NTFS

Origen y contexto previo

A mediados de los años 1980, Microsoft buscaba competir con los sistemas UNIX y con soluciones más maduras de IBM, y por eso se asoció con IBM para crear un sistema operativo gráfico de nueva generación: OS/2. Como parte de ese ecosistema, IBM desarrolló HPFS (“High Performance File System”), que ya ofrecía mejoras claras sobre Tabla de asignacióon de archivosFAT (tamaños de archivos más grandes, estructura más eficiente, etc.).

Sin embargo, las diferencias estratégicas entre Microsoft e IBM llevaron a la ruptura del proyecto conjunto; OS/2 siguió siendo línea de IBM, mientras Microsoft se orientó hacia su propia arquitectura, bautizada Windows NT. Para ese nuevo kernel de 32 bits, necesitaba un sistema de archivos acorde a sus objetivos: mayor seguridad, recuperación de fallos, soporte para grandes volúmenes y permisos avanzados. De esa necesidad nació NTFS.

Lanzamiento de la primera versión (NTFS v1.0)

La primera versión oficial de NTFS (v1.0) se introdujo en 1993 con Windows NT 3.1. En ese momento NTFS se presentó como un sistema de archivos moderno, orientado a servidores y estaciones de trabajo, con características como:

• Mayor tamaño de volumen y archivo en comparación con FAT16/FAT32.
• Mejor eficiencia y fragmentación reducida.
• Diseño más robusto para proteger la integridad de los datos.

Aunque NTFS 1.0 ya era más avanzado que FAT, aún carecía de muchas de las funciones avanzadas que llegarían después (encriptación, compresión nativa, enlaces duros, etc.).

Evolución temprana: NTFS v1.1 y v1.2

En 1995, con Windows NT 3.51, Microsoft lanzó NTFS v1.1, que trajo mejoras en la gestión de nombres de archivo y la forma de almacenar permisos y descriptores de seguridad (ACLs). Posteriormente, con Windows NT 4.0 (también alrededor de 1995–1996), apareció NTFS v1.2, que incluyó:

• Soporte mejorado para volúmenes grandes.
• Una herramienta de desfragmentación más eficaz.
• Estabilidad y rendimiento optimizados para entornos empresariales.

Esta versión se llegó a conocer informalmente como “NTFS 4.0” por el nombre de la plataforma, aunque internamente el formato de disco seguía siendo NTFS v1.2.

NTFS v3.0 y v3.1: grandes saltos funcionales

En 1999, con Windows 2000, Microsoft presentó NTFS v3.0, un salto importante en funcionalidades. Entre las novedades clave se encuentran:

• Enlaces duros (hard links) a archivos.
• Puntos de montaje de volumen (volúmenes que se integran como carpetas dentro de otros volúmenes).
• Registro de cambios (change journal) para facilitar copias de seguridad y sincronización.
• Mejoras en fiabilidad y recuperación ante fallos.

En 2001, con Windows XP (y Windows Server 2003 más adelante), llegó NTFS v3.1, que añadió mejor soporte para volúmenes dinámicos (que pueden extenderse sobre varios discos físicos y ofrecer tolerancia a fallos), más características de seguridad y una integración más estrecha con el sistema operativo cliente.

NTFS en la era moderna

Desde Windows 2000/XP, NTFS dejó de ser solo un sistema para servidores y se convirtió en el formato predeterminado de discos duros en Windows, reemplazando progresivamente a FAT/FAT32. En versiones posteriores (Windows 7, 8.1, 10, 11 y servidores modernos) se han añadido mejoras de rendimiento, integración con cifrado (EFS), snapshots, soporte para SSD y mejor manejo de espacios grandes, pero el núcleo del formato sigue siendo NTFS v3.x.

Hoy NTFS sigue siendo el sistema de archivos central en Windows, aunque Microsoft ha comenzado a explorar alternativas como ReFS para escenarios específicos de servidores, mientras NTFS mantiene su rol en la mayoría de equipos de escritorio y portátiles.

Límites teóricos y prácticos

NTFS soporta volúmenes teóricos de hasta 16 exabytes (aproximadamente un millón de terabytes), aunque en la práctica depende de la versión de Windows y el tamaño del clúster. En Windows Server 2019 y posteriores (incluyendo Windows 10 v1709+), los volúmenes pueden alcanzar 8 petabytes (PB), mientras que versiones anteriores limitan a 256 terabytes (TB). El número máximo de clústeres es 2^32 - 1, ajustable por tamaño de clúster (por ejemplo, 4 KB por defecto).

