{"id":900336,"date":"2026-10-14T16:52:46","date_gmt":"2026-10-14T16:52:46","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/configurar-directivas-bloqueo-cuentas-locales\/"},"modified":"2026-10-16T12:04:43","modified_gmt":"2026-10-16T12:04:43","slug":"configurar-directivas-bloqueo-cuentas-locales","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/es\/blog\/configurar-directivas-bloqueo-cuentas-locales\/","title":{"rendered":"C\u00f3mo configurar directivas de bloqueo de cuentas locales de forma uniforme en todos los clientes con PowerShell y directivas locales"},"content":{"rendered":"<div class=\"in-context-cta\"><h1><strong>Puntos clave<\/strong><\/h1>\n<ul>\n<li>Define primero los valores est\u00e1ndar: usa los valores recomendados por CIS y Microsoft: umbral de bloqueo de 5 intentos, duraci\u00f3n del bloqueo de 15 minutos y restablecimiento del contador a los 15 minutos.<\/li>\n<li>Apl\u00edcala con la directiva de grupo: configura la directiva de bloqueo de cuenta en gpedit.msc y despu\u00e9s compru\u00e9bala con gpresult \/h.<\/li>\n<li>Apl\u00edcala con PowerShell: edita secpol.cfg (LockoutBadCount, LockoutDuration, ResetLockoutCount) y aplica los cambios con secedit \/configure.<\/li>\n<li>Haz seguimiento con claves del Registro: registra el estado en claves personalizadas dentro de HKLM\\SOFTWARE\\Org\\LockoutPolicy (LockoutThreshold, LockoutDuration, ResetCounterMinutes, LastPolicyUpdate).<\/li>\n<li>Valida con CMD y los registros: confirma la directiva con net accounts y audita los inicios de sesi\u00f3n fallidos con wevtutil (EventID 4625).<\/li>\n<\/ul>\n<\/div>\n<p>Una <strong>directiva de bloqueo de cuentas locales<\/strong> en los dispositivos que gestionas es la base de la seguridad de tu organizaci\u00f3n. Impide los intentos de inicio de sesi\u00f3n por fuerza bruta, ayuda a detectar cu\u00e1ndo alguien supera los umbrales de uso indebido de cuentas y alinea tus dispositivos con los protocolos de seguridad b\u00e1sicos.<\/p>\n<p>En entornos empresariales, lo mejor es automatizar este proceso. As\u00ed te aseguras de que la directiva de bloqueo se aplique de forma uniforme en todos los dispositivos gestionados y de que los administradores reciban un aviso inmediato cuando un dispositivo no cumpla con ella.<\/p>\n<p>Si prefieres verlo en v\u00eddeo en lugar de leerlo, echa un vistazo a <a href=\"https:\/\/www.ninjaone.com\/videos\/security\/how-to-set-up-local-account-lockout-policies\/\">C\u00f3mo configurar directivas de bloqueo de cuentas locales de forma uniforme en todos los clientes con PowerShell y directivas locales<\/a>.<\/p>\n<h2>Gu\u00eda para automatizar la directiva de bloqueo de cuentas locales<\/h2>\n<p>Antes de automatizar por completo las directivas de bloqueo de cuentas locales hay que dar varios pasos. Puedes empezar redactando la <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/umbral-de-bloqueo-de-cuenta-windows\/\">directiva de bloqueo de cuentas locales<\/a> y subi\u00e9ndola a un almacenamiento en el cloud al que puedas acceder.<\/p>\n<p>Las directivas de bloqueo de cuentas se pueden aplicar mediante directivas locales o con Windows PowerShell. Tambi\u00e9n puedes comprobar y verificar su estado con claves del Registro y el S\u00edmbolo del sistema.<\/p>\n<p>\ud83d\udccc <strong>Requisitos previos<\/strong>:<\/p>\n<ul>\n<li>Necesitar\u00e1s privilegios de administrador en todos los dispositivos que quieras modificar.<\/li>\n<li>Necesitas PowerShell 5.1 o posterior en todos los sistemas gestionados.<\/li>\n<li>Una Soluci\u00f3n RMM como NinjaOne para el despliegue y el seguimiento de las directivas.