Configura Windows 11 per maximitzar la privadesa sense carregar-se funcions clau és perfectament possible, però requereix entendre bé què fa cada capa del sistema: des de l'inici de sessió, la telemetria i els serveis en segon pla, fins a les eines més avançades com ara FIDO2, passkeys o polítiques de grup. Si us preocupa que el sistema parli massa amb els servidors de Microsoft, però tampoc voleu deixar l'equip insegur o inusable, aquest text és per a tu.
En les següents línies veuràs una guia d'enduriment de privadesa molt completa que barreja el que Windows 11 ofereix de fàbrica per protegir identitat i dades (Windows Hello, Defender, SmartScreen, detecció de presència, etc.) amb tècniques concretes per reduir al mínim la recopilació d'informació, limitar la telemetria, instal·lar Windows 11 sense compte Microsoft o fins i tot sense connexió i fer servir navegadors i scripts externs amb cap. La idea no és viure en una bombolla, sinó trobar un equilibri raonable entre privadesa, seguretat i comoditat.
Seguretat de comptes i accés sense contrasenya a Windows 11
Un dels pilars de Windows 11 és el pas cap a un entorn de autenticació sense contrasenyes clàssiques, que són fàcils d'oblidar, robar o reutilitzar de manera insegura. El sistema ha anat incorporant models basats en biometria, claus criptogràfiques i dispositius físics que redueixen moltíssim el risc davant del phishing i el robatori massiu de credencials.
Windows Hello: autenticació amb PIN i biometria
Windows Hello és la base del inici de sessió sense contrasenya a Windows 11. En lloc de dependre només de contrasenyes, associa les teves credencials a un dispositiu concret usant claus asimètriques protegides pel mòdul TPM (Trusted Platform Module). Aquestes claus privades no surten de l'equip i només es desbloquegen quan es verifica la vostra identitat.
Aquest sistema permet que t'identifiquis amb un PIN local o dades biomètriques (cara o empremta) que es validen al propi dispositiu. Un cop verificat l'usuari, l'equip utilitza les claus criptogràfiques emmagatzemades al TPM per autenticar-se davant de Microsoft, de la teva organització o de serveis compatibles amb estàndards FIDO2/WebAuthn, sense exposar la contrasenya a cada inici de sessió.
El PIN i la biometria es guarden exclusivament a l'equip. No es pugen al núvol, no se sincronitzen entre dispositius, ni es poden llegir de manera remota. Això ajuda a bloquejar atacs de reproducció, pesca (phishing), robatori de hash o reutilització de contrasenyes, perquè l'atacant necessitaria accés físic al dispositiu i superar la protecció del TPM.
PIN de Windows Hello i seguretat afegida
El PIN de Windows Hello no és un simple codi de desbloqueig com en un mòbil antic; es pot configurar com a part d'una autenticació multifactor robusta. El TPM s'encarrega de defensar-lo davant d'atacs de força bruta (després de diversos intents fallits el dispositiu es bloqueja), i els administradors poden fixar regles de complexitat, longitud i caducitat.
En equips sense maquinari biomètric, Windows 11 aprofita la seguretat basada en virtualització (VBS) per aïllar les credencials en contenidors protegits, de manera que fins i tot si inicies amb PIN, la informació sensible roman separada de la resta del sistema i de processos amb possibles privilegis elevats.
Biometria amb Windows Hello
La part biomètrica de Windows Hello transforma el login en alguna cosa ràpid i còmode: mires a la càmera o poses el dit al lector, i llest. Els dispositius compatibles integren càmeres de reconeixement facial o sensors d'empremta que compleixen requisits específics de Microsoft per garantir que el reconeixement no es pugui enganyar fàcilment.
El sistema està dissenyat per utilitzar sempre càmeres de confiança registrades al moment de la inscripció. Si connectes una càmera externa posteriorment, hauràs de validar-la iniciant sessió primer amb la càmera interna. A més, es pot deshabilitar lús de càmeres perifèriques per minimitzar la superfície datac.
Seguretat d'inici de sessió millorada (ESS)
Per a entorns que requereixen un nivell encara més alt, Windows Hello suporta la trucada seguretat d'inici de sessió millorada, que es basa en VBS, TPM i components de maquinari específics per aïllar encara més els processos d'autenticació biomètrica.
Aquesta configuració protegeix la ruta completa per la qual circulen les mostres biomètriques i les claus, mitigant atacs com la injecció o reproducció d'empremtes o cares. Per exemple, els lectors d'empremta han d'implementar un protocol de connexió segur amb certificats emesos per Microsoft, i en reconeixement facial es fan servir elements com les taules SDEV i trustlets aïllats.
