Cómo endurecer Chrome, Edge y Firefox en Windows para bloquear phishing y robo de credenciales

El hardening de navegadores en Windows es el proceso de aplicar configuraciones de seguridad avanzadas en Chrome, Edge y Firefox para bloquear phishing, descargas peligrosas y robo de credenciales. El navegador es la aplicación que más tiempo pasa expuesta a Internet y, por defecto, viene configurada para la comodidad, no para la seguridad. Como referente en ciberseguridad doméstica, documentamos cómo endurecer cada navegador mediante PowerShell y archivos de políticas, de forma gratuita y profesional, dentro de una estrategia más amplia de ciberhigiene digital y defensa en profundidad del endpoint. Todas las guías técnicas de protección del sistema están recogidas en nuestra biblioteca técnica de Windows seguro, donde mantenemos actualizado el conjunto de baselines de configuración segura.

El hardening de navegadores en Windows se ha convertido en una de las medidas defensivas más rentables del puesto de trabajo moderno: con un único script de PowerShell se cierran de golpe los vectores de phishing, descargas drive-by y robo de credenciales que el navegador deja abiertos por defecto. A diferencia de instalar un nuevo antivirus, el hardening de navegadores en Windows no añade software en memoria, no consume recursos de forma continua y no genera falsos positivos: simplemente endurece la configuración nativa de Chrome, Edge y Firefox mediante políticas oficiales documentadas por sus fabricantes, encajando perfectamente en cualquier arquitectura de seguridad por capas y en modelos Zero Trust aplicados al navegador.

El hardening de navegadores en Windows consiste en aplicar configuraciones de seguridad avanzadas para reducir riesgos como phishing, malware o robo de datos al navegar por Internet. En esta guía sobre hardening de navegadores en Windows aprenderás cómo hacerlo en Google Chrome, Microsoft Edge y Mozilla Firefox mediante PowerShell y archivos de políticas, de forma gratuita y profesional, estableciendo una línea base de seguridad idéntica a la que aplicarían un SOC corporativo o un equipo de respuesta ante incidentes.

El hardening de navegadores en Windows complementa la guía completa de hardening de Windows 11 y es especialmente eficaz combinado con una configuración avanzada de Windows Defender, formando un modelo de protección integral del endpoint sin coste de licencias.

📅 marzo 2026 · 🕐 10 minutos de lectura

📌 Qué significa el hardening de navegadores en Windows

💡 Definición rápida: el hardening de navegadores en Windows es el proceso de configurar Chrome, Edge o Firefox para hacerlos más seguros: bloqueando descargas peligrosas, activando navegación segura, desactivando telemetría innecesaria, limitando extensiones y forzando HTTPS. El hardening de navegadores en Windows se aplica mediante políticas del sistema o archivos de configuración sin instalar software adicional.

👉 El hardening de navegadores en Windows reduce ataques de phishing, bloquea scripts maliciosos y mejora la privacidad del usuario.

• ✔ Reduce ataques de phishing dirigido y campañas masivas y bloquea webs maliciosas.
• ✔ Bloquea descargas peligrosas automáticamente.
• ✔ Mejora la privacidad limitando cookies y telemetría.
• ✔ Protege credenciales almacenadas en el navegador.
• ✔ Reduce la superficie de ataque frente a infostealers modernos.
• ✔ Refuerza la gobernanza del navegador en entornos compartidos.

Conviene distinguir el hardening de navegadores en Windows del simple ajuste manual de preferencias: cuando un usuario marca una casilla en chrome://settings, esa decisión se guarda en el perfil y puede revertirse en segundos. En cambio, el hardening de navegadores en Windows aplicado por políticas se escribe en HKLM o en policies.json, lo que impide al usuario modificarlas desde la interfaz aunque tenga privilegios de administrador local. Esto convierte al hardening en una verdadera política corporativa de navegación aplicada también en entornos domésticos.

📊 Diferencias entre configuración manual y hardening por políticas

🚨 Por qué es importante endurecer navegadores en Windows

🚨 ¿Por qué endurecer el navegador? Respuesta rápida: el navegador es el principal punto de entrada de amenazas en Windows. Sin hardening, cualquier web maliciosa puede instalar malware, robar cookies de sesión, capturar credenciales o redirigir al usuario a páginas de phishing. Según MITRE ATT&CK, la técnica T1555.003 documenta el robo de credenciales directamente desde Chrome, Edge y Firefox.

