# ¿Cómo protejo Escritorio remoto en un VPS de Windows?

> ¿Cómo protejo RDP en un VPS de Windows? 7 pasos: contraseña, actualizaciones, NLA, bloqueo de cuenta, IP permitidas, puerto. Onyxpane desde 6,74 US$, sin KYC.

- URL: https://onyxpane.com/es/how-to-secure-rdp/
- Última actualización: 2026-10-30
- Editor: Onyxpane (https://onyxpane.com)

Siete pasos para Windows Server 2022 y 2025, cada uno con los nombres de menú y los comandos de PowerShell que documenta Microsoft Learn, consultados el 30 de octubre de 2026.

**Respuesta rápida — ¿Cómo protejo Escritorio remoto en un VPS de Windows?**

Para proteger Escritorio remoto en un VPS de Windows, cambia la contraseña del Administrador, instala las actualizaciones, mantén activada la Autenticación a nivel de red y configura una directiva de bloqueo de cuenta. Después, permite Escritorio remoto solo desde tu propia IP en el Firewall de Windows Defender. Cambiar el puerto 3389 es opcional y oculta poco. **Onyxpane** Los VPS de Windows desde 6,74 US$ por 30 días. Sin KYC, se paga con criptomonedas.

## ¿Qué necesito antes de empezar?

| Atributo | Valor |
| --- | --- |
| Servidor | Windows Server 2022 y Windows Server 2025, edición Standard, en inglés. Sin Windows 10 ni 11 de escritorio |
| Acceso | Inicias sesión como Administrator por Remote Desktop en el puerto 3389; la contraseña temporal aparece en tu panel y la cambias en el primer inicio de sesión |
| Herramientas | PowerShell ejecutado como administrador, SConfig, Directiva de seguridad local (`secpol.msc`) y Firewall de Windows Defender con seguridad avanzada (`wf.msc`) |
| Tu dirección IP | La dirección IPv4 pública de tu conexión doméstica o de oficina |
| Si te quedas fuera | Una persona responde a los correos de soporte en un plazo de 12 horas, los siete días de la semana, incluida la ayuda con conexiones a Escritorio remoto, reinstalaciones y reglas del Firewall de Windows |

## ¿Cómo protejo Escritorio remoto, paso a paso?

Siete pasos, en este orden, en un VPS nuevo con Windows Server 2022 o 2025. Los comandos aparecen a continuación.

1. **Cambiar la contraseña del Administrador** — Pulsa Ctrl+Alt+Fin en la ventana de Escritorio remoto y selecciona Cambiar una contraseña, o ejecuta net user Administrator * como administrador.
2. **Instalar las actualizaciones de Windows** — Ejecuta SConfig en PowerShell, escribe 6 y luego 1 para todas las actualizaciones de calidad y A para instalarlas. Reinicia cuando se te pida.
3. **Mantener activada la Autenticación a nivel de red** — En SConfig, escribe 7, E y luego 1 para aceptar solo a los clientes que usan Autenticación a nivel de red.
4. **Configurar una directiva de bloqueo de cuenta** — En secpol.msc, abre Directivas de cuenta > Directiva de bloqueo de cuenta. Establece el umbral en 10 y activa Permitir el bloqueo de la cuenta de Administrador.
5. **Permitir Escritorio remoto solo desde tu IP** — Ejecuta Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress YOUR_IP en PowerShell como administrador y luego prueba una conexión nueva.
6. **Opcional: cambiar el puerto** — Establece PortNumber en la clave de registro RDP-Tcp, permite el nuevo puerto en el firewall, reinicia y conéctate a IP:port.
7. **Revisar los inicios de sesión fallidos** — Consulta el Event ID 4625 en el registro de Seguridad unos días después. Tras el paso 5, los fallos de desconocidos se detienen.

## ¿Cómo cambio la contraseña del Administrador en un VPS de Windows?

Cámbiala en tu primer inicio de sesión, porque la contraseña temporal se mostró en tu panel. Inicias sesión como Administrator por Remote Desktop en el puerto 3389; la contraseña temporal aparece en tu panel y la cambias en el primer inicio de sesión.

