Windows 11 recupera Administrator Protection: así cambiará el uso de permisos de administrador

Microsoft ha recuperado Administrator Protection, una función de seguridad de Windows 11 diseñada para evitar que las cuentas con permisos de administrador mantengan esos privilegios disponibles permanentemente. La característica vuelve a aparecer en el despliegue de Windows después de que Microsoft paralizara anteriormente su desarrollo público por problemas de fiabilidad.

La idea es que incluso una persona que pertenezca al grupo de administradores utilice normalmente Windows con permisos reducidos. Cuando una aplicación o una acción necesita modificar partes sensibles del sistema, Windows solicita una autorización explícita mediante Windows Hello y crea un privilegio de administrador temporal que desaparece cuando termina esa tarea.

Administrator Protection vuelve después de haber sido retirado temporalmente

Microsoft lleva experimentando con Administrator Protection desde 2024 y lo probó durante meses dentro del programa Windows Insider. Sin embargo, la compañía detuvo posteriormente su despliegue y reconoció en enero de 2026 que había descubierto un problema de fiabilidad que debía corregir antes de continuar.

La función comenzó a reaparecer en builds Insider en marzo de 2026. Microsoft permitió primero que los administradores de TI la habilitaran mediante políticas y posteriormente recuperó también el interruptor dentro de Seguridad de Windows para determinados participantes del programa de pruebas.

Ahora Administrator Protection ha avanzado otro paso. Microsoft lo incluye en el despliegue gradual asociado a KB5120998 para Windows 11 24H2 y 25H2, mientras Windows 11 26H2 también está siendo probado con esa misma base de cambios antes de su disponibilidad general.

Qué cambia al utilizar una cuenta de administrador

En el modelo tradicional de Windows, una cuenta de administrador inicia sesión con acceso a un token restringido y mantiene también disponible otro token con privilegios elevados. El sistema puede utilizar este segundo contexto cuando una aplicación necesita ejecutarse como administrador.

Administrator Protection modifica esa arquitectura. El usuario permanece normalmente en un estado sin privilegios elevados y Windows crea los permisos administrativos únicamente cuando son necesarios.

Microsoft denomina este funcionamiento just-in-time elevation. Una vez autorizada la operación, se crea un token administrativo aislado que solo se entrega al proceso que lo ha solicitado. Cuando ese proceso termina, el token se destruye. Si posteriormente otra aplicación requiere permisos elevados, Windows tiene que crear uno nuevo.

Windows Hello será la llave para autorizar cambios importantes

Administrator Protection está integrado con Windows Hello. Cuando una aplicación intenta realizar una operación que necesita privilegios elevados, Windows puede solicitar al usuario que confirme su identidad antes de permitirla.

Esto puede hacerse mediante los métodos de autenticación compatibles con Windows Hello, como PIN, reconocimiento facial o huella dactilar, dependiendo del hardware y la configuración del ordenador.

La protección se aplica a operaciones como instalar determinados programas, modificar configuraciones sensibles, realizar cambios en el Registro o acceder a recursos que requieren privilegios administrativos.

El token de administrador queda aislado del perfil habitual

Una de las diferencias técnicas más importantes respecto al UAC tradicional es la separación de perfiles. Administrator Protection utiliza una cuenta oculta administrada por el propio sistema para generar el token elevado.

Esta cuenta dispone de un perfil separado, con su propio identificador de seguridad y espacios independientes para determinadas partes del sistema de archivos y del Registro. El objetivo es dificultar que un proceso malicioso que ya se ejecuta dentro del perfil normal del usuario pueda manipular directamente el contexto elevado.

Microsoft también elimina las elevaciones automáticas cuando Administrator Protection está activo. Cada operación administrativa requiere una autorización interactiva en lugar de permitir que determinados procesos aumenten sus privilegios sin una nueva intervención del usuario.

Por qué Microsoft quiere cambiar el funcionamiento del administrador

Las cuentas con privilegios elevados son un objetivo especialmente valioso para el malware. Si un proceso malicioso consigue aprovechar permisos de administrador, puede intentar modificar configuraciones del sistema, desactivar protecciones, acceder a información sensible o instalar componentes con mayores privilegios.

Administrator Protection intenta reducir esa ventana manteniendo los privilegios administrativos fuera del alcance normal de las aplicaciones y generándolos solamente después de una autorización concreta. Microsoft describe la función como una medida de endurecimiento frente a ataques de elevación de privilegios, no como una frontera de seguridad absoluta.

No sustituye simplemente el aviso tradicional de UAC

Administrator Protection va más allá de cambiar el aspecto de los avisos de Control de cuentas de usuario. La diferencia está en cómo se generan y aíslan los privilegios elevados.

Con la nueva arquitectura, una aplicación no obtiene acceso a un token administrativo persistente asociado directamente con la sesión habitual. Windows crea un contexto administrativo separado para la operación concreta y lo elimina al finalizar.

Esto también puede provocar cambios en algunas aplicaciones antiguas. Microsoft reconoce que determinados programas fueron diseñados suponiendo que podían acceder continuamente a privilegios administrativos o compartir archivos, credenciales y configuraciones entre el contexto normal y el elevado. Esas aplicaciones pueden necesitar adaptaciones.

Administrator Protection sigue desactivado por defecto

La reaparición de la función no significa que Microsoft la haya activado automáticamente en todos los PC con Windows 11. La documentación actual indica expresamente que Administrator Protection está desactivado por defecto.

En los equipos y compilaciones compatibles puede habilitarse mediante políticas de empresa como Intune y Group Policy. Microsoft también está desplegando en preview un interruptor dentro de Seguridad de Windows > Protección de cuentas que permite activar la característica directamente en determinados dispositivos. Después de habilitarla es necesario reiniciar el PC.

Microsoft enumera actualmente Windows 11 Home, Pro, Enterprise y Education entre las ediciones compatibles.

Su presencia en Windows 11 26H2 no garantiza que llegue activado de fábrica

Windows 11 26H2 ya está disponible en Release Preview antes de su lanzamiento general previsto para más adelante en 2026. Microsoft utiliza para esta versión la misma rama de mantenimiento que 24H2 y 25H2, por lo que muchas funciones pueden distribuirse mediante actualizaciones acumulativas sin estar vinculadas exclusivamente a una nueva versión anual.

Por esta razón, Administrator Protection no debe presentarse como una función exclusiva de Windows 11 26H2 ni como una característica que Microsoft haya confirmado que se activará por defecto cuando llegue esa actualización.

La situación actual es más concreta: la tecnología ha vuelto al despliegue de Windows después de su retirada temporal, está disponible en compilaciones compatibles y Microsoft continúa distribuyéndola de manera gradual mientras permanece desactivada por defecto.

Microsoft quiere acabar activándola de forma más amplia

Microsoft ha expresado anteriormente su intención de convertir Administrator Protection en una parte más habitual del modelo de seguridad de Windows. Sin embargo, el historial de pausas, pruebas y ajustes de compatibilidad demuestra que el calendario puede cambiar antes de que esa transición se complete.

Por ahora, el cambio importante para Windows 11 es el regreso de una arquitectura que limita cuánto tiempo permanecen disponibles los privilegios administrativos. En lugar de trabajar continuamente con un contexto de administrador preparado para elevar procesos, Windows puede exigir Windows Hello, generar un token aislado para una única tarea y destruirlo inmediatamente después.