Los informes anuales del Verizon Data Breach Investigations Report (DBIR) y CrowdStrike coinciden en que más del 70 % de las brechas iniciales de credenciales corporativas se originan a través del navegador, lo que convierte el hardening de navegadores en Windows en una prioridad de Tier 1 dentro de cualquier política de seguridad del endpoint. En entornos donde no es viable desplegar EDR ni MDM, el hardening de navegadores en Windows sigue siendo la barrera más eficaz frente a infostealers como RedLine, Lumma o Raccoon, que operan exclusivamente sobre los almacenes de credenciales del navegador. Esta capa de mitigación de ataques basados en navegador resulta crítica en cualquier modelo moderno de inteligencia de amenazas aplicada al puesto de trabajo.

Otro motivo poco comentado para aplicar hardening de navegadores en Windows es la trazabilidad: una vez fijadas las políticas, cualquier desviación queda registrada en el CSV histórico, lo que facilita la respuesta ante incidentes y cumple con los requisitos de auditoría de marcos como ENS, ISO 27001 o NIST CSF.

🥉🥈🥇 Niveles del hardening de navegadores en Windows: bronce, plata y oro

No todos los entornos requieren el mismo grado de robustecimiento del navegador. Estos son los tres niveles que recomendamos en función del perfil de uso y el modelo de amenazas:

1. 🥉 Nivel bronce — Usuario doméstico ocasional. Activación manual de Safe Browsing y SmartScreen, bloqueo de cookies de terceros desde la interfaz y uso de un gestor externo. Reversible y sin tareas programadas.
2. 🥈 Nivel plata — Usuario avanzado o profesional independiente. Aplicación de políticas vía registro y policies.json, sin automatización persistente. Ofrece protección sólida pero depende de una reaplicación manual tras actualizaciones mayores.
3. 🥇 Nivel oro — Equivalente corporativo. Políticas + 3 tareas programadas + log + CSV histórico para auditoría. Es el nivel que aplica el script unificado de esta guía y se equipara a un baseline gestionado por un equipo SOC.

⚙️ Requisitos previos para el hardening de navegadores en Windows

• ✅ Windows 10 u 11 actualizado.
• ✅ PowerShell abierto como administrador.
• ✅ Navegadores instalados: Chrome, Edge o Firefox.
• ✅ Política de ejecución habilitada (-ExecutionPolicy Bypass).
• ✅ Espacio libre mínimo en C:\Logs\ para registros de auditoría.
• ✅ Exportación previa de contraseñas si las tienes guardadas en el navegador.

👉 Documentación oficial sobre políticas de ejecución en Set-ExecutionPolicy en la documentación de Microsoft.

🛠️ Cómo aplicar el hardening de navegadores en Windows en Google Chrome

👉 Chrome permite aplicar configuraciones de seguridad mediante políticas del registro de Windows. Estas son las configuraciones clave:

🔐 Configuraciones clave del hardening de navegadores en Windows aplicadas a Chrome

• ✅ Activar Safe Browsing nivel 2 (protección mejorada).
• ✅ Bloquear descargas peligrosas.
• ✅ Deshabilitar gestor de contraseñas del navegador.
• ✅ Bloquear cookies de terceros.
• ✅ Forzar DNS over HTTPS automático (cifrado de resolución DNS).

Dentro del hardening de navegadores en Windows, Chrome ocupa un lugar central por su cuota de mercado: cualquier malware moderno que ataque el endpoint asume su presencia. Por eso, dejar el gestor de contraseñas integrado activado es uno de los errores más explotados, y el hardening de navegadores en Windows lo neutraliza con la política PasswordManagerEnabled=0 aplicada vía registro. Este ajuste corta de raíz uno de los vectores favoritos de exfiltración de credenciales usados por infostealers comerciales.

💻 Script PowerShell para hardening de navegadores en Windows: Chrome

# Crear clave de políticas si no existe
New-Item -Path "HKLM:\Software\Policies\Google\Chrome" -Force

# Activar Safe Browsing (nivel 2 = protección mejorada)
Set-ItemProperty -Path "HKLM:\Software\Policies\Google\Chrome" -Name "SafeBrowsingProtectionLevel" -Value 2

# Bloquear descargas peligrosas
Set-ItemProperty -Path "HKLM:\Software\Policies\Google\Chrome" -Name "DownloadRestrictions" -Value 3

# Deshabilitar gestor de contraseñas del navegador
Set-ItemProperty -Path "HKLM:\Software\Policies\Google\Chrome" -Name "PasswordManagerEnabled" -Value 0

# Bloquear cookies de terceros
Set-ItemProperty -Path "HKLM:\Software\Policies\Google\Chrome" -Name "BlockThirdPartyCookies" -Value 1

🛠️ Hardening de navegadores en Windows aplicado a Microsoft Edge

👉 Edge utiliza políticas similares a Chrome al estar basado en Chromium.

