Cómo agregar un método de PIN de respaldo para Windows hello en Windows 11

Solución rápida: Abra Configuración → Cuentas → Opciones de inicio de sesión → PIN (Windows Hello) y haga clic en Configurar. El PIN es automáticamente un respaldo para la huella digital y el rostro: si el reconocimiento biométrico falla tres veces, la pantalla de bloqueo recurre al PIN.

Usted depende de la huella digital o el reconocimiento facial para iniciar sesión, pero a veces fallan: dedo demasiado seco, manos mojadas, la cámara IR no reconoció su rostro después de un corte de cabello. Sin un método de respaldo, queda bloqueado y tiene que usar la contraseña de la cuenta de Microsoft. Un PIN es el respaldo ligero: es específico del dispositivo (inútil para cualquiera que solo tenga el PIN si no tiene su dispositivo físico) y está justo ahí en la pantalla de inicio de sesión cuando fallan los datos biométricos.

Qué causa esto

Windows Hello admite tres métodos de inicio de sesión: PIN, huella digital y reconocimiento facial. Microsoft requiere un PIN antes de permitir los métodos biométricos: el PIN es la raíz criptográfica que desbloquean los datos biométricos. Por lo tanto, si tiene configurada la huella digital o el rostro, ya tiene un PIN. Si no, configurar uno toma 3 minutos.

Un PIN se cifra con hash y se almacena localmente solo en su dispositivo. Nunca se envía a Microsoft. Incluso un PIN de 8 dígitos es más seguro que una contraseña para fines de inicio de sesión porque la fuerza bruta es imposible: el TPM aplica un límite de intentos y bloquea la cuenta tras varios intentos fallidos.

Método 1: Configurar un PIN como respaldo de Windows Hello

El procedimiento estándar.

1. Abra Configuración → Cuentas → Opciones de inicio de sesión.
2. Haga clic en PIN (Windows Hello) para expandir la sección.
3. Haga clic en Configurar.
4. Se le pedirá que confirme la contraseña de su cuenta de Microsoft (verificación de identidad única).
5. Escriba un nuevo PIN. El valor predeterminado es de 4 dígitos; haga clic en Incluir letras y símbolos si desea uno alfanumérico.
6. Vuelva a escribirlo para confirmar.
7. Haga clic en Aceptar. El PIN ya está activo.
8. En la siguiente pantalla de bloqueo (Win + L), puede hacer clic en Opciones de inicio de sesión y elegir el PIN como método.

El PIN ahora funciona como respaldo siempre que fallen los datos biométricos o cuando usted elija usarlo directamente.

Método 2: Configurar la directiva de complejidad del PIN

Para usuarios que desean un PIN más largo o más seguro.

1. Abra Configuración → Cuentas → Opciones de inicio de sesión → PIN (Windows Hello).
2. Haga clic en Cambiar PIN. (Si aún no ha configurado uno, use primero el Método 1).
3. Haga clic en Olvidé mi PIN para restablecerlo (esto le permite empezar de nuevo con una nueva complejidad).
4. Al escribir el nuevo PIN, marque Incluir letras y símbolos para uno alfanumérico.
5. Escriba un PIN de la longitud deseada (normalmente de 6 a 12 caracteres para uno alfanumérico).
6. Para las organizaciones que desean aplicar la complejidad del PIN en todo el sitio, la edición Pro/Enterprise tiene la Directiva de grupo en Configuración del equipo → Plantillas administrativas → Sistema → Complejidad del PIN. Configure Longitud mínima del PIN, Longitud máxima del PIN y exija dígitos, mayúsculas y caracteres especiales.
7. Aplicar: gpupdate /force.

Los PIN alfanuméricos más largos siguen siendo solo del dispositivo (protegidos por TPM), por lo que conservan la inmunidad a la fuerza bruta de los PIN cortos y, al mismo tiempo, son más difíciles de observar por encima del hombro.

Método 3: Agregar una clave de seguridad como respaldo adicional

Para usuarios que desean un segundo respaldo de hardware además del PIN, por ejemplo, una YubiKey u otra clave de seguridad FIDO2.

1. Inserte su clave de seguridad FIDO2 (YubiKey serie 5, Google Titan Key, etc.).
2. Abra Configuración → Cuentas → Opciones de inicio de sesión.
3. Haga clic en Clave de seguridad. Haga clic en Administrar.
4. Siga las indicaciones para tocar la clave y escribir un PIN de la clave (diferente de su PIN de Windows: este es el PIN de FIDO2 que se almacena en la propia clave).
5. La clave ya está registrada. En la pantalla de inicio de sesión, haga clic en Opciones de inicio de sesión → Clave de seguridad, inserte la clave y tóquela para autenticarse.
6. Incluso sin recordar ningún PIN, la clave de seguridad más su propio PIN de FIDO2 le permiten entrar. Se pueden registrar varias claves de seguridad como respaldo entre sí.

Esto es excesivo para la mayoría de los consumidores, pero es estándar para los usuarios preocupados por la seguridad. El PIN propio de la clave de seguridad es independiente del PIN de Windows, por lo que un PIN de Windows olvidado no lo deja bloqueado siempre que tenga la clave física.

Cómo verificar que la solución funcionó

• Bloquee el equipo con Win + L.
• En la pantalla de inicio de sesión, haga clic en Opciones de inicio de sesión. Debería ver PIN, huella digital, rostro (si está disponible) y contraseña como opciones.
• Haga clic en PIN, escríbalo e inicie sesión. El escritorio se carga en 1 o 2 segundos.
• Abra Configuración → Cuentas → Opciones de inicio de sesión. La sección PIN muestra la marca de verificación verde “Ya lo configuró”.

Si nada de esto funciona

Si

Configurar para el PIN aparece atenuado o no funciona, revise tres causas. Problema con la cuenta de Microsoft: las cuentas administradas por la empresa pueden requerir una directiva de PIN específica de su administrador de TI; comuníquese con él. TPM no listo: el PIN requiere TPM 1.2 o superior para almacenar el secreto. Abra y verifique que el estado indique tpm.mscEl TPM está listo para usarse. Si no es así, borre el TPM y reinicialícelo (consulte la documentación de su portátil). Corrupción reciente del perfil: si su perfil de usuario de Windows está parcialmente dañado, la configuración del PIN puede fallar a mitad del proceso. Intente crear una nueva cuenta de usuario y configurar el PIN allí; si eso funciona, el problema es específico del perfil y puede requerir recrear su perfil de usuario. Para problemas crónicos de Windows Hello, el respaldo más confiable sigue siendo la contraseña de la cuenta de Microsoft: guarde en marcadores account.microsoft.com en su teléfono para poder restablecerla desde otro dispositivo si es necesario.

En resumen: el PIN es el respaldo predeterminado de Windows Hello: configure uno en 3 minutos y los fallos biométricos ya no lo dejarán bloqueado.