--- id: CP-492 slug: sincronizacion-horaria-ntp-segura lang: es title: La sincronización horaria segura description: Por qué los ordenadores de una empresa deben compartir la misma hora, qué hace el empleado y los errores de un servidor de hora mal configurado. canonical_url: https://startbrain.io/cyberpedia/es/articles/sincronizacion-horaria-ntp-segura/ markdown_url: https://startbrain.io/cyberpedia/es/articles/sincronizacion-horaria-ntp-segura.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «La sincronización horaria segura», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/sincronizacion-horaria-ntp-segura/ (CC BY 4.0) wing: 3 theme: understand_cyberspace reflex: cr-060 schema: G3 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/sincronizacion-horaria-ntp-segura/ fr: https://startbrain.io/cyberpedia/fr/articles/synchronisation-horaire-ntp-securisee/ en: https://startbrain.io/cyberpedia/en/articles/secure-ntp-time-synchronization/ de: https://startbrain.io/cyberpedia/de/articles/sichere-zeitsynchronisation-ntp/ it: https://startbrain.io/cyberpedia/it/articles/sincronizzazione-oraria-ntp-sicura/ sources: - "n": 1 title: Maximum tolerance for computer clock synchronization publisher: Microsoft url: https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-r2-and-2012/jj852172(v=ws.11) accessed: "2026-11-03" - "n": 2 title: Windows Time Service (W32Time) publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/networking/windows-time-service/windows-time-service-top accessed: "2026-11-03" - "n": 3 title: Kerberos authentication overview in Windows Server publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/security/kerberos/kerberos-authentication-overview accessed: "2026-11-03" - "n": 4 title: NIST Internet Time Service (ITS) publisher: NIST url: https://www.nist.gov/pml/time-and-frequency-division/time-distribution/internet-time-service-its published: "2010-02-10" accessed: "2026-11-03" - "n": 5 title: How the Windows Time Service Works publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/networking/windows-time-service/how-the-windows-time-service-works accessed: "2026-11-03" - "n": 6 title: Configure NTP on a compute instance publisher: Google url: https://docs.cloud.google.com/compute/docs/instances/time-synchronization/configure-ntp accessed: "2026-11-03" --- # La sincronización horaria segura En una empresa, los ordenadores y los servidores se comprueban entre sí de forma permanente: quién se conecta, a qué y en qué momento. Una parte de esos controles depende de la hora. Si dos equipos no coinciden en la hora, algunas verificaciones fallan, y el empleado lo nota en forma de una conexión rechazada o de un error que no sabe explicarse. La sincronización horaria consiste en ajustar todos los relojes a una misma referencia, a intervalos regulares y sin intervención humana. Esta ficha explica el principio, qué puede comprobar el propio empleado y algunos errores de configuración que afectan sobre todo al departamento de informática. ## En 30 segundos - Dónde ocurre: al iniciar sesión, al acceder a un servicio interno o ante un mensaje de error de conexión sin causa evidente. - Qué ocurre: la autenticación Kerberos tolera por defecto una diferencia de 5 minutos entre dos relojes [1]. - El reflejo: dejar la fecha y la hora en ajuste automático y comunicar a informática cualquier error de conexión o de certificado sin explicación, en lugar de eludirlo. - Si ya lo ha hecho: si la hora del equipo se ajustó a mano, vuelva al modo automático y avise a informática. ## Preguntas directas ### ¿Por qué importa la hora para conectarse? El protocolo Kerberos, utilizado en las redes Windows de empresa, emplea marcas de tiempo para impedir los ataques de repetición, es decir, la reutilización de una credencial de autenticación por parte de un programa o un usuario malintencionado [1]. Para que esas marcas de tiempo sirvan de algo, el reloj del equipo y el del controlador de dominio deben estar lo más próximos posible [1]. Microsoft escribe que el servicio de hora de Windows «is essential to the successful operation of Kerberos V5 authentication» y, por tanto, de la autenticación basada en Active Directory [2]. ### ¿Qué diferencia se tolera? Un parámetro llamado «Maximum tolerance for computer clock synchronization» fija la diferencia máxima que Kerberos acepta entre el reloj del cliente y el del controlador de dominio [1]. Su valor por defecto es de 5 minutos, y Microsoft aconseja mantenerlo [1]. Si la diferencia no supera ese límite, la marca de tiempo se considera auténtica [1]. ### ¿Qué es NTP? NTP (Network Time Protocol) es el protocolo que permite a un ordenador consultar a un servidor de hora para corregir su reloj. El servicio de hora de Windows lo utiliza para sincronizar los relojes de una red [2]. Windows, MacOS y Linux ofrecen sincronización automática por NTP, que en general se inicia con el sistema y funciona en segundo plano [4]. ### ¿Tengo que ajustar la hora yo mismo? No. El NIST, el organismo estadounidense que ofrece un servicio público de hora por Internet, indica que la sincronización automática no suele requerir ninguna intervención y que ajustar el reloj a mano «generally not necessary» [4]. ### ¿Qué hacer ante un error de conexión sin explicación? Compruebe que la fecha y la hora del equipo están en modo automático y escriba después a informática describiendo el error. ## Cómo funciona Un