Alguien no puede acceder a su portátil. Antes de que busques una clave de recuperación, averigua cuál de las cuatro cosas está sucediendo realmente, porque tres de ellas son rápidas y una de ellas borra la máquina. La primera regla es detenerles de adivinar.
Funcionalidad
Resumen
Cuatro causas cubren casi todos los casos:
- Han olvidado la contraseña, generalmente después de un tiempo de descanso o un cambio reciente.
- Están escribiéndola correctamente en el teclado incorrecto. AZERTY y QWERTY producen caracteres diferentes con las mismas pulsaciones.
- Una política cambió — longitud, complejidad o rotación — y forzó un cambio que no completaron.
- En un Mac, el aviso no está pidiendo su contraseña en absoluto. Algunas pantallas piden una cuenta que tiene un SecureToken, que puede ser una cuenta completamente diferente.
Indícales que dejen de intentar antes de hacer cualquier otra cosa. Los intentos fallidos repetidos en un Mac pueden poner la máquina en modo de recuperación, lo que convierte una solución de cinco minutos en una larga tarde.
Cómo usar — descartar primero las causas simples
Pídeles que la escriban donde puedan verla. Cualquier campo visible servirá — el cuadro de nombre de usuario, por ejemplo. La mitad de estas llamadas terminan aquí.
Luego verifica la disposición del teclado, que es la causa que la gente nunca sospecha:
- macOS: Ajustes del Sistema > Idioma y Región > Método de entrada
- Windows: Ajustes > Hora e Idioma > Idioma y Región
Luego verifica si cambiaste las reglas para ellos. Ve a Ajustes > Seguridad > Políticas de contraseña y observa lo que se aplica a ese dispositivo. Una política que se implementó la semana pasada puede haber exigido un cambio que nunca completaron.
Cómo usar — el caso de Mac que parece una contraseña incorrecta
En macOS, algunos avisos — desbloqueo de FileVault, acciones a nivel de administrador, cualquier cosa después de un cambio de política — quieren una cuenta con un SecureToken, no la contraseña de inicio de sesión habitual. Un empleado puede conocer su contraseña perfectamente y aún así estar atascado, porque el aviso es para una cuenta diferente.
Verifícalo en el dispositivo:
sysadminctl -secureTokenStatus <nombre_de_usuario>La salida indica ENABLED o DISABLED para ese usuario. Si está deshabilitado, una cuenta de administrador que ya tiene un token puede otorgar uno:
sysadminctl -secureTokenOn <usuario> -password <contraseña> -adminUser <administrador> -adminPassword <contraseña_admin>La solución duradera no es por dispositivo: usa MDM > Perfiles > Gestión de Usuarios Administradores para que cada Mac tenga una cuenta de administrador bootstrap con un token ya en ella.
Si alguien no puede desbloquear FileVault con una contraseña que sabes que es correcta, esta es casi seguramente la razón.
Cómo usar — las cuatro formas de volver a entrar
Elige según el estado del dispositivo, en este orden:
| Opción | Úsala cuando | Costo |
|---|---|---|
| Restablecer de forma remota | El dispositivo está en línea y tiene una sesión de administrador | Nada |
| La cuenta de Apple o Microsoft vinculada | Una cuenta está vinculada al dispositivo | Nada, pero está en manos del empleado |
| La clave de recuperación | El dispositivo está fuera de línea o no se comunica contigo, y el disco está cifrado | Nada, si la clave fue depositada |
| Restablecimiento completo | Nada más funciona | Todo lo local es borrado |
Para la ruta de la clave de recuperación, abre el registro del dispositivo y ve a Información > Clave de recuperación, desbloquea la sesión localmente con ella, luego establece una nueva contraseña. Solo funciona si el cifrado estaba activado y la clave realmente llegó al servidor, lo cual se decide meses antes de que la necesites.
El restablecimiento completo es el final del camino, y es irreversible.
Consejos y Mejores Prácticas
- "Deja de intentar" es lo primero que dices en la llamada. Todo lo demás se vuelve más fácil si el Mac no ha entrado en recuperación.
- Verifica el teclado antes de la política de contraseña. Toma diez segundos y es una parte sorprendente de los casos.
- Implementa una cuenta de administrador bootstrap con un SecureToken en cada Mac ahora. Es la diferencia entre una solución remota y un borrado, y no puedes añadirla durante el incidente.
- Verifica que las claves de recuperación estén depositadas, no solo que el cifrado esté activado. Un disco cifrado sin clave en el servidor es el camino hacia el restablecimiento completo.
- Anuncia los cambios en la política de contraseña antes de que entren en vigor. La mayoría de estos tickets llegan la mañana después de un cambio silencioso.
Solución de Problemas y FAQ
Solución de Problemas
La contraseña es definitivamente correcta y el Mac aún la rechaza. El aviso quiere una cuenta con SecureToken. Verifica el estado del token antes de cualquier otra cosa.
El Mac ha entrado en recuperación después de intentos repetidos. La recuperación ahora es más difícil y puede necesitar la clave de recuperación. Para eso es la advertencia en la parte superior.
No hay clave de recuperación en el registro del dispositivo. O el cifrado nunca se habilitó o el depósito nunca se completó. Ninguno puede ser solucionado retroactivamente — la ruta restante es un restablecimiento completo.
El restablecimiento remoto está atenuado. Necesita que el dispositivo esté en línea y una sesión de administrador presente en él. One de los dos está ausente.
FAQ
-
¿Podemos restablecer una contraseña en un dispositivo que está fuera de línea?
No de forma remota. Usa la clave de recuperación localmente, o la cuenta de Apple o Microsoft vinculada. -
¿Qué es un SecureToken, en una línea?
Un permiso en una cuenta de macOS que le permite desbloquear el disco cifrado. Sin él, la contraseña correcta aún es rechazada. -
¿Usar la clave de recuperación borra algo?
No. Desbloquea la sesión para que se pueda establecer una nueva contraseña. -
¿Cómo evitamos que esto suceda?
Cifrado con claves depositadas, una cuenta de administrador bootstrap en cada Mac, y avisando a las personas antes de cambiar las reglas.