Esta referencia explica cada estado de problema que puedes encontrar en la página Compliance > Problemas de cumplimiento: lo que el dispositivo está reportando realmente, las causas detrás de ello en macOS y Windows, y cómo resolverlo. Para elegir qué estados generan problemas, consulta Configurar ajustes de problemas de cumplimiento; para el flujo de trabajo de triaje en sí, consulta Triaje de la lista de problemas.

Las plataformas móviles (iOS, iPadOS, Android) y Linux están cubiertas por un subconjunto de estas reglas — consulta Plataformas compatibles para saber qué se aplica dónde.

Cómo Factorial IT decide que un dispositivo no cumple

• Cada vez que un dispositivo se sincroniza, Factorial IT vuelve a ejecutar cada regla de cumplimiento y calcula un estado por regla — no hay un escaneo separado.
• Un dispositivo genera un problema solo si su estado actual es uno que configuraste para generar un problema en Compliance > Ajustes de problemas de cumplimiento. Un estado configurado como Apagar nunca genera nada.
• Los problemas se resuelven automáticamente en la siguiente sincronización una vez que el estado mejora. No hay necesidad de reconocimiento o cierre manual.

Consulta Visión general del cumplimiento para el modelo de evaluación completo.

Descartar datos obsoletos primero

Un estado de cumplimiento es una instantánea de la última sincronización del dispositivo. Antes de tratar un problema como una violación real, verifica si los datos están obsoletos:

Estado de Inscripción

Una regla global que se aplica a cada dispositivo gestionado. Verifica si el dispositivo está completamente inscrito y si el agente MDM todavía se comunica con el servidor.

Por qué los dispositivos se desinscriben

Causas que se aplican a ambas plataformas:

• El empleado no completó todos los pasos de inscripción, o no permaneció conectado el tiempo suficiente para finalizar la sincronización.
• El agente fue desinstalado manualmente, o una actualización del sistema o un error de configuración corrompió la instalación.
• El servicio osqueryd utilizado por el agente se ha detenido, o el agente no puede iniciarse debido a problemas de permisos.
• El dispositivo está en una red que bloquea el acceso al servidor MDM — un proxy o firewall corta la comunicación. Consulta Requisitos de red.

macOS

• Un usuario administrador puede eliminar un perfil MDM desbloqueado de la Configuración del Sistema. El dispositivo luego reporta MDM_OFF aunque el agente aún pueda responder.
• Un token APNs expirado o revocado impide que el dispositivo valide su perfil — el perfil se vuelve inválido sin que nadie toque el dispositivo.
• Una acción desactivar mdm ejecutada desde el lado del servidor MDM elimina la gestión.
• La instalación del agente Factorial IT está incompleta — la causa más común de inscripción parcial en macOS.

Windows

• El dispositivo aún está inscrito en un MDM anterior y reporta MDM_ON_IN_ANOTHER_MDM — migra fuera del viejo MDM antes de reinscribirlo.
• Un proxy o firewall corporativo que bloquea la conexión del servidor deja al agente instalado en silencio (MISSING_AGENT).

Resolver problemas de inscripción

• MISSING_AGENT — en el panel del dispositivo, haz clic en el botón de estado del dispositivo para activar remotamente la instalación del agente. Si eso falla, pide al empleado que abra su página de inscripción de Factorial IT, haga clic en su dispositivo asignado y descargue el agente.
• MDM_ON_IN_ANOTHER_MDM — migra el dispositivo del MDM anterior primero.
• MDM_OFF — pide al empleado que se reinscriba. Puedes automatizar esto: en MDM > Configuración, establece Desinscripción automática a un retraso fuera de línea y activa Invitar al empleado a reinscribirse.

Permite hasta 30 minutos para que el estado se actualice después de la solución. Detalles completos: Resolver problemas de inscripción.

Estado en Línea

Una regla global que rastrea si el dispositivo se registra con el servidor.

Por qué los dispositivos se desconectan

• El dispositivo está apagado o en reposo — un empleado de licencia, o un repuesto guardado en un cajón.
• La red bloquea la conexión del agente al servidor (VPN, proxy, reglas de firewall). Consulta Requisitos de red.
• El agente ya no está en ejecución. Un dispositivo que parece estar fuera de línea mientras es utilizado activamente por un empleado indica típicamente un agente faltante o un problema de red, no un dispositivo realmente fuera de línea — verifica el problema de Estado de Inscripción para el mismo dispositivo.

Resolver problemas en línea

Confirma con el empleado si el dispositivo está en uso. Si lo está, trátalo como un caso de MISSING_AGENT (consulta arriba). Si el ruido proviene de breves intervalos, genera problemas solo en Offline 7+ días.

