VPS con Windows: licencias, RDP e inicio de sesión seguro

La elección de la versión de Windows Server y de la memoria adecuada se trata en las páginas de selección. Este artículo va de dos cosas que un plan suele describir en una línea o ni siquiera menciona: en qué condiciones te da Windows el proveedor y cómo asegurarte de que solo tú puedes iniciar sesión. Revisa ambas antes de pagar: volver a licenciar un servidor o reconstruirlo tras una intrusión sale más caro que elegir bien el plan desde el principio.

Cómo licencian Windows Server los proveedores

Un proveedor no compra una copia en caja de Windows para cada cliente. Los proveedores usan el programa SPLA de Microsoft (Services Provider License Agreement): las licencias se alquilan y se pagan a Microsoft cada mes según el uso real. Por eso Windows aparece como un recargo mensual en el plan y desaparece cuando borras el servidor.

Con SPLA, Windows Server se licencia por núcleo. Al licenciar por máquina virtual, el proveedor paga tantas licencias de núcleo como núcleos virtuales tiene la VM, pero nunca menos de ocho por VM. Así, el recargo de Windows en un plan pequeño de 1–2 vCPU es casi el mismo que en uno de 8 vCPU y, en proporción al precio del servidor, parece elevado. En los planes baratos, Windows a veces cuesta más que el propio servidor.

Qué revisar en la descripción del plan:

• que indique expresamente que la licencia está incluida en el precio o se añade como opción, no solo «imagen de Windows» o «instalación de Windows»;
• qué edición: Standard o Datacenter. Para un único VPS normalmente te da igual; lo importante es que haya licencia;
• cuánto cuesta Windows en la renovación y al añadir núcleos.

Si el plan solo ofrece una imagen del sistema sin licencia, Windows funcionará sin activar, con avisos y restricciones, y la legalidad de ese uso corre de tu cuenta.

¿Puedes usar tu propia licencia?

Técnicamente sí: en KVM puedes arrancar tu propia imagen ISO. Legalmente depende del tipo de licencia.

• Las claves retail y OEM que se venden en tiendas online no dan derecho a ejecutar Windows Server en hardware compartido de un proveedor. Además, una licencia OEM está ligada a un servidor físico concreto.
• Las licencias por volumen con Software Assurance o las licencias por suscripción pueden trasladarse desde octubre de 2022 a proveedores externos, incluido hardware compartido (el Flexible Virtualization Benefit). La excepción son las mayores nubes públicas de la lista de Microsoft, que tienen reglas aparte.

Si la empresa no tiene Software Assurance activo, un plan con la licencia del proveedor es más sencillo y seguro. La licencia propia tiene sentido cuando ya está pagada dentro de un contrato por volumen.

Windows 10 y 11 de escritorio son un caso aparte. No forman parte de SPLA y sus condiciones de licencia no están pensadas para alquilarse en hardware compartido. Los detalles están en las páginas VPS con Windows 10 y VPS con Windows 11.

Cuántas personas pueden conectarse por RDP

Sin licencias adicionales, Windows Server acepta dos conexiones RDP simultáneas, pensadas para la administración. Si el personal trabaja en el servidor, por ejemplo contabilidad, comerciales u operadores, necesitas el rol Remote Desktop Session Host y una licencia por cada usuario.

Con SPLA, la licencia por usuario se llama RDS SAL y se cuenta por meses: si un usuario tuvo acceso aunque sea un solo día del mes, se paga el mes entero. Pregunta al proveedor si vende estas licencias y a qué precio; para un equipo pequeño puede duplicar el presupuesto del servidor. Cómo dimensionar la memoria y los núcleos por usuario se explica en la página Servidor RDP.

Por qué RDP es lo más atacado

El puerto 3389 se escanea sin parar: un servidor Windows nuevo con RDP abierto empieza a recibir intentos de inicio de sesión a los pocos minutos de obtener su IP. Hay dos amenazas principales.

• Adivinación de contraseñas. Los bots prueban nombres de usuario comunes, sobre todo Administrator, y contraseñas de bases de datos filtradas. Es la causa más frecuente de intrusiones.
• Vulnerabilidades del propio servicio RDP. Un ejemplo es BlueKeep (CVE-2019-0708) en 2019: un fallo en versiones antiguas de Windows permitía ejecutar código sin contraseña. La corrección llegó con las actualizaciones, y ningún sistema sin ella debería estar en internet.