En la ventana de Escritorio remoto, pulsa **Ctrl+Alt+Fin**. Se abre la pantalla **Seguridad de Windows** del servidor, como Ctrl+Alt+Supr en un PC local. Selecciona **Cambiar una contraseña**. Desde un símbolo del sistema, sirve cualquiera de los dos comandos siguientes.

Usa una contraseña aleatoria de 16 caracteres o más, guardada en un gestor de contraseñas. La página de directivas de Microsoft fija el mínimo en 8 caracteres; un servidor expuesto a internet merece más. Nadie de nuestro equipo te pedirá nunca el número de tu cuenta ni tu contraseña de Administrador, ni por correo ni en un chat.

*Cambiar la contraseña del Administrador (ejecutar como administrador)*

```powershell
# Prompts twice for the new password; nothing appears on screen
net user Administrator *

# PowerShell equivalent
$Password = Read-Host -AsSecureString
Set-LocalUser -Name "Administrator" -Password $Password
```

## ¿Cómo instalo las actualizaciones de Windows en Windows Server 2022 y 2025?

Usa SConfig, la herramienta de configuración de servidor de Microsoft, que también funciona en servidores con Experiencia de escritorio. Abre PowerShell como administrador y escribe `SConfig`.

- **Instalar ahora:** opción `6` (**Install updates**), luego `1` para todas las actualizaciones de calidad, y después `A` para instalarlas todas.
- **Instalar automáticamente:** opción `5` (**Update setting**), luego `A`. Windows entonces busca e instala actualizaciones todos los días a las 3:00 AM hora del servidor. El valor predeterminado, `D`, solo las descarga.

Windows Server 2022 recibe actualizaciones de seguridad hasta el 14 de octubre de 2031, y Windows Server 2025 hasta el 14 de noviembre de 2034.

**Windows Server 2012 R2 salió del soporte extendido el 10 de octubre de 2023, y sus Actualizaciones de seguridad extendidas de pago terminaron el 13 de octubre de 2026.** La comprobación de Onyxpane del 30 de octubre de 2026 todavía lo encontró a la venta. El plan de 2 GB de Cloudzy y el "VPS Hosting 1" de 1Gbits solo ejecutan Windows Server 2012 o 2012 R2.

*Actualizaciones de Windows con SConfig*

```powershell
# PowerShell as administrator
SConfig
# 6 = Install updates  > 1 = all quality updates > A = install all
# 5 = Update setting   > A = automatic (checks and installs daily at 3:00 AM)
```

## ¿Cómo compruebo que la autenticación a nivel de red está activada?

La autenticación a nivel de red (NLA) hace que el usuario inicie sesión antes de que Windows cree la sesión remota. Microsoft Learn recomienda mantenerla activada en la mayoría de entornos. Los comandos siguientes muestran la configuración y la activan si es necesario.

Hay otras tres rutas que llegan a la misma configuración:

- **SConfig:** opción `7`, `E` y luego `1` (clientes solo con autenticación a nivel de red).
- **Propiedades del sistema:** ejecuta `sysdm.cpl`, abre la pestaña **Remoto** y marca **Permitir conexiones solo desde equipos que ejecuten Escritorio remoto con autenticación a nivel de red**.
- **Directiva de grupo:** en `gpedit.msc`, habilita **Requerir autenticación de usuario para conexiones remotas mediante autenticación a nivel de red**. Se encuentra en **Configuración del equipo** > **Plantillas administrativas** > **Componentes de Windows** > **Servicios de Escritorio remoto** > **Host de sesión de Escritorio remoto** > **Seguridad**.

Si después un cliente antiguo no puede conectarse, actualiza el cliente en lugar de desactivar NLA.