Soporte de Plataforma

Una regla global que verifica el sistema operativo del dispositivo contra la línea base que Factorial IT soporta como fuente de señal MDM. Un dispositivo por debajo de esa línea base no puede inscribirse de manera confiable, reportar telemetría ni cumplir con las políticas — este problema es tu lista de actualizaciones.

MEETS_REQUIREMENTS es el estado de cumplimiento. La regla permanece en silencio hasta que el dispositivo haya reportado su información del sistema operativo, por lo que un dispositivo recién inscrito nunca se marca como desconocido.

Resolver problemas de soporte de plataforma

• BELOW_MINIMUM_VERSION — actualiza el sistema operativo. Las líneas base actuales por plataforma están listadas en Plataformas compatibles.
• UNSUPPORTED_OS_EDITION — actualiza la edición, no solo la versión: consulta las limitaciones de Windows Home y Actualiza a Windows 11.

Cifrado

Verifica el cifrado de disco completo: FileVault en macOS, BitLocker en Windows. El cifrado no está activado por defecto — comienza cuando habilitas el control de Cifrado de Disco, que se aplica globalmente a los dispositivos inscritos una vez creado.

ENCRYPTED es el estado de cumplimiento. Los dispositivos iOS y iPadOS siempre reportan ENCRYPTED — su almacenamiento está cifrado por hardware por diseño. Un dispositivo Windows Home no genera ningún estado de cifrado: no puede ejecutar BitLocker y se presenta bajo Soporte de Plataforma como UNSUPPORTED_OS_EDITION en su lugar.

macOS

• FileVault se activa una vez que el control de Cifrado de Disco apunta al dispositivo, pero el cifrado solo tiene efecto después del próximo reinicio. Un Mac que nunca se reinicia permanece NOT_ENCRYPTED — pide al empleado que reinicie.
• La clave de recuperación se deposita dentro de las 24 horas después de ese reinicio. Un Mac recién cifrado que muestra MISSING_RECOVERY_KEY en esa ventana se resuelve por sí solo.
• Un Mac cifrado antes de la inscripción tiene una clave que Factorial IT nunca vio — el depósito no es retroactivo. El empleado debe ingresar su contraseña cuando se le solicite para que se pueda generar y depositar una nueva clave (ACTION_REQUIRED).

Windows

• BitLocker comienza a cifrar tan pronto como el control llega al dispositivo, sin necesidad de reinicio, y la clave se almacena tan pronto como se activa el cifrado. Un dispositivo Windows atascado en NOT_ENCRYPTED generalmente tiene un bloqueador, no un retraso.
• BitLocker necesita un TPM funcional. Un TPM faltante o deshabilitado por firmware hace que el cifrado no pueda comenzar.

Detalles del control: Cifrado de disco.

Actualización de SO

Verifica que los dispositivos instalen las actualizaciones de SO requeridas antes de la fecha límite que establezcas.

UP_TO_DATE es el estado de cumplimiento. Entre la fecha de lanzamiento de una actualización y su fecha límite, el dispositivo se mantiene en cumplimiento — NOT_UP_TO_DATE solo se activa una vez que ha pasado la fecha límite. Un dispositivo cuyo SO es demasiado antiguo para Factorial IT en sí es un problema de Soporte de Plataforma, no un problema de Actualización de SO.

Por qué los dispositivos se retrasan en las actualizaciones

• La fecha límite cuenta desde la fecha de disponibilidad de la actualización, no desde cuando configuraste la política. Habilitar la política en una flota que ejecuta versiones anteriores marca esos dispositivos de inmediato — espera una ola de problemas en el primer día.
• El espacio en disco bajo bloquea la actualización en todas las plataformas, y ninguna de ellas libera espacio automáticamente. En macOS 14+, el empleado ve una notificación del sistema; en macOS 13 y versiones anteriores, la ventana de Nudge sigue reapareciendo mientras la descarga falla; en Windows, se le dice al empleado que la actualización falló. Un administrador puede necesitar intervenir.
• El dispositivo estaba apagado cuando pasó la fecha límite. En macOS 14+, la actualización se programa para 1 hora después de que se enciende; en Windows, el empleado recibe el período de gracia configurado antes del reinicio automático.
• El empleado sigue posponiendo dentro de la ventana permitida — la presión aumenta a medida que se acerca la fecha límite (notificaciones horarias 24 horas antes, más frecuentes en la última hora).

Resolver problemas de actualización

Pide al empleado que libere espacio en disco si ese es el bloqueador, luego deja que el flujo de aplicación se ejecute — se escalará por sí solo. Detalles y el horario exacto de notificación por plataforma: Hacer cumplir la versión mínima de SO.

