Cómo bloquear aplicaciones y programas en Windows 11 paso a paso

W11 » Seguridad en Windows 11 » Cómo bloquear aplicaciones y programas en Windows 11 paso a paso

Controlar qué programas se pueden instalar y ejecutar en un PC con Windows 11 se ha convertido en una necesidad, sobre todo si compartes el equipo con más personas o lo utilizas en un entorno educativo o de trabajo. Bloquear aplicaciones y programas en Windows 11 no es complicado si conoces las herramientas de seguridad para Windows 11, y puede ahorrarte muchos dolores de cabeza por culpa de software no autorizado, malware o simples distracciones.

En este artículo vamos a ver, paso a paso y con todo lujo de detalles, todas las formas de restringir programas en Windows 11 sin necesidad de instalar nada extra, además de algunas soluciones avanzadas para entornos gestionados (como empresas o centros educativos) con Google Workspace, Intune o políticas de seguridad reforzadas. Verás métodos para impedir que se ejecuten ciertos .exe, bloquear instalaciones, limitar la Microsoft Store, usar cuentas estándar, aplicar reglas AppLocker con XML, aprovechar el Modo de Seguridad Base y mucho más.

Por qué bloquear aplicaciones y programas en Windows 11

Antes de ponernos manos a la obra merece la pena entender por qué es tan importante limitar qué software se ejecuta en un equipo con Windows 11, más allá de la típica preocupación por los virus.

En un entorno doméstico, si compartes tu PC con tus hijos, te interesa que solo puedan utilizar aplicaciones acordes a su edad y que no puedan instalar lo primero que encuentren por Internet mediante control parental en Windows 11. Así evitas juegos inadecuados, programas sospechosos o herramientas que puedan exponer tus datos personales.

En el ámbito profesional, la cosa es todavía más seria: dejar que los empleados instalen lo que quieran puede comprometer la red de la empresa, abrir puertas a malware, provocar problemas de licenciamiento de software y, en general, poner en riesgo la integridad de la información corporativa.

Si hablamos de un centro educativo, como institutos o universidades, es habitual que los estudiantes instalen cosas como Roblox, navegadores alternativos o aplicaciones de ocio sin permiso. Aunque tengan cuentas estándar, muchos instaladores modernos aprovechan ubicaciones de usuario para colarse sin pedir credenciales de administrador, lo que complica el control si no se aplican más medidas.

Además, bloquear instalaciones y ejecuciones no autorizadas aporta otra ventaja que muchas veces se pasa por alto: mantener un entorno de trabajo limpio y sin distracciones. Cuantas menos aplicaciones irrelevantes haya, más fácil es centrarse en lo importante y mantener el equipo rápido y estable.

Bloquear el lanzamiento de aplicaciones con directivas de grupo (gpedit)

Una de las formas más directas de impedir que se ejecuten programas concretos en Windows 11 es recurrir al Editor de directivas de grupo local. Este editor permite definir reglas que se aplican a todos los usuarios del equipo (o solo a algunos, si se configura así en un dominio), sin necesidad de instalar herramientas externas.

Lo primero que necesitas es abrir el editor. En Windows 11 Pro, Education o Enterprise puedes hacerlo escribiendo gpedit.exe en el menú Inicio y pulsando Intro. Esto abre el Editor de directivas de grupo local, desde donde se gestionan un gran número de parámetros avanzados del sistema.

Dentro del editor, la ruta que nos interesa para bloquear aplicaciones está en la parte izquierda. Tendrás que moverte por el árbol de opciones entrando en Configuración de usuario > Plantillas administrativas > Sistema. Dentro de “Sistema” verás un listado amplio de políticas relacionadas con el comportamiento general del sistema operativo.

En la zona derecha de esa ventana, si bajas casi hasta el final, encontrarás una política llamada “No ejecutar aplicaciones de Windows especificadas”. Esa política es la clave para impedir que se abran determinados ejecutables, incluyendo tanto programas de terceros como utilidades internas sensibles del sistema (por ejemplo, el editor del Registro).

Para configurarla, haz clic derecho sobre “No ejecutar aplicaciones de Windows especificadas” y selecciona “Editar”. Se abrirá una nueva ventana con las opciones de esta directiva. En la parte superior, marca la opción “Habilitada” para activar la política. Una vez habilitada, verás un botón llamado “Mostrar” asociado a la lista de aplicaciones no permitidas.