Se recomienda un mínimo de 10 GB por partición, con un máximo práctico de 2 TB por volumen en muchos casos, aunque soporta mucho más con GPT. Los archivos individuales están limitados por el tamaño del volumen, permitiendo hasta 16 TB o más en configuraciones óptimas. Funciona bien con terabytes sin problemas, escalando para servidores y estaciones de trabajo de alto rendimiento.

Factores de rendimiento

La Tabla Maestra de Archivos (MFT) reserva espacio (alrededor del 12,5%) para crecimiento, retrasando la fragmentación y mejorando el rendimiento a largo plazo. Soporta clústeres ajustables (de 512 B a 64 KB), optimizando espacio y velocidad para grandes volúmenes. Características como journaling y compresión contribuyen a su eficiencia en datasets masivos. El sistema de archivos NTFS ofrece un soporte sólido y en gran medida interoperable entre las versiones modernas de Windows, permitiendo lectura y escritura sin problemas en la mayoría de los casos.

Compatibilidad con versiones anteriores

Las versiones modernas de Windows (desde XP en adelante) pueden leer y escribir en volúmenes NTFS creados en versiones anteriores sin necesidad de actualizaciones, aunque hay incompatibilidades tempranas: NT 3.1 no lee volúmenes de NT 3.5x sin actualizaciones. Características avanzadas como cuotas, cifrado o compresión introducidas en versiones posteriores (ej. v3.0+) no son totalmente accesibles en sistemas más antiguos, pero el acceso básico a archivos permanece.

Convert.exe es una herramienta nativa de Windows que permite convertir volúmenes de FAT32 (o FAT) a NTFS sin pérdida de datos, preservando archivos y estructura. Se abre el Símbolo del sistema como administrador (busca "cmd" en el menú Inicio, clic derecho y "Ejecutar como administrador"). Luego, ejecuta el comando: `convert X: /fs:ntfs`, donde "X:" es la letra de la unidad a convertir (ej. `convert D: /fs:ntfs`). Confirma con "Y" cuando se solicite y se espera el proceso, que puede tardar minutos según el tamaño. La unidad no debe estar en uso (desmonta volúmenes si es necesario con `/NoSecurity` para omitir permisos NTFS). Funciona en Windows XP en adelante, incluyendo 10/11; no revierte (NTFS a FAT32 requiere formateo). Hay que realizar copias previas por seguridad, aunque es no destructivo.

Compatibilidad con otras plataformas

FreeBSD no cuenta con soporte nativo completo para NTFS en su kernel, pero ofrece soluciones estables mediante drivers de terceros. El método principal es usar NTFS-3G vía FUSE para lectura y escritura confiable.

Linux soporta NTFS de forma nativa desde el kernel 5.15 con el driver `ntfs3`, permitiendo lectura y escritura en particiones de Windows. Antes, se usaba `ntfs-3g` (basado en FUSE) para mayor compatibilidad, aunque más lento.

macOS soporta de forma nativa la lectura de discos formateados en NTFS, pero no permite la escritura por defecto, lo que limita operaciones como editar o eliminar archivos directamente. En versiones recientes como macOS Sequoia, Sonoma o Tahoe, el soporte se mantiene solo para lectura debido a cambios en el montaje de volúmenes por Apple.

Permisos de archivos

[Archivo:Access Control List of Dokuwiki.jpg|miniaturadeimagen|Patrón de una lista de control de acceso (ACL).]] Las listas de control de acceso (ACL) en NTFS son el mecanismo principal para gestionar permisos detallados en archivos y carpetas de Windows. Permiten definir quién puede acceder a un objeto y qué acciones específicas puede realizar.

Componentes clave

• ACL (Access Control List): Lista que regula permisos en objetos del sistema, compuesta por entradas individuales llamadas ACE.
• ACE (Access Control Entry): Cada entrada incluye un SID (identificador de seguridad de usuario/grupo), máscara de permisos (lectura, escritura, etc.), tipo (permitir, denegar o auditar) y alcance de objetos).
• SD (Security Descriptor): Estructura que agrupa propietario, grupo principal, DACL y SACL para cada archivo o carpeta.

Tipos de ACL

• DACL (Discretionary ACL): Controlada por el propietario; define accesos permitidos o denegados para usuarios/grupos.
• SACL (System ACL): Gestiona auditoría de eventos de acceso; requiere privilegios elevados para modificarla.

Los permisos se evalúan combinando herencia (de carpetas padre) y entradas explícitas, priorizando denegaciones sobre permisos. Se aplican a nivel de archivo/directorio vía la pestaña "Seguridad" en Propiedades de Windows o comandos como ICACLS.

