bloqueos accidentales.
Comunica las directivas con claridad a los usuarios finales
Los equipos de TI deben informar a los usuarios finales sobre los umbrales de bloqueo de cuenta para reducir los intentos fallidos. Cuando los usuarios conocen los umbrales, se reduce el número de tickets de soporte por bloqueos accidentales y los técnicos pueden dedicarse a incidencias más urgentes.
Protege los dispositivos y los datos sin sacrificar la productividad de los usuarios finales con la herramienta todo en uno de NinjaOne para la seguridad y la gestión de endpoints.
Guía de inicio rápido
NinjaOne ofrece un script llamado «Set Password Policy» que te permite configurar los ajustes de contraseñas y de bloqueo de cuenta en equipos locales o en Active Directory. Aunque la documentación no incluye instrucciones paso a paso específicas para cambiar el umbral de bloqueo de cuenta, el script indica que puedes gestionar las directivas de contraseñas y de bloqueo de cuenta mediante las funciones de scripting de NinjaOne.
Para cambiar el umbral de bloqueo de cuenta, te recomendamos:
1. Consulta con tu equipo de TI para determinar el umbral de bloqueo adecuado para tu organización.
2. Usa el script «Set Password Policy» de NinjaOne para configurar los ajustes que quieras.
3. Aplica el script a los dispositivos correspondientes o mediante una directiva.
Para una configuración más precisa, lo mejor es trabajar con tu administrador de TI, que puede usar las herramientas de scripting de NinjaOne para implementar el umbral de bloqueo de cuenta concreto que necesitas.
Cómo proteger las cuentas locales con umbrales de bloqueo de cuenta
Cambiar el umbral de bloqueo de cuenta ayuda a proteger las cuentas locales de Windows y disuade de los ataques de fuerza bruta. Sin embargo, una configuración incorrecta puede causar interrupciones si los usuarios ya no pueden acceder a sus dispositivos por bloqueos continuos. Por eso, los profesionales de TI deben revisar y actualizar esta directiva de forma periódica para proteger los endpoints Windows y reducir al mínimo el tiempo de inactividad.
