- El error 0xC000000D es causado por la función de Protección de Administrador en versiones recientes de Windows 11 tras instalar actualizaciones específicas.
- Afecta principalmente a usuarios sin privilegios de administrador que intentan conectar a equipos gestionados por Intune o GPO.
- La solución temporal consiste en cambiar el modo de aprobación de administrador al modo heredado (Legacy) y reiniciar el sistema.
Si de repente te has topado con que el Escritorio remoto de Windows 11 ha decidido dejar de funcionar y te lanza el dichoso error 0xC000000D, no te desesperes. Este fallo, que suele venir acompañado del mensaje indicando que el token pasado a la función no es válido, se ha vuelto un quebradero de cabeza para muchos, especialmente después de algunas actualizaciones recientes del sistema que han movido algunas piezas de seguridad.
Lo más curioso es que, en la mayoría de los casos, no tiene nada que ver con que hayas puesto mal la contraseña o que tu router esté haciendo cosas raras. Se trata de un conflicto técnico interno relacionado con la gestión de permisos y la protección de cuentas, que afecta sobre todo a entornos corporativos o equipos gestionados profesionalmente, aunque también puede aparecer en configuraciones domésticas si se han tocado ciertos ajustes.
El culpable: La Protección de Administrador
El problema principal surge debido a una función llamada Protección de Administrador. Esta herramienta de seguridad está diseñada para que, incluso si usas una cuenta con privilegios elevados, Windows te obligue a trabajar como un usuario estándar. Solo cuando necesitas hacer algo «serio», como instalar software o tocar el registro, el sistema te pide verificar tu identidad mediante Windows Hello para generar un token temporal. Es una medida genial para frenar el malware, pero ha resultado tener un efecto secundario bastante molesto con el RDP.
Este error se dispara cuando se juntan tres factores específicos: el equipo al que intentas entrar usa Windows 11 (versiones 24H2, 25H2 o 26H2), tiene instalada la actualización KB5124010 o posteriores, y la protección de administrador está encendida. El detalle clave es que el fallo solo ocurre si quien intenta conectar no tiene permisos de administrador en el equipo remoto. Si eres el administrador, lo más probable es que entres sin problemas.
Para las empresas que utilizan Microsoft Intune o directivas de grupo (GPO), el riesgo es mayor, ya que las líneas base de seguridad de Microsoft suelen activar esta protección por defecto. Por eso, muchos usuarios se han visto fuera de sus PCs sin haber cambiado absolutamente nada, simplemente por aplicar los parches de seguridad recomendados.
Cómo solucionar el error 0xC000000D paso a paso
Mientras Microsoft lanza un parche definitivo, la única salida es aplicar un «rodeo» técnico para desactivar la función conflictiva. Si gestionas los equipos de tu oficina, tienes dos caminos dependiendo de tu herramienta de administración:
- Vía Directivas de Grupo (GPO): Debes navegar hasta Configuración del equipo > Configuración de Windows > Configuración de seguridad > Directivas locales > Opciones de seguridad. Allí, busca la opción Configure type of Admin Approval Mode y cámbiala a Legacy Admin Approval Mode (Default). Si lo haces en un PC suelto, puedes usar el comando secpol.msc.
- Vía Microsoft Intune: En el catálogo de configuración, debes restablecer el parámetro User Account Control Type Of Admin Approval Mode dentro de las opciones de seguridad de políticas locales.
Es fundamental que recuerdes reiniciar el equipo después de hacer el cambio, ya que si no, el sistema seguirá ignorando la modificación. Ten en cuenta que, al hacer esto, el equipo pierde esa capa extra de seguridad, por lo que lo ideal es aplicarlo solo en los hosts que reciben conexiones de usuarios comunes y volver a activarlo cuando salga la actualización oficial.
Otras causas posibles de fallos en el Escritorio Remoto
Si el error no es exactamente el 0xC000000D o si el rodeo anterior no te ha servido, puede que estés ante un problema de conectividad más clásico. Primero, asegúrate de que el equipo remoto tiene el RDP habilitado en Configuración > Sistema > Escritorio Remoto. A veces, desactivar temporalmente la Autenticación a nivel de red (NLA) ayuda a diagnosticar si el problema es de credenciales.
Otro escenario muy común en empresas es la duplicidad de identificadores de seguridad (SID). Esto pasa cuando se crean máquinas a partir de una imagen clonada sin pasar el proceso de Sysprep con la opción /generalize. Si dos PCs tienen el mismo SID, el sistema de autenticación Kerberos se vuelve loco y bloquea la conexión. La solución aquí es ejecutar sysprep.exe en C:\Windows\System32\Sysprep, marcar la casilla de generalizar y reiniciar, aunque esto implica volver a unir la máquina al dominio.
También vale la pena echar un vistazo al Firewall de Windows o al antivirus de terceros. Si sospechas que el puerto 3389 está bloqueado, puedes usar la herramienta psping para comprobar si el equipo remoto responde. Si ves un 100% de pérdida, es muy probable que haya una regla de firewall impidiendo el paso del tráfico.
Verificaciones técnicas avanzadas
Para los que quieren ir al grano con el registro o la consola, existen comprobaciones rápidas. En el Editor del Registro, revisa la clave fDenyTSConnections en HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server. Si el valor es 1, el RDP está apagado; cámbialo a 0 para habilitarlo. Asimismo, verifica que los servicios TermService (Servicios de Escritorio remoto) y UmRdpService estén en ejecución.
En casos extremos, el problema podría estar en el certificado autofirmado de RDP. Si el certificado está corrupto, puedes borrarlo desde la consola de Certificados (MMC) en la carpeta Remote Desktop y reiniciar el servicio para que Windows genere uno nuevo automáticamente. No olvides también revisar que la carpeta MachineKeys tenga los permisos correctos para que el sistema pueda escribir estos certificados.
Para resolver este bloqueo, lo primordial es identificar si el fallo viene por la nueva protección de administrador de Windows 11, que requiere volver al modo de aprobación heredado, o si se trata de un problema de red, certificados o SIDs duplicados por clonación de imágenes. Mientras que el error 0xC000000D se mitiga ajustando las directivas de control de cuentas de usuario, los fallos generales de conexión se solucionan revisando el puerto 3389, habilitando el servicio en el registro y asegurando que el firewall no esté bloqueando el acceso.