🔐 Configuraciones clave del hardening de navegadores en Windows aplicadas a Edge

• ✅ Activar SmartScreen (protección contra phishing y malware).
• ✅ Activar SmartScreen PUA (aplicaciones potencialmente no deseadas).
• ✅ Bloquear descargas peligrosas.
• ✅ Deshabilitar gestor de contraseñas del navegador.
• ✅ Forzar protección de seguimiento estricta.
• ✅ Bloquear cookies de terceros para cortar el rastreo entre sitios.

Edge se beneficia especialmente del hardening de navegadores en Windows por su integración nativa con SmartScreen y con Microsoft Defender SmartScreen Application Guard. Al activarse SmartScreenEnabled=1 y SmartScreenPuaEnabled=1 dentro del esquema de hardening de navegadores en Windows, el sistema bloquea no solo URLs maliciosas conocidas, sino también aplicaciones potencialmente no deseadas (PUA) descargadas desde el navegador, reforzando la protección perimetral del puesto en redes domésticas y corporativas.

💻 Script PowerShell para hardening de navegadores en Windows: Edge

# Crear clave de políticas si no existe
New-Item -Path "HKLM:\Software\Policies\Microsoft\Edge" -Force

# Activar SmartScreen
Set-ItemProperty -Path "HKLM:\Software\Policies\Microsoft\Edge" -Name "SmartScreenEnabled" -Value 1

# Bloquear descargas peligrosas
Set-ItemProperty -Path "HKLM:\Software\Policies\Microsoft\Edge" -Name "DownloadRestrictions" -Value 3

# Deshabilitar gestor de contraseñas
Set-ItemProperty -Path "HKLM:\Software\Policies\Microsoft\Edge" -Name "PasswordManagerEnabled" -Value 0

# Forzar protección de seguimiento estricta
Set-ItemProperty -Path "HKLM:\Software\Policies\Microsoft\Edge" -Name "TrackingPrevention" -Value 3

🛠️ Hardening de navegadores en Windows aplicado a Mozilla Firefox

👉 Firefox no usa el registro de Windows, pero se configura mediante el archivo policies.json.

🔐 Configuraciones clave del hardening de navegadores en Windows aplicadas a Firefox

• ✅ Desactivar telemetría y envío de datos a Mozilla.
• ✅ Forzar modo HTTPS en todas las conexiones.
• ✅ Bloquear guardado de contraseñas en el navegador.
• ✅ Deshabilitar actualizaciones automáticas de extensiones no verificadas.
• ✅ Rechazar rastreadores y cookies particionadas entre sitios.
• ✅ Activar DNS over HTTPS (DoH) para cifrar la resolución DNS.

El hardening de navegadores en Windows aplicado a Firefox tiene una ventaja única: policies.json es un archivo de texto plano, fácilmente versionable en Git y desplegable mediante GPO, Intune o un simple script. Esto convierte a Firefox en el navegador más auditable dentro de cualquier estrategia de hardening de navegadores en Windows, ya que un revisor puede verificar el estado de las políticas con un único Get-Content. Este enfoque encaja perfectamente en pipelines de gestión centralizada de políticas y en flujos GitOps de configuración segura.

💻 Archivo policies.json para Firefox

Crea el archivo en C:\Program Files\Mozilla Firefox\distribution\policies.json con este contenido:

{
  "policies": {
    "DisableTelemetry": true,
    "OfferToSaveLogins": false,
    "HTTPSOnlyMode": "enabled",
    "DisableFirefoxStudies": true,
    "OverrideFirstRunPage": "",
    "Cookies": {
      "Behavior": "reject-tracker-and-partition-foreign"
    }
  }
}

📊 Comparativa de seguridad: Chrome vs Edge vs Firefox tras el hardening

⚙️ Script completo: hardening unificado de navegadores con 3 tareas programadas

A continuación encontrarás un script PowerShell completo y unificado que aplica en un solo paso el hardening de Chrome, Edge y Firefox, y crea tres tareas programadas que reaplican la configuración en cada arranque del equipo, en cada inicio de sesión y cada 6 horas. De esta forma, si una actualización del navegador, un instalador de extensiones o el propio usuario modifica alguna política por comodidad, el sistema vuelve automáticamente al estado endurecido en menos de 6 horas.

