---
title: "Cerrar cuentas de invitado y multiusuario"
description: "Un usuario nuevo o un modo invitado es una habitación limpia sin tus filtros. Cómo cerrarlos y filtrar en una capa que cubra el aparato, no solo tu perfil."
url: https://tkot.com/journal/cerrar-cuentas-de-invitado-y-multiusuario/
canonical: https://tkot.com/journal/cerrar-cuentas-de-invitado-y-multiusuario/
author: "Arya Stark"
published: 2026-06-08
updated: 2026-06-08
category: "Guides"
tags: ["modo invitado", "multiusuario", "segundo espacio", "carpeta segura", "chromebook"]
lang: es
---

# Cerrar cuentas de invitado y multiusuario

> **TL;DR** Un perfil nuevo, el invitado o un segundo espacio empiezan sin tus filtros. Ciérralos (desactiva el invitado, exige contraseña para crear usuarios) y, sobre todo, filtra en una capa que cubra el aparato, como el DNS de red. TKO'T bloquea a nivel de sistema, así que cualquier cuenta nace filtrada.

Un usuario nuevo, el modo invitado o un "segundo espacio" en el teléfono son una habitación limpia: un entorno sin tus restricciones, creado en un minuto, donde el filtro que montaste con tanto cuidado simplemente no existe. Es una de las puertas laterales que más gente olvida. La defensa tiene dos partes: cerrar la creación de esos espacios limpios, y filtrar en una capa que no le importe en qué cuenta estás. El DNS de la red y el bloqueo de sistema de TKO'T cubren el dispositivo entero, sin importar el perfil, así que un usuario nuevo ya nace filtrado. Esta guía cierra esa puerta, aparato por aparato.

## Por qué un usuario nuevo es una habitación limpia

La mayoría de los filtros se aplican a una cuenta o a un perfil concretos. El problema es que casi todos los dispositivos permiten crear otra cuenta, entrar como invitado o abrir un espacio separado, y ese nuevo entorno suele empezar de cero, sin las restricciones que pusiste en el tuyo. Es como blindar una habitación de la casa y dejar la de al lado con la puerta abierta.

Hay varias formas de esta misma puerta, y conviene conocerlas para cerrarlas todas. En un ordenador, el modo invitado o un usuario nuevo. En un teléfono, un "segundo espacio", un perfil de trabajo o una carpeta segura que funciona como un mini sistema aparte. Y en equipos compartidos, como una Chromebook, la navegación de invitado. La buena noticia es que, por debajo de todos esos perfiles, hay capas que se aplican al aparato entero, y ahí está la defensa más limpia.

| El espacio limpio | Cómo cerrarlo |
|---|---|
| Cuenta de invitado | Desactivarla en los ajustes |
| Usuario nuevo | Exigir contraseña de administrador para crearlo |
| Segundo espacio o carpeta segura | Restringirlo o quitarlo, mejor en supervisado |
| Cualquier perfil | Filtro de red por DNS, que cubre a todos |

## Cómo bloquear el modo invitado en Mac para no crear otro usuario

En el Mac, cierra esta puerta por dos lados. Primero, desactiva la cuenta de invitado desde los ajustes de usuarios, para que no exista ese entorno limpio de un clic. Segundo, usa una cuenta estándar para el día a día y reserva la de administrador, protegida con una contraseña que no tengas a mano, de modo que crear un usuario nuevo exija esa contraseña. Con [Tiempo de uso en macOS](https://support.apple.com/guide/mac-help/set-up-screen-time-for-yourself-mchl9457b313/mac) protegido por un código y la cuenta de administrador fuera de tu alcance, ni el invitado ni un usuario nuevo quedan como salida. La regla es la de siempre: que abrir una habitación limpia requiera una llave que tu yo de medianoche no posea.

## Cómo bloquear el segundo espacio o la carpeta segura en el celular

En el teléfono, el "segundo espacio", el perfil de trabajo o la carpeta segura son un mini sistema aparte que puede tener su propio navegador y sus propias apps, sin tus filtros. Si no lo usas para algo legítimo, lo más limpio es no tenerlo: elimínalo o impide su creación. En un dispositivo supervisado, mediante un [perfil de configuración](https://support.apple.com/es-es/guide/security/configuration-profile-enforcement-secf6fb9f053/web), se puede restringir la creación de estos espacios separados para que no aparezcan como vía de escape. Y como respaldo para cualquier perfil que sí exista, el filtro de red cubre a todos por igual, porque actúa antes de que importe en qué espacio estás. Nombrar el espacio solo lo justo para cerrarlo, y seguir.

