URL de Windows Update: qué endpoints abrir para que las actualizaciones funcionen

Cuando Windows Update se queda descargando al 0 %, da un código 0x80072xxx o repite «Hubo problemas al instalar algunas actualizaciones», lo más probable es que el firewall o el proxy de la red esté cerrando las direcciones que Update, Defender y Edge necesitan para llegar a los servidores de Microsoft. Aquí se entiende por URL de Windows Update los FQDN oficiales que Microsoft publica (no hay una sola URL: son varios dominios, casi todos por HTTPS 443). En un PC doméstico con Windows 10 u 11 conectado por una red normal, casi nunca hay que tocarlos: si Windows Update falla, el problema suele estar en otro sitio. Donde sí importa es en redes corporativas, máquinas de Azure sin internet, detrás de un proxy o de Azure Firewall, y al montar WSUS o Microsoft Connected Cache.

Qué es una URL de Windows Update y para qué sirve

Windows Update, Microsoft Update y WSUS necesitan llegar a varias direcciones de Microsoft para bajar parches de seguridad, actualizaciones de características, definiciones de Microsoft Defender y contenido de Microsoft Edge. En condiciones normales, basta con abrir tráfico HTTPS 443 saliente hacia los dominios oficiales; el contenido de descarga puede usar también HTTP 80. En una red doméstica no hace falta tocar nada: el router y el firewall de Windows ya lo permiten. Sí hay que intervenir cuando el PC está en una red cerrada, detrás de Azure Firewall, obligado a salir por un proxy, o cuando se usa WSUS o Microsoft Connected Cache como intermediario. La idea es la misma que al abrir un puerto: decirle al firewall qué destinos son de confianza.

Las URL que Windows Update, Defender y Edge necesitan

Comprueba qué URL está bloqueando la actualización

Antes de tocar el firewall conviene ver en el propio PC qué endpoint falla. Las tres comprobaciones que siguen sirven para eso: no arreglan nada, solo dicen dónde está el bloqueo.

El historial de actualizaciones y su código

1. Pulsa Win+I para abrir Configuración.
2. Entra en Windows Update y abre Historial de actualizaciones.
3. Anota el código de error (por ejemplo 0x80072ee2, 0x800f0922) del KB que falla.
4. Si el mensaje apunta a la red, ve al siguiente punto (Visor de eventos).

El Visor de eventos con el evento 20

1. Pulsa Win+R, escribe eventvwr.msc y pulsa Aceptar.
2. En el panel izquierdo abre Registros de Windows y entra en Sistema.
3. En el panel derecho pulsa Filtrar registro actual… y pon 20 en Incluye/Excluye identificadores de evento; marca el origen WindowsUpdateClient.
4. Lee el último evento: en Descripción aparece el KB y el error (0x80072…, 0x800f0922…).

Probar el endpoint a mano con PowerShell o el navegador

Abre Terminal (clic derecho en Inicio > Terminal en Windows 11; en Windows 10 busca Windows PowerShell) y ejecuta:

Test-NetConnection -ComputerName download.windowsupdate.com -Port 443

ComputerName     : download.windowsupdate.com
RemoteAddress    : 23.32.253.150
InterfaceAlias    : Ethernet
SourceAddress     : 192.168.1.20
TcpTestSucceeded  : True

Abrir las URL que faltan en el firewall del PC

Cuando solo Windows Update falla pero el resto de la red va bien, lo más probable es una regla local del Firewall de Windows Defender con seguridad avanzada. Aquí se abre sin tocar nada de red.

Permitir Windows Update como app en el firewall

1. Pulsa Win+R, escribe wf.msc y pulsa Aceptar.
2. En el panel izquierdo abre Reglas de entrada; revisa si hay alguna regla llamada Windows Update o que apunte al servicio `wuauserv desactivada. Si la encuentras, haz clic derecho y Habilitar regla**.
3. Si no existe, en el panel derecho pulsa Nueva regla…:

– Tipo: Programa. – Programa: C:\Windows\System32\svchost.exe. – Acción: Permitir la conexión. – Perfil: Dominio, Privado y Público. – Nombre: Windows Update (wuauserv).

1. Repite en Reglas de salida.

Añadir los FQDN como regla de salida nueva

1. Pulsa Win+R, escribe wf.msc y pulsa Aceptar.
2. Entra en Reglas de salida y pulsa Nueva regla….
3. Tipo: Personalizada.
4. Programa: Todos los programas.
5. Protocolo y puertos: TCP, puertos locales todos, puertos remotos 80, 443.
6. Ámbito > ¿Qué direcciones IP remotas?: Estas direcciones IP y pulsa Agregar en el cuadro FQDN remoto: *.windowsupdate.microsoft.com, *.update.microsoft.com, *.windowsupdate.com, download.windowsupdate.com, download.microsoft.com.
7. Acción: Permitir la conexión.
8. Nombre: Windows Update – FQDN.