Protección de Endpoint (SentinelOne, ThreatDown)

Disponible una vez que la integración correspondiente esté conectada. Verifica que el agente de protección de endpoint esté instalado y reportando.

ACTIVE es el estado de cumplimiento para ambas herramientas.

Por qué los dispositivos aparecen como no protegidos

• El control se habilitó recientemente — el agente se instala en la próxima sincronización del dispositivo.
• El agente fue desinstalado localmente o no está en funcionamiento.
• La integración en sí está obsoleta. Los tokens de usuario del servicio SentinelOne expiran; una vez que el token caduca, la sincronización se detiene y los estados de protección se vuelven obsoletos en toda la flota. Crea un nuevo token y contacta a nuestro equipo para reemplazarlo. Consulta Renovar el token de usuario del servicio.
• El dispositivo está fuera de línea, por lo que su estado real de protección es desconocido.

Configuración y remediación: SentinelOne, ThreatDown.

Cuentas de administrador (Gestión de usuarios administradores, Rotación de contraseñas de administrador)

Verifica que la cuenta de administrador local gestionada exista, tenga los privilegios esperados y rote su contraseña según lo programado.

Por qué las acciones de la cuenta de administrador se detienen

• CREATION_PENDING en un dispositivo fuera de línea se resuelve una vez que se sincroniza.
• En macOS, la degradación espera hasta que la Factorial IT gestionada tenga un SecureToken — el token del que depende FileVault. Factorial IT deliberadamente no degrada a nadie antes de eso, por lo que el dispositivo nunca se queda sin un administrador que tenga el token, y DEMOTION_PENDING persiste (el dispositivo registra el evento ADMIN_DEMOTION_BLOCKED_SECURE_TOKEN_NOT_GRANTED). El administrador gestionado recibe su token en su primer inicio de sesión en el dispositivo — haz que alguien inicie sesión en esa cuenta una vez, o concede el token manualmente. Consulta las reglas de SecureToken.
• El panel puede tardar hasta 24 horas en actualizar el estado de la cuenta local en la pestaña Usuarios del dispositivo — verifica en el dispositivo antes de concluir un fallo.

Cuando el nombre de usuario ya existe en el dispositivo y Factorial IT no creó la cuenta, Gestión de usuarios administradores lo informa como creado (ADMIN_ACCOUNT_PRE_EXISTING). Factorial IT no retiene su contraseña hasta que un control de rotación de contraseña de administrador lo reemplace.

La regla de Rotación de Contraseña de Administrador reporta sus propios estados: PENDING, SUCCESS, ERROR. SUCCESS es conforme; PENDING se elimina una vez que el dispositivo aplica la rotación, por lo que ERROR es el estado que vale la pena generar un problema.

Un ERROR sin un estado adicional significa que la rotación está atrasada.

Detalles del control: Gestión de administradores, Rotación de contraseñas de administrador.

Bloqueo de iCloud (Bloqueo de Activación)

Solo macOS — El Bloqueo de Activación también existe en iOS y iPadOS, pero esta regla de cumplimiento solo evalúa Macs. Verifica que cuando el Bloqueo de Activación esté activado, Factorial IT tenga el código de bypass, para que el dispositivo pueda recuperarse después de un borrado sin la cuenta de Apple del empleado.

ENABLED (bloqueo activado, código depositado) y DISABLED (bloqueo desactivado) son ambos estados conformes. La regla no produce ningún estado mientras el dispositivo no esté completamente inscrito o su estado de bloqueo siga siendo desconocido.

Por qué falta un código de bypass

El depósito ocurre en el momento en que se activa el Bloqueo de Activación — no es retroactivo. Todas estas deben ser verdaderas para que el código se deposite:

• El dispositivo está supervisado a través de MDM.
• El dispositivo fue inscrito antes de que se habilitara el Bloqueo de Activación. Si el empleado activó Buscar mi antes de la inscripción, no se puede recuperar el código — la única ruta de recuperación son sus credenciales de cuenta de Apple.
• El dispositivo es de la empresa (los dispositivos BYOD no son elegibles).
• El perfil MDM está instalado a nivel del sistema (la inscripción aprobada por el usuario sin Apple Business no deposita códigos de manera confiable).

Análisis y remediación escenario por escenario: Depósito del código de bypass del Bloqueo de Activación.

Recuperación de SO

Solo macOS. Verifica que la configuración de protección de recoveryOS esté aplicada. Solo se evalúan Macs con Apple Silicon — los Macs Intel no pueden soportar la protección recoveryOS y no producen ningún estado en absoluto.