*Comprobar y activar NLA (PowerShell como administrador)*

```powershell
# 1 = NLA required, 0 = not required
$ts = Get-CimInstance -Namespace root/cimv2/TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-Tcp'"
$ts.UserAuthenticationRequired

# Turn it on if the line above printed 0
Invoke-CimMethod -InputObject $ts -MethodName SetUserAuthenticationRequired -Arguments @{ UserAuthenticationRequired = 1 }
```

## ¿Cómo configuro una directiva de bloqueo de cuenta que incluya al Administrador?

Establece un umbral de 10 inicios de sesión fallidos y activa **Permitir el bloqueo de la cuenta de administrador**. Sin esa segunda configuración, la directiva de bloqueo omite el Administrador integrado, el único nombre de cuenta que todo atacante ya conoce.

**En Windows Server, la cuenta de Administrador integrada queda excluida del umbral de bloqueo de cuenta a menos que se habilite Permitir el bloqueo de la cuenta de administrador.**

1. Ejecuta `secpol.msc` para abrir **Directiva de seguridad local**.
2. Ve a **Configuración de seguridad** > **Directivas de cuenta** > **Directiva de bloqueo de cuenta**.
3. Establece **Umbral de bloqueo de cuenta** en `10` intentos de inicio de sesión no válidos, el valor que sugieren las líneas base de seguridad de Windows.
4. Establece **Duración del bloqueo de cuenta** y **Restablecer el contador de bloqueo de cuenta después de** en `10` minutos. La duración debe ser al menos igual que el tiempo de restablecimiento.
5. Establece **Permitir el bloqueo de la cuenta de administrador** en **Habilitada**. En Windows Server 2022 llegó con la actualización acumulativa del 11 de octubre de 2022.

Una directiva de bloqueo tiene un coste: cualquiera que conozca el nombre de la cuenta puede bloquearla durante 10 minutos. El paso 5, la lista de permitidos del firewall, elimina ese riesgo, porque los desconocidos ya no llegan a la pantalla de inicio de sesión.

## ¿Cómo permito Escritorio remoto solo desde mi dirección IP?

Limita las reglas de firewall integradas de **Escritorio remoto** a tu propia dirección IP pública. Windows crea estas reglas cuando se activa Escritorio remoto, para TCP y para UDP. Tras el cambio, el servidor descarta los intentos de conexión de cualquier otra dirección.

**Un puerto de Escritorio remoto abierto a todo internet invita a adivinar contraseñas; una lista de permitidos con tu propia IP lo detiene antes de la pantalla de inicio de sesión.**

Comprueba primero tu IP pública. Mantén esta sesión abierta y prueba desde una segunda ventana de Escritorio remoto. Si tu IP doméstica cambia a menudo, permite el rango de tu proveedor en formato CIDR, como `203.0.113.0/24`, o añade una segunda dirección.

Con el ratón: ejecuta `wf.msc` y selecciona **Reglas de entrada**. Abre cada regla del grupo **Escritorio remoto**, ve a la pestaña **Ámbito** y añade tu dirección en **Dirección IP remota** > **Estas direcciones IP**. Si otra regla de entrada también abre el puerto 3389, restringe o desactívala también.

Si te quedas fuera, escribe a soporte antes que nada: Una persona responde a los correos de soporte en un plazo de 12 horas, los siete días de la semana, incluida la ayuda con conexiones a Escritorio remoto, reinstalaciones y reglas del Firewall de Windows. Reiniciar, reinstalar y eliminar se solicitan desde tu panel y los lleva a cabo el equipo; una reinstalación borra el disco e incluye una nueva contraseña de Administrator.

*Permitir Escritorio remoto desde una dirección (PowerShell como administrador)*

```powershell
# Replace 198.51.100.7 with your own public IPv4 address
Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 198.51.100.7

# Several addresses or a whole range also work:
# -RemoteAddress 198.51.100.7, 203.0.113.0/24

# Check the result
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Get-NetFirewallAddressFilter
```

## ¿Debería cambiar el puerto de Escritorio remoto del 3389?

Es opcional, y no es un control de seguridad por sí solo. Un puerto nuevo oculta el servidor de los escaneos dirigidos solo al puerto 3389; un escaneo de todos los puertos lo encuentra igualmente. La lista de permitidos del paso 5 hace mucho más.

