Qué es el registro de eventos de Windows — y de qué tamaño puede crecer

Qué es en realidad el registro de eventos

El servicio «Registro de eventos de Windows» (eventlog) recoge eventos de decenas de proveedores — controladores, servicios, aplicaciones, el subsistema de seguridad — y los escribe en archivos .evtx binarios en C:\Windows\System32\winevt\Logs\. La cara legible es el Visor de eventos (eventvwr.msc): los mismos registros, pero con nivel de gravedad, origen e identificador. El consejo de siempre, «mira los registros», se refiere exactamente a esta carpeta: es la caja negra del sistema y funciona igual en todo Windows desde Vista.

Cinco canales hacen el trabajo pesado. Aplicación registra bloqueos y cuelgues de programas; Sistema recoge las quejas de controladores y servicios; Seguridad guarda la auditoría de inicios de sesión (4624 éxito, 4625 fallo) y solo la leen los administradores; Instalación lleva la historia de actualizaciones y saltos de versión de Windows. Además existen cientos de canales analíticos y de depuración ocultos que los ingenieros de Microsoft activan cuando hacen falta: existen, pero vienen apagados y apenas escriben nada.

• Application.evtx — bloqueos, cuelgues y eventos de instaladores
• System.evtx — controladores, servicios, avisos de hardware
• Security.evtx — intentos de inicio 4624/4625, solo administradores
• Setup.evtx — la historia de actualizaciones de la propia máquina
• C:\Windows\System32\winevt\Logs\ — aquí viven todos los canales, un .evtx por canal

Límites de tamaño: por qué los registros no devoran el disco

Cada canal tiene su máximo, fijado en Propiedades («Tamaño máximo del registro (KB)») y guardado en el registro de Windows bajo HKLM\SYSTEM\CurrentControlSet\Services\EventLog. En el Windows de escritorio los valores clásicos rondan los 20 MB por canal, ajustables en pasos de 64 KB hasta 4 GB. Ese techo es lo que mantiene los registros en unas decenas de megabytes tras años de uso: al llegar al límite, la directiva por defecto es «Sobrescribir eventos cuando sea necesario (primero los más antiguos)», así que el archivo nunca pasa del techo; los eventos viejos simplemente desaparecen.

La única escapatoria es el archivado: si un registro se pone en «Archivar el registro cuando esté lleno», Windows renombra el archivo completo como Archive-Application-AAAA-MM-DD-hhmmss.evtx y arranca uno nuevo, y las copias se acumulan en la misma carpeta sin limpieza automática alguna. Ese es el único escenario en que winevt\Logs crece de verdad: no los registros vivos, sino años de copias archivadas que nadie pidió.

Recortarlo sin romper nada

No borres los .evtx a mano: el servicio los mantiene abiertos, y eliminar el archivo de un canal vivo a sus espaldas corrompe el registro y te gana errores en — dónde si no — el registro de eventos. La vía soportada es «Borrar registro» en el Visor de eventos, con la opción de guardar antes el contenido. Bajar el máximo en Propiedades es igual de seguro y surte efecto en la siguiente vuelta del registro.

Vaciar tiene además un costo diagnóstico que conviene nombrar: esos registros son el único relato de por qué la máquina se colgó el martes pasado. Vacíalos cuando ya hayas sacado lo que necesitabas, no antes. Como fuente de espacio la carpeta es una cantidad de redondeo — la caché del navegador en la misma máquina es cien veces mayor —, así que el mantenimiento del registro de eventos es una herramienta quirúrgica, no una categoría de limpieza.

Preguntas y respuestas

Sigue leyendo