Windows incorpora una protección antiransomware llamada acceso controlado a carpetas que viene desactivada de fábrica. La función forma parte de Microsoft Defender y bloquea los intentos de modificación que lleguen de programas no reconocidos como de confianza. Vamos a ver qué hace exactamente, por qué Microsoft prefiere dejarla apagada por defecto y cómo podemos activarla paso a paso sin que termine bloqueando las aplicaciones que usamos a diario.
Acceso controlado a carpetas es una de las defensas más estrictas que trae integradas Windows Security. A diferencia del antivirus en tiempo real, que actúa sobre amenazas conocidas, esta función vigila carpetas concretas y corta el paso a cualquier programa que no esté en su lista de confianza, aunque el archivo que intente tocar sea perfectamente legítimo.
Así funciona el acceso controlado a carpetas
El acceso controlado a carpetas impide que aplicaciones no reconocidas por Windows modifiquen los archivos de las carpetas que decidamos proteger. Microsoft lo mantiene desactivado por defecto porque el sistema no puede saber de antemano qué programas de terceros utiliza cada usuario.
La propia documentación de Microsoft reconoce que esta protección puede interrumpir el funcionamiento de aplicaciones habituales y necesita cierto ajuste antes de dejarla en modo estricto. Por eso recomienda incluso probar primero un modo de solo registro, que anota los bloqueos sin llegar a aplicarlos, antes de activar la restricción completa. Resulta más sencillo que cada usuario añada sus excepciones que arriesgarse a que el escudo frene procesos legítimos nada más instalar el sistema.
La lista inicial se limita a un puñado de carpetas de la unidad C:, entre ellas Documentos, Vídeos e Imágenes. Cualquier archivo que guardemos fuera de esas rutas queda sin vigilancia hasta que lo añadamos nosotros mismos.
El riesgo principal de activarla es que algunas aplicaciones de uso diario, sobre todo editores de texto, consolas de comandos o clientes de mensajería, reciban bloqueos al intentar escribir en esas carpetas. No implica una penalización de rendimiento perceptible en el equipo: el escudo trabaja en segundo plano y solo interviene cuando detecta un intento de escritura desde un proceso que no reconoce. Tampoco conviene ejecutar cada aplicación bloqueada como administrador para sortear el aviso, porque los permisos elevados no tienen ninguna relación con esta protección y no evitan el bloqueo.
Cómo activarlo y proteger carpetas de otras unidades
Activar el acceso controlado a carpetas se hace desde el propio panel de seguridad del sistema y no requiere instalar nada adicional. Son cuatro pasos que no llevan más de un minuto.
- Abrimos Seguridad de Windows desde el menú Inicio.
- Entramos en Protección contra virus y amenazas.
- Pulsamos en Administrar la protección contra ransomware.
- Activamos el interruptor de Acceso controlado a carpetas y confirmamos el aviso de permisos si el sistema lo pide.
Con el interruptor en verde, Windows empieza a vigilar de inmediato las carpetas predeterminadas y el apartado de historial queda listo para registrar cualquier bloqueo que se produzca a partir de ese momento.
Si guardamos la mayoría de nuestros archivos en un disco secundario, algo habitual cuando la unidad del sistema es un SSD pequeño, esas carpetas no estarán protegidas hasta que las añadamos a mano. La lista por defecto solo cubre la unidad C:.
- Dentro del menú de protección contra ransomware, abrimos Carpetas protegidas.
- Pulsamos Agregar una carpeta protegida.
- Seleccionamos la ruta exacta del disco o partición que queremos vigilar.
Conviene limitar esta lista a las rutas que de verdad contienen información valiosa. Proteger carpetas temporales, de descargas o de caché solo multiplica las probabilidades de recibir avisos de bloqueo sin que aporten ninguna defensa real. También merece la pena incluir las carpetas donde probamos software de terceros antes de confiar en él, como una carpeta dedicada en exclusiva a programas en fase de prueba, ya que suelen ser las que más avisos generan al principio.
