Convertir una Surface Go 4 o una Surface Pro 9 en un quiosco dedicado es una de las formas más sencillas de ofrecer autoservicio, señalización digital o puntos de registro portátiles sin comprometer la seguridad ni la experiencia de usuario. En esta guía abarcamos la elección entre las soluciones de terceros Sure Lock y Windows Kiosk Software, las alternativas nativas de Windows 10/11, y todas las capas de protección necesarias para un despliegue empresarial sin sorpresas.
Escenario típico y beneficios
Empresas de retail, logística, sanidad o educación buscan hoy dispositivos ligeros y con autonomía que puedan usarse:
- Como puntos de autoservicio para consultas de inventario o facturación.
- Para check‑in/check‑out de visitantes en eventos o recepciones.
- En control de acceso físico, sustituyendo tarjetas y papeleo.
- Como señalización dinámica con horarios, contenido HTML o dashboards.
Surface Go 4 (10,5”) y Surface Pro 9 (13”) combinan rendimiento Intel, pantalla táctil Gorilla Glass y batería de jornada completa, además de accesorios como fundas‑teclado desmontables y soportes VESA. Convertirlas en quiosco minimiza la posibilidad de que el usuario final abandone la aplicación principal, reduzca la vida útil de la batería con procesos innecesarios o comprometa datos críticos.
Opciones de software para quiosco en Surface
Sure Lock
Sure Lock es una solución comercial de 42Gears orientada a Windows, Android e iOS. Instalada como servicio de sistema, permite:
- Bloquear el escritorio completo y mostrar solo una lista blanca de EXE o accesos directos.
- Forzar carpetas específicas como almacenamiento leído/escrito y deshabilitar exploradores de archivos.
- Limitar combinaciones de teclado (Ctrl+Alt+Del, Alt+Tab…), puertos USB y panel de control.
- Hacer restablecimiento remoto, recopilar métricas básicas y mostrar “modo pantalla completa” permanente.
La versión para Windows no requiere edición Enterprise del sistema operativo, algo clave para pymes que compran Surface Go 4 con Windows 11 Pro preinstalado. No obstante, cualquier incidencia debe tratarse con el soporte de 42Gears; Microsoft no valida ni firma las actualizaciones de Sure Lock.
Windows Kiosk Software
Windows Kiosk Software (anteriormente “FrontFace Lockdown Tool”) apunta a señalización digital multi‑aplicación. Sus puntos fuertes son:
- Interfaz gráfica para diseñar páginas de inicio con widgets, navegadores embebidos y vídeo en bucle.
- Programación por franjas horarias —útil si el contenido cambia a lo largo del día— y disparadores basados en sensores.
- Compatibilidad con Surface Dial, stylus y control remoto con códigos QR.
- Modo portátil sin instalación (ejecutable en USB) para pruebas antes de congelar la máquina.
Aunque puede ejecutarse en Windows 11 Home/Pro, muchas funciones (por ejemplo, arranque automático sin escritorio) aprovechan servicios presentes solo en Windows IoT Enterprise. La licencia es perpetua por dispositivo, con coste adicional de mantenimiento anual.
Funciones nativas de Windows
Assigned Access y el modo quiosco de varias aplicaciones son características incorporadas en Windows 10/11 que pueden reemplazar software externo cuando se ajustan a los requisitos:
- Assigned Access (una única app UWP o Microsoft Edge en modo quiosco): presente en Windows 10/11 Pro. El usuario inicia sesión en una cuenta local bloqueada; la sesión abre al instante la aplicación designada y deshabilita barras del sistema.
- Quiosco de varias aplicaciones: requiere Windows 10 Enterprise / Windows 11 Enterprise o Education e Intune/Política de grupo para definir un “Start layout” con varias apps y sin acceso a escritorio tradicional.
- Shell Launcher v2: sustituye Explorer.exe por tu propio ejecutable clásico (Win32) en ediciones Enterprise, ideal si la aplicación no es UWP.
La gran ventaja es el soporte oficial de Microsoft, actualizaciones en Windows Update y cero costes de licencia extra.
Comparativa rápida de características
| Funcionalidad clave | Sure Lock | Windows Kiosk Software | Assigned Access / Modo nativo |
|---|---|---|---|
| Requiere edición Enterprise | No | Recomendado, no obligatorio | Sí para multi‑app; no para single‑app |
| Licenciamiento adicional | Suscripción o perpetuo | Perpetuo por dispositivo | Ninguno |
| Gestión remota integrada | Básica (42Gears UEM) | Limitada (plugin OPC) | Completa vía Intune/MDM |
| Compatibilidad Win32/UWP/Edge | Total | Alta (según engine) | Limitada a UWP o Edge (single‑app) / Win32 con Shell Launcher |
| Bloqueo de puertos físicos | Sí | Parcial | Vía Policy CSP o GPO |
| Soporte oficial Microsoft | No | No | Sí |
Guía paso a paso para configurar Assigned Access
- Crea una cuenta local estándar (sin privilegios de administrador) en la Surface.
- Abre Configuración ▸ Cuentas ▸ Familia y otros usuarios y selecciona Configurar quiosco.
