Windows 11 arrastra desde 2018 una serie de protecciones contra las vulnerabilidades Spectre que penalizan el rendimiento de la CPU en determinadas tareas, sobre todo en procesadores antiguos. Estas mitigaciones siguen activas por defecto en el sistema, pero pueden desactivarse mediante un valor del registro. Hacerlo compromete la seguridad del equipo a cambio de esa ganancia de rendimiento.
La clave que controla estas defensas se llama FeatureSettingsOverride y vive en el registro de Windows. Según qué valor le asignemos, podemos apagar únicamente la protección contra Spectre variante 2 o eliminar también la mitigación de Meltdown, la vulnerabilidad hermana de Spectre. El efecto sobre el rendimiento depende en gran medida de la generación del procesador: cuanto más moderno sea el chip, menos diferencia notaremos al tocar este ajuste.
Qué son las mitigaciones de Spectre en Windows 11
Spectre no es una vulnerabilidad única, sino una familia de ataques que se aprovecha de la ejecución especulativa, una técnica que usan prácticamente todos los procesadores modernos para no perder tiempo: la CPU adivina por dónde va a continuar el código y descarta las conjeturas erróneas. El problema es que esas conjeturas fallidas dejan rastro en la caché, y con un programa bien diseñado es posible inferir datos sensibles a partir de esos restos.
La variante que más preocupa es la Spectre 2, también llamada inyección de destino de rama. En este ataque, el código malicioso entrena al predictor de saltos del procesador para desviar la especulación hacia zonas del kernel donde se gestionan secretos. Windows responde restringiendo la especulación que ocurre justo en la frontera entre las aplicaciones y el núcleo del sistema, y ahí aparece el coste de rendimiento: cada vez que un programa entrega el control al sistema operativo, la CPU tiene que hacer un trabajo extra que antes no hacía.
Rendimiento que sacrifica el PC por esta protección
El coste real depende de dos factores: la edad del procesador y el tipo de tarea que ejecutemos. Cuando Microsoft publicó estas mitigaciones en 2018, acompañó el lanzamiento con sus propias pruebas de rendimiento, que mostraron ralentizaciones de un solo dígito porcentual en equipos con procesadores Intel Skylake o posteriores funcionando sobre Windows 10.
En procesadores Haswell y anteriores, sin embargo, algunos benchmarks reflejaron caídas bastante mayores en determinadas cargas de trabajo. Microsoft señaló además que la primera variante de Spectre y Meltdown podían parchearse sin ralentizaciones significativas, lo que dejó a la variante 2 como la más cara de mitigar en términos de rendimiento. Las cargas que más sufren son las que cruzan constantemente la frontera hacia el sistema, como las operaciones de almacenamiento intensivo o la compilación de código; las tareas que se quedan dentro de los núcleos de la CPU, sin llamar al kernel, apenas se ven afectadas.
Valor del registro hay que cambiar para desactivar Spectre
La clave FeatureSettingsOverride, dentro del registro de Windows, decide qué mitigaciones del lado del sistema operativo permanecen activas. Asignarle el valor 1 apaga únicamente la protección contra Spectre variante 2, que es la que genera el mayor coste de rendimiento. Si en cambio se usa el valor 3, que es el que circula con más frecuencia en foros y tutoriales online, se desactiva también la mitigación contra Meltdown. Elegir el valor 1 en lugar del 3 permite conservar la protección contra Meltdown, que según las pruebas de Microsoft podía parchearse sin ralentizaciones significativas, y renunciar solo a la defensa de Spectre variante 2, que concentraba el coste de rendimiento más alto.
Existen utilidades gratuitas que aplican este cambio sin necesidad de abrir el editor del registro manualmente, aunque conviene revisar qué valor exacto escribe cada herramienta antes de ejecutarla, porque algunas desactivan Meltdown sin que el usuario lo pida expresamente. En cualquier caso, la modificación afecta solo a la capa de defensa gestionada por el sistema operativo; no toca otras protecciones de hardware que pueda tener el procesador.
¿Compensa desactivarla en procesadores recientes?
La respuesta depende sobre todo de la antigüedad del chip. Los procesadores más nuevos corrigen parte de estos fallos directamente en el silicio y abaratan el coste del resto de mitigaciones que siguen siendo necesarias por software. Windows, por su parte, incorporó en 2019 técnicas de menor sobrecarga como retpoline, que redujeron el impacto de las llamadas indirectas hacia el kernel. La combinación de ambos frentes, el rediseño en silicio y las técnicas de software como retpoline, explica por qué el coste de mantener esta protección activa se ha reducido tanto desde que Spectre se dio a conocer en 2018.
En un Ryzen o un Intel de generación reciente, desactivar esta mitigación en el sistema operativo probablemente no se traduzca en ninguna mejora de rendimiento que se pueda medir con claridad. El margen de ganancia se concentra casi por completo en equipos con CPU de varias generaciones de antigüedad, donde el coste original de la protección era mayor.
Riesgos de seguridad al desactivar la protección
Al eliminar esta capa del sistema operativo, el equipo vuelve a quedar expuesto a ataques de ejecución especulativa diseñados para robar información del kernel. El riesgo no es solo teórico: en 2021, el investigador Julien Voisin localizó exploits funcionales de Spectre para Windows y Linux subidos a VirusTotal, que se rastrearon hasta Canvas, la plataforma comercial de pruebas de penetración de Immunity.
Más tarde, en 2024, investigadores de la Vrije Universiteit Amsterdam demostraron un ataque llamado Native BHI capaz de filtrar memoria del kernel en sistemas Intel que corrían Linux, pese a tener las protecciones habituales activas. Microsoft ha seguido publicando guías para nuevas variantes del problema. Para que cualquiera de estos exploits funcione, hace falta que exista código malicioso ejecutándose activamente en la máquina, por lo que un equipo dedicado solo a jugar o a hacer de centro multimedia en el salón correría en principio menos riesgo que un PC que navega por internet o instala software de fuentes variadas.
En qué equipos tiene sentido hacer este cambio
La decisión se puede resumir en tres preguntas. La primera es la edad del procesador: el margen de mejora más claro se concentra en chips anteriores a Skylake, como los basados en Haswell, que fueron los que registraron las caídas de rendimiento más notables en origen. La segunda es el tipo de uso que le damos al equipo: el efecto se nota en tareas de almacenamiento y compilación, pero es prácticamente inexistente en cargas que se quedan dentro de la CPU.
La tercera pregunta es la exposición real de la máquina: un equipo que solo ejecuta software de confianza asume menos riesgo al desactivar la mitigación que uno que navega, descarga programas de fuentes variadas o ejecuta código de terceros sin control. El cambio, en todo caso, es reversible: basta con devolver a la clave FeatureSettingsOverride su valor original para que Windows 11 vuelva a aplicar todas las mitigaciones por defecto, lo que permite probar el ajuste sin comprometer la seguridad de forma permanente. Para saber qué procesador tenéis instalado basta con abrir el Administrador de tareas, entrar en la pestaña Rendimiento y mirar el modelo exacto de la CPU, que aparece en la esquina superior derecha de la ventana.