- El servicio whesvc de Windows 11 ha sido acusado falsamente de espiar a los usuarios enviando datos a Microsoft cada 15 minutos.
- Un análisis técnico del ingeniero inverso Xusheng Li confirma que el servicio solo genera diagnósticos locales de rendimiento.
- El motor usa 84 scripts con 79 funciones nativas, pero ninguna de ellas se emplea para recopilar información personal sin consentimiento.
- El archivo system_summary se crea cada 900 segundos, pero permanece en el equipo y solo se comparte si el usuario lo autoriza.
La polémica sobre la privacidad en Windows 11 ha vuelto a primer plano tras el hallazgo de un servicio en segundo plano llamado Windows Health and Optimized Experiences. Varias afirmaciones virales sostenían que esta herramienta actuaba como spyware y enviaba datos de rendimiento a Microsoft cada quince minutos. Un análisis técnico exhaustivo del ingeniero inverso Xusheng Li desmonta esos rumores y nos aclara el propósito real de este componente del sistema.
El debate llega en un momento en que el rendimiento de Windows 11 acumula críticas desde hace meses, lo que explica la rapidez con la que la alarma inicial se propagó entre los usuarios. Para entender qué ocurre bajo el capó, vamos a fijarnos en cómo funciona este servicio, conocido internamente como whesvc. Como ya explicó en su momento el ingeniero de Microsoft Scott Hanselman, su función es capturar diagnósticos de rendimiento concretos cuando el sistema detecta comportamientos lentos. Esas trazas se guardan de forma local y solo se envían si el usuario decide compartirlas a través del Feedback Hub. El análisis de Li confirma esta explicación, aunque revela una arquitectura mucho más sofisticada de lo que sugiere su descripción oficial.
Un motor de diagnóstico con permisos elevados
El servicio en sí ocupa poco espacio, pero la funcionalidad relevante vive en windiag.dll, un archivo que integra el lenguaje de scripting Lua 5.4.7. Junto a él, Microsoft distribuye whesvc_assets.dll, que contiene 84 scripts compilados encargados de gestionar distintos escenarios de diagnóstico. Lo llamativo es que el motor expone 79 funciones nativas, lo que da a esos scripts acceso a capacidades muy amplias: leer y modificar el Registro de Windows, realizar operaciones con archivos, crear procesos, consultar WMI o recopilar trazas ETW. También pueden descargar símbolos, generar archivos .cab y, en teoría, realizar peticiones HTTP.
Sobre el papel, esta arquitectura resulta excesiva para una simple herramienta de diagnóstico de rendimiento, y es que eso alimentó las sospechas entre muchos de vosotros, especialmente entre quienes vigiláis de cerca vuestra privacidad. El motor incorpora además una interfaz de función externa que permite interactuar con DLLs nativas y distintos manejadores de Windows. Que el sistema disponga de estas capacidades no significa, sin embargo, que Microsoft las use para manipular archivos al azar o alterar entradas del Registro sin conocimiento del usuario.
Scripts limitados a tareas de diagnóstico
A pesar de contar con herramientas de alto nivel, los scripts que Microsoft distribuye se mueven en un margen muy concreto, centrado en resolver problemas de rendimiento. Las funciones de Registro se emplean sobre todo para mantener los contadores propios del servicio entre reinicios. El módulo de información de controladores puede modificar la configuración del Verificador de controladores de Windows, aunque esa acción queda restringida a una variable de entorno específica que activa la funcionalidad de monitorización de memoria.
Otros scripts lanzan herramientas nativas como powercfg.exe para generar informes de estudio de sueño, o wpr.exe para fusionar trazas de rendimiento. El módulo memory_handle_leak, por ejemplo, rastrea los recuentos de memoria y manejadores en varios intervalos y combina aumentos consecutivos con una pendiente de regresión lineal para distinguir una fuga de memoria real de un crecimiento normal del sistema. De ahí que estas tareas confirmen que el software se centra en detectar cuellos de botella, no en recopilar datos personales.
El motor puede capturar trazas cuando una aplicación deja de responder, medir retrasos de entrada o identificar servicios atascados en estado pendiente. También investiga el drenaje excesivo de batería y determina qué impidió que el equipo entrara en reposo. El módulo system_summary genera ese resumen JSON cada 900 segundos, es decir, cada quince minutos, del que hablaban los rumores iniciales, pero el análisis técnico confirma que ese archivo se guarda en local y no se sube de forma automática a los servidores de Microsoft.
Preguntas frecuentes sobre whesvc Windows 11
¿El servicio whesvc de Windows 11 envía datos a Microsoft de forma automática? No. Las trazas de diagnóstico se guardan en local y solo se envían si el usuario decide compartirlas voluntariamente a través del Feedback Hub. ¿Qué hace el archivo windiag.dll en Windows 11? Integra el lenguaje de scripting Lua 5.4.7 y ejecuta 84 scripts compilados que gestionan escenarios de diagnóstico de rendimiento, batería y memoria del sistema. ¿Se puede desactivar el servicio Windows Health and Optimized Experiences? Sí, se puede localizar y desactivar desde el Administrador de tareas de Windows 11, aunque esto podría dejar al sistema sin los informes que utiliza para diagnosticar futuros fallos de rendimiento.
Con todo, la investigación de Xusheng Li deja claro que whesvc es un componente extremadamente potente para realizar diagnósticos del sistema, pero no hay evidencias que permitan clasificarlo como spyware. La única URL identificada corresponde al servidor público de símbolos de Microsoft y esa funcionalidad está desactivada en las instalaciones normales. Tampoco hay indicios de que el servicio grabe la pantalla o envíe automáticamente las trazas a los servidores de la compañía. Si te preocupa la privacidad, lo más sensato es revisar la configuración de diagnóstico en el sistema y no activar la opción de compartir datos en el Feedback Hub. Este caso demuestra que, en el mundo de la tecnología, las acusaciones apresuradas suelen ignorar que las realidades técnicas necesitan un examen detallado antes de sacar conclusiones.