Si lo cambias de todos modos, sigue el orden de Microsoft:

1. Establece el nuevo `PortNumber` en `HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp`.
2. Añade reglas de firewall de entrada para el nuevo puerto, TCP y UDP, limitadas a tu IP.
3. Reinicia el servidor y conéctate a `IP:port`, por ejemplo `198.51.100.20:3390`.
4. Cuando el nuevo puerto funcione, desactiva las reglas antiguas de **Escritorio remoto**.

Los datos de conexión de Onyxpane asumen el puerto 3389, así que anota tu nuevo puerto en un lugar seguro. Elige un puerto que ningún otro programa del servidor use.

*Mover Escritorio remoto al puerto 3390 (PowerShell como administrador)*

```powershell
# Microsoft Learn steps, with -RemoteAddress added and -Profile Any
# (Microsoft's example uses -Profile Public)
$portValue = 3390
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'PortNumber' -Value $portValue
New-NetFirewallRule -DisplayName 'RDPPORTLatest-TCP-In' -Profile Any -Direction Inbound -Action Allow -Protocol TCP -LocalPort $portValue -RemoteAddress 198.51.100.7
New-NetFirewallRule -DisplayName 'RDPPORTLatest-UDP-In' -Profile Any -Direction Inbound -Action Allow -Protocol UDP -LocalPort $portValue -RemoteAddress 198.51.100.7
Restart-Computer

# Only after you have connected on the new port:
Disable-NetFirewallRule -DisplayGroup "Remote Desktop"
```

## ¿Cómo veo los inicios de sesión fallidos de Escritorio remoto?

Windows registra cada inicio de sesión fallido en el registro de Seguridad como Event ID 4625, "An account failed to log on", cuando la auditoría de inicio de sesión está activada. El evento indica la cuenta y la dirección de red desde la que llegó el intento. Tras el paso 5, los fallos de desconocidos deberían cesar.

Este registro se escribe dentro de tu propio servidor, y tú decides si conservarlo, exportarlo o borrarlo.

*Inicios de sesión fallidos (ejecutar como administrador)*

```powershell
# Is failure auditing on for logons?
auditpol /get /subcategory:"Logon"

# Turn it on if needed
auditpol /set /subcategory:"Logon" /failure:enable

# The 20 latest failed sign-ins
Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4625 } -MaxEvents 20
```

## ¿De qué se encarga Onyxpane y cuál es mi trabajo?

Onyxpane te entrega un Windows Server recién instalado, y todo lo que hay dentro es tuyo para gestionarlo.

- **Red:** El puerto saliente 25 (SMTP) está cerrado en todos los servidores para frenar el spam, y sigue cerrado. Los puertos 465 y 587 hacia proveedores de correo siguen abiertos. No se promete ninguna protección DDoS más allá de lo que la red del datacenter hace por defecto.
- **Copias de seguridad:** No se incluyen copias de seguridad automáticas: guarda tus propias copias de todo lo que importe.
- **Datos:** Sin registros: no guardamos registros de conexión, ni registros de tráfico, ni direcciones IP de visitantes o clientes, ni en el sitio web, ni en el panel, ni en el servidor. DMCA ignorado: no actuamos ante avisos DMCA ni otros avisos de copyright extranjeros. Respondemos solo ante la ley panameña y ante órdenes de tribunales panameños.

Según la comprobación de Onyxpane del 30 de octubre de 2026, 9 de 40 hosts Windows se entregan con Windows de prueba, de evaluación o con tu propia licencia. The Windows Server license is included in the price: no extra license fee. Todos los planes están en [cuánto cuesta un RDP de Windows en Onyxpane](https://onyxpane.com/es/pricing/ "Onyxpane plans and prices").

