- El servicio whesvc de Windows 11 ha sido acusado de espiar a los usuarios, pero un análisis técnico exhaustivo desmiente estas afirmaciones.
- El motor de diagnóstico utiliza Lua 5.4.7 y 84 scripts para detectar problemas de rendimiento, batería y memoria, sin enviar datos automáticamente a Microsoft.
- Las trazas de diagnóstico se guardan localmente y solo se comparten si el usuario decide hacerlo a través del Feedback Hub.
- La polémica surge por las amplias capacidades del servicio, aunque los scripts se limitan a tareas de diagnóstico y no a la recopilación de datos personales.
La privacidad en Windows 11 vuelve a estar en el punto de mira después de que un servicio en segundo plano, conocido como Windows Health and Optimized Experiences (whesvc), generara sospechas entre los usuarios. Las acusaciones virales apuntaban a que esta herramienta actuaba como spyware, enviando datos de rendimiento a Microsoft cada quince minutos. Sin embargo, un análisis técnico exhaustivo realizado por el investigador en ingeniería inversa Xusheng Li desmonta estos rumores y arroja luz sobre el verdadero propósito de este componente del sistema.
El debate surge en un contexto donde el rendimiento de Windows 11 acumula críticas desde hace meses, lo que explica la rapidez con la que la alarma inicial se propagó entre la comunidad. Para entender qué ocurre realmente bajo el capó, es necesario examinar cómo funciona este servicio, que ha sido objeto de especulaciones sobre una posible recopilación periódica de información relacionada con el procesador, las temperaturas o la batería. El análisis de Li confirma que, aunque la arquitectura es mucho más sofisticada de lo que sugiere su descripción oficial, no hay evidencias que respalden las acusaciones de espionaje.
Un motor de diagnóstico con permisos elevados
El servicio whesvc ocupa poco espacio, pero la funcionalidad relevante reside en windiag.dll, un archivo que integra el lenguaje de scripting Lua 5.4.7. Junto a él, Microsoft distribuye whesvc_assets.dll, que contiene 84 scripts compilados encargados de gestionar distintos escenarios de diagnóstico. Lo llamativo es que el motor expone 79 funciones nativas, lo que da a esos scripts acceso a capacidades muy amplias: leer y modificar el Registro de Windows, realizar operaciones con archivos, crear procesos, consultar WMI o recopilar trazas ETW. También pueden descargar símbolos, generar archivos .cab y, en teoría, realizar peticiones HTTP.
La arquitectura resulta excesiva para una simple herramienta de diagnóstico, y eso alimentó las sospechas entre quienes vigilan de cerca su privacidad. El motor incorpora además una interfaz de función externa que permite interactuar con DLLs nativas y distintos manejadores de Windows. Que el sistema disponga de estas capacidades no significa, sin embargo, que Microsoft las use para manipular archivos al azar o alterar entradas del Registro sin conocimiento del usuario. El investigador Xusheng decidió analizar directamente su funcionamiento interno y no encontró evidencias que respalden esas acusaciones.
Scripts limitados a tareas de diagnóstico
A pesar de contar con herramientas de alto nivel, los scripts que Microsoft distribuye se mueven en un margen muy concreto, centrado en resolver problemas de rendimiento. Las funciones de Registro se emplean sobre todo para mantener los contadores propios del servicio entre reinicios. El módulo de información de controladores puede modificar la configuración del Verificador de controladores de Windows, aunque esa acción queda restringida a una variable de entorno específica que activa la funcionalidad de monitorización de memoria.
Otros scripts lanzan herramientas nativas como powercfg.exe para generar informes de estudio de sueño, o wpr.exe para fusionar trazas de rendimiento. El módulo memory_handle_leak, por ejemplo, rastrea los recuentos de memoria y manejadores en varios intervalos y combina aumentos consecutivos con una pendiente de regresión lineal para distinguir una fuga de memoria real de un crecimiento normal del sistema. De ahí que estas tareas confirmen que el software se centra en detectar cuellos de botella, no en recopilar datos personales.
El motor puede capturar trazas cuando una aplicación deja de responder, medir retrasos de entrada o identificar servicios atascados en estado pendiente. También investiga el drenaje excesivo de batería y determina qué impidió que el equipo entrara en reposo. El módulo system_summary genera ese resumen JSON cada 900 segundos, es decir, cada quince minutos, del que hablaban los rumores iniciales, pero el análisis técnico confirma que ese archivo se guarda en local y no se sube de forma automática a los servidores de Microsoft.
El punto clave: las capacidades de red
El aspecto más importante de la investigación está relacionado con las capacidades de red. Aunque el motor puede realizar peticiones HTTP, no encontraron ningún escenario dentro de los 84 scripts que utilizara esa capacidad para enviar arbitrariamente información a Microsoft. La única URL identificada corresponde al servidor público de símbolos de Microsoft y, según el investigador, esa funcionalidad está desactivada en las instalaciones normales de Windows. Tampoco encontró indicios de que el servicio grabe secretamente la pantalla o envíe automáticamente las trazas de diagnóstico a Microsoft.
La conclusión es clara: whesvc es un componente extremadamente potente para realizar diagnósticos del sistema, pero la investigación no ha encontrado evidencias que permitan clasificarlo como spyware. Las trazas de diagnóstico se guardan en local y solo se envían si el usuario decide compartirlas voluntariamente a través del Feedback Hub. Esta explicación coincide con la ofrecida por el ingeniero de Microsoft Scott Hanselman, quien ya había señalado que la función es capturar diagnósticos de rendimiento concretos cuando el sistema detecta comportamientos lentos.
Para aquellos que deseen tomar medidas adicionales de privacidad, existen opciones como desactivar el servicio desde el Administrador de tareas, aunque esto podría dejar al sistema sin los informes que utiliza para diagnosticar futuros fallos. También se puede desactivar la función Recall en los PC Copilot+, que toma capturas de pantalla periódicas, o dejar de usar OneDrive y desactivar la sincronización de configuración entre dispositivos. Estas opciones permiten a los usuarios más preocupados por su privacidad tener un mayor control sobre el sistema y la información que comparten con Microsoft.
En definitiva, el servicio whesvc de Windows 11 ha sido exonerado de las acusaciones de espionaje tras un análisis técnico riguroso. Aunque sus capacidades son amplias y podrían resultar preocupantes sobre el papel, los scripts incluidos se limitan a tareas de diagnóstico de rendimiento, batería y memoria. La polémica demuestra la importancia de contrastar la información antes de sacar conclusiones, especialmente en un momento en que la confianza en las grandes tecnológicas está bajo escrutinio. Los usuarios pueden estar tranquilos: su sistema no está enviando datos a Microsoft sin su consentimiento.
