Revisión de seguridad de Windows
Un script que revisa los puntos de seguridad básicos de un equipo con Windows y les pone semáforo: verde si está bien, amarillo si conviene mejorar y rojo si es un riesgo.
Solo lee la configuración del equipo. No cambia nada y no envía resultados a ningún lado. La única consulta externa es a Windows Update.Qué revisa
- BitLocker: si el disco del sistema está cifrado y protegido.
- Firewall en los perfiles de dominio, privado y público.
- Microsoft Defender: protección en tiempo real y antigüedad de las firmas. Si hay otro antivirus a cargo, lo indica.
- Actualizaciones pendientes, separando las de seguridad.
- Cuentas administradoras y si el administrador integrado está habilitado.
- Cuenta Invitado habilitada o no.
- SMBv1, el protocolo antiguo que aprovechó WannaCry.
- Escritorio remoto y si exige autenticación a nivel de red.
- UAC, el aviso de Control de cuentas de usuario.
- Contraseñas vacías o que nunca vencen.
- Bloqueo de pantalla por inactividad de 15 minutos o menos.
Muestra cada punto con colores en la consola y deja un resumen HTML en tu Escritorio.
Requisitos
- Windows 10 u 11 con PowerShell 5.1.
- Administrador. Si no lo abriste así, pregunta y se abre de nuevo con permisos.
- Internet solo para saber si hay actualizaciones pendientes. Sin conexión usa la fecha de la última actualización instalada.
Descargar el script
Calculando…
Calculada en tu navegador sobre el mismo archivo que descargas.
(Get-FileHash "$env:USERPROFILE\Downloads\revision-seguridad.ps1").HashCódigo completo
Léelo antes de ejecutarlo: está comentado en español y no se conecta a ningún servidor salvo los de Microsoft.
Cargando el código…
Cómo leer el semáforo
OK significa que el punto cumple con lo básico. Advertencia es algo que conviene mejorar pero no es urgente, como tener tres administradores o contraseñas sin vencimiento. Riesgo es algo que hoy facilita un ataque o una pérdida de datos, como un disco sin cifrar en un notebook o el firewall apagado.
Cada punto trae un consejo de qué hacer. El script no corrige nada por su cuenta, para que decidas tú qué cambiar.
Cómo ejecutarlo
- Descarga
revision-seguridad.ps1y déjalo en tu carpeta Descargas. - Clic derecho sobre el archivo, Propiedades, marca Desbloquear abajo a la derecha y pulsa Aceptar.
- Clic derecho sobre el archivo y elige Ejecutar con PowerShell. En Windows 11 puede estar dentro de Mostrar más opciones.
- Otra forma: abre PowerShell como administrador (clic derecho en Inicio, Terminal (administrador)) y escribe:
powershell -ExecutionPolicy Bypass -File "$env:USERPROFILE\Downloads\revision-seguridad.ps1"
Si no lo abriste como administrador, el script te pregunta si quiere abrirse de nuevo con esos permisos y Windows te mostrará el aviso de Control de cuentas.
Por qué Windows te advierte
Cuando descargas un archivo, el navegador le pone una marca que dice que viene de internet. Windows desconfía de cualquier script con esa marca que no esté firmado digitalmente, y además la política de ejecución de PowerShell viene configurada para no ejecutar scripts. Por eso puedes ver un aviso de SmartScreen o un error que dice que la ejecución de scripts está deshabilitada.
Desbloquear el archivo quita esa marca, igual que el comando Unblock-File "$env:USERPROFILE\Downloads\revision-seguridad.ps1". La opción -ExecutionPolicy Bypass permite ejecutar solo ese script en esa ventana, sin cambiar la configuración del equipo.
La advertencia es sana: no ejecutes scripts que no puedas leer. Este está completo en esta página y puedes comparar su huella SHA-256 para confirmar que el archivo que bajaste es exactamente el mismo.
Preguntas frecuentes
¿Por qué BitLocker sale como no disponible?
Windows 11 Home y Windows 10 Home no traen BitLocker. Algunos equipos con Home tienen "Cifrado de dispositivo", que se activa en Configuración, Privacidad y seguridad. Si no aparece, la alternativa es pasar a Windows Pro.
¿Tener el Escritorio remoto activado es malo?
No, si se usa dentro de la red de la oficina o por VPN. El riesgo es dejarlo abierto a internet, porque es uno de los puntos más atacados. Por eso sale en amarillo aunque tenga autenticación a nivel de red.
¿Por qué las contraseñas sin vencimiento salen en amarillo y no en rojo?
Las recomendaciones actuales dicen que obligar a cambiar la contraseña cada tanto no mejora mucho la seguridad si la contraseña es larga y única. Lo grave es una cuenta sin contraseña, y eso sí sale en rojo.
¿Qué hago si tengo otro antivirus y no Defender?
El script lo detecta: cuando Defender está en modo pasivo, revisa qué antivirus está registrado en el Centro de seguridad de Windows y lo informa.
¿Sirve para equipos de dominio?
Sí, pero algunas configuraciones las controla el dominio por directivas de grupo. Si algo sale en rojo en un equipo de dominio, el arreglo debe hacerse en las directivas y no equipo por equipo.