ordenador recibe muestras de hora de uno o varios servidores NTP. El servicio de hora de Windows elige la mejor muestra mediante los algoritmos definidos por NTP y ajusta después el reloj local, ya sea modificando su ritmo o cambiándolo directamente si la diferencia es demasiado grande [5]. En un dominio de Active Directory, la cadena es jerárquica. Los equipos miembros de un dominio se sincronizan por defecto con un controlador de dominio. El controlador que ejerce de emulador PDC en la raíz del bosque suele estar configurado con una fuente externa [2][5]. Las fuentes más precisas están en lo alto de la cadena, y la precisión puede disminuir a medida que uno se aleja de la referencia [5]. Microsoft indica que, con Windows Server 2016 y Windows 10 Anniversary Update, en condiciones razonables, un miembro del dominio puede mantenerse a 1 milisegundo o menos de la hora UTC [2]. Kerberos funciona con tres actores: el cliente, el servicio al que se accede y un centro de distribución de claves (KDC) en el que ambos confían [3]. Al iniciar sesión, el cliente obtiene un ticket inicial (TGT) y pide después al KDC un ticket para cada servicio al que quiere acceder [3]. ## Lo que usted hace - Deje la fecha y la hora en ajuste automático. El NIST indica que Windows, MacOS y Linux disponen de esta opción [4]. - En Windows, un clic derecho sobre el reloj de la barra de tareas da acceso al botón «sync now», que contacta con un servidor de hora y corrige el reloj si es necesario [4]. En un Mac, el ajuste está en Aplicaciones, Preferencias del Sistema, Fecha y hora [4]. - No corrija una hora errónea introduciéndola a mano en un equipo gestionado por la empresa: el ajuste manual no suele ser necesario [4]. Un reloj que se desvía a pesar de todo es una señal que debe transmitir a informática. - Si una conexión o el acceso a un servicio falla sin motivo claro, o si aparece una advertencia de certificado, no la eluda. Anote el mensaje, la hora y el servicio afectado, y comuníquelo a informática. ## Los errores frecuentes ### Un servidor de hora sin autenticar Las solicitudes de hora al servicio público del NIST, en los formatos DAYTIME, TIME y NTP, no suelen admitir autenticación [4]. El NIST ofrece además mensajes NTP autenticados mediante una clave simétrica, proporcionados por servidores distintos: la autenticación garantiza que el mensaje procede de un servidor del NIST y que no ha sido modificado por el camino [4]. En un bosque de Active Directory, Microsoft describe una autenticación de los paquetes NTP basada en la clave de sesión Kerberos del equipo. Un paquete sin firmar o mal firmado se rechaza [5]. En cambio, si un cliente se configura a mano con un servidor NTP ajeno a su jerarquía de dominio, los paquetes no se autentican y, por tanto, no son seguros, incluso cuando existen relaciones de confianza entre bosques [5]. ### Un equipo fuera del dominio o conectado pocas veces Los ordenadores que no están unidos a un dominio, o que se sincronizan con poca frecuencia, están configurados por defecto con time.windows.com [5]. Microsoft precisa que es imposible garantizar la precisión de la hora en equipos cuya conexión de red es intermitente o inexistente [5]. ### Fuentes de hora mezcladas Google recomienda configurar las máquinas virtuales de Compute Engine con un único servidor NTP, el servidor interno de Google [6]. Mezclar este servicio con uno externo puede provocar cambios de hora imprevisibles [6]. Los servicios externos como pool.ntp.org suelen gestionar el segundo intercalar mediante un salto, y las máquinas pueden entonces ver marcas de tiempo repetidas [6]. Para comprobar la configuración en Linux con chrony, la documentación indica el comando `chronyc sources`, que debe mostrar una sola fuente [6]. ### El segundo intercalar Un segundo intercalar es un ajuste de un segundo de la hora UTC [6]. Según los sistemas, se gestiona repitiendo un segundo o repartiéndolo en un periodo más largo, y los mensajes NTP no indican qué método ha elegido un servidor [4]. El NIST señala que resulta entonces difícil combinar datos de fuentes distintas en torno al evento [4]. ## Fuentes 1. Microsoft, «Maximum tolerance for computer clock synchronization». https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-r2-and-2012/jj852172(v=ws.11) (consultado el 3 de noviembre de 2026) 2. Microsoft, «Windows Time Service (W32Time)». https://learn.microsoft.com/en-us/windows-server/networking/windows-time-service/windows-time-service-top (consultado el 3 de noviembre de 2026) 3. Microsoft, «Kerberos authentication overview in Windows Server». https://learn.microsoft.com/en-us/windows-server/security/kerberos/kerberos-authentication-overview (consultado el 3 de noviembre de 2026) 4. NIST, «NIST Internet Time Service (ITS)», 10 de febrero de 2010. https://www.nist.gov/pml/time-and-frequency-division/time-distribution/internet-time-service-its (consultado el 3 de noviembre de 2026) 5. Microsoft, «How the Windows Time Service Works». https://learn.microsoft.com/en-us/windows-server/networking/windows-time-service/how-the-windows-time-service-works (consultado el 3 de noviembre de 2026) 6. Google, «Configure NTP on a compute instance». https://docs.cloud.google.com/compute/docs/instances/time-synchronization/configure-ntp (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/sincronizacion-horaria-ntp-segura/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.