Al pulsar “Mostrar” se abrirá una pequeña ventana donde tendrás que indicar el nombre de los archivos .exe que quieres bloquear. Aquí es importante tener claro el nombre exacto del ejecutable (por ejemplo, “robloxplayer.exe”, “chrome.exe”, “regedit.exe”, etc.). Si no sabes cómo se llama, puedes localizar el atajo del programa, abrir su ubicación o revisar las propiedades de ese acceso directo.

En esa lista puedes añadir tantos ejecutables como quieras, cada uno en una línea distinta. Cuando termines, aplica los cambios, cierra el editor y reinicia el equipo para que la directiva entre en vigor. A partir de ese momento, cualquier intento de ejecutar esos archivos en Windows 11 dará un mensaje de bloqueo, tanto para tu usuario como para el resto de cuentas del ordenador.

Esta técnica es muy útil, por ejemplo, para impedir que se ejecuten herramientas avanzadas del sistema (como el registro de Windows) o aplicaciones concretas que no quieres que se usen nunca en ese equipo. No sustituye a un sistema de control total de instalaciones, pero es un pilar importante en una estrategia de restricción de software.

Restringir la instalación de programas y apps en Windows 11

Además de bloquear la ejecución de programas ya instalados, es clave impedir que los usuarios puedan instalar nuevas aplicaciones por su cuenta. Windows 11 ofrece varias vías para lograrlo sin tener que recurrir necesariamente a soluciones de terceros.

Crear y usar cuentas estándar

El primer paso básico es trabajar siempre con cuentas de usuario estándar en lugar de administradores. Un usuario estándar en Windows 11 no puede instalar la mayoría de programas que modifican zonas protegidas del sistema (como Archivos de programa), salvo que introduzca la contraseña o el PIN de una cuenta administrador.

Para configurar esta separación, se suele usar un esquema como este: tener una cuenta administrador controlada por TI o por el adulto responsable, con contraseña segura, y una o varias cuentas estándar para el uso diario. Así, cuando alguien intente instalar software que requiera elevación de privilegios, el sistema pedirá credenciales de administrador.

Sin embargo, muchos centros educativos y oficinas han comprobado que, aun usando cuentas estándar, ciertos programas modernos (como algunos juegos o apps de ocio) se instalan en el perfil del usuario sin pedir permisos elevados. Esto es posible porque instalan sus archivos en carpetas del usuario (AppData, por ejemplo) y no en rutas globales del sistema. Por eso hay que reforzar el control con más medidas.

Permitir solo apps de Microsoft Store

Windows 11 incluye una opción para limitar la instalación de aplicaciones exclusivamente a la Microsoft Store. Las apps de la tienda oficial han pasado controles de seguridad de Microsoft, lo que reduce bastante el riesgo respecto a instaladores descargados de cualquier página web.

Al activar esta limitación, el sistema impide que se ejecuten instaladores clásicos descargados desde fuera de la Store, obligando a que todo el software que se instale provenga de la tienda oficial. Esto es útil si quieres ofrecer un catálogo controlado de aplicaciones (ofimática, herramientas educativas, utilidades básicas) y nada más.

Esta política se puede complementar con el bloqueo de la propia Microsoft Store si quieres ir un paso más allá y evitar que los usuarios naveguen por la tienda descargando aplicaciones que no deseas. En entornos educativos, por ejemplo, es habitual permitir únicamente la instalación de apps preaprobadas o ni siquiera dar acceso directo a la Store.

Bloquear ejecutables .exe a nivel de políticas y permisos

Otra estrategia es aplicar bloqueos más amplios sobre los archivos ejecutables .exe y otros formatos de instalación. Windows 11 permite configurar restricciones tanto mediante políticas de grupo como con cambios de permisos en las carpetas donde, por defecto, se instalan los programas.

Una forma habitual es modificar los permisos de las carpetas “C:\\Program Files” y “C:\\Program Files (x86)”, denegando o restringiendo operaciones de escritura y ejecución al grupo “Users”. Con herramientas como icacls se pueden automatizar estas modificaciones desde un script .bat, de forma que los usuarios estándar no tengan capacidad para instalar software en esas rutas.