Cifrado

El cifrado en NTFS se refiere principalmente al **Sistema de Archivos Cifrados (EFS)**, una función integrada en Windows para proteger archivos y carpetas en volúmenes con formato NTFS. EFS permite cifrar datos de forma transparente a nivel de archivo o carpeta, usando claves asociadas al usuario actual. Solo el propietario o usuarios autorizados pueden acceder, mientras que otros ven los archivos inaccesibles. Requiere NTFS (no funciona en FAT32) y está disponible desde Windows 2000 en adelante.

Registro en diario

NTFS usa journaling o registro en diario para proteger la estructura del sistema de archivos, no el contenido de los archivos en sí. NTFS es un sistema de archivos con registro por diario (journaling) que mantiene un registro interno de las operaciones de metadatos para poder recuperar el volumen tras un apagón o cuelgue. El objetivo es que la estructura lógica del disco (árbol de directorios, MFT, asignación de bloques, etc.) quede siempre consistente, incluso si el sistema se apaga de forma abrupta.

En NTFS realmente hay dos mecanismos de journaling con propósitos distintos:

• $LogFile (journal de transacciones del sistema de archivos). Registra cambios de bajo nivel en metadatos: entradas de la MFT, índices de directorios ($I30), mapa de espacio libre ($Bitmap), e incluso cambios al propio journal. Se usa para “replay” o deshacer/rehacer operaciones tras un fallo, garantizando la consistencia interna del sistema de archivos (que no haya directorios huérfanos, bloques perdidos, etc.).

• $UsnJrnl (USN Change Journal o diario de cambios). Es un registro de alto nivel pensado para que aplicaciones (antivirus, indexadores, herramientas de copia de seguridad, forense) puedan saber qué archivos/directorios cambiaron y por qué. Guarda para cada cambio: nombre de archivo/carpeta, número de MFT, MFT del padre, timestamp, tamaño, atributos y un “reason code” que indica el tipo de modificación (creado, borrado, renombrado, etc.). Suele almacenar días o semanas de actividad, dependiendo del uso y del tamaño configurado, y muchas veces es accesible también en copias de volumen (shadow copies), lo que lo vuelve valioso en análisis forense.

Enlaces duros y Junction points

NTFS tiene soporte para enlaces duros a archivos regulares. Esto significa que pueden tenerse varios archivos apuntando a un solo archivo real. Sobre esta característica se apoyan los Alias, implementado para el usuario final a partir de Windows Vista.

También existe otra característica de NTFS (>3.0) llamada Junction NTFS, que permite crear enlaces simbólicos sólo a directorios (no a archivos regulares), de una forma más transparente que los accesos directos a una carpeta.

Ambas características no están documentadas para el usuario final y no se recomienda utilizarlas (sobre todo JP) a menos que el usuario sepa lo que hace. Si el vínculo no se da en el acceso directo debes buscar si el archivo existe en el disco.

Flujos de datos alternos

Los flujos de datos alternos (Alternate Data Streams o ADS) son una característica del sistema de archivos NTFS de Windows que permite asociar múltiples flujos de datos a un solo archivo, ocultando información adicional sin alterar el contenido principal. Cada archivo NTFS tiene un flujo principal (el contenido visible) y puede incluir flujos alternos nombrados, accesibles solo con sintaxis especial como "archivo.txt:flujo". Estos flujos almacenan metadatos, datos de compatibilidad (como para archivos Mac) o información extra, pero no se muestran en exploradores estándar. Son invisibles en copias a sistemas FAT o exFAT, lo que los hace útiles pero potencialmente riesgosos.

Originalmente para compatibilidad Macintosh, ahora se usan para metadatos o copias de seguridad. En ciberseguridad, el malware los explota para evadir antivirus, ya que muchos escanean solo el flujo principal. Recomendación: auditar ADS en entornos sensibles con herramientas forenses.

Compresión de datos

La compresión de archivos en NTFS utiliza un algoritmo sin pérdida como Lempel-Ziv, ideal para reducir espacio en discos duros de Windows. Funciona de forma transparente, permitiendo acceso directo a archivos comprimidos sin descompresión manual, y es más efectiva en ejecutables (.exe), DLL y datos de sistemas con patrones repetitivos. Comprime bien archivos de texto, código y binarios con redundancia, ahorrando hasta 50% en algunos casos con algoritmos como LZX en Windows 10+. Transparente para apps: no requiere cambios en software existente. Útil para carpetas como Windows o programas poco modificados. No es óptima para JPG, MP3, H.264 o videos, ya que estos ya usan compresión con pérdida interna y no ganan mucho espacio. Para multimedia, se necesitan herramientas externas como con códecs específicos.

