Crear un certificado de recuperación de archivos cifrados

Qué es un agente de recuperación de EFS y por qué es vital

El Sistema de Cifrado de Archivos, conocido por sus siglas en inglés EFS (Encrypting File System), es una funcionalidad de seguridad integrada en las ediciones profesionales de Windows que permite cifrar archivos y carpetas individuales para proteger su contenido ante accesos no autorizados. A diferencia de BitLocker, que protege unidades enteras, EFS actúa a nivel de archivo y está vinculado a la cuenta de usuario que realizó el cifrado. La seguridad de EFS reside en un certificado digital y su correspondiente clave privada, que se almacenan de forma segura en el perfil del usuario.

El problema surge cuando, por cualquier circunstancia, se pierde el acceso a esa clave privada. Esto puede ocurrir al formatear el equipo, al reinstalar Windows sin haber hecho una copia de seguridad del certificado EFS, o por una corrupción del perfil de usuario. En ese momento, todos los archivos cifrados quedan inaccesibles de forma permanente e irrecuperable. No hay forma de descifrarlos sin la clave original. Precisamente para evitar esta situación catastrófica existe la figura del Agente de Recuperación de Datos.

Un Agente de Recuperación de Datos es una cuenta de usuario designada (generalmente la cuenta de Administrador del sistema) que posee un certificado de recuperación especial. Este certificado le permite descifrar cualquier archivo protegido con EFS en el sistema. Crear este certificado, instalarlo en las directivas de seguridad local y actualizar los archivos previamente cifrados es una póliza de seguro indispensable en cualquier entorno profesional o para cualquier usuario que utilice EFS para proteger sus datos sensibles.

¿Utilizas el cifrado EFS en Windows 10 u 11 Pro y quieres asegurarte de que nunca perderás el acceso a tus archivos? A continuación te guiamos paso a paso en la creación e instalación de tu agente de recuperación.

Qué necesitas saber antes de crear el certificado

Antes de ejecutar un solo comando, es fundamental que entiendas que este procedimiento requiere que tengas iniciada una sesión con una cuenta de Administrador. La creación de agentes de recuperación y la modificación de las directivas de seguridad local son operaciones críticas del sistema que están vedadas a cuentas de usuario estándar. Si tu cuenta diaria no es de administrador, deberás iniciar sesión con una que sí lo sea o ejecutar los comandos elevando privilegios.

El segundo aspecto crucial es la seguridad del medio donde almacenarás el certificado. El certificado de recuperación es la llave maestra de todos tus archivos cifrados. Si esta llave cae en manos equivocadas, cualquiera podrá descifrar tus documentos. La recomendación es almacenarlo en un medio extraíble (una memoria USB dedicada exclusivamente a este fin) y guardar ese medio en un lugar físicamente seguro, como una caja fuerte o un cajón con llave. También es recomendable crear una copia de seguridad de ese certificado en otro dispositivo y guardarlo en una ubicación geográfica diferente.

Por último, debes saber que esta funcionalidad no está disponible en las ediciones Home de Windows. El cifrado EFS, y por tanto la capacidad de crear agentes de recuperación, es exclusivo de las ediciones Professional, Enterprise y Education de Windows 10 y Windows 11. Si tu equipo ejecuta Windows Home, la herramienta secpol.msc no estará disponible y no podrás completar este procedimiento. También es importante distinguir esta herramienta de BitLocker, que protege unidades completas y utiliza un sistema de recuperación diferente basado en una clave numérica.

Cómo crear e instalar un certificado de recuperación EFS

Paso 1: Crear el certificado de recuperación

Conecta a tu equipo el medio extraíble (memoria USB o disco duro externo) donde deseas almacenar el certificado de recuperación. Asegúrate de que el medio tiene suficiente espacio libre.
Haz clic derecho en el botón Inicio y selecciona Símbolo del sistema (Administrador) o Windows PowerShell (Administrador). Si el Control de Cuentas de Usuario te solicita permiso, haz clic en Sí.
En la ventana de la consola, debes navegar hasta la unidad del medio extraíble. Para ello, escribe la letra de la unidad seguida de dos puntos y pulsa Enter (por ejemplo, D: o E:). Puedes verificar que estás en la unidad correcta ejecutando el comando dir.
Una vez situado en la raíz del medio extraíble, escribe el siguiente comando y pulsa Enter:
cipher /r:NombreDelCertificado
Sustituye NombreDelCertificado por un nombre descriptivo que identifique el archivo (por ejemplo, AgenteRecuperacionEFS). No es necesario añadir extensión.
El sistema te preguntará: Escriba la contraseña que protege el archivo.pfx. Escribe una contraseña robusta que puedas recordar y pulsa Enter. El sistema te pedirá que la confirmes. Esta contraseña protege el archivo del certificado, por lo que si la olvidas, no podrás instalar el certificado en el futuro.
Si la operación se completa con éxito, el sistema mostrará el mensaje: Se ha creado el archivo.cer y.pfx. Esto significa que se han generado dos archivos en la raíz del medio extraíble: uno con extensión .cer (el certificado público) y otro con extensión .pfx (el certificado privado protegido con contraseña). El archivo.pfx es el crítico. Guarda el medio extraíble en un lugar seguro.

