Comprobador de línea base de seguridad de Windows
Pega una exportación de secedit para comprobar la política de contraseñas, los ajustes de auditoría y los valores de seguridad del registro frente a recomendaciones conocidas.
Se ejecuta en tu navegador · no se envía nadaActive DirectoryNuevo
Todo se ejecuta en tu navegador. No se envía nada, incluidos los nombres de cuenta y los identificadores de seguridad (SID) de tu exportación.
Aumenta la gravedad de los hallazgos que importan más en un controlador de dominio, como la enumeración anónima.
Cómo se usa
- Abre una ventana de PowerShell o de símbolo del sistema elevada en el equipo que quieres comprobar.
- Ejecuta "secedit /export /cfg C:\baseline.cfg".
- Abre el archivo y pega su contenido en la herramienta.
- Revisa los hallazgos y exporta el informe si lo necesitas.
Casos habituales
Exporta la política de seguridad local justo después de la configuración para confirmar que la política de contraseñas, los ajustes de auditoría y el nivel de autenticación de LAN Manager cumplen las recomendaciones antes de poner el servidor en producción.
Exporta secedit en una máquina afectada para ver la política tal como se aplica realmente, no solo como está configurada en la GPO, ya que políticas en conflicto o no vinculadas pueden producir un resultado efectivo distinto.
Explicación
Ejecuta "secedit /export /cfg C:\baseline.cfg" como administrador en el equipo que quieres comprobar (política local, o la política efectiva tras aplicar la Directiva de grupo), y pega aquí el contenido del archivo. La herramienta comprueba la política de contraseñas y bloqueo, los ajustes de auditoría, un conjunto de valores de registro relevantes para la seguridad (nivel de autenticación de LAN Manager, acceso anónimo, UAC, inicio de sesión automático) y las asignaciones de derechos de usuario (quién puede iniciar sesión por red, quién tiene el privilegio de depuración) frente a recomendaciones de referencia documentadas de las guías de seguridad de Microsoft. Todo se ejecuta localmente; la exportación nunca sale de tu navegador.
🔒 Tu entrada se queda en tu navegador y no se envía a ningún sitio.
Preguntas frecuentes
¿Esto se conecta a mi dominio o equipo?
No. No hay credenciales ni conexiones de red. Tú ejecutas "secedit /export" y pegas aquí el archivo de texto resultante.
¿Por qué secedit en lugar de un informe de GPO?
La exportación en formato INI de secedit es un formato simple, estable y documentado oficialmente para la política de seguridad efectiva. Un informe GPO completo (XML) cubre cada ajuste de Directiva de grupo, pero su esquema es mucho más complejo y varía según el área de política, lo que lo convierte en algo mucho más difícil y arriesgado de analizar correctamente.
¿Esto comprueba frente a la línea base de una versión específica de Windows?
No. Cada hallazgo se basa en una recomendación documentada de Microsoft (por ejemplo, el nivel de autenticación de LAN Manager, o la longitud mínima de contraseña recomendada) en lugar de una versión concreta de línea base, por lo que se aplica de forma general en vez de coincidir exactamente con una versión concreta de CIS o Microsoft.
¿Qué cambia "controlador de dominio" en los resultados?
Algunos hallazgos, como permitir la enumeración anónima, se señalan con mayor gravedad en un controlador de dominio, ya que un compromiso ahí afecta a todo el dominio y no solo a una máquina.
Qué hacer después
¿Has encontrado un problema o tienes una sugerencia? Cuéntanoslo