Además, existen políticas específicas para bloquear la instalación de paquetes MSI, que son el formato de instalación de muchos programas clásicos de Windows. Configurando las claves de registro adecuadas bajo HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows\\Installer se puede desactivar las instalaciones iniciadas por el usuario y restringir el control que tienen sobre el servicio de instalación.

Combinando estas técnicas (permisos de carpeta, políticas de grupo y bloqueo de MSI) se consigue que, en la práctica, la mayoría de instaladores tradicionales no puedan completarse sin privilegios de administrador. Aun así, como hemos comentado, algunos programas siguen usando rutas del perfil de usuario para colarse, por lo que conviene reforzar con otras capas como AppLocker.

Bloquear la Microsoft Store y limitar el software de ocio

En centros educativos y en muchas empresas, la Microsoft Store puede convertirse en una fuente de aplicaciones de ocio, juegos y herramientas que distraen. Por eso es muy habitual bloquearla por completo o gestionarla vía políticas para ofrecer solo un catálogo reducido.

En Windows 11 se puede deshabilitar la Microsoft Store para todos los usuarios ajustando una política concreta. Esta configuración se puede aplicar a través del Editor de directivas de grupo o, de forma más directa, modificando el Registro de Windows mediante scripts o herramientas de administración remota.

Por ejemplo, se puede usar una clave bajo HKLM\\SOFTWARE\\Policies\\Microsoft\\WindowsStore que indique al sistema que la tienda debe estar oculta o bloqueada. Al activar esa política, la Store no se abrirá o desaparecerá de la vista del usuario, dependiendo de la versión de Windows y de la combinación concreta de restricciones.

Este bloqueo suele acompañarse de otras medidas, como impedir el acceso al Panel de control clásico y a la app de Configuración en ciertos apartados, para que los usuarios no puedan dar la vuelta a las restricciones ni modificar elementos clave de la red, las cuentas o las opciones de actualización.

A la hora de desplegar estas políticas en un parque grande de equipos (como una escuela o una empresa con muchos puestos), se suele recurrir a herramientas de administración centralizada como Microsoft Intune o soluciones MDM que permiten enviar estas configuraciones de manera masiva y controlada, sin tener que tocar manualmente cada PC.

Controlar instalaciones y apps con Microsoft Intune y AppLocker vía Google Workspace

Cuando gestionas dispositivos Windows 11 en un entorno profesional o educativo, es muy común utilizar un sistema de administración centralizada. Microsoft Intune y la consola de administración de Google Workspace permiten aplicar políticas de restricción de aplicaciones a nivel de organización usando AppLocker y parámetros OMA-URI personalizados.

Uso de AppLocker con interfaz gráfica (editor de políticas de grupo)

Una forma de generar reglas de AppLocker es partir del propio Editor de políticas de grupo de Windows. Microsoft recomienda, para muchos escenarios, crear inicialmente una política AppLocker en un equipo de referencia y luego exportarla a XML para aplicarla después desde un sistema MDM.

El procedimiento consiste en seguir una serie de pasos dentro del editor de políticas de grupo para crear reglas que controlen la ejecución de aplicaciones, ya sea basadas en el editor (publicador) del software, la ruta del archivo o el hash. Una vez definidas las reglas, se exportan a un archivo XML. En este punto, se detiene el proceso descrito por Microsoft, justo antes de aplicar la política localmente, si lo que se quiere es usar ese XML en un sistema de gestión como Google Workspace.

Es importante, una vez exportado el XML, eliminar la política de prueba que se creó en el equipo de referencia, para evitar que afecte a dicho equipo localmente. El objetivo es utilizar ese XML únicamente como plantilla para aplicar las restricciones a través del MDM en todos los dispositivos de la organización.

Aplicar el XML de AppLocker desde la consola de Google Workspace

Si gestionas equipos Windows 11 con Google Workspace, en la Consola del administrador puedes usar parámetros de configuración personalizados para desplegar políticas AppLocker. El proceso general pasa por la sección de configuración de dispositivos Windows.

En la consola, tras acceder a la ruta de configuración para dispositivos Windows, se entra en el apartado de “Configuración personalizada”. Desde ahí puedes agregar un nuevo parámetro de configuración personalizado, que será el responsable de enviar al dispositivo el XML de AppLocker generado antes.