Qué dice el historial de bloqueos de Windows
Si una aplicación legítima intenta escribir en una carpeta vigilada, Windows la detiene sin más explicación en algunos casos, o muestra un aviso que no siempre menciona el nombre de la función. El historial de protección es la herramienta que permite entender qué ha pasado.
El historial registra cada bloqueo con el nombre de la aplicación implicada, la carpeta afectada y la gravedad del evento. En un equipo de prueba con la función activada durante dos semanas, el historial acumuló ocho bloqueos marcados como Low (baja gravedad), procedentes de cinco aplicaciones: Telegram, PowerShell, el Símbolo del sistema, Android DeX y Notepad++. Cuatro de esos ocho bloqueos ocurrieron en la carpeta Documentos de la unidad C:, que Windows protege automáticamente desde el primer momento.
Antes de autorizar cualquier ejecutable, conviene estar seguro de su procedencia, porque esta lista es precisamente la que decide qué programas pueden esquivar el escudo.
- En el menú de acceso controlado a carpetas, pulsamos Permitir una aplicación a través del acceso controlado a carpetas.
- Elegimos Agregar una aplicación permitida y localizamos el archivo .exe original del programa.
- Confirmamos para que Windows lo añada a la lista de confianza.
Tras este paso basta con volver a abrir la aplicación para comprobar que ya guarda y modifica archivos con normalidad, sin que vuelva a aparecer el aviso de bloqueo.
Por qué algunas apps fallan al guardar tras activar el escudo
La mayoría de los programas de uso cotidiano ni siquiera notan el cambio. Herramientas como CapCut al exportar vídeo, VLC al guardar capturas, LibreOffice y OnlyOffice al guardar documentos, o un gestor de capturas de pantalla, siguen funcionando igual que antes, incluso siendo aplicaciones de terceros.
El problema aparece con programas que necesitan escribir en sus propias carpetas de configuración al arrancar. Notepad++ es un ejemplo claro: al abrirlo con la protección activa puede mostrar errores de carga en archivos como langs.xml o stylers.xml, y después impedir el guardado del documento. El propio editor suele ofrecer reiniciarse en modo administrador para solucionarlo, pero esa vía no sirve de nada porque el bloqueo viene del acceso controlado a carpetas, no de los permisos de usuario de Windows. La solución pasa por añadir el ejecutable a la lista de aplicaciones permitidas, como se explica en el apartado anterior.
Otros casos son más persistentes sin llegar a romper nada: Android DeX muestra el aviso de bloqueo cada vez que se abre, aunque la aplicación termina funcionando igual detrás del mensaje. El Símbolo del sistema y PowerShell, por su parte, fueron bloqueados al intentar crear varias carpetas de golpe dentro de una ruta protegida, incluso ejecutándose con privilegios de administrador. Telegram recibió un bloqueo al compartir una captura de pantalla guardada en una carpeta vigilada. En todos los casos, el denominador común es que se trataba de programas usados de forma intencionada, nunca de software desconocido o sospechoso.
Merece la pena activar la protección antiransomware
El balance de dos semanas con la función activada deja ocho bloqueos, todos de gravedad baja y procedentes de aplicaciones conocidas, frente a un conjunto mucho más amplio de programas que ni se inmutaron. No hay constancia de que esta protección haya detenido un ataque real en ese periodo, pero tampoco ha supuesto una carga de trabajo relevante: los pocos conflictos se resolvieron añadiendo la aplicación correspondiente a la lista de permitidas en un par de clics.
Esta capa de seguridad no sustituye a las copias de seguridad externas ni al cuidado habitual al instalar software de procedencia dudosa. Lo que aporta es una barrera adicional en las carpetas que de verdad importan, a cambio de revisar el historial de bloqueos durante los primeros días y permitir, uno por uno, los programas que confirmemos como legítimos.
La explicación más plausible de por qué Windows no la activa de serie está en el propio patrón de los bloqueos: los primeros avisos suelen recaer sobre programas que el usuario instaló a propósito y usa con frecuencia, no sobre software sospechoso. El sistema no tiene forma de anticipar esa lista de confianza, así que opta por dejar la decisión en manos de quien configura el equipo.