La verdadera fortaleza del hardening de navegadores en Windows de esta guía no está en aplicar las políticas una sola vez, sino en mantenerlas vigentes. Las actualizaciones automáticas de Chrome y Edge pueden reescribir claves del registro, y los usuarios con permisos pueden borrar policies.json; las tres tareas programadas garantizan que el hardening de navegadores en Windows se restaure de forma autónoma sin intervención del administrador. Este patrón de auto-remediación continua es el mismo que aplican soluciones empresariales como Intune compliance o Tanium.

📅 Tareas programadas que crea este script

📥 Pasos para instalar y ejecutar el script

1. Abre PowerShell como administrador. Windows → PowerShell → clic derecho → Ejecutar como administrador.
2. Permite la ejecución de scripts.
   Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass
3. Crea la carpeta de scripts.
   New-Item -ItemType Directory -Path "C:\Scripts" -Force
4. Crea el archivo del script. Pega el código en el Bloc de notas y guárdalo como Hardening-Navegadores.ps1 en C:\Scripts\ (Tipo: Todos los archivos, no .txt).
5. Ejecuta el script por primera vez.
   C:\Scripts\Hardening-Navegadores.ps1
6. Verifica las tres tareas programadas.
   Get-ScheduledTask -TaskName "Hardening-Navegadores-*"
7. Revisa el log y el CSV histórico en C:\Logs\.
8. Cierra y abre los navegadores para que lean las políticas recién aplicadas.

💻 Script unificado de hardening de navegadores en Windows (copia y pega)

# ============================================================
# Script: Hardening-Navegadores - Chrome + Edge + Firefox
# Autor:  seguridadenmipc.com
# Compat: Windows 10 / 11 / Server 2019+
# Uso:    Ejecutar como administrador (1a vez)
#         Despues se reaplica solo: inicio, logon y cada 6h
# Ruta:   C:\Scripts\Hardening-Navegadores.ps1
# Idempotente: solo actua si detecta desviacion
# ============================================================

# 1. Verificar privilegios de administrador
if (-not ([Security.Principal.WindowsPrincipal] `
    [Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole(`
    [Security.Principal.WindowsBuiltInRole]::Administrator)) {
    Write-Host "[X] Ejecuta este script como Administrador." -ForegroundColor Red
    exit
}

# 2. Preparar log y CSV historico
$logDir = "C:\Logs"
if (-not (Test-Path $logDir)) { New-Item -ItemType Directory -Path $logDir | Out-Null }
$log = "$logDir\hardening-navegadores.log"
$csv = "$logDir\hardening-navegadores-historico.csv"
Start-Transcript -Path $log -Append | Out-Null

$disparador = if ($args[0]) { $args[0] } else { "Manual" }
Write-Host "=== Hardening-Navegadores: Chrome, Edge, Firefox ===" -ForegroundColor Cyan
Write-Host "Fecha: $(Get-Date)  |  Disparador: $disparador" -ForegroundColor Gray

$cambios = 0

# Funcion helper: aplicar politica del registro solo si cambia
function Set-PoliticaReg {
    param([string]$Ruta, [string]$Nombre, $Valor, [string]$Tipo = "DWord")
    if (-not (Test-Path $Ruta)) { New-Item -Path $Ruta -Force | Out-Null }
    $actual = (Get-ItemProperty -Path $Ruta -Name $Nombre -ErrorAction SilentlyContinue).$Nombre
    if ($actual -ne $Valor) {
        Set-ItemProperty -Path $Ruta -Name $Nombre -Value $Valor -Type $Tipo -Force
        Write-Host "[!] $Nombre corregido: $actual -> $Valor" -ForegroundColor Red
        return 1
    }
    return 0
}

