Error CredSSP en Escritorio remoto: la función solicitada no es compatible

El mensaje «La función solicitada no es compatible» en Escritorio remoto puede aparecer acompañado de una referencia a la corrección del oráculo de cifrado de CredSSP. En ese caso, conviene revisar las actualizaciones y la directiva de seguridad del cliente y del equipo remoto.

Algunas guías recomiendan modificar directamente AllowEncryptionOracle y asignarle el valor 2. Ese cambio puede permitir ciertas conexiones, pero activa una modalidad denominada Vulnerable. Antes de utilizarlo, identifica el error y comprueba si puedes resolver la incompatibilidad actualizando ambos extremos.

Cómo identificar el error de CredSSP en Escritorio remoto

Microsoft documenta un escenario en el que la conexión RDP muestra un error de autenticación, indica que la función solicitada no es compatible y añade una referencia a CredSSP encryption oracle remediation.

CredSSP permite delegar credenciales para la autenticación remota. Sus opciones de compatibilidad pueden impedir conexiones que recurrirían a versiones vulnerables del protocolo.

Antes de modificar ajustes, copia el mensaje completo y cualquier código que aparezca. Estas situaciones requieren diagnósticos diferentes:

Mensaje o síntoma	Qué debes comprobar
La función solicitada no es compatible y el aviso menciona CredSSP.	Actualizaciones y directiva de corrección del oráculo de cifrado.
El token pasado a la función no es válido, con código 0xC000000D.	La incidencia específica de RDP y Protección del administrador, si coincide con sus condiciones.
Advertencia sobre la identidad o el certificado del equipo.	Nombre de conexión, confianza y validez del certificado.
El equipo no responde o se agota el tiempo de conexión.	Disponibilidad del destino, conectividad y reglas de acceso.

La referencia expresa a CredSSP es importante para este diagnóstico. No atribuyas cualquier error de autenticación a esa directiva únicamente porque contenga la palabra «función».

Actualiza el cliente y el equipo remoto

Para el escenario de incompatibilidad documentado, Microsoft recomienda instalar las actualizaciones de CredSSP tanto en el cliente como en el servidor, de forma que la conexión pueda establecerse de manera segura.

El cliente es el ordenador desde el que abres la conexión. El servidor o anfitrión es el equipo al que intentas acceder.

1. Identifica la versión y compilación de Windows de ambos equipos mediante winver.
2. Revisa su historial de actualizaciones.
3. Instala las actualizaciones aplicables a cada versión mediante Windows Update o el sistema de gestión de tu organización.
4. Completa los reinicios que solicite la instalación.
5. Prueba otra vez la conexión antes de modificar la compatibilidad de CredSSP.

La vulnerabilidad que originó estas opciones se identifica como CVE-2018-0886. Algunas instrucciones oficiales incluyen parches históricos para sistemas antiguos: esos identificadores no deben trasladarse automáticamente a una instalación actual de Windows 11.

Si no puedes actualizar el destino porque RDP está bloqueado, utiliza un acceso local o una consola de administración disponible. En máquinas virtuales, consulta las opciones de recuperación que ofrezca su plataforma.

Qué significan los valores de AllowEncryptionOracle

La directiva Encryption Oracle Remediation, o corrección del oráculo de cifrado, controla la compatibilidad con versiones vulnerables de CredSSP.

Valor	Modalidad	Comportamiento
0	Force Updated Clients.	Impide recurrir a versiones inseguras y rechaza clientes sin actualizar.
1	Mitigated.	El cliente no retrocede a una versión insegura, pero el servidor puede aceptar clientes sin actualizar.
2	Vulnerable.	Permite compatibilidad con versiones inseguras y acepta clientes sin actualizar.

Estos valores no representan tres niveles equivalentes para solucionar un error. Cambian las condiciones de seguridad y compatibilidad de las conexiones.

Antes de exigir clientes actualizados mediante la opción más restrictiva, comprueba que todos los equipos que necesitan comunicarse disponen de las actualizaciones correspondientes.

Cómo consultar la directiva sin modificarla

En los equipos que disponen del Editor de directivas de grupo, puedes revisar el ajuste desde esta ruta:

Configuración del equipo > Plantillas administrativas > Sistema > Delegación de credenciales > Corrección del oráculo de cifrado.