PROTECTED es el estado de cumplimiento. La aplicación completa requiere que el dispositivo esté inscrito con el nivel de supervisión apropiado — un Mac no supervisado es lo primero que hay que verificar en FAILED. Detalles del control: protección recoveryOS.

Por qué falla la protección recoveryOS

Aparte de la supervisión, dos causas dejan a un Mac en FAILED:

• La opción de contraseña de bloqueo de recuperación de la flota está activada. La flota entonces rechaza el comando de Factorial IT y establece su propia contraseña en los Macs recién inscritos.
• El Mac ya tiene una contraseña de bloqueo de recuperación, establecida por otra herramienta o por otro MDM. El Mac rechaza la contraseña de Factorial IT mientras esa esté en su lugar.

Qué hacer para cada causa: Solución de problemas de protección recoveryOS.

Controles entregados por perfil

Firewall, Política de Contraseña, Wi-Fi, Bloqueo de USB, Bloqueo de Aplicaciones, Captura de Pantalla, Desactivar AirDrop, Bloquear Panel de Perfiles, Google Chrome, Nomenclatura de Dispositivos, Archivo de Configuración Personalizado, Web Clip, AirPrint, Actualización de Software (macOS), y los controles SSO (Entra SSO, Okta SSO, Factorial IT SSO) funcionan de la misma manera: Factorial IT entrega una configuración al dispositivo, y el dispositivo reporta de vuelta. Comparten los mismos estados de entrega:

ENFORCED es el estado de cumplimiento.

Por qué falla una configuración al aplicarse

macOS

• Un usuario administrador eliminó el perfil MDM que lleva la configuración (a menos que Bloquear Panel de Perfiles lo impida).
• Problemas con APNs impiden que el dispositivo reciba o valide perfiles — verifica el problema de Estado de Inscripción para el mismo dispositivo.
• El control apunta a una capacidad que el dispositivo carece: los controles SSO de plataforma requieren versiones recientes de macOS (el inicio de sesión en Mac con Factorial IT necesita macOS 27 o posterior), y el empleado debe completar el aviso de registro del proveedor de identidad en su sesión.

Windows

• Windows Home / Family solo aplica parcialmente las políticas de seguridad — varias configuraciones requieren Pro, Enterprise o Education, y fallan sin un error explícito en Home. Consulta las limitaciones de Windows Home.
• Un ajuste en conflicto de un MDM anterior o una política de grupo local anula el valor entregado.

PENDING que persiste generalmente significa que el dispositivo está fuera de línea — soluciona la conectividad primero. Para ERROR, abre el panel del dispositivo y salta al control MDM relacionado para verificar su configuración. Luego reenvía el perfil a ese dispositivo: en la sección Controles MDM del panel, haz clic en Reenviar perfil en la fila del control. El dispositivo instala el perfil en su siguiente registro. Un iPhone o iPad lo instala una vez desbloqueado.

El panel rechaza un reenvío cuando ningún perfil de configuración aplica el control, cuando el perfil es una declaración, cuando no está asignado a este dispositivo, o cuando aún se está entregando. En este último caso, espera a que el dispositivo se registre.

Acceso Remoto (RustDesk)

A diferencia de los controles entregados por perfil, la regla de Acceso Remoto rastrea una instalación de software, no un perfil de configuración.

INSTALLED es el estado de cumplimiento. Un PENDING persistente generalmente significa que el dispositivo está fuera de línea o que la instalación aún está en cola — verifica el estado de instalación del software desde el panel del dispositivo, luego deja que la siguiente sincronización resuelva el problema.

Resolver cualquier problema: el bucle general

1. Abre el panel del dispositivo. Haz clic en la fila del problema en Compliance > Problemas de cumplimiento. Revisa el estado completo del dispositivo a través de cada regla — varios problemas en un dispositivo a menudo comparten una única causa raíz (fuera de línea, agente faltante, perfil eliminado).
2. Separa lo obsoleto de lo real. Verifica cuándo fue la última sincronización del dispositivo. Si ha estado fuera de línea, soluciona la conectividad antes que nada.
3. Corrige la causa raíz. Usa las secciones anteriores. Las acciones de remediación (enviar perfil, bloquear, borrar) están disponibles desde el panel del dispositivo — consulta Gestionar tus dispositivos.
4. Deja que el problema se resuelva por sí mismo. Los problemas se resuelven automáticamente en la siguiente sincronización del dispositivo una vez que el estado mejora. Si un problema nunca debió haberse activado, establece ese estado como Apagar en Compliance > Ajustes de problemas de cumplimiento en su lugar.

Permisos