La protección se construye por capas: primero, limita quién puede llegar siquiera a RDP; después, dificulta el inicio de sesión; por último, cierra las vulnerabilidades con actualizaciones.

Capa 1: red

• Lista de IP permitidas. Permite el puerto RDP en el Firewall de Windows solo para tus propias direcciones. Si el proveedor ofrece un filtro de red en su panel, duplica la regla allí para que el tráfico no deseado ni siquiera llegue al servidor.
• Red privada corporativa. Si las direcciones del personal cambian, conéctalos al servidor a través de la puerta de enlace VPN de la empresa y deja que RDP escuche solo en la red interna. Cómo montar este esquema se explica en Red corporativa en un VPS.
• Puerta de enlace de Escritorio remoto (RD Gateway). Encapsula RDP en HTTPS por el puerto 443, valida a los usuarios según directivas de acceso y permite añadir un segundo factor. Útil cuando hay muchos usuarios y prefieres no instalarles clientes VPN.

Mover RDP fuera del puerto 3389 reduce el ruido en los logs, pero no te protege: los escáneres también encuentran RDP en puertos no estándar.

Capa 2: inicio de sesión

• Autenticación a nivel de red (NLA). El usuario introduce sus credenciales antes de que el servidor abra una sesión completa. Esto ahorra recursos durante los ataques de fuerza bruta y bloquea algunas vulnerabilidades que se activan antes del inicio de sesión. Debe estar siempre activada.
• Directiva de bloqueo. En sistemas instalados con las actualizaciones de octubre de 2022 o posteriores se aplica por defecto un bloqueo de 10 minutos tras 10 intentos fallidos, también para el administrador integrado. Las imágenes antiguas pueden no tenerlo; compruébalo en la Directiva de seguridad local.
• Cuentas separadas. Cada empleado recibe su propia cuenta sin permisos de administrador. Cambia el nombre de la cuenta Administrator integrada o desactívala, y cambia la contraseña que te envió el proveedor en el primer inicio de sesión.
• Segundo factor. En servidores con acceso a dinero y datos personales, añade autenticación en dos pasos mediante RD Gateway o una solución de terceros para el inicio de sesión en Windows.

Capa 3: actualizaciones y recuperación

Las correcciones para RDP, SMB y el kernel de Windows se publican cada mes, el segundo martes. Activa la instalación automática con reinicio en una ventana nocturna y vigila las fechas de soporte de tu versión: Windows Server 2016 recibe correcciones hasta el 12 de enero de 2027, 2019 hasta el 9 de enero de 2029, 2022 hasta el 14 de octubre de 2031 y 2025 hasta el 14 de noviembre de 2034. Un servidor con una versión sin soporte sigue siendo vulnerable por muy bien protegido que esté el inicio de sesión.

Guarda una copia de los datos fuera del servidor y un snapshot del sistema limpio tras la configuración. Si el registro de seguridad muestra un inicio de sesión correcto desde una dirección desconocida, es más seguro reinstalar desde una plantilla y restaurar los datos que buscar qué ha cambiado el atacante. Las particularidades de cada versión están en las páginas Windows Server 2022 y Windows Server 2025.

Checklist: la primera hora en un VPS con Windows

• La descripción del plan menciona una licencia de Windows Server y conoces el precio de renovación.
• Si hay más de dos usuarios, las RDS SAL del proveedor están resueltas.
• La contraseña del proveedor está cambiada y la cuenta Administrator integrada, renombrada o desactivada.
• NLA está activada y la directiva de bloqueo de cuentas está en vigor.
• RDP solo está abierto a tus IP, a través de la red privada de la empresa o mediante RD Gateway.
• Las actualizaciones automáticas están activadas y la versión de Windows sigue teniendo soporte.
• Hay una copia de los datos fuera del servidor y un snapshot tomado tras la configuración.

Los planes con la licencia ya incluida están reunidos en VPS con Windows y VPS con Windows baratos. Los criterios generales para elegir servidor están en Cómo elegir un VPS.