<\/li>\n<li>Opcional: puedes usar herramientas de auditor\u00eda para validar el Registro y revisar los registros de eventos.<\/li>\n<\/ul>\n<h3 id=\"step-1\">Paso 1: define los valores est\u00e1ndar de la directiva de bloqueo<\/h3>\n<p>Los administradores deben definir directivas de bloqueo est\u00e1ndar seg\u00fan las necesidades y requisitos de la organizaci\u00f3n. Estos son los valores recomendados seg\u00fan los benchmarks de CIS y las indicaciones de Microsoft.<\/p>\n<ul>\n<li>Las cuentas de los usuarios se bloquean tras 5 intentos de inicio de sesi\u00f3n no v\u00e1lidos.<\/li>\n<li>La cuenta permanecer\u00e1 bloqueada durante 15 minutos.<\/li>\n<li>El contador de intentos previos al bloqueo se restablecer\u00e1 tras 15 minutos de bloqueo.<\/li>\n<\/ul>\n<p>Documenta tu l\u00ednea base y aplica las directivas de forma uniforme en todos los dispositivos gestionados. Y aseg\u00farate de que tus directivas de bloqueo cumplan los requisitos contractuales y normativos. Puedes subir este documento a una plataforma de uso compartido de archivos como SharePoint para que est\u00e9 accesible para todo el que lo necesite.<\/p>\n<h3 id=\"step-2\">Paso 2: aplica la directiva de bloqueo con la directiva de grupo local en sistemas independientes<\/h3>\n<p>\ud83d\udccc <strong>Caso de uso<\/strong>: este paso debe aplicarse en todos los dispositivos gestionados que tengan directivas de grupo.<\/p>\n<ol>\n<li>Abre el <strong>Editor de directivas de grupo local<\/strong> de una de estas formas:\n<ul>\n<li>Abre el <strong>men\u00fa Inicio <\/strong>y busca <strong>Editar directiva de grupo <\/strong>para abrir el programa.<\/li>\n<li>Pulsa <strong>tecla Windows + R<\/strong> para abrir el <strong>cuadro de di\u00e1logo Ejecutar<\/strong>. Escribe <strong>gpedit.msc<\/strong> y pulsa <strong>Intro<\/strong>.<\/li>\n<\/ul>\n<\/li>\n<li>Ve a <strong>Configuraci\u00f3n del equipo<\/strong> &gt;<strong> Configuraci\u00f3n de Windows<\/strong> &gt; <strong>Configuraci\u00f3n de seguridad<\/strong> &gt; <strong>Directivas de cuenta<\/strong> &gt; <strong>Directiva de bloqueo de cuenta<\/strong>.<\/li>\n<li>Configura las siguientes directivas:\n<ul>\n<li>Umbral de bloqueo de la cuenta: 5<\/li>\n<li>Duraci\u00f3n del bloqueo de cuenta: 15<\/li>\n<li>Restablecer la cuenta de bloqueos de cuenta despu\u00e9s de: 15<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p>Los valores variar\u00e1n seg\u00fan los requisitos de tu organizaci\u00f3n y las directivas de bloqueo de los dispositivos. Aplica este cambio en todas las unidades necesarias de tu entorno gestionado.<\/p>\n<p>\ud83d\udca1<strong>Nota<\/strong>: para validar que la directiva se ha aplicado, abre el S\u00edmbolo del sistema con permisos elevados y usa este comando: <strong><code>gpresult \/h C:\\GPO_Lockout_Report.html<\/code><\/strong>. En entornos empresariales, puedes usar scripts de NinjaOne para recopilar y confirmar la aplicaci\u00f3n de la directiva en cada endpoint.<\/p>\n<h3 id=\"step-3\">Paso 3: aplica la configuraci\u00f3n de bloqueo con PowerShell en sistemas independientes<\/h3>\n<ol>\n<li>Abre el <strong>men\u00fa Inicio <\/strong>y busca <strong>Windows PowerShell<\/strong>.<\/li>\n<li>Haz clic derecho en <strong>Windows PowerShell <\/strong>&gt; <strong>Ejecutar como administrador<\/strong>.