## Cómo bloquear el modo invitado en una Chromebook escolar

Una Chromebook del colegio suele estar gestionada por la institución, así que la forma correcta de cerrar la navegación de invitado en ella es a través del administrador del centro, que puede desactivarla en la consola de gestión para todos los equipos. Si es tu propio Chromebook, desde la cuenta del propietario puedes desactivar la navegación como invitado y limitar quién puede iniciar sesión, de modo que no haya un entorno limpio sin filtros. En los dos casos, el principio es el mismo: quitar el modo invitado para que no exista una sesión sin tus reglas. Si el equipo es de un menor, esto encaja en el conjunto de [blindar el dispositivo de un hijo](/journal/blindar-el-movil-de-un-hijo-o-adolescente/).

## Los perfiles de navegador, otra habitación limpia

Hay una versión más pequeña del mismo truco que mucha gente pasa por alto: los perfiles dentro del navegador. La mayoría de los navegadores permiten crear varios perfiles, cada uno con sus propias extensiones, su historial y, a veces, sus propios ajustes de filtrado. Cambiar a un perfil nuevo puede dejar atrás una extensión de bloqueo o una configuración que solo vivía en tu perfil habitual.

La defensa es no depender de filtros que vivan dentro de un único perfil del navegador, sino de capas que actúan por debajo de él: el DNS de red y un bloqueo de sistema cubren todos los perfiles a la vez, porque actúan antes de que el navegador elija con cuál abrirse. Donde puedas, restringe también la creación de perfiles nuevos. Es la misma lección a menor escala: cuanto más abajo viva tu defensa, menos importa cuántas habitaciones limpias intente abrir alguien por encima.

## La capa que cubre todos los usuarios a la vez

Aquí está el atajo que hace todo esto mucho más fácil: en lugar de cerrar el bypass perfil por perfil, filtra en una capa que se aplique al aparato entero, sin importar la cuenta. El filtro de red es justo eso. Un DNS familiar como [el de Cloudflare para familias](https://blog.cloudflare.com/introducing-1-1-1-1-for-families/), configurado en el router o fijado en el dispositivo, cubre a cualquier usuario que use esa red o ese aparato, incluido uno recién creado. Es decir, un usuario nuevo no nace limpio: nace ya filtrado, porque hereda la capa que vive por debajo de los perfiles.

Eso convierte el problema de "cubrir cada cuenta" en "cubrir el aparato una vez", que es mucho más fiable. Para que aguante, fija ese DNS de forma que no se pueda cambiar, como se explica en [fijar los DNS para que no se reviertan](/journal/fijar-los-dns-para-que-no-se-reviertan/), y tendrás una base que ninguna cuenta nueva puede esquivar con solo existir.

## Por qué cubrir el aparato gana a cubrir cada cuenta

Si hay una idea que llevarte, es esta: perseguir cada cuenta, cada espacio y cada perfil es una carrera que pierdes, porque siempre se puede crear uno más. La estrategia que sí gana es defender por debajo de todos ellos, en una capa que se aplique al aparato entero sin importar la cuenta. El DNS de red y un bloqueo a nivel de sistema son justo eso: no preguntan en qué usuario estás, filtran el dispositivo.

Así, cubrir el bypass deja de ser una tarea infinita de tapar cada perfil posible y se convierte en una sola configuración que los cubre a todos, incluidos los que aún no existen. Es el mismo cambio de mentalidad que ordena toda defensa seria: en vez de cerrar mil puertas una por una, defiende el suelo común por el que todas pasan. Una capa bien puesta vale por todas las cuentas que alguien pueda inventarse.

## Hacerlo a prueba de manipulaciones

Como con todas estas defensas, su fuerza está en lo difícil que sea revertirlas. De poco sirve desactivar el invitado si puedes volver a activarlo en dos clics sin ninguna llave. Por eso conviene proteger los ajustes de usuarios, la cuenta de administrador y la configuración de red con contraseñas que no controles tú, o que tenga otra persona. Esa idea, llevada a fondo, es la del [bloqueo resistente a manipulaciones](/journal/bloqueo-resistente-a-manipulaciones/), y aplica igual a las cuentas que a cualquier otra capa: la decisión de cerrar la habitación limpia la toma tu yo sereno de hoy, y debe quedar fuera del alcance de tu yo cansado de la madrugada.