Paso 2: Instalar el certificado de recuperación en las directivas del sistema

Presiona las teclas Windows + R para abrir el cuadro de diálogo Ejecutar. Escribe secpol.msc y pulsa Enter. Si el Control de Cuentas de Usuario te solicita permiso, haz clic en Sí.
En la ventana de Directiva de seguridad local, navega por el panel izquierdo desplegando las carpetas en este orden: Directivas de clave pública > Sistema de cifrado de archivos.
Haz clic derecho sobre la carpeta Sistema de cifrado de archivos y, en el menú contextual, selecciona Agregar Agente de recuperación de datos. Se abrirá el Asistente para agregar agente de recuperación. Haz clic en Siguiente.
El asistente te pedirá que selecciones un archivo de certificado de agente de recuperación. Haz clic en Buscar carpetas y navega hasta la unidad del medio extraíble donde guardaste los archivos en el Paso 1.
Selecciona el archivo con extensión .cer (por ejemplo, AgenteRecuperacionEFS.cer) y haz clic en Abrir.
El asistente mostrará una confirmación con los datos del certificado. Haz clic en Siguiente y, finalmente, en Finalizar.
Para que la nueva directiva se aplique inmediatamente, abre de nuevo una ventana de Símbolo del sistema como administrador y ejecuta el comando gpupdate /force y pulsa Enter. Este comando fuerza la actualización de las directivas de grupo del sistema.

Paso 3: Actualizar los archivos cifrados existentes

Inicia sesión en Windows con la cuenta de usuario que utilizaste para cifrar los archivos originalmente. Este paso es importante porque el comando de actualización actúa sobre los archivos cifrados por el usuario actual.
Abre una ventana de Símbolo del sistema (no es necesario que sea como administrador para este paso).
Ejecuta el siguiente comando y pulsa Enter: cipher /u.
Este comando busca todos los archivos cifrados en el perfil del usuario actual y los actualiza para incluir al nuevo agente de recuperación en su lista de acceso. Si tienes muchos archivos cifrados, el proceso puede tardar unos minutos. Si decides no ejecutar este comando, los archivos se actualizarán automáticamente la próxima vez que los abras.

Para verificar que el proceso se ha completado correctamente, abre la herramienta Administración de equipos (compmgmt.msc), navega hasta Usuarios y grupos locales > Usuarios, haz clic derecho en tu cuenta de administrador y selecciona Propiedades. En la pestaña Perfil, verifica que la sección de Certificados EFS muestra la existencia del certificado de recuperación. La prueba definitiva es intentar abrir un archivo cifrado de otro usuario desde la cuenta de administrador que configuraste como agente de recuperación. Si puedes acceder a su contenido, la configuración es correcta.

Problemas frecuentes y cómo resolverlos

El comando secpol.msc no se encuentra o no se abre

Este error indica que estás utilizando una edición Home de Windows, donde la herramienta de Directiva de seguridad local no está disponible. La única solución para usar agentes de recuperación EFS en un entorno doméstico es actualizar a la edición Professional de Windows. Temporalmente, puedes gestionar los certificados EFS desde la consola de Certificados (certmgr.msc), pero la instalación de un agente de recuperación requiere secpol.msc.

Al ejecutar cipher /r aparece un mensaje de error de permiso

Asegúrate de que has abierto el Símbolo del sistema como administrador. Si simplemente abres una ventana de comando normal, el sistema no te permitirá generar el certificado de recuperación. También verifica que el medio extraíble no está protegido contra escritura y que tiene espacio libre suficiente.

He olvidado la contraseña del archivo.pfx

Si pierdes u olvidas la contraseña que protege el archivo .pfx, no podrás instalar el certificado de recuperación. La contraseña es un mecanismo de seguridad intrínseco del propio archivo y no se puede eludir. La única solución es volver a generar un nuevo certificado de recuperación siguiendo todos los pasos desde el principio. Si los archivos ya estaban actualizados con el certificado antiguo, no afecta; simplemente tendrás un nuevo agente de recuperación para futuras operaciones.

El cipher /u no actualiza mis archivos y no puedo abrirlos con el administrador

El comando cipher /u solo actualiza los archivos cifrados por el usuario que ejecuta el comando. Si has iniciado sesión con otra cuenta, aunque sea de administrador, los archivos cifrados de otro usuario no se verán afectados. Inicia sesión con la cuenta que originalmente cifró los archivos y repite el comando. Si esa cuenta ya no está disponible, el agente de recuperación instalado en las directivas debería permitir al administrador descifrar los archivos directamente sin necesidad de actualización previa.

Consejos para sacar más partido a la seguridad de EFS

Para entornos empresariales, la creación de un agente de recuperación es un paso obligatorio que debe realizarse antes de que los usuarios comiencen a cifrar archivos. Lo ideal es integrar este procedimiento en la configuración inicial de los equipos o desplegar el agente de recuperación a través de Directivas de Grupo en un dominio de Active Directory. De esta forma, te aseguras de que ningún dato cifrado por un empleado pueda perderse si este abandona la empresa o su perfil se corrompe.