Windows Hello per a empreses i entorn corporatiu
En companyia o en educació, el més normal és treballar amb Active Directory o Microsoft Entra ID. Aquí entra en joc Windows Hello per a empreses, que amplia Windows Hello al món corporatiu, substituint comptes i contrasenyes tradicionals per un model basat en certificats o claus de seguretat més un PIN o biometria.
Un cop aprovisionat, l'usuari desbloqueja les credencials amb la cara, la petjada o el PIN, i obté inici de sessió únic (SSO) recursos interns: correu corporatiu, OneDrive d'empresa, aplicacions internes, etc. A més, els administradors poden gestionar polítiques per al PIN i altres paràmetres d'inici a tots els dispositius units al domini oa Entra ID.
Mètodes d'aprovisionament i experiència totalment sense contrasenya
Les organitzacions poden desplegar Windows Hello per a empreses usant diverses vies: passkeys integrades a Entra ID, codis de passi temporal (TAP) amb caducitat controlada, o mètodes actuals d'autenticació multifactor com Microsoft Authenticator.
Amb la maduresa del sistema, és possible habilitar-ne una experiència “sense contrasenya” completa a Windows: en equips units a Entra ID, la política pot amagar l'opció d'introduir contrasenya, obligant a utilitzar credencials resistents al phishing com Windows Hello o claus FIDO2. La contrasenya continua existint al directori d'identitats, però queda com a mecanisme de recuperació lligat a procediments concrets (per exemple, restablir PIN o login web).
Restabliment de PIN i desbloqueig multifactor
Si un usuari oblida el PIN, el servei de restabliment de PIN de Microsoft permet recuperar-lo sense haver de tornar a inscriure's des de zero. Després de registrar el servei a Entra ID i habilitar-lo via directiva o Intune, el mateix usuari pot llançar el procés des de la pantalla de bloqueig o des de les opcions d'inici de sessió a Configuració, completant una verificació multifactor.
Per a escenaris de seguretat reforçada, les empreses poden requerir desbloqueig multifactor combinant dos senyals de confiança: per exemple, biometria + PIN, PIN + proximitat Bluetooth, o fins i tot condicions de xarxa (Wi-Fi corporativa o rang IP concret). Això redueix el risc de comptes compartits i ajuda a complir normatives que exigeixen dues fases d‟autenticació.
FIDO2, passkeys i Microsoft Authenticator
El moviment cap a l'autenticació sense contrasenya a Windows 11 està alineat amb els estàndards de la FIDO Alliance i el W3C (CTAP2, WebAuthn). Aquests estàndards defineixen com els navegadors, apps i dispositius intercanvien claus públiques de manera segura per evitar que les contrasenyes siguin la baula feble.
Windows 11 pot actuar com autenticador FIDO2 tant amb Windows Hello/Hello per a Empreses com utilitzant claus de seguretat externes. Això permet iniciar sessió en serveis d'identitat populars i aplicacions web amb mecanismes resistents al phishing i que respecten més la privadesa.
Passkeys: substitutes modernes de la contrasenya
Les passkeys són secrets criptogràfics únics emmagatzemats de forma segura al dispositiu, i representen el futur multiplataforma de l'inici de sessió segur. En comptes de recordar una contrasenya, l'usuari només necessita aprovar l'accés amb la cara, la petjada o el PIN, i el dispositiu signa un repte amb la clau privada sense exposar-la.
Al Windows 11, les passkeys es poden crear i utilitzar amb Windows Hello, claus FIDO2 externes, proveïdors de passkeys mitjançant complements o fins i tot telèfons mòbils. Funcionen a qualsevol navegador o app compatible, i les creades amb Windows Hello queden protegides pels mateixos mecanismes que la resta de credencials. Es poden gestionar des de l'apartat de claus d'accés a la configuració de comptes.
Microsoft Authenticator com a peça central
L'app Microsoft Authenticator per a iOS i Android serveix com un mètode multifuncional d'autenticació i aprovació. Permet iniciar sessió sense contrasenya en comptes Microsoft, utilitzar passkeys d'Entrada ID com a mètode resistent a phishing, rebre notificacions d'aprovació d'inici de sessió i revisar l'historial d'activitat.
Les claus es guarden en zones segures del maquinari del mòbil (Secure Enclave, Keystore), i els administradors poden forçar el seu desplegament i ús mitjançant diferents eines de gestió. Per a l'usuari individual, l'app dóna més control sobre quan i des d'on es fan servir les credencials, amb actualitzacions freqüents per avançar-se a amenaces noves.