En ese nuevo parámetro tendrás que rellenar varios campos. El más importante es el OMA-URI, donde se indica qué tipo de archivos va a controlar la política:

• Para ejecutables .exe: ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/EXE/Policy
• Para aplicaciones de la Microsoft Store: ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/AppStore/Policy
• Para instaladores MSI: ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/MSI/Policy
• Para scripts PowerShell: ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<EnterGrouping>/Script/Policy
• Para bibliotecas DLL: ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/DLL/Policy

En el valor <Enter Grouping> es necesario introducir una cadena alfanumérica aleatoria, distinta para cada parámetro que crees. De este modo, si defines una política para EXE y otra para MSI, cada una tendrá su propio identificador de agrupación y no se mezclarán.

Al seleccionar un OMA-URI, el campo “Nombre” suele rellenarse automáticamente con algo genérico como “Política”. Puedes cambiarlo por un nombre descriptivo que te ayude a reconocer la configuración en la lista, por ejemplo “Restringir EXE no firmados” o “Bloqueo apps Store no autorizadas”.

En “Tipo de datos” debes elegir Cadena (XML), y a continuación usar la opción de subir el archivo XML que generaste con la política AppLocker. Opcionalmente, se puede añadir una descripción donde expliques brevemente qué hace esa política y a qué usuarios o unidades organizativas va dirigida.

Al hacer clic en “Siguiente”, seleccionas la unidad organizativa de Google Workspace a la que se va a aplicar ese parámetro. Hasta que no completes este paso, la política no se envía realmente a ningún dispositivo. Repite el proceso tantas veces como sea necesario si quieres cubrir varios tipos de archivo (EXE, MSI, scripts, etc.).

Una vez desplegada, cuando un usuario de esa unidad organizativa trate de instalar o abrir una aplicación bloqueada en su dispositivo Windows 11, recibirá un mensaje de error indicando que el administrador del sistema ha bloqueado la app. Es una forma bastante contundente de garantizar que solo se ejecuta el software permitido.

Ejemplos de reglas AppLocker en XML

Para afinar todavía más el control sobre lo que se ejecuta en Windows 11, AppLocker permite definir reglas en formato XML muy precisas, con las que se pueden permitir o bloquear aplicaciones según su firma, producto o ejecutable concreto.

Permitir solo aplicaciones firmadas

Una estrategia muy potente es configurar AppLocker para que solo se permitan aplicaciones firmadas digitalmente, bloqueando todas las que no tienen firma válida para un determinado tipo de archivo (por ejemplo, Exe, Msi, Script, Dll o Appx).

En el XML de AppLocker, las reglas se agrupan en una sección <RuleCollection> donde el atributo Type indica qué tipo de archivo se controla. Sus posibles valores son:

• “Exe” para archivos EXE
• “Msi” para paquetes MSI
• “Script” para scripts
• “Dll” para bibliotecas DLL
• “Appx” para aplicaciones de la Microsoft Store

Dentro de esa colección se pueden definir reglas <FilePublisherRule> que permiten la ejecución de todo lo que esté firmado (usando comodines para el nombre del publicador, producto y binario), pero implícitamente bloquean cualquier aplicación sin firma. El atributo Id de cada regla debe ser un GUID único, que puedes generar fácilmente con cualquier generador online de GUID.

Con esta política en vigor, cualquier software que no tenga una firma digital válida quedará bloqueado, lo que reduce drásticamente la posibilidad de que se ejecuten programas de origen dudoso, incluso si el usuario consigue copiarlos a su carpeta de perfil.

Bloquear aplicaciones concretas por publicador y binario

Si quieres ser todavía más específico, AppLocker también permite definir reglas de denegación para aplicaciones concretas, identificadas por su editor, nombre de producto y ejecutable. La estructura general de la colección de reglas sería algo así como:

En una sola <RuleCollection> se incluye, primero, una regla que permite todas las aplicaciones firmadas (para no bloquear en exceso el sistema), y después una regla de denegación por cada app que quieras bloquear. Cada regla de bloqueo incluye una sección <FilePublisherCondition> con los datos del publicador, el nombre del producto y el binario.

En el caso de archivos EXE, por ejemplo, se usaría Type="Exe" en la colección, y podrías crear dos reglas de denegación: una para “APPLICATION A” con binario “APPA.EXE” firmado por un publicador concreto, y otra para “APPLICATION B” con su propio publicador y binario “APPB.EXE”. El resultado es que todas las apps firmadas se permiten salvo esas dos, que quedan expresamente bloqueadas para todos los usuarios.