<\/li>\n<li>Introduce este comando:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong><code>(Get-Content C:\\secpol.cfg).replace(\"LockoutBadCount = 0\", \"LockoutBadCount = 5\") |<\/code><\/strong><\/p>\n<p style=\"padding-left: 40px;\"><strong><code> Set-Content C:\\secpol.cfg<\/code><\/strong><\/p>\n<p style=\"padding-left: 40px;\"><strong><code>(Get-Content C:\\secpol.cfg).replace(\"ResetLockoutCount = 0\", \"ResetLockoutCount = 15\") |<\/code><\/strong><\/p>\n<p style=\"padding-left: 40px;\"><strong><code> Set-Content C:\\secpol.cfg<\/code><\/strong><\/p>\n<p style=\"padding-left: 40px;\"><strong><code>(Get-Content C:\\secpol.cfg).replace(\"LockoutDuration = 0\", \"LockoutDuration = 15\") |<\/code><\/strong><\/p>\n<p style=\"padding-left: 40px;\"><strong><code> Set-Content C:\\secpol.cfg<\/code><\/strong><\/p>\n<p style=\"padding-left: 40px;\"><strong><code>secedit \/configure \/db C:\\windows\\security\\local.sdb \/cfg C:\\secpol.cfg \/areas SECURITYPOLICY<\/code><\/strong><\/p>\n<p style=\"padding-left: 40px;\"><strong>\ud83d\udca1Nota<\/strong>: <strong>Secpol.cfg <\/strong>contiene los datos de tus directivas de bloqueo. Este script modifica la configuraci\u00f3n del sistema <em>seg\u00fan los datos de ese archivo<\/em>. Por tanto, puede fallar si el archivo ya contiene valores distintos.<\/p>\n<p style=\"padding-left: 40px;\">Si el archivo a\u00fan no existe en el sistema o no est\u00e1s seguro de los valores que contiene, ejecuta este comando para generarlo antes de intentar leerlo o modificarlo: <strong><code>secedit \/export \/cfg C:\\secpol.cfg<\/code><\/strong><\/p>\n<ol start=\"4\">\n<li>Documenta lo que ocurra y guarda un registro de los errores que se produzcan. Te servir\u00e1 para generar pistas de auditor\u00eda.<\/li>\n<\/ol>\n<h3 id=\"step-4\">Paso 4: haz seguimiento y confirma la directiva con claves del Registro<\/h3>\n<p>Las directivas de bloqueo no son f\u00e1ciles de consultar desde el Registro de Windows. Sin embargo, puedes registrar la directiva y su estado de aplicaci\u00f3n mediante claves personalizadas.<\/p>\n<ol>\n<li>Abre el Editor del Registro de una de estas formas:\n<ul>\n<li>Abre el <strong>men\u00fa Inicio <\/strong>y busca <strong>Editor del Registro <\/strong>para abrir el programa.<\/li>\n<li>Pulsa <strong>tecla Windows + R<\/strong> para abrir el <strong>cuadro de di\u00e1logo Ejecutar<\/strong>. Escribe <strong>regedit <\/strong>y pulsa <strong>Intro<\/strong>.<\/li>\n<\/ul>\n<\/li>\n<li>Ve a esta ruta: <strong>HKEY_LOCAL_MACHINE\\SOFTWARE\\Org\\LockoutPolicy<\/strong>.<\/li>\n<li>Puedes registrar la actividad y el estado de aplicaci\u00f3n con estas claves personalizadas:\n<ul>\n<li><strong>LockoutThreshold (DWORD) <\/strong><\/li>\n<li><strong>LockoutDuration (DWORD) <\/strong><\/li>\n<li><strong>ResetCounterMinutes (DWORD) <\/strong><\/li>\n<li><strong>LastPolicyUpdate (String) <\/strong><\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p><strong>\ud83d\udca1Nota<\/strong>: hace falta escribir un script automatizado que registre en estos valores del Registro el umbral de bloqueo del equipo, la duraci\u00f3n, los minutos de restablecimiento del contador y la fecha de la \u00faltima actualizaci\u00f3n de la directiva. Por s\u00ed solos, estos valores no cambian las directivas de bloqueo.<\/p>\n<p>Sin embargo, puedes usar un script personalizado desde tu <a href=\"https:\/\/www.ninjaone.com\/es\/rmm\/\">herramienta RMM<\/a> para revisar peri\u00f3dicamente la informaci\u00f3n de estas claves y asegurarte de que las directivas de tu organizaci\u00f3n se est\u00e1n actualizando. Si cambias las directivas de bloqueo, tambi\u00e9n tendr\u00e1s que actualizar los valores del Registro.