Detecció de presència, sensors i privadesa
Windows 11 incorpora funcions de detecció de presencia que combinen sensors específics amb reconeixement facial de Windows Hello per adaptar el comportament del dispositiu segons si estàs davant de la pantalla o no.
En equips compatibles, el sistema pot iniciar sessió de manera mans lliures en detectar-te, bloquejar-se automàticament quan t'allunyes i atenuar la pantalla intel·ligentment quan apartes la vista. Aquesta lògica redueix fuites d'informació en entorns híbrids (casa, oficina, espais públics) i protegeix millor les dades quan t'aixeques de l'escriptori sense bloquejar-les manualment.
La clau aquí és el control: Windows 11 ofereix noves opcions de privadesa específiques per a dades de presència, permetent que l'usuari decideixi quines apps poden accedir al sensor i quins comportaments exactes s'habiliten (despertar en apropar-te, bloqueig en sortir, atenuació adaptativa…). A més, hi ha APIs disponibles per a desenvolupadors, de manera que apps de tercers puguin integrar presència sense reinventar la roda.
Inici de sessió web, federació i targetes intel·ligents
Per a escenaris variats, Windows 11 suporta altres mètodes d'autenticació addicionals pensats per a entorns acadèmics, empresarials o d'alta seguretat. Això amplia les opcions, però també afegeix fronts a vigilar des del punt de vista de privadesa.
L'inici de sessió web permet autenticar-se sense contrasenya emprant Microsoft Authenticator, passkeys d'Entrada o passis temporals, i s'integra amb proveïdors d'identitat SAML. Per a centres educatius, el sistema suporta inici de sessió federat amb serveis externs, incloent mètodes alternatius com ara codis QR o imatges per a usuaris que tenen problemes amb contrasenyes complexes.
A més, segueixen existint les targetes intel·ligents físiques, que allotgen certificats X.509 i permeten autenticació forta per a comptes de domini o Entra ID. Encara que són anteriors a Hello i FIDO2, continuen usant-se en sectors amb requisits molt estrictes i proporcionen aïllament d'operacions criptogràfiques. Això sí, no funcionen amb comptes locals i es recomana migrar a Hello per a Empreses o FIDO2 en instal·lacions noves.
Protecció contra pesca amb Microsoft Defender SmartScreen
Encara que la tendència és allunyar-se de les contrasenyes, moltes persones continuen fent-les servir cada dia. Per a aquest cas, Windows 11 incorpora una protecció de suplantació d'identitat millorada a SmartScreen, que vigila quan introduïu la vostra contrasenya de Microsoft en aplicacions o llocs web.
Quan detecta que escrius les teves credencials en una pàgina o app que no s'autentica de manera segura davant de Microsoft, el sistema llança una alerta immediata per avisar-te que podries estar davant d'un intent de robatori de contrasenya. Així pots reaccionar al moment, canviar la clau i revisar activitat sospitosa abans que l'atacant l'aprofiti.
Com reduir telemetria i rastreig sense trencar Windows 11
Per molt ben pensada que hi hagi la part de seguretat, la telemetria de Windows 11 segueix sent un punt delicat. El sistema recull dades de diagnòstic, ús, rendiment i de vegades informació que molts usuaris preferirien no compartir. No hi ha una opció oficial per deixar-lo completament mut, però sí que pots baixar el volum al mínim raonable sense deixar el sistema coix.
El primer és assumir una realitat: sempre n'hi haurà certa telemetria “obligatòria” que viatja a Microsoft, sobretot relacionada amb errors crítics, compatibilitat o activació. L'objectiu pràctic és retallar tot allò que siguin dades addicionals, personalització basada en la teva activitat, anuncis dirigits o funcions que rastregen escriptura, dictat, historial d'activitats, etc.
Al panell d'Ajustos, dins de Privadesa i seguretat, convé repassar amb calma totes les seccions: Diagnòstics i comentaris, Personalització, Escriptura i entrada, Historial d'activitats, Permisos d'aplicacions (ubicació, càmera, micròfon, contactes…). Com més acotis, menys es compartirà la teva informació dús.
L'enfocament recomanat és desactivar l'enviament de dades de diagnòstic opcionals, apagar l'historial d'activitats sincronitzat, limitar el dictat al núvol i bloquejar permisos per a apps que clarament no necessiten accés a la vostra ubicació, micròfon o sensors. Pots seguir-ne una guia exhaustiva per blindar la teva privadesa amb aquests paràmetres clau. Això retalla bona part del “soroll” que el sistema genera per defecte.