Lo mismo se puede aplicar a aplicaciones de la Microsoft Store, cambiando el tipo de la colección a “Appx” y usando el publicador y nombre de producto adecuados. Es el caso, por ejemplo, de bloquear herramientas preinstaladas como Correo de Windows: se construye una regla que permita todas las apps firmadas y otra de tipo “Deny” que impida usar ese paquete en concreto (“microsoft.windowscommunicationsapps”).

Bloquear apps preinstaladas de Windows 11 con AppLocker

Una ventaja adicional de AppLocker es que no solo controla software de terceros, sino también muchas de las aplicaciones incluidas de serie en Windows 11, como clientes de correo, widgets u otras herramientas que quizá no quieras que los usuarios utilicen.

Siguiendo el ejemplo de la documentación oficial de Microsoft, se puede crear una <RuleCollection Type="Appx" EnforcementMode="Enabled"> en la que se defina una regla de permiso genérica para todas las apps firmadas y una regla de denegación específica para la aplicación que se quiera bloquear. Este patrón se puede repetir para cualquier app de la Store o componente Appx incluido con el sistema.

En la condición de la regla de denegación se especifica el PublisherName con la cadena del publicador (por ejemplo “O=Microsoft Corporation, L=Redmond, S=Washington, C=US”), el ProductName con el identificador del paquete (como “microsoft.windowscommunicationsapps”) y se puede dejar el BinaryName con comodín (“*”) para abarcar todas las versiones.

Una vez desplegada esta política, los usuarios verán que esa aplicación concreta no puede iniciarse. El acceso aparecerá bloqueado, aunque la app siga instalada técnicamente en el sistema. De esta forma puedes mantener una imagen estándar de Windows 11, pero limitar qué partes se usan realmente.

Modo de Seguridad Base en Windows 11: otra capa de protección

Además de las políticas tradicionales, Microsoft ha incorporado en Windows 11 una funcionalidad orientada a reforzar aún más la seguridad: el Modo de Seguridad Base. Esta característica se centra en restringir la ejecución de aplicaciones, servicios y controladores a aquellos que cuenten con una firma digital válida y cumplan con determinados criterios de confianza.

El Modo de Seguridad Base actúa como una barrera adicional, verificando en tiempo real la integridad y la firma digital de cualquier componente que pretenda interactuar con el sistema operativo. Si un ejecutable, un driver o un servicio carece de firma válida, Windows 11 puede impedir su instalación o ejecución directamente. En caso de incidentes, consulta qué hacer si Windows 11 detecta una amenaza.

Esta medida está pensada, sobre todo, para complicar la vida al malware de bajo nivel, como los controladores maliciosos o servicios persistentes que se incrustan en el sistema y sobreviven a los reinicios. Al requerir firma digital, se reduce la posibilidad de que estos componentes se instalen de forma silenciosa y pasen desapercibidos.

No obstante, el sistema no queda completamente cerrado: los administradores y usuarios avanzados disponen de opciones para autorizar excepciones específicas en caso de que una herramienta legítima carezca de firma reconocida. Así se mantiene un cierto equilibrio entre seguridad y flexibilidad, aunque siempre conviene revisar con lupa cualquier excepción que se apruebe.

Microsoft está desplegando estas capacidades de manera progresiva, aumentando poco a poco el grado de control y visibilidad sobre qué hace cada aplicación, qué recursos utiliza y cómo interactúa con el sistema. Los usuarios pueden notar más avisos y solicitudes de consentimiento al instalar programas, conectar dispositivos o conceder permisos sensibles.

Para fabricantes de hardware y proveedores de seguridad, este cambio implica adaptar sus controladores y herramientas a los nuevos requisitos de firma y transparencia. Para los usuarios finales, se traduce en un entorno más controlado, donde la instalación de software exige mayor atención y es menos probable que componentes críticos se cuelen sin supervisión.

Bloqueo de Wi‑Fi, almacenamiento USB y otros ajustes mediante Registro

En algunos entornos educativos o corporativos se recurre a scripts .bat que automatizan cambios en el Registro de Windows para limitar todavía más lo que pueden hacer los usuarios. Un ejemplo típico es el bloqueo de redes Wi‑Fi, unidades USB y ciertas opciones del Panel de control.