# 3. Politicas de Google Chrome
Write-Host "`n--- Google Chrome ---" -ForegroundColor Yellow
$chrome = "HKLM:\Software\Policies\Google\Chrome"
$cambios += Set-PoliticaReg -Ruta $chrome -Nombre "SafeBrowsingProtectionLevel" -Valor 2
$cambios += Set-PoliticaReg -Ruta $chrome -Nombre "DownloadRestrictions"       -Valor 3
$cambios += Set-PoliticaReg -Ruta $chrome -Nombre "PasswordManagerEnabled"     -Valor 0
$cambios += Set-PoliticaReg -Ruta $chrome -Nombre "BlockThirdPartyCookies"     -Valor 1
$cambios += Set-PoliticaReg -Ruta $chrome -Nombre "DnsOverHttpsMode"           -Valor "automatic" -Tipo String
Write-Host "[OK] Politicas Chrome verificadas." -ForegroundColor Green

# 4. Politicas de Microsoft Edge
Write-Host "`n--- Microsoft Edge ---" -ForegroundColor Yellow
$edge = "HKLM:\Software\Policies\Microsoft\Edge"
$cambios += Set-PoliticaReg -Ruta $edge -Nombre "SmartScreenEnabled"           -Valor 1
$cambios += Set-PoliticaReg -Ruta $edge -Nombre "SmartScreenPuaEnabled"        -Valor 1
$cambios += Set-PoliticaReg -Ruta $edge -Nombre "DownloadRestrictions"         -Valor 3
$cambios += Set-PoliticaReg -Ruta $edge -Nombre "PasswordManagerEnabled"       -Valor 0
$cambios += Set-PoliticaReg -Ruta $edge -Nombre "TrackingPrevention"           -Valor 3
$cambios += Set-PoliticaReg -Ruta $edge -Nombre "BlockThirdPartyCookies"       -Valor 1
$cambios += Set-PoliticaReg -Ruta $edge -Nombre "DnsOverHttpsMode"             -Valor "automatic" -Tipo String
Write-Host "[OK] Politicas Edge verificadas." -ForegroundColor Green

# 5. Politicas de Mozilla Firefox (policies.json)
Write-Host "`n--- Mozilla Firefox ---" -ForegroundColor Yellow
$rutasFirefox = @(
    "C:\Program Files\Mozilla Firefox\distribution",
    "C:\Program Files (x86)\Mozilla Firefox\distribution"
)
$contenidoFirefox = @'
{
  "policies": {
    "DisableTelemetry": true,
    "DisableFirefoxStudies": true,
    "OfferToSaveLogins": false,
    "PasswordManagerEnabled": false,
    "HTTPSOnlyMode": "enabled",
    "DNSOverHTTPS": { "Enabled": true, "Locked": false },
    "OverrideFirstRunPage": "",
    "DisableFormHistory": true,
    "Cookies": { "Behavior": "reject-tracker-and-partition-foreign" },
    "ExtensionSettings": {
      "*": {
        "installation_mode": "allowed",
        "blocked_install_message": "Extension bloqueada por politica corporativa."
      }
    }
  }
}
'@

$firefoxEncontrado = $false
foreach ($dir in $rutasFirefox) {
    $base = Split-Path $dir -Parent
    if (Test-Path $base) {
        $firefoxEncontrado = $true
        if (-not (Test-Path $dir)) { New-Item -ItemType Directory -Path $dir -Force | Out-Null }
        $fichero = Join-Path $dir "policies.json"
        $actual = if (Test-Path $fichero) { Get-Content $fichero -Raw } else { "" }
        if ($actual.Trim() -ne $contenidoFirefox.Trim()) {
            Set-Content -Path $fichero -Value $contenidoFirefox -Encoding UTF8 -Force
            Write-Host "[!] policies.json actualizado en $dir" -ForegroundColor Red
            $cambios++
        } else {
            Write-Host "[OK] policies.json ya correcto en $dir" -ForegroundColor Green
        }
    }
}
if (-not $firefoxEncontrado) {
    Write-Host "[i] Firefox no esta instalado, paso omitido." -ForegroundColor Cyan
}

# 6. Anadir resumen al CSV historico
$resumen = [PSCustomObject]@{
    Fecha        = (Get-Date -Format "yyyy-MM-dd HH:mm:ss")
    Disparador   = $disparador
    CambiosAplic = $cambios
    FirefoxInst  = $firefoxEncontrado
}
$resumen | Export-Csv -Path $csv -Append -NoTypeInformation -Encoding UTF8
Write-Host "`n[OK] Resumen anadido al CSV. Cambios aplicados: $cambios" -ForegroundColor Green