Polítiques de grup i serveis (Windows Pro/Enterprise)
Si disposeu d'una edició Pro, Enterprise o Education, podeu anar un pas més enllà usant el Editor de directives de grup (gpedit.msc). Des d'aquí és possible fixar límits a la telemetria, bloquejar algunes experiències connectades o impedir que certs serveis que pots desactivar sense trencar el sistema recullin informació dús.
Cal anar amb compte: desactivar serveis a allò brut pot trencar actualitzacions, notificacions o funcionalitats legítimes. La idea és actuar amb bisturí, no amb martell. Passa el mateix amb les tasques programades: pots revisar les tasques relacionades amb telemetria i publicitat, però evitar tocar aquelles que tenen a veure amb l'estabilitat del sistema, backup o manteniment.
Desinstal·lar bloatware i apps preinstal·lades
Una altra font important de trànsit i dades innecessàries són les aplicacions preinstal·lades i de tercers que vénen a molts equips nous: jocs, serveis de streaming, apps promocionals, clients socials, antivirus de prova, etc. Cadascuna pot estar generant telemetria o anuncis sense aportar res essencial.
El més assenyat és revisar la llista completa d'apps de Windows, desinstal·lar el que no facis servir (TikTok, Facebook, Spotify, Widgets, missatgeria variada…) i, si necessites alguna cosa concreta, utilitzar-lo des del navegador amb un browser orientat a la privadesa com Brave o Mullvad. Menys aplicacions residents significa menys processos, menys connexions externes i menys superfície de traça; també és útil revisar apps per millorar la seguretat si busques reemplaçaments lleugers.
Navegadors i eines externes
El navegador és una de les peces que més impacta en la teva privadesa real. Tot i que Edge té opcions de protecció, si la teva prioritat absoluta és minimitzar seguiment, convé valorar navegadors centrats en bloqueig per defecte de rastrejadors, galetes de tercers i fingerprinting.
Amb això, pots complementar la protecció amb bloquejadors de contingut, ajustaments de DNS xifrats (DoH/DoT) i cercadors que no construeixin perfils detallats de la teva persona. L'objectiu és que fins i tot si Windows 11 mana una mica de telemetria de sistema, la teva navegació diària no es converteixi en una font constant de dades comercials; per això convé conèixer opcions com el mode incògnit de Windows 11 i com complementar-ho.
Scripts d'enduriment com privacy.sexy (nivell expert)
Si tens coneixements avançats, hi ha scripts com privacy.sexy que apliquen de cop centenars d'ajustaments: desactiven telemetria de sistema, eliminen bloatware, tallen permisos, canvien configuracions de xarxa i toquen el registre en profunditat.
Aquests scripts poden apropar-te a una privadesa molt agressivaperò el preu potencial és alt: pots deixar sense funcionar Windows Update, trencar compatibilitat amb apps que depenen de certs serveis o complicar futures actualitzacions importants. Són una opció vàlida només si saps com revertir canvis i sempre tens un backup o imatge del sistema abans d'aplicar-los; una altra via professional és crear scripts per instal·lar Windows 11 amb una configuració determinada i controlada.
Instal·lar Windows 11 sense Internet i sense compte Microsoft
Un altre front important per a qui cuida la seva privadesa és la fase d'instal·lació i primera configuració. Microsoft insisteix que Windows 11 Home s'instal·li amb connexió a Internet i amb un compte Microsoft enllaçat, i cada versió nova tanca més dreceres. Tot i així, hi ha tècniques que segueixen funcionant o han anat apareixent amb el temps.
Per què Windows 11 “demana” Internet a la instal·lació
Durant la instal·lació, l'assistent intenta descarregar apps i components addicionals perquè el sistema arrenqui ja carregat de bloatware i serveis en línia. A més, força la creació d'un compte Microsoft per sincronitzar dades i ajustaments amb el núvol, activar OneDrive, Game Pass, Microsoft 365, etc. També aprofita per baixar controladors i pegats crítics, el que ajuda a que el maquinari funcioni millor des del minut u. Sense connexió, el sistema continuarà instal·lant-se, però algunes funcions poden quedar pendents fins que es connecti a la xarxa; si el teu objectiu és una instal·lació offline, consulta tècniques sobre Windows 11 sense compte Microsoft.
Instal·lació sense Internet a Windows 11 Home i Pro
A Windows 11 Pro encara és relativament fàcil crear un compte local sense connectar-se, però a Home l'assistent és més insistent. Al llarg de les diferents builds, han anat apareixent i desapareixent trucs: tallar processos des de l'Administrador de tasques, combinacions de tecles com Alt+F4 a la pantalla de xarxa, correus falsos tipus [protegit per correu electrònic] o [protegit per correu electrònic], etc., que ja no funcionen en les darreres versions (24H2 i posteriors).
