«Windows protegió su PC»: qué significa el aviso de SmartScreen y cómo eliminarlo

Publicas un Setup.exe, un cliente lo descarga y Windows muestra un cuadro azul: «Windows protegió su PC. Microsoft Defender SmartScreen impidió el inicio de una aplicación no reconocida.» La aplicación está bien. El instalador está bien. ¿Qué ha pasado y qué puedes hacer al respecto?

Qué comprueba SmartScreen

SmartScreen es un servicio de reputación. Cuando se ejecuta un archivo descargado de internet, Windows pregunta a Microsoft si ese archivo, o el certificado con el que está firmado, es conocido y de confianza. Tres factores determinan la respuesta:

1. Firma de código. Si el archivo está firmado con un certificado de una autoridad de certificación en la que Windows confía, y si ese certificado (el «editor») tiene historial.
2. Reputación de descarga. Cuántas personas han descargado y ejecutado exactamente este archivo, y si se ha reportado algo malo sobre él.
3. Amenazas conocidas. Si el archivo coincide con malware. Si es así, se bloquea directamente, con una pantalla roja en lugar de azul.

Un instalador recién creado por un editor pequeño falla en las dos primeras comprobaciones simplemente por ser nuevo. El aviso dice «no reconocida», lo cual es literalmente cierto, y los usuarios pueden pulsar Más información → Ejecutar de todas formas. Muchos no lo harán.

Qué hace desaparecer el aviso

La reputación se construye con el tiempo

Un instalador sin firmar gana reputación a medida que más personas lo descargan y ejecutan sin incidentes. Para una descarga popular, esto lleva días o semanas; para una herramienta de nicho puede llevar mucho tiempo, y cada versión nueva empieza desde cero porque el archivo es distinto.

La firma de código y por qué cambia el panorama

Firmar el instalador con un certificado de firma de código le adjunta tu identidad. La reputación pasa entonces a acumularse en el certificado, no en cada archivo, de modo que una versión nueva hereda la confianza de las anteriores. Esta es la solución estándar.

Tus opciones:

• Un certificado de firma de código estándar (OV) de una CA pública (DigiCert, Sectigo, GlobalSign y sus distribuidores). Desde 2023 se emiten en tokens de hardware o HSM en la nube. Calcula unos cientos de dólares al año. La reputación sigue empezando baja y crece con las descargas, pero se conserva entre versiones.
• Un certificado de firma de código EV. Verificación de identidad más estricta, precio más alto. Históricamente obtenían buena reputación en SmartScreen más rápido. Microsoft ha reducido esa ventaja con el tiempo, así que considera el EV como «mejor verificación de identidad», no como un pase inmediato garantizado.
• Azure Trusted Signing. El servicio de firma de Microsoft, con precio mensual y pensado para particulares y pequeñas empresas en las regiones admitidas. Firma con certificados de corta duración vinculados a tu identidad verificada, y SmartScreen lo trata bien.

Elijas lo que elijas, añade una marca de tiempo a la firma para que siga siendo válida después de que caduque el certificado.

Firmar un instalador de ExeTup

ExeTup construye el instalador; firmarlo es tu paso, porque el certificado es tuyo. Después de descargar Setup.exe:

En Windows, con el Windows SDK:

signtool sign /fd SHA256 /tr http://timestamp.digicert.com /td SHA256 /a Setup.exe

En macOS o Linux, con osslsigncode:

osslsigncode sign -pkcs12 cert.pfx -pass "..." -t http://timestamp.digicert.com -h sha256 -in Setup.exe -out Setup-signed.exe

Los instaladores NSIS aceptan una firma Authenticode sin ningún tratamiento especial. Firma también el .exe de tu propia aplicación, antes de comprimirlo en zip, para que el programa que los usuarios ejecutan también esté firmado. Haz clic derecho en el archivo firmado → Propiedades → Firmas digitales para confirmarlo.

Qué decir a los usuarios mientras tanto

Si todavía no firmas, una nota breve en tu página de descarga ayuda: que el aviso aparece con software nuevo de editores pequeños, que el instalador es seguro y que al pulsar Más información → Ejecutar de todas formas se instala. Publica el hash SHA-256 del archivo para que los usuarios precavidos puedan verificar la descarga. ExeTup muestra el hash de cada compilación junto a su descarga.

Aloja además la descarga en tu propio dominio con HTTPS y mantén el mismo archivo para la misma versión. Volver a subir archivos modificados reinicia la reputación de descarga.

Qué no ayuda

• Renombrar el archivo, comprimirlo en zip o cambiar el icono. La reputación va por hash de archivo y por certificado.
• Certificados autofirmados. Windows no confía en ellos, así que el aviso se mantiene y la firma da peor imagen que no tener ninguna.
• Pedir a los usuarios que desactiven SmartScreen. No deberían, y la mayoría no lo hará.

Preguntas frecuentes

¿Están marcando mi instalador como un virus?

No. La pantalla azul «Windows protegió su PC» significa «desconocido», no «malicioso». Una pantalla roja con «Esta aplicación se ha bloqueado para su protección» es un veredicto de malware, que es un problema distinto.

¿Cada versión nueva volverá a mostrar el aviso?

En instaladores sin firmar, sí, porque cada versión es un archivo nuevo. En instaladores firmados, la reputación sigue al certificado, así que las versiones posteriores empiezan con la confianza que ganaron las anteriores.

¿ExeTup firma los instaladores?

Por ahora no. Firma el Setup.exe descargado con tu propio certificado usando signtool u osslsigncode. El instalador acepta la firma como cualquier otro ejecutable de Windows.

¿El aviso aparece también en el desinstalador?

El desinstalador se ejecuta desde el disco local, no se descarga, así que SmartScreen no lo analiza. En instalaciones para todos los usuarios, los usuarios pueden ver en su lugar la solicitud estándar del Control de cuentas de usuario.