- Elige la nueva cuenta y, a continuación, la aplicación UWP o Microsoft Edge (en edge://flags se puede forzar modo pantalla completa).
- Reinicia y verifica que la sesión se inicia directamente en la app; la combinación Ctrl+Alt+Supr está inutilizada para ese usuario.
- Si necesitas teclado táctil limitado, ajusta Configuración ▸ Accesibilidad ▸ Teclado en pantalla y desactiva teclas de función.
Configurar un quiosco de varias aplicaciones con Intune
El centro de administración de Microsoft Intune simplifica la tarea para decenas o cientos de Surface:
- En Dispositivos ▸ Perfiles de configuración ▸ Crear perfil selecciona plataforma Windows 10/11 y plantilla Kiosk.
- Escoge Multi‑app. Después agrega cada aplicación (identificadores AUMID para UWP y rutas EXE para Win32).
- Define el diseño de inicio (XML) para colocar iconos y accesos directos, incluyendo restricciones de accesos rápidos.
- Habilita Bloqueo de ajustes, Desactivar panel de notificaciones y Restringir Cortana.
- Aplica el perfil a un grupo Azure AD dinámico que contenga “SurfaceGo4” o “SurfacePro9” en la cadena del dispositivo.
- Supervisa en Informes ▸ Dispositivos ▸ Estado de cumplimiento. Si falla, revisa el “Kiosk error 0x87d1fde8” para pistas de incompatibilidad.
Recomendaciones de seguridad complementaria
Instalar un quiosco no es solo encerrar la interfaz; debe ser parte de una defense‑in‑depth que contemple:
- BitLocker con TPM 2.0 activado desde el primer inicio. La Surface almacena la clave en hardware y la librea a UEFI; sin la placa madre original, los datos quedan cifrados.
- Windows Defender Antivirus y SmartScreen: asegúrate de que cloud‑delivered protection esté habilitado incluso si la app quiosco funciona offline.
- Permisos de UEFI: establece contraseña de arranque y desactiva External Boot para evitar que alguien inicie un sistema USB de diagnóstico.
- Windows Hello for Business: aunque el quiosco use cuenta local, el administrador global debe proteger su cuenta con PIN o biometría.
- Bloqueo de periféricos: mediante Intune o GPO deshabilita cámaras, Bluetooth, lector de tarjetas y puertos Thunderbolt si no son necesarios.
- Actualizaciones bajo mantenimiento “Windows Autopatch”: en dispositivos elegibles, Microsoft entrega parches mensuales escalonados para minimizar caídas.
Buenas prácticas al usar soluciones de terceros
Las herramientas especializadas tienen un ciclo de release más rápido que el sistema operativo; para evitar sorpresas:
- Pide siempre el roadmap de soporte. Asegura que la versión instalada cubrirá la vida útil esperada del hardware (3–5 años en Surface).
- Realiza una imagen de referencia con Configuration Manager o MDT antes de desplegar la licencia; así podrás restaurar rápido si un parche falla.
- Separa entornos de test y producción. Usa Surface recicladas o máquinas virtuales Hyper‑V para probar scripts.
- Documenta exclusiones de Defender o de firewall que la herramienta requiera y obtén aprobación del equipo de seguridad.
- Conoce el modelo de soporte: SLA, horarios y modos de contacto (teléfono 24/7, portal o correo).
Preguntas frecuentes
¿Puedo usar hardware biométrico para iniciar sesión en modo quiosco?
En Assigned Access la autenticación se hace antes de la restricción, por lo que un PIN Windows Hello es posible. Sin embargo, la mayoría de despliegues usa inicio automático para reducir interacción del usuario.
¿Qué pasa con las actualizaciones acumulativas de Windows?
Si el dispositivo está en modo single‑app con Edge, las actualizaciones se instalan y el sistema reinicia fuera del horario activo definido. En Sure Lock puedes programar retrasos o forzar un reinicio inmediato mediante su consola.
¿Assigned Access se puede combinar con administración local de políticas?
Sí. Aun sin Intune, puedes importar plantillas ADMX y aplicar GPO locales para bloquear panel de control, redes Wi‑Fi y “salir” de la app. Necesitarás la utilidad LGPO.exe para exportar/importar reglas si clonas equipos.
¿Surface Go 4 ARM es compatible?
La Surface Go 4 usa Intel N200, no ARM. La Surface Pro 10 (futura) sí incluirá Qualcomm X, pero las herramientas mencionadas ya han anunciado compatibilidad bajo emulación x64.
Conclusiones
Elegir entre Sure Lock, Windows Kiosk Software o las prestaciones nativas de Windows 10/11 depende del número de aplicaciones, la necesidad de gestión remota integrada y el presupuesto en licencias. Para la mayoría de PYMES con una sola app y pocas unidades, Assigned Access resulta suficiente y sin costes. En entornos complejos, el control granular y la interfaz configuradora de terceras partes justifican la inversión. En todos los casos, asegúrate de cerrar el círculo con BitLocker, políticas MDM e imágenes de respaldo: un quiosco seguro no es solo bloquear botones, sino mantener el sistema sano durante toda su vida operativa.