Abrir las URL en Azure Firewall o un proxy corporativo

En máquinas sin internet directo o detrás de Azure Firewall hay que abrir los FQDN en el perímetro, no en el PC.

Aplicar la etiqueta FQDN "WindowsUpdate" en Azure Firewall

1. Entra en Azure Portal y abre el recurso Firewall.
2. Ve a Reglas (clásica) o a la directiva de firewall asociada.
3. Pulsa Agregar colección de reglas de aplicación.
4. Nombre: WindowsUpdate-Outbound; acción Permitir; prioridad 100.
5. En FQDN tags marca WindowsUpdate.
6. Protocolo HTTPS:443.
7. Aplica y guarda.

Dar salida por un proxy HTTP explícito

Abre Símbolo del sistema como administrador (clic derecho en Inicio > Terminal (Administrador) en Windows 11; Windows PowerShell (Administrador) en Windows 10) y ejecuta:

netsh winhttp set proxy proxy.miempresa.local:8080

netsh winhttp show proxy

Current WinHTTP proxy settings:
    Direct access (proxy server not set).

Recibir las URL por un servidor interno (WSUS o Connected Cache)

Cuando no se quiere exponer nada a internet, típico en Windows Server 2022 y en Azure, se apunta Windows Update a un WSUS o a una Microsoft Connected Cache.

Apuntar Windows Update al WSUS por directiva

1. Pulsa Win+R, escribe gpedit.msc y pulsa Aceptar.
2. Entra en Configuración del equipo > Plantillas administrativas > Componentes de Windows > Windows Update.
3. Abre Especificar la ubicación del servicio de actualización de intranet y pon Habilitada.
4. Rellena URL del servidor de estadísticas y URL del servidor de actualizaciones con la dirección interna del WSUS (por ejemplo http://wsus.miempresa.local:8530).
5. Ejecuta gpupdate /force en el Símbolo del sistema.

Activar Microsoft Connected Cache para reducir ancho de banda

1. Despliega un nodo de Microsoft Connected Cache (servidor Windows Server o máquina en Azure).
2. Configúralo como punto de caché; el cliente Windows Update lo descubre automáticamente en la subred.
3. Abre el puerto 80 saliente desde los PCs al nodo de caché (no a Microsoft).

Si todo está abierto y Windows Update sigue fallando

Si los endpoints responden y aun así Windows Update no avanza, el problema no es de URL: es del propio PC. Comprueba en este orden.

1. Comprueba que el servicio Windows Update (wuauserv) está en Manual y no Deshabilitado. Pulsa Win+R, escribe services.msc y búscalo; también vale sc query wuauserv en la consola.
2. Verifica que el proxy de WinHTTP coincide con el del sistema: netsh winhttp show proxy.
3. Reinicia los tres servicios y vacía la caché. En Símbolo del sistema como administrador:

net stop wuauserv
net stop bits
net stop cryptsvc
ren C:\Windows\SoftwareDistribution SoftwareDistribution.old
ren C:\Windows\System32\catroot2 catroot2.old
net start cryptsvc
net start bits
net start wuauserv

1. Repara archivos de sistema e imagen:

DISM /Online /Cleanup-Image /RestoreHealth
sfc /scannow

Lo que ya sabes de las URL de Windows Update

• La base es HTTPS 443 saliente hacia los dominios oficiales de Microsoft; HTTP 80 se usa para descarga de contenido y Connected Cache.
• La lista completa de FQDN está publicada en learn.microsoft.com y conviene revisarla tras cada update Tuesday.
• Microsoft Defender y Microsoft Edge comparten los FQDN de Windows Update, más los suyos de protección en la nube (*.wdcp.microsoft.com) y entrega (*.dl.delivery.mp.microsoft.com).
• En Azure Firewall basta con aplicar la etiqueta FQDN WindowsUpdate a una regla de aplicación HTTPS:443 para cubrir todos los dominios.
• WSUS y Microsoft Connected Cache evitan abrir nada a internet y descargan el contenido una sola vez al servidor interno.
• En un PC doméstico con Windows 10 u 11 casi nunca hay que tocar nada: si Windows Update falla, empieza por reiniciar, el solucionador y DISM / sfc.

Si tras abrir las URL correctas Windows Update sigue sin avanzar, vuelve a «Si todo está abierto y Windows Update sigue fallando» y sigue los pasos de menos a más.

Dudas sobre las URL que Windows Update necesita