Archivos dispersos

Los archivos dispersos en NTFS son un tipo especial de archivos que optimizan el uso del espacio en disco al no asignar bloques físicos para regiones llenas de ceros, almacenándolas solo en metadatos. NTFS soporta archivos dispersos (sparse files), donde el espacio "vacío" se marca como cero sin ocupar disco real hasta que se escriban datos reales. Esto permite crear archivos grandes rápidamente, ideal para bases de datos, máquinas virtuales o copias de seguridad, ya que solo usan espacio asignado cuando es necesario. Son compatibles desde Windows NT y se gestionan vía comandos como FSUtil.

Ventajas

• Ahorro eficiente de espacio: un archivo de 1 TB con pocos datos reales ocupa poco disco.
• Creación rápida de archivos grandes sin asignar bloques por adelantado.
• Útil en entornos virtualizados o con datos escasos.

Desventajas

• Pueden causar fragmentación con el tiempo, afectando el rendimiento.
• Riesgo de errores como "desbordamiento de disco" si el volumen se llena al escribir sobre regiones dispersas.
• Algunas herramientas de disco no muestran el uso real con precisión.

Copias de sombra

Las copias de sombra (Shadow Copies) en NTFS son una función de Windows que crea instantáneas automáticas de volúmenes de disco para recuperación de archivos y puntos de restauración. Shadow Copy, o Volume Shadow Copy Service (VSS), genera copias de solo lectura de archivos y volúmenes NTFS, incluso si están en uso, usando una técnica de "copiar al escribir" para cambios. Requiere formato NTFS y se activa por defecto desde Windows XP, creando instantáneas en eventos como modificaciones de archivos o instalaciones. El proceso involucra congelar temporalmente el volumen, capturar la instantánea y descongelarlo, coordinado por VSS para consistencia en respaldos. Las copias se almacenan en el mismo volumen o en discos externos/red, pero no sustituyen respaldos completos ya que pueden perderse si el disco falla.

NTFS Transaccional

NTFS transaccional es una característica avanzada del sistema de archivos NTFS de Windows. Permite realizar operaciones de archivos dentro de transacciones ACID para garantizar integridad de datos. NTFS transaccional (TxF) integra mecanismos transaccionales en NTFS, agrupando operaciones como crear, modificar o eliminar archivos en una unidad atómica. Si hay un error, toda la transacción se revierte automáticamente, evitando corrupción.

Beneficios clave

• Integridad ACID: Atomicidad (todo o nada), consistencia, aislamiento (cambios no visibles hasta commit) y durabilidad.
• Soporte para transacciones distribuidas con el Kernel Transaction Manager (KTM), abarcando múltiples volúmenes o bases de datos.
• Recuperación rápida vía journaling: registra cambios en metadatos antes de aplicarlos, reduciendo tiempo de chequeo tras fallos.

Se usa en aplicaciones que necesitan alta fiabilidad, como software de bases de datos o actualizaciones críticas. Está disponible desde Windows Vista, pero requiere APIs específicas como CreateFileTransacted.

Cuotas

Las cuotas NTFS son una función del sistema de archivos NTFS en Windows que permite a los administradores limitar el espacio en disco que cada usuario puede usar en un volumen específico. Permiten controlar el almacenamiento por usuario en particiones NTFS, con opciones para monitorear uso, enviar advertencias o bloquear escritura al exceder límites. Se aplican a todo el volumen, no a carpetas individuales (para eso se usa FSRM). Windows escanea el uso cada hora y considera el tamaño original de archivos comprimidos.

Puntos de Reanálisis

Los puntos de reanálisis de NTFS son objetos especiales del sistema de archivos NTFS que permiten extender su funcionalidad mediante redirecciones o procesamiento personalizado. Introducidos en NTFS v3.0 (Windows 2000 en adelante), contienen un "tag de reparse" y datos interpretados por un filtro del sistema de archivos. Estos tags identifican acciones como enlaces simbólicos o puntos de unión.

Usos Comunes

• Enlaces simbólicos y puntos de unión para redirigir accesos a archivos o directorios.
• Puntos de montaje de volúmenes y sockets de dominio Unix.
• Marcadores para Remote Storage o deduplicación de archivos.

La estructura básica incluye un tag de 32 bits (dividido en tipo, flags y propietario Microsoft), longitud de datos y un buffer flexible.