Combina el uso de EFS con BitLocker para una protección en capas. BitLocker protege el disco completo contra accesos físicos (robo del portátil), mientras que EFS protege los archivos individuales contra otros usuarios del mismo sistema o accesos a través de la red. Un documento protegido por ambos sistemas está virtualmente blindado. Exporta siempre los certificados EFS de los usuarios y el certificado de agente de recuperación a un dispositivo de almacenamiento externo que se guarde en una ubicación física segura y separada del equipo.

En macOS, el equivalente funcional al EFS es el uso de imágenes de disco cifradas creadas con la Utilidad de Discos, que también se pueden asociar a una cuenta de usuario. En Linux, se utiliza eCryptfs o LUKS para el cifrado de archivos y carpetas, aunque la gestión de agentes de recuperación no está tan centralizada como en Windows. La mayoría de las distribuciones de Linux gestionan la recuperación de claves a través de la contraseña del usuario administrador o de frases de contraseña maestras.

Por último, recuerda que la copia de seguridad es siempre tu última línea de defensa. Un agente de recuperación no te salvará de un fallo físico del disco duro. Mantén siempre copias de seguridad periódicas de tus archivos importantes en un dispositivo externo o en la nube. Un archivo cifrado destruido por un fallo de hardware es irrecuperable, tengas o no agente de recuperación.

Compatibilidad con diferentes versiones de Windows

El procedimiento descrito en este artículo es válido para Windows 10 y Windows 11 en sus ediciones Professional, Enterprise y Education. Las rutas de menú y los comandos (cipher, secpol.msc, gpupdate) son idénticos en ambas versiones. En Windows 7 y Windows Vista, el procedimiento también es el mismo, aunque en Windows Vista se accedía a la herramienta desde Panel de control > Sistema y mantenimiento > Herramientas administrativas.

La funcionalidad de agente de recuperación EFS no está disponible en las ediciones Home de Windows. Si necesitas esta funcionalidad, debes actualizar a la edición Professional. En Windows XP Professional, el procedimiento era similar, aunque la interfaz de la Directiva de seguridad local era ligeramente diferente y el comando cipher /r se ejecutaba desde el intérprete de comandos clásico. La actualización de archivos con cipher /u funcionaba de manera idéntica.

Preguntas frecuentes

¿Crear un agente de recuperación afecta al rendimiento del sistema?

No. La instalación de un agente de recuperación en las directivas de seguridad es una operación de configuración puntual. El comando cipher /u sí puede consumir recursos del procesador y del disco mientras actualiza el cifrado de los archivos existentes, pero solo durante su ejecución. Una vez completado, el rendimiento vuelve a la normalidad y la presencia del agente no ralentiza las operaciones de cifrado o descifrado posteriores.

¿Necesito permisos de administrador para ejecutar todos los pasos?

Sí. La creación del certificado (cipher /r) y la instalación del agente en las directivas (secpol.msc) requieren privilegios de Administrador. La actualización de los archivos cifrados (cipher /u) debe ejecutarse desde la cuenta de usuario que los cifró, que no necesariamente tiene que ser una cuenta de administrador. Si esa cuenta no está disponible, el propio administrador puede forzar el descifrado usando el agente de recuperación ya instalado.

¿Puedo crear un agente de recuperación para archivos cifrados con BitLocker?

No. BitLocker y EFS son sistemas de cifrado independientes y no comparten mecanismos de recuperación. BitLocker protege unidades completas y su recuperación se basa en una clave de recuperación numérica que se genera durante el proceso de activación, la cual puedes guardar en tu cuenta de Microsoft, en un archivo o imprimir. El agente de recuperación descrito en este artículo es exclusivo para archivos cifrados con EFS.

¿Qué ocurre si pierdo tanto la contraseña del archivo.pfx como el medio extraíble?

Si pierdes el archivo .pfx y no tienes una copia de seguridad, no podrás volver a instalar ese agente de recuperación. Si el agente ya estaba instalado en el sistema antes de la pérdida, el administrador aún podrá recuperar los archivos existentes. Si necesitas crear un nuevo agente para el futuro, simplemente repite el proceso de creación e instalación. Los archivos que ya estaban protegidos por el agente antiguo seguirán siéndolo, por lo que es importante mantener el acceso al sistema donde el agente ya está activo.

¿Puedo exportar el certificado del agente de recuperación desde el sistema en lugar de desde un archivo?

Sí. Si el agente de recuperación ya está instalado en el sistema, puedes abrir la consola de Certificados (certmgr.msc), navegar a Personal > Certificados, localizar el certificado de Agente de recuperación de archivos, y exportarlo (con su clave privada) a un archivo .pfx protegido con contraseña. Este método es útil para hacer una copia de seguridad del agente que ya tienes instalado y funcionando.

Ciberseguridad Windows