Para una visión más amplia, lee [¿es seguro usar un RDP de Windows comprado](https://onyxpane.com/es/is-rdp-safe/ "What a host can see, and what a hacked RDP is"). Para conectarte por primera vez, consulta [¿cómo me conecto a un RDP de Windows desde Windows](https://onyxpane.com/es/how-to-connect-to-rdp/ "Remote Desktop Connection and Windows App, step by step"). Los traders que ejecutan MetaTrader las 24 horas también deberían leer [cuál es el mejor RDP de Windows o VPS para trading de forex](https://onyxpane.com/es/best-rdp-for-forex-trading/ "Windows VPS for MT4 and MT5 near London and New York").

## Proteger Escritorio remoto: preguntas frecuentes

### ¿Es seguro RDP por internet?

Sí, una vez que NLA está activada, la contraseña es fuerte y solo tu IP puede alcanzar el puerto. El puerto 3389 abierto a todos es un objetivo habitual para adivinar contraseñas, y los pasos anteriores cierran esa puerta.

### ¿Basta con cambiar el puerto RDP para protegerlo?

No. Un puerto nuevo solo oculta el servidor de los escaneos dirigidos al puerto 3389. Restringir la regla de firewall a tu propia IP, paso 5, hace mucho más.

### ¿Puedo añadir autenticación de dos factores a Escritorio remoto?

La ruta documentada por Microsoft es Remote Desktop Gateway con la extensión NPS para la autenticación multifactor de Microsoft Entra. Requiere un inquilino de Microsoft Entra ID y un servidor de puerta de enlace, así que encaja más en empresas que en un solo VPS. Para un único servidor, la lista de permitidos por IP ofrece la mayor parte del beneficio.

### ¿Qué pasa si me quedo fuera?

Un bloqueo con la configuración anterior termina solo tras 10 minutos. Un error de firewall no, así que escribe primero a soporte: Una persona responde a los correos de soporte en un plazo de 12 horas, los siete días de la semana, incluida la ayuda con conexiones a Escritorio remoto, reinstalaciones y reglas del Firewall de Windows. Reinstalar es el último recurso, porque borra el disco.

### ¿Puede Onyxpane ver mi contraseña de Administrador?

Solo la temporal, y solo hasta que la cambies. Nadie de nuestro equipo te pedirá nunca el número de tu cuenta ni tu contraseña de Administrador, ni por correo ni en un chat.

**Empieza con un Windows Server recién instalado** Windows Server 2022 o 2025 con acceso completo de Administrador, desde 6,74 US$ por 30 días, licencia de Windows incluida. Sin KYC, solo criptomonedas. [Consigue RDP 4 en Ámsterdam](https://onyxpane.com/app/checkout/?plan=rdp-4&location=nl-ams&lang=es) · [Compara todos los planes](https://onyxpane.com/es/pricing/ "¿Cuánto cuesta un RDP de Windows en Onyxpane?")