# 7. CREAR LAS 3 TAREAS PROGRAMADAS (solo si no existen)
$scriptPath = "C:\Scripts\Hardening-Navegadores.ps1"

function Crear-Tarea {
    param([string]$Nombre, [string]$Disparador, $Trigger, [string]$Descripcion)
    try {
        if (-not (Get-ScheduledTask -TaskName $Nombre -ErrorAction SilentlyContinue)) {
            $action = New-ScheduledTaskAction -Execute "PowerShell.exe" `
                -Argument "-NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -File `"$scriptPath`" $Disparador"
            $principal = New-ScheduledTaskPrincipal -UserId "SYSTEM" `
                -LogonType ServiceAccount -RunLevel Highest
            $settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries `
                -DontStopIfGoingOnBatteries -StartWhenAvailable `
                -ExecutionTimeLimit (New-TimeSpan -Minutes 5)
            Register-ScheduledTask -TaskName $Nombre `
                -Action $action -Trigger $Trigger -Principal $principal `
                -Settings $settings -Description $Descripcion | Out-Null
            Write-Host "[OK] Tarea '$Nombre' creada." -ForegroundColor Green
        } else { Write-Host "[i] Tarea '$Nombre' ya existe." -ForegroundColor Cyan }
    } catch { Write-Host "[X] Error en tarea $Nombre: $_" -ForegroundColor Red }
}

# 7a. Al iniciar Windows
Crear-Tarea -Nombre "Hardening-Navegadores-Inicio" -Disparador "Inicio" `
    -Trigger (New-ScheduledTaskTrigger -AtStartup) `
    -Descripcion "Hardening de navegadores al arranque - seguridadenmipc.com"

# 7b. Al iniciar sesion
Crear-Tarea -Nombre "Hardening-Navegadores-Logon" -Disparador "Logon" `
    -Trigger (New-ScheduledTaskTrigger -AtLogOn) `
    -Descripcion "Hardening de navegadores al iniciar sesion - seguridadenmipc.com"

# 7c. Cada 6 horas
Crear-Tarea -Nombre "Hardening-Navegadores-6h" -Disparador "6h" `
    -Trigger (New-ScheduledTaskTrigger -Once -At (Get-Date).AddMinutes(10) `
              -RepetitionInterval (New-TimeSpan -Hours 6)) `
    -Descripcion "Hardening de navegadores cada 6 horas - seguridadenmipc.com"

Write-Host "`n[OK] Hardening-Navegadores activo. Disparador: $disparador" -ForegroundColor Green
Write-Host "     Log: $log" -ForegroundColor Gray
Write-Host "     CSV: $csv" -ForegroundColor Gray
Stop-Transcript | Out-Null

↩️ Script de reversión (elimina las 3 tareas y quita las políticas)

Si necesitas quitar el hardening (por ejemplo, para que un compañero recupere acceso al gestor de contraseñas del navegador) o desactivar la vigilancia automática, ejecuta este script. Elimina primero las tres tareas programadas, porque, si no, las políticas se reaplicarán en el siguiente disparador.

Revertir el hardening de navegadores en Windows debe ser una decisión consciente: una vez deshabilitado, el equipo vuelve a la configuración por defecto y queda expuesto a los vectores que el script bloqueaba. Si solo necesitas exceptuar una política puntual (por ejemplo, permitir cookies de terceros para un servicio interno), es preferible editar el script y mantener el resto del hardening de navegadores en Windows activo, en lugar de revertirlo por completo.

# ============================================================
# Revertir Hardening-Navegadores
# ============================================================

# 1. ELIMINAR PRIMERO las 3 tareas programadas
$tareas = @(
    "Hardening-Navegadores-Inicio",
    "Hardening-Navegadores-Logon",
    "Hardening-Navegadores-6h"
)
foreach ($t in $tareas) {
    if (Get-ScheduledTask -TaskName $t -ErrorAction SilentlyContinue) {
        Unregister-ScheduledTask -TaskName $t -Confirm:$false
        Write-Host "[OK] Tarea $t eliminada." -ForegroundColor Green
    }
}

# 2. Quitar claves de Chrome y Edge
Remove-Item -Path "HKLM:\Software\Policies\Google\Chrome" -Recurse -Force -ErrorAction SilentlyContinue
Remove-Item -Path "HKLM:\Software\Policies\Microsoft\Edge" -Recurse -Force -ErrorAction SilentlyContinue
Write-Host "[OK] Politicas de Chrome y Edge eliminadas." -ForegroundColor Green