Mediante comandos reg add se pueden escribir claves como HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows\\Network Connections para impedir que los usuarios cambien el estado del Wi‑Fi o vean las redes disponibles. Otra clave, en HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer, permite ocultar la sección de redes inalámbricas de la interfaz.

En paralelo, se puede llamar a netsh wlan delete profile name=* para borrar todos los perfiles de redes inalámbricas guardados, de forma que los usuarios no puedan reutilizar contraseñas de Wi‑Fi ya conocidas ni conectarse con facilidad a redes preconfiguradas sin supervisión.

En cuanto a las unidades USB, hay varias claves de registro relevantes. Bajo HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows\\RemovableStorageDevices se puede establecer un valor que deniegue la ejecución de archivos desde almacenamiento extraíble. Otra clave en HKLM\\SYSTEM\\CurrentControlSet\\Control\\StorageDevicePolicies permite activar el modo de solo lectura para dispositivos USB, impidiendo que los usuarios escriban datos en ellos.

También se puede configurar el comportamiento de AutoRun y la visibilidad de las unidades removibles mediante claves en HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer, evitando que se ejecuten automáticamente programas desde memorias USB y bloqueando el acceso a esas unidades desde el Explorador de archivos.

Combinadas, estas técnicas reducen bastante la posibilidad de que los estudiantes o empleados introduzcan software no autorizado desde pendrives o compartan archivos sensibles sin control. Aun así, al tratarse de cambios en el Registro, conviene documentarlos bien, probarlos antes en pocos equipos y contar con la posibilidad de revertirlos si surge algún problema y, ante malware, seguir guías para eliminar virus en Windows 11.

Caso práctico: estudiantes que instalan Roblox y navegadores sin permiso

Un escenario muy habitual es el de instituciones educativas que usan Microsoft Intune para gestionar licencias, pero no tienen un dominio clásico montado. En estos centros es frecuente que se formatee cada equipo, se le asigne una cuenta administradora controlada por la oficina de sistemas y se cree un usuario local estándar para que el alumnado trabaje.

Aunque en teoría un usuario estándar no puede instalar de todo, en la práctica se encuentran con situaciones donde aplicaciones como Roblox, navegadores alternativos y otros juegos se instalan sin pedir credenciales de administrador. Esto ocurre porque muchos programas modernos se instalan en el perfil del usuario, sin tocar rutas protegidas ni requerir elevación.

Incluso aplicando scripts de bloqueo para la Microsoft Store, denegando permisos en Program Files, desactivando instalaciones MSI y ocultando el Panel de control, algunos instaladores siguen siendo capaces de colarse en carpetas donde el usuario tiene permisos de escritura. Es el caso típico de instaladores que se autodescomprimen en AppData o en rutas dentro de la carpeta de usuario.

Para frenar este tipo de instalaciones, la solución pasa por reforzar el enfoque con AppLocker y políticas de ejecución basadas en el publicador o el ejecutable, tal y como hemos explicado. En lugar de solo bloquear la instalación, se bloquea directamente la posibilidad de ejecutar el programa, aunque este se consiga copiar al equipo.

En un entorno gestionado con Intune, se pueden combinar políticas MDM de AppLocker, restricciones de la Store, uso de cuentas estándar y bloqueo de medios removibles para que los estudiantes solo puedan utilizar el software educativo aprobado. Para casos extremos, también se pueden valorar soluciones de terceros como Install-Block, que ofrecen controles más granulares sobre las instalaciones, listas blancas y negras, y creación de excepciones específicas.

La clave está en asumir que muchos instaladores modernos no se comportan como el software clásico y que, por tanto, es imprescindible controlar la ejecución (AppLocker y Modo de Seguridad Base) además de la instalación. Solo así se consigue un entorno razonablemente cerrado sin dejar de ser funcional para el uso académico.

Con todas estas opciones sobre la mesa, Windows 11 ofrece un abanico muy completo para bloquear aplicaciones y programas en diferentes niveles: desde directivas locales simples que vetan determinados .exe, hasta políticas avanzadas AppLocker desplegadas desde Google Workspace o Intune, pasando por el Modo de Seguridad Base y ajustes finos del Registro para Wi‑Fi, USB y paneles de configuración. Elegir la combinación adecuada para cada escenario (hogar, empresa o centro educativo) es lo que marca la diferencia entre un equipo descontrolado y un entorno seguro, estable y centrado en lo que realmente importa.