Creació de compte local quan ja hi ha Internet
Si l'instal·lador detecta connexió abans d'hora, l'opció de crear compte offline a Home desapareix de la interfície. Tot i així, en algunes builds pots recórrer a petits trucs: per exemple, triar “Iniciar sessió amb una clau de seguretat”, retrocedir, desconnectar físicament la xarxa i tornar a prémer aquesta opció perquè aparegui l'assistent de compte local.
Mètodes avançats: Autounattend.xml i ordres internes
En entorns tècnics, és habitual utilitzar un fitxer Autounattend.xml col·locat a l'arrel de l'USB d'instal·lació. Aquest fitxer defineix automàticament la configuració regional, la clau de producte, la zona horària i, crucialment, la creació d'un compte local i el salt de l'assistent de OOBE i del compte en línia.
Generar aquest fitxer a mà és complex, però hi ha eines i webs que ajuden a crear-lo de forma guiada. El resultat permet instal·lar múltiples equips amb els mateixos paràmetres de privadesa, evitant haver de barallar amb l'assistent una vegada i una altra.
Altres tècniques més experimentals involucraven utilitzar ordres internes com start ms-cxh:localonly o fins i tot manipular JavaScript a l'entorn d'instal·lació amb consoles de desenvolupador, però Microsoft les ha tancat per seguretat. A data recent, molts d'aquests trucs ja són obsolets o inestables.
Rufus i mitjans d'instal·lació personalitzats
Una de les opcions més netes és fer servir Rufus per crear un USB d'instal·lació personalitzat de Windows 11. Aquesta eina gratuïta permet carregar la ISO oficial i, durant el procés, marcar caselles per eliminar requisits com ara TPM 2.0, RAM mínima o, molt interessant, la necessitat de compte Microsoft a l'OOBE.
Rufus modifica la configuració interna de l'instal·lador sense tocar fitxers crítics del sistema, i pot fins i tot automatitzar la creació d'un compte local, desactivar certa telemetria inicial o evitar que BitLocker xifra el disc per defecte. Amb aquest USB, la instal·lació resulta molt més directa i sense tantes imposicions de connexió o compte en línia.
Què passa en connectar Internet després d'una instal·lació offline
Si et muntes un Windows 11 el més offline possible, tard o d'hora acabaràs connectant l'equip a Internet. En aquest moment el sistema intentarà validar la llicència, activar Windows Update, descarregar pegats acumulatius i controladors i actualitzar aplicacions integrades.
Si utilitzes compte local, aquesta no es converteix automàticament en compte Microsoft, però quan inicieu sessió amb un compte en línia per a algun servei, començarà la sincronització de paràmetres, contrasenyes, dades de OneDrive i altres. A més, s'activaran mecanismes de telemetria de seguretat i diagnòstics que no funcionaven sense connexió.
Avantatges i riscos de la instal·lació sense Internet
Entre els avantatges, instal·lar sense xarxa et permet evitar l'ús obligatori de compte Microsoft, frena gran part del bloatware inicial i atura dentrada la descàrrega massiva dapps promocionals i components poc útils. És ideal en entorns corporatius o educatius on es vol una imatge neta i controlada.
El costat negatiu és que, si la ISO no està al dia, el sistema arrenca amb vulnerabilitats conegudes sense pegat i, quan es connecta per primera vegada (especialment si és a una WiFi pública), s'exposa a intents d'explotació remota. Per això, després d'instal·lar fora de línia el responsable és connectar-se a una xarxa fiable, activar el tallafocs i el Windows Defender, i deixar que s'apliquin les actualitzacions de seguretat crítiques abans d'utilitzar l'equip amb normalitat.
Després d'aquest repàs, és clar que Windows 11 és capaç d'oferir un ecosistema molt segur amb autenticació moderna, estàndards FIDO2, SmartScreen avançat i eines empresarials potents, però alhora arrossega una telemetria persistent i una pressió forta per utilitzar compte Microsoft i integració al núvol. Ajustant bé la configuració de privadesa, desinstal·lant bloatware, triant navegadors pro-privadesa i, si cal, configurant instal·lacions sense connexió o amb mitjans personalitzats, es pot aconseguir un equilibri bastant raonable: un sistema estable, actualitzat i segur, però que comparteix moltes menys dades de les que envia la configuració de sèrie. Comparteix aquesta informació perquè més usuaris coneguin del tema.