## Para padres: los perfiles múltiples en el dispositivo de un hijo

Si lo que proteges es el aparato de un menor, los perfiles múltiples son una de las primeras cosas que un chico curioso prueba, así que cierra la creación de usuarios y el modo invitado, y apóyate en un dispositivo supervisado y en el filtro de red. La ventaja del enfoque por capas es la misma para padres que para ti mismo: no tienes que vigilar cada cuenta posible, porque la capa de red y la supervisión cubren cualquier perfil que aparezca. Combinar eso con el resto de medidas convierte un dispositivo lleno de salidas en uno donde abrir una habitación limpia, sencillamente, ya no es una opción a mano.

## Cómo comprobar que las salidas están cerradas

No confíes en una configuración que no has probado. Haz una comprobación rápida una vez. Primero, intenta crear un usuario nuevo o entrar como invitado: debería pedirte una contraseña que no tienes, o no estar disponible. Segundo, si tu teléfono tiene "segundo espacio" o carpeta segura, intenta abrirlo y confirma que está restringido o que, dentro, el contenido sigue filtrado por la capa de red.

Tercero, abre un perfil nuevo del navegador e intenta entrar a una web bloqueada, para verificar que el filtro de sistema o de red la cierra igual. Si las salidas se comportan como esperas, las habitaciones limpias están cerradas. Si alguna se abre sin filtro, ya sabes qué reforzar antes de necesitarlo. Esa auditoría de un par de minutos es lo que separa creer que cubriste todas las cuentas de saberlo, y conviene hacerla el mismo día que lo montas.

## Preguntas frecuentes (FAQ)

**¿Cómo bloqueo el modo invitado en Mac para no crear otro usuario?** Desactiva la cuenta de invitado en los ajustes de usuarios y usa una cuenta estándar en el día a día, de modo que crear un usuario nuevo exija una contraseña de administrador que no tengas a mano. Con Tiempo de uso protegido por un código y la cuenta de administrador fuera de tu alcance, ni el invitado ni un usuario nuevo quedan como salida limpia.

**¿Cómo bloqueo el segundo espacio o la carpeta segura en el celular?** Si no lo usas para algo legítimo, elimínalo o impide su creación, porque es un mini sistema aparte sin tus filtros. En un dispositivo supervisado, un perfil de gestión puede restringir la creación de estos espacios. Y como respaldo, el filtro de red cubre cualquier perfil que exista, porque actúa antes de que importe en qué espacio estás.

**¿Cómo bloqueo el modo invitado en una Chromebook escolar?** Si es del colegio, la vía correcta es el administrador del centro, que puede desactivar la navegación de invitado en la consola de gestión. Si es tu propio Chromebook, desde la cuenta del propietario puedes desactivar la sesión de invitado y limitar quién inicia sesión, para que no exista un entorno sin filtros.

**¿Por qué un usuario nuevo se salta mi filtro?** Porque la mayoría de los filtros se aplican a una cuenta o un perfil concretos, y un usuario nuevo empieza de cero, sin esas restricciones. Es una habitación limpia junto a la que blindaste. La defensa más fiable es filtrar en una capa que cubra el aparato entero, como el DNS de red, para que cualquier cuenta nueva nazca ya filtrada.

**¿Hay una forma de cubrir todas las cuentas de una vez?** Sí, y es la más sólida: el filtro de red. Un DNS familiar en el router o fijado en el dispositivo se aplica a cualquier usuario de esa red o ese aparato, incluido uno recién creado. Así conviertes "cubrir cada cuenta" en "cubrir el aparato una vez". TKO'T añade un bloqueo de sistema que también cubre el dispositivo, no solo tu perfil.

**¿Cómo evito que mi hijo cree un usuario nuevo para saltarse el control?** Cierra la creación de usuarios y el modo invitado, usa un dispositivo supervisado y apóyate en el filtro de red, que cubre cualquier perfil que aparezca. No tienes que vigilar cada cuenta posible si la capa de red y la supervisión cubren a todas, lo que convierte un aparato lleno de salidas en uno donde la habitación limpia ya no está disponible.

---

Source: https://tkot.com/journal/cerrar-cuentas-de-invitado-y-multiusuario/
Author: Arya Stark