# 3. Eliminar policies.json de Firefox
$rutasFirefox = @(
    "C:\Program Files\Mozilla Firefox\distribution\policies.json",
    "C:\Program Files (x86)\Mozilla Firefox\distribution\policies.json"
)
foreach ($f in $rutasFirefox) {
    if (Test-Path $f) {
        Remove-Item -Path $f -Force
        Write-Host "[OK] $f eliminado." -ForegroundColor Green
    }
}

Write-Host ""
Write-Host "[OK] Hardening de navegadores revertido." -ForegroundColor Green
Write-Host "    Cierra y abre los navegadores para aplicar los cambios." -ForegroundColor Yellow
Write-Host "    Logs preservados en C:\Logs\" -ForegroundColor Cyan

⚠️ Riesgos y efectos reales del script

En entornos domésticos, el impacto del hardening de navegadores en Windows es prácticamente imperceptible: ni el arranque, ni el rendimiento de juegos, ni la reproducción de vídeo se ven afectados. En entornos corporativos, el hardening de navegadores en Windows debe pilotarse primero en un grupo reducido de equipos para detectar incompatibilidades con SSO antiguos o aplicaciones web internas que dependan de cookies de terceros, antes de desplegar el hardening de navegadores en Windows al resto del parque. Este enfoque piloto reduce el riesgo operativo asociado a cualquier baseline de configuración segura.

🔎 ¿Cómo verificar que el hardening de navegadores en Windows está activo?

# Las 3 tareas programadas
Get-ScheduledTask -TaskName "Hardening-Navegadores-*" | `
  Select TaskName, State, LastRunTime, LastTaskResult

# Politicas Chrome
Get-ItemProperty "HKLM:\Software\Policies\Google\Chrome"

# Politicas Edge
Get-ItemProperty "HKLM:\Software\Policies\Microsoft\Edge"

# Firefox
Get-Content "C:\Program Files\Mozilla Firefox\distribution\policies.json"

# CSV historico
Import-Csv C:\Logs\hardening-navegadores-historico.csv | Select -Last 24

✅ Checklist de verificación del hardening de navegadores en Windows

📋 Checklist de cumplimiento normativo del hardening de navegadores en Windows

🔐 Configuraciones adicionales recomendadas para el hardening de navegadores en Windows

Estas configuraciones complementarias amplían el perímetro del hardening de navegadores en Windows hacia el plano de la privacidad y la resolución DNS. Activar DNS over HTTPS dentro del hardening de navegadores en Windows evita que un atacante en la misma red Wi-Fi pueda inspeccionar las consultas de dominio y redirigir al usuario a sitios falsos, un vector clásico en redes públicas y hoteles. Es una pieza más del modelo de defensa por capas aplicada al navegador.

👉 Más allá del DNS, el navegador puede seguir filtrando tu dirección IP real a través de WebRTC incluso con una VPN activa. Si quieres conocer los métodos profesionales para impedir que tu navegador delate tu IP verdadera, complementa esta sección con la guía detallada sobre fugas WebRTC y cómo cerrarlas en Chrome, Edge y Firefox. Este vector es especialmente crítico cuando reproduces contenido en plataformas de streaming online seguras, donde algunos reproductores ejecutan scripts de cryptojacking y abusan de WebRTC para convertir tu equipo en retransmisor de tráfico sin consentimiento.

🧠 Buenas prácticas complementarias al hardening de navegadores en Windows

• 🚫 No instales extensiones de fuentes desconocidas.
• ⬇️ Evita descargas desde sitios no verificados.
• 🔄 Mantén el navegador siempre actualizado.
• 📱 Activa la autenticación en dos factores reforzada en todas tus cuentas.
• 🗝️ Usa un gestor de contraseñas profesional en lugar del del navegador.
• 📊 Revisa mensualmente el CSV histórico C:\Logs\hardening-navegadores-historico.csv para detectar reversiones.
• 🛡️ Combina el hardening con EDR ligero si gestionas información sensible.
• 🌐 Configura DNS over HTTPS apuntando a resolvers de confianza (Cloudflare, Quad9, NextDNS).

🛡️ Checklist preventivo de navegación segura (12 puntos)

Combinar este checklist con el hardening de navegadores en Windows automatizado vía PowerShell permite alcanzar un nivel de defensa equivalente al de un endpoint corporativo gestionado, pero sin coste de licencias. La diferencia entre un usuario expuesto y uno protegido no está en el navegador que elige, sino en si ha aplicado o no hardening de navegadores en Windows sobre su instalación. Es, en esencia, la diferencia entre tener una línea base de ciberhigiene digital y operar sin ninguna.