<\/p>\n<h3 id=\"step-5\">Paso 5: valida la directiva de bloqueo con CMD y los registros de seguridad<\/h3>\n<p>Para las auditor\u00edas y las <a href=\"https:\/\/testsigma.com\/blog\/compliance-testing\/\" target=\"_blank\" rel=\"noopener\">pruebas de cumplimiento<\/a>, los administradores pueden usar el S\u00edmbolo del sistema para validar las directivas de bloqueo de los dispositivos gestionados.<\/p>\n<ol>\n<li>Abre el <strong>men\u00fa Inicio <\/strong>y busca <strong>S\u00edmbolo del sistema<\/strong>.<\/li>\n<li>Haz clic derecho en el <strong>S\u00edmbolo del sistema<\/strong> y selecciona &gt; <strong>Ejecutar como administrador<\/strong>.<\/li>\n<li>Escribe este comando: <strong><code>net accounts<\/code><\/strong><strong><br \/>\n<\/strong><br \/>\nEl S\u00edmbolo del sistema mostrar\u00e1 la directiva de bloqueo actual del sistema. Este es un ejemplo de lo que ver\u00e1s, entre otros ajustes:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong>Umbral de bloqueo: 5 intentos de inicio de sesi\u00f3n no v\u00e1lidos <\/strong><\/p>\n<p style=\"padding-left: 40px;\"><strong>Duraci\u00f3n del bloqueo: 15 minutos <\/strong><\/p>\n<p style=\"padding-left: 40px;\"><strong>Ventana de observaci\u00f3n del bloqueo: 15 minutos<\/strong><\/p>\n<p>Una vez comprobada la directiva de bloqueo actual del dispositivo, tambi\u00e9n puedes consultar los intentos de inicio de sesi\u00f3n fallidos con este comando: <strong><code>wevtutil qe Security \"\/q:*[System[(EventID=4625)]]\" \/c:5 \/f:text<\/code><\/strong><\/p>\n<p>Te mostrar\u00e1 los \u00faltimos intentos fallidos de inicio de sesi\u00f3n en el dispositivo (si los hay). Resulta muy \u00fatil en las auditor\u00edas y para demostrar el cumplimiento de la seguridad de tu organizaci\u00f3n y su eficacia.<\/p>\n<h2>\u26a0\ufe0f Aspectos a tener en cuenta<\/h2>\n<table>\n<tbody>\n<tr>\n<td><strong>Problemas<\/strong><\/td>\n<td><strong>Posibles consecuencias<\/strong><\/td>\n<td><strong>Soluciones<\/strong><\/td>\n<\/tr>\n<tr>\n<td>El script no se aplica.<\/td>\n<td>El dispositivo no tendr\u00e1 la directiva de bloqueo correcta.<\/td>\n<td>Busca errores de sintaxis o un formato incorrecto en secedit. Comprueba tambi\u00e9n si tienes los permisos adecuados.<\/td>\n<\/tr>\n<tr>\n<td>La directiva no se aplica.<\/td>\n<td>El dispositivo no tendr\u00e1 la directiva de bloqueo correcta.<\/td>\n<td>Ejecuta el <strong>S\u00edmbolo del sistema <\/strong>con permisos elevados y usa <strong>gpresult<\/strong> para verificar la aplicaci\u00f3n de la directiva.<\/td>\n<\/tr>\n<tr>\n<td>La directiva vuelve a su estado anterior.<\/td>\n<td>El dispositivo no tendr\u00e1 la directiva de bloqueo correcta.<\/td>\n<td>Comprueba si hay cambios manuales o software de terceros que restablezcan las directivas.<\/td>\n<\/tr>\n<tr>\n<td>Faltan los registros de auditor\u00eda.<\/td>\n<td>El dispositivo no tendr\u00e1 la directiva de bloqueo correcta.<\/td>\n<td>Aseg\u00farate de que la directiva de registro de auditor\u00eda est\u00e9 bien configurada y de que los l\u00edmites de retenci\u00f3n sean suficientes.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Otros aspectos a considerar al automatizar las directivas de bloqueo de cuentas locales<\/h2>\n<ul>\n<li>Activa el registro de auditor\u00eda para los bloqueos de cuenta.<\/li>\n<li>Acu\u00e9rdate de deshabilitar las cuentas de administrador local que no necesites. Tambi\u00e9n puedes <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/microsoft-laps-active-directory\/\">aleatorizar sus contrase\u00f1as<\/a> para reforzar a\u00fan m\u00e1s la seguridad.<\/li>\n<li>Registra la aplicaci\u00f3n de la directiva y su marca de tiempo en cada endpoint para los registros de auditor\u00eda.