Formato de fecha y hora

NTFS maneja las fechas y horas de archivos y directorios de forma precisa utilizando marcas de tiempo en formato UTC (Coordinated Universal Time). Almacena hasta ocho timestamps por archivo: creación, modificación, último acceso, MFT cambio, acceso al índice, MFT cambio en índice, y dos adicionales para versiones recientes. Cada timestamp usa 64 bits (FILETIME en Windows), con 100 nanosegundos de precisión desde 1601-01-01. Esto permite representaciones como pares de valores de 32 bits para fecha y hora, almacenados en el encabezado del MFT (Master File Table). Windows convierte internamente UTC a hora local al mostrar timestamps en el Explorador, considerando zona horaria y horario de verano (DST). Sistemas FAT usan hora local, pero NTFS siempre almacena en UTC para consistencia entre máquinas. Herramientas como `SetFileDate` o comandos PowerShell permiten editarlos. Desde CMD, `%date%` y `%time%` acceden a la hora del sistema, pero para archivos específicos se usan APIs Win32 o utilidades como `NewFileTime`.

Limitaciones en la creación y modificación de particiones

Al cambiar el tamaño de una partición NTFS hay varias limitaciones prácticas y del propio Windows que conviene tener claras.

Limitaciones técnicas de Windows (Administrador de discos / Diskpart)

• Solo funciona bien con **NTFS**: las herramientas nativas de Windows (Administración de discos y Diskpart) solo permiten reducir/extender volúmenes NTFS o sin sistema de archivos; FAT32 y otros no se pueden redimensionar allí.
• Solo genera espacio libre a la derecha: al usar “Reducir volumen” el espacio no asignado queda siempre a la derecha de la partición que se reduce.
• Para extender, el espacio debe ser contiguo y a la derecha: “Extender volumen” solo funciona si justo después de la partición hay espacio no asignado contiguo en el mismo disco; si hay otra partición en medio, la opción aparece deshabilitada.
• No se pueden mover particiones: las herramientas de Windows no permiten “desplazar” una partición para acercar el espacio libre, solo crear, eliminar, reducir o extender.

Limitaciones por archivos inamovibles y uso del disco

• Archivos inamovibles limitan cuánto puedes reducir: si hay archivos al final de la partición (puntos de restauración, MFT, archivos de paginación, etc.), la reducción máxima puede ser mucho menor que el espacio libre total.
• No se puede cambiar el tamaño de clúster sin formatear: el tamaño de unidad de asignación (cluster) de NTFS solo se puede cambiar reformateando el volumen; implica copia de seguridad, formateo y restaurar datos.
• Partición en uso: la partición del sistema (C:) o particiones con archivos en uso tienen más restricciones, y a veces se requiere reiniciar o usar herramientas externas para cambios complejos.

Riesgos y consideraciones de seguridad

• Operaciones no deshacibles con Diskpart: un error con Diskpart (borrar la partición equivocada, etc.) no tiene “deshacer”, así que siempre conviene copia de seguridad previa.
• Posible pérdida de datos: aunque lo normal es que no pase nada, cualquier operación de redimensionado tiene riesgo si hay cortes de energía, fallos de disco o errores del programa.

Límites lógicos y físicos

• Solo dentro del mismo disco físico: no es posible extender una partición NTFS “uniendo” espacio libre que esté en otro disco; para eso harías volúmenes dinámicos o almacenamiento por software, pero ya no es la misma partición básica.
• Layout de particiones: si existen particiones delante y detrás, el orden en el disco impone qué se puede reducir/extender sin mover otras; las herramientas nativas no reordenan ni mueven particiones.

NTFS, Microsoft OneDrive y Google Drive

NTFS es el sistema de archivos estándar de Windows, con soporte para grandes volúmenes, permisos avanzados y compresión. OneDrive, al ser un servicio de Microsoft, está optimizado para NTFS y requiere esta unidad local para sincronizar archivos correctamente. Google Drive, en cambio, es más flexible y funciona con diversos sistemas de archivos como FAT32 o exFAT sin restricciones específicas.

Compatibilidad con OneDrive OneDrive solo sincroniza desde unidades formateadas en NTFS, rechazando FAT, exFAT o ReFS con un mensaje de error. Esta limitación existe desde su diseño original, aunque no siempre se notificaba claramente. Para usarlo, se debe convertir la unidad a NTFS si es necesario, preservando datos con herramientas como Windows Disk Management.

Compatibilidad con Google Drive Google Drive no impone requisitos de sistema de archivos como NTFS y sincroniza bien con FAT32, exFAT o NTFS en Windows, Mac o Linux. Su cliente de escritorio (Drive for Desktop) prioriza la accesibilidad multiplataforma sin bloqueos por formato. Esto lo hace ideal para unidades USB o discos externos en cualquier SO.

En español

• Cómo recuperar particiones NTFS dañadas

En inglés

• Microsoft NTFS Technical Reference