En un equipo administrado, comprueba también qué GPO o perfil de gestión establece el valor. Una configuración local puede estar condicionada por las directivas de la organización.

Para consultar el valor del Registro sin cambiarlo, abre una consola y ejecuta:

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle

Si el valor existe, anota el resultado y contrástalo con la directiva aplicada. Si no aparece, consulta la configuración efectiva y el comportamiento de esa versión de Windows antes de crear una entrada manualmente.

La consulta anterior no modifica la configuración. Su objetivo es detectar, por ejemplo, si quedó una excepción antigua establecida en modo Vulnerable.

Por qué AllowEncryptionOracle=2 no debe ser el arreglo permanente

Microsoft documenta el modo Vulnerable como una solución temporal para determinados escenarios de incompatibilidad. También advierte de que permite conexiones inseguras y expone el equipo remoto a ataques.

Que una conexión funcione después de establecer el valor 2 no significa que se haya corregido la vulnerabilidad. Se ha relajado una comprobación de compatibilidad.

Si una organización necesita aplicar esa excepción, debe registrar el ajuste anterior, limitar su alcance y preparar la actualización de los equipos. Después debe retirar la excepción y comprobar que RDP funciona con la política de protección prevista.

Puedes consultar los escenarios y sus condiciones en la documentación oficial de Microsoft sobre el error de CredSSP.

Cuándo revisar la conectividad y la configuración de RDP

Si el mensaje no coincide con el error de CredSSP o el destino ni siquiera responde, revisa primero que el equipo esté encendido, conectado y tenga habilitado Escritorio remoto.

En Windows 11, la opción se encuentra en Configuración > Sistema > Escritorio remoto. Las ediciones Home no pueden actuar como anfitrión del servicio RDP integrado, aunque sí pueden conectarse como clientes a otros equipos compatibles.

Habilitar Asistencia remota es una configuración diferente y no sustituye la activación de Escritorio remoto.

Para una conexión RDP directa que utilice el puerto habitual, puedes comprobar la conectividad TCP desde PowerShell:

Test-NetConnection -ComputerName "PC-OFICINA" -Port 3389

Sustituye PC-OFICINA por el nombre o la dirección del destino y utiliza su puerto real si se ha cambiado.

TcpTestSucceeded: True indica que se ha podido establecer la conexión TCP a ese puerto. No confirma que las credenciales sean correctas ni que la autenticación RDP vaya a completarse.

Si utilizas una puerta de enlace RDS, comprueba el recorrido y los requisitos específicos de esa implementación. Revisa las reglas del firewall para el acceso previsto, sin habilitar indiscriminadamente perfiles de red o exponer el puerto a Internet.

Cómo revisar unas credenciales guardadas incorrectas

Si el mensaje indica que la cuenta o la contraseña son incorrectas, comprueba qué identidad está utilizando el cliente. Una credencial antigua puede seguir asociada al nombre o la dirección del equipo remoto.

1. Abre el Administrador de credenciales desde el buscador de Windows.
2. Entra en Credenciales de Windows.
3. Localiza la entrada correspondiente al destino afectado.
4. Si necesitas sustituirla y dispones de las credenciales actuales, elimina únicamente esa entrada.
5. Vuelve a conectar e introduce la cuenta correcta.

Comprueba también si necesitas una cuenta local del equipo o una cuenta del dominio. Renombrar usuarios mediante netplwiz no es el procedimiento para corregir una contraseña guardada en el cliente.

Esta comprobación corresponde a problemas de identidad. No sustituye la actualización de CredSSP cuando el aviso identifica esa incompatibilidad.

Qué comprobar antes de dar el problema por resuelto

Después de actualizar los equipos y revisar las directivas, inicia una sesión nueva con el usuario que presentaba el fallo. Comprueba que puedes autenticarte sin mantener una excepción innecesaria en modo Vulnerable.

Si el problema continúa, reúne el mensaje completo, la versión de ambos sistemas, las actualizaciones instaladas y la configuración aplicada. Si aparece una advertencia específica de certificado, revisa ese certificado siguiendo el procedimiento de tu implementación.

Modificar certificados, reducir la resolución o actualizar controladores de red no debe formar parte de una secuencia automática para cualquier error de autenticación. El siguiente paso debe responder al síntoma que siga apareciendo.