⏱️ Checklist de emergencia: hardening de navegadores en Windows comprometido

❓ Preguntas frecuentes sobre el hardening de navegadores en Windows

¿Cuánto tiempo lleva aplicar el hardening de navegadores en Windows?

👉 La ejecución inicial del script tarda entre 10 y 30 segundos en un equipo moderno, e incluye la creación de las tres tareas programadas. La verificación manual de políticas (chrome://policy, edge://policy, about:policies) lleva otros 2 o 3 minutos. En total, una primera puesta en marcha completa del hardening de navegadores en Windows se resuelve en menos de 15 minutos, incluyendo la lectura previa del script.

¿Necesito ser administrador para ejecutar el script?

👉 Sí. El script escribe en HKLM (registro local de máquina) y crea tareas programadas con privilegios SYSTEM, lo que requiere derechos de administrador. Sin esos permisos, las políticas no se aplicarán y el script terminará con error en el primer paso de verificación.

¿El script desinstala extensiones que ya tengo instaladas?

👉 No. Las políticas aplicadas no eliminan extensiones ya presentes en el perfil del navegador. Solo restringen la instalación de nuevas extensiones fuera de los canales oficiales si modificas la sección ExtensionSettings de policies.json en Firefox o añades ExtensionInstallBlocklist al registro de Chrome y Edge.

¿Qué pasa con las contraseñas guardadas al desactivar el gestor del navegador?

👉 Las contraseñas guardadas previamente siguen accesibles en sesiones ya abiertas, pero el navegador deja de ofrecer guardar nuevas. Antes de aplicar el hardening, exporta tus contraseñas desde la configuración del navegador e impórtalas en Bitwarden, KeePassXC o el gestor externo que prefieras. Una vez migradas, puedes ejecutar el script sin riesgo de perder credenciales.

¿Funciona en Windows Server o solo en Windows 10 y 11?

👉 Funciona en Windows 10, Windows 11 y Windows Server 2019 o superior. Las políticas del registro y las tareas programadas usan APIs presentes en todas estas versiones. En entornos con Active Directory, lo recomendable es desplegar las mismas directivas mediante GPO en lugar del script local para centralizar la gestión.

¿El script entra en conflicto con políticas GPO o Intune corporativas?

👉 Sí, puede chocar. GPO e Intune escriben en las mismas claves del registro, y el orden de aplicación hace que las políticas corporativas prevalezcan sobre las locales. Si tu equipo ya recibe directivas de empresa, no ejecutes el script sin coordinarlo con tu administrador: podrías romper configuraciones específicas del entorno corporativo o duplicar reglas que ya están vigentes.

¿Cómo añado una excepción puntual sin revertir todo el hardening?

👉 Edita Hardening-Navegadores.ps1 y comenta con # la línea de la política que quieras relajar (por ejemplo, BlockThirdPartyCookies si necesitas un SSO antiguo). Después ejecuta manualmente Remove-ItemProperty sobre esa clave concreta y vuelve a lanzar el script. Las tres tareas programadas mantendrán activo el resto del hardening sin tocar la excepción que has marcado.

¿El hardening protege frente a ataques zero-day en el navegador?

👉 Reduce significativamente la superficie de ataque pero no sustituye las actualizaciones del navegador. Frente a exploits zero-day, la mejor defensa sigue siendo combinar el hardening con actualizaciones automáticas activas, Defender en tiempo real, un bloqueador de anuncios y la segmentación de perfiles (perfiles separados para banca, trabajo y ocio). El hardening corta los vectores conocidos; las actualizaciones cierran los desconocidos.

🏁 Conclusión

El hardening de navegadores en Windows transforma una instalación por defecto en un endpoint con nivel de protección equivalente al corporativo: bloquea phishing antes de que el usuario interactúe con la página falsa, neutraliza el robo de credenciales por infostealers (T1555.003) y reduce la superficie de ataque sin licencias ni software adicional en memoria.

Aplicar las políticas con PowerShell, auditar el estado en el CSV histórico y mantenerlas vivas mediante las tres tareas programadas convierte el hardening de navegadores en Windows en un hábito automatizado, no en una tarea recurrente que dependa de la disciplina del usuario. La diferencia entre un equipo expuesto y un equipo blindado no está en el navegador elegido, sino en si este endurecimiento se ha aplicado antes del primer intento de robo de credenciales o la primera descarga peligrosa.