<\/li>\n<\/ul>\n<h2>Servicios de NinjaOne para automatizar la directiva de bloqueo de cuentas locales<\/h2>\n<p>Las <a href=\"https:\/\/www.ninjaone.com\/es\/rmm\/\">herramientas RMM<\/a> de NinjaOne refuerzan la aplicaci\u00f3n de tu directiva de bloqueo. Permiten:<\/p>\n<ul>\n<li>Desplegar scripts de aplicaci\u00f3n basados en PowerShell de forma <a href=\"https:\/\/www.ninjaone.com\/docs\/endpoint-management\/remote-control\/remote-commands\/\">remota<\/a> en todos los endpoints que los necesiten.<\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/supervision-gestion-de-endpoints\/plataforma-de-supervision-remota\/\">Monitorizar<\/a> las claves del Registro y el estado de las tareas programadas con automatizaciones y campos personalizados.<\/li>\n<li>Avisar a los administradores cuando la directiva no se aplique o falten los valores del Registro esperados.<\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/docs\/mdm\/reporting-auditing\/mdm-audit-log-viewing\/\">Auditar<\/a> los resultados de los scripts y los registros de cumplimiento desde el panel centralizado de NinjaOne.<\/li>\n<li>Etiquetar los endpoints que no cumplen la directiva para flujos de trabajo de correcci\u00f3n y creaci\u00f3n de tickets.<\/li>\n<\/ul>\n<h2>Refuerza la seguridad de tu organizaci\u00f3n automatizando las directivas de bloqueo en tus endpoints<\/h2>\n<p>Automatizar las directivas de bloqueo de cuentas locales en todos los clientes mejora la postura de seguridad, garantiza la coherencia y satisface los requisitos de cumplimiento. Puedes hacerlo con el editor de directivas locales y Windows PowerShell, y usar las claves del Registro y el S\u00edmbolo del sistema para verificar que las directivas se aplican de forma uniforme en todos los dispositivos.=<\/p>\n<p><strong>Temas relacionados:<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/script-hub\/detectar-cuentas-bloqueadas-windows\/\">Gu\u00eda de scripts de PowerShell: c\u00f3mo detectar cuentas bloqueadas en Windows<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/umbral-de-bloqueo-de-cuenta-windows\/\">C\u00f3mo cambiar el umbral de bloqueo de cuenta en cuentas locales de Windows<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/cambiar-duracion-bloqueo-de-cuenta\/\">C\u00f3mo cambiar la duraci\u00f3n del bloqueo de cuenta en cuentas locales de Windows<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Una directiva de bloqueo de cuentas locales en los dispositivos que gestionas es la base de la seguridad de tu organizaci\u00f3n. Impide los intentos de inicio de sesi\u00f3n por fuerza bruta, ayuda a detectar cu\u00e1ndo alguien supera los umbrales de uso indebido de cuentas y alinea tus dispositivos con los protocolos de seguridad b\u00e1sicos. En [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":539722,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4357],"tags":[],"class_list":["post-900336","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-operaciones-de-ti"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/900336","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/comments?post=900336"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/900336\/revisions"}],"predecessor-version":[{"id":900337,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/900336\/revisions\/900337"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media\/539722"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media?parent=900336"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/categories?post=900336"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/tags?post=900336"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}