Windows 11 whesvc: así es el análisis que desmiente el rumor del spyware
Un servicio de Windows 11 que ha estado en el punto de mira durante semanas, conocido como whesvc (Windows Health and Optimized Experiences), por fin ha sido examinado a fondo. Lo que parecía un espía silencioso que enviaba información del procesador, la temperatura o la batería cada quince minutos, resulta ser un motor de diagnóstico con un alcance mucho más modesto. El ingeniero de sistemas Xusheng Li ha publicado su análisis técnico y las conclusiones son claras: no hay evidencias de que recopile datos para Microsoft.
El origen de esta polémica está en un falso rumor que se extendió con rapidez entre los usuarios más preocupados por su privacidad. Para entender qué hace exactamente este servicio, es necesario conocer su arquitectura interna, muy sofisticada y con bastantes capacidades, pero con una utilidad final muy concreta. La clave está en una biblioteca llamada windiag.dll, que integra el lenguaje de scripting Lua 5.4.7 y alberga todos los mecanismos de control.
¿Qué es exactamente whesvc?
whesvc es un servicio nativo de Windows 11 que se activa automáticamente cuando el sistema detecta problemas de rendimiento. Su función oficial es generar informes de diagnóstico sobre aplicaciones que se inician lentas, procesos que no responden, retrasos en la entrada, errores gráficos o servicios que se quedan bloqueados. Todo eso forma parte del llamado Windows Health and Optimized Experiences, una herramienta que Microsoft usa para reducir el consumo de RAM de Windows 11 y mejorar el rendimiento del sistema sin intervención manual.
Cuando se ejecuta, el servicio usa una serie de scripts compilados que se alojan en whesvc_assets.dll y que suman un total de 84. Estos scripts se han escrito para cubrir distintos escenarios de diagnóstico, desde el consumo excesivo de batería hasta las fugas de memoria. Pero la alarma saltó porque el motor expone 79 funciones nativas que permiten acceder a áreas muy sensibles como el registro de Windows, archivos, procesos, WMI, trazas ETW o incluso información térmica y de energía. Esa lista de capacidades parecía excesiva para una herramienta de diagnóstico, y por eso la sospecha tomó fuerza entre muchos usuarios.
Lo que realmente hacen los scripts
El análisis de Li ha revisado los 84 scripts compilados y ha llegado a una conclusión clara: ninguna de esas funciones se usa para espiar. Por ejemplo, las capacidades de registro se utilizan para mantener los contadores del servicio entre reinicios y para gestionar el Verificador de controladores. Los scripts también pueden lanzar herramientas nativas como powercfg.exe para generar informes de suspensión o wpr.exe para fusionar trazas de rendimiento. Es un trabajo muy concreto que no incluye la recopilación de datos personales.
Un punto importante es el módulo llamado system_summary, que genera un archivo JSON con información del sistema. Ese archivo se crea exactamente cada 15 minutos, lo que coincidía con la alarma viral. No obstante, el investigador ha confirmado que ese resumen se guarda en local y no se sube de forma automática a los servidores de Microsoft. Tampoco hay código que indique que las capturas de pantalla o las trazas se envíen por sí solas. Si el usuario no comparte un informe a través de Feedback Hub, los datos no salen del equipo.
El tema de la red y la única URL encontrada
Otro punto que generaba suspicacia era que el motor de scripts incluye una función para realizar peticiones HTTP. Sin embargo, después de examinar todos los escenarios, no se encontró ninguna instrucción que haga uso de esa capacidad de manera automática. La única dirección web que aparece es la del servidor público de símbolos de Microsoft, y esa funcionalidad está desactivada en instalaciones estándar de Windows. Es decir, en la práctica no hay ni envío de datos ni uso indebido de la red.
La conclusión a la que llega el ingeniero es que whesvc es un componente extraordinariamente potente para diagnosticar el rendimiento, pero no es spyware. Las alarmas que saltaron a principios del mes eran infundadas, y aunque el servicio es complejo, su comportamiento se limita a recopilar información técnica local y actuar únicamente cuando el usuario da su consentimiento para compartirla. Si tienes preocupación por la privacidad, lo mejor es saber qué hace, y no activar la opción de compartir datos en el Centro de opiniones de Windows.
El caso recuerda que, en el mundo de la tecnología, las acusaciones apresuradas suelen olvidar que la realidad técnica necesita ser examinada con una lupa. Ahora que se ha desvelado el verdadero propósito de whesvc, los usuarios pueden estar tranquilos: no hay un espionaje oculto en este servicio concreto de Windows 11.