## Fuentes

1. [Atajos de teclado de Servicios de Escritorio remoto](https://learn.microsoft.com/en-us/windows/win32/termserv/terminal-services-shortcut-keys) — Microsoft Learn (read 2026-10-30)
2. [net user](https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/net-user) — Microsoft Learn (read 2026-10-30)
3. [Set-LocalUser](https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.localaccounts/set-localuser?view=powershell-5.1) — Microsoft Learn (read 2026-10-30)
4. [Longitud mínima de contraseña](https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-10/security/threat-protection/security-policy-settings/minimum-password-length) — Microsoft Learn (read 2026-10-30)
5. [Configurar una instalación Server Core con SConfig (actualizaciones, Escritorio remoto)](https://learn.microsoft.com/en-us/windows-server/administration/server-core/server-core-sconfig) — Microsoft Learn (read 2026-10-30)
6. [Ciclo de vida de Windows Server 2022](https://learn.microsoft.com/en-us/lifecycle/products/windows-server-2022) — Microsoft Learn (read 2026-10-30)
7. [Ciclo de vida de Windows Server 2025](https://learn.microsoft.com/en-us/lifecycle/products/windows-server-2025) — Microsoft Learn (read 2026-10-30)
8. [Ciclo de vida de Windows Server 2012 R2](https://learn.microsoft.com/en-us/lifecycle/products/windows-server-2012-r2) — Microsoft Learn (read 2026-10-30)
9. [Habilita Escritorio remoto en tu PC (Autenticación a nivel de red)](https://learn.microsoft.com/en-us/windows-server/remote/remote-desktop-services/remotepc/remote-desktop-allow-access) — Microsoft Learn (read 2026-10-30)
10. [Clase Win32_TSGeneralSetting](https://learn.microsoft.com/en-us/windows/win32/termserv/win32-tsgeneralsetting) — Microsoft Learn (read 2026-10-30)
11. [RemoteDesktopServices Policy CSP (ruta de política NLA)](https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp-remotedesktopservices) — Microsoft Learn (read 2026-10-30)
12. [Configurar las directivas de seguridad (secpol.msc)](https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-10/security/threat-protection/security-policy-settings/how-to-configure-security-policy-settings) — Microsoft Learn (read 2026-10-30)
13. [Umbral de bloqueo de cuenta](https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-10/security/threat-protection/security-policy-settings/account-lockout-threshold) — Microsoft Learn (read 2026-10-30)
14. [KB5020282: Bloqueo de cuenta disponible para administradores locales integrados](https://support.microsoft.com/en-us/topic/kb5020282-account-lockout-available-for-local-administrators-bce45c4d-f28d-43ad-b6fe-70156cb2dc00) — Microsoft Support (read 2026-10-30)
15. [DeviceLock Policy CSP (Permitir el bloqueo de la cuenta de administrador)](https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp-devicelock) — Microsoft Learn (read 2026-10-30)
16. [Herramientas del Firewall de Windows (wf.msc, reglas de Escritorio remoto)](https://learn.microsoft.com/en-us/windows/security/operating-system-security/network-security/windows-firewall/tools) — Microsoft Learn (read 2026-10-30)
17. [Set-NetFirewallRule](https://learn.microsoft.com/en-us/powershell/module/netsecurity/set-netfirewallrule) — Microsoft Learn (read 2026-10-30)
18. [Cambiar el puerto de escucha de Escritorio remoto](https://learn.microsoft.com/en-us/windows-server/remote/remote-desktop-services/remotepc/change-listening-port) — Microsoft Learn (read 2026-10-30)
19. [New-NetFirewallRule](https://learn.microsoft.com/en-us/powershell/module/netsecurity/new-netfirewallrule) — Microsoft Learn (read 2026-10-30)
20. [4625(F): Error al iniciar sesión en una cuenta](https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-10/security/threat-protection/auditing/event-4625) — Microsoft Learn (read 2026-10-30)
21. [auditpol get](https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/auditpol-get) — Microsoft Learn (read 2026-10-30)
22. [auditpol set](https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/auditpol-set) — Microsoft Learn (read 2026-10-30)
23. [Integrar RDG con la extensión NPS de autenticación multifactor de Microsoft Entra](https://learn.microsoft.com/en-us/entra/identity/authentication/howto-mfa-nps-extension-rdg) — Microsoft Learn (read 2026-10-30)

---

Onyxpane: Onyxpane vende VPS con Windows Server y acceso completo de Administrador por Escritorio remoto en Nueva York, Londres, Ámsterdam y Fráncfort, pagados con criptomonedas y sin KYC: sin identificación, sin selfi, sin documentos. La licencia de Windows está incluida. Lo gestiona DomaineGoat LLC, una empresa registrada en Panamá que ignora los avisos DMCA, responde solo ante la ley panameña y no guarda registros. Todos los planes cuestan al menos un 25% menos que el plan comparable más barato de 17 hosts Windows de criptomonedas sin KYC revisados el 30 de octubre de 2026.