Visor EVTX

Abre un registro de eventos de Windows en cualquier máquina — sin equipo Windows, sin Visor de eventos, sin instalación. Suelta un archivo .evtx aquí abajo y se analizará localmente en esta pestaña del navegador mediante una versión WebAssembly del mismo motor de análisis que utilizan las herramientas forenses: primero el resumen (número de registros, intervalo de tiempo, canales, proveedores y ID de evento más frecuentes) y después una tabla filtrable en la que cada registro se abre para mostrar sus campos estructurados y su XML en bruto. Los registros de eventos son pruebas — nombran usuarios, máquinas, direcciones IP y horas de inicio de sesión —, así que el archivo nunca se sube, nunca se registra y nunca sale de tu dispositivo.

Última actualización:

Suelta aquí un archivo .evtx o elige uno — hasta 64 MB. Funcionan tanto los registros exportados (clic derecho en un registro en el Visor de eventos → Guardar todos los eventos como…) como los archivos copiados de C:\Windows\System32\winevt\Logs. No se sube nada: el análisis se realiza en tu dispositivo, en un Web Worker, con el progreso a la vista mientras avanza.

El análisis funciona con la crate evtx (Rust, versión 0.14.0), utilizada bajo la licencia MIT o Apache-2.0 y compilada a WebAssembly con una fina capa de adaptación mantenida en el repositorio de este sitio. El analizador se ejecuta por completo en tu navegador.

Qué muestra esto — y qué no puede decirte un .evtx

Un archivo .evtx almacena cada evento como XML binario estructurado: un bloque System (ID de evento, proveedor, canal, nivel, marca de tiempo, ID de registro) y los campos de datos del evento (EventData o UserData). Esa estructura es exactamente lo que muestra este visor — ordenable, filtrable y exportable. Lo que el archivo no contiene es el texto de mensaje amable que muestra el Visor de eventos («Una cuenta no pudo iniciar sesión…»). Windows genera ese texto en la máquina que escribió el registro, a partir de las DLL de mensajes de cada proveedor; valores como %%14592 en los datos son marcadores de posición de esas cadenas de las DLL. Cualquier herramienta que te muestre un texto de mensaje pulido para un .evtx ajeno lo está reconstruyendo o adivinando — esta te muestra los campos, que son la parte que de verdad constituye la prueba, y el XML en bruto cuando quieres ver el registro tal como está almacenado. La guía complementaria, leer archivos EVTX sin una máquina Windows, recorre una rutina de triaje con ID de evento reales.

Dos notas de honestidad más. Las marcas de tiempo dentro de un .evtx están en UTC; el Visor de eventos las muestra convertidas a la hora local de la máquina en la que lo abres, algo que ha confundido más de una cronología — la tabla de aquí se mantiene en UTC y lo dice. Y un registro dañado o truncado no se «limpia» en silencio: los fragmentos que no se pueden analizar se enumeran encima de la tabla con sus desplazamientos en bytes, para que sepas exactamente qué parte del archivo no estás viendo. El daño a nivel de fragmento es normal en registros extraídos de imágenes de disco, y los registros que rodean el daño se analizan igualmente. Para el trabajo vecino de análisis forense de archivos, el analizador PCAP lee capturas de paquetes bajo la misma regla — localmente, sin subirse nunca.

Preguntas frecuentes

¿Puedo abrir un archivo .evtx en un Mac o en una máquina Linux?

Sí — ese es el sentido de esta página. El Visor de eventos solo existe en Windows, pero el formato .evtx es un formato binario documentado, y el analizador de aquí (una versión WebAssembly de la crate evtx de Rust) se ejecuta en cualquier navegador moderno y en cualquier sistema operativo. Copia el archivo desde la máquina Windows o la imagen de disco, suéltalo aquí y léelo donde estés.

¿Por qué no veo el texto del mensaje del evento, como en el Visor de eventos?

Porque no está en el archivo. Un .evtx almacena los campos estructurados de cada evento; la frase que muestra el Visor de eventos se genera en una máquina Windows a partir de la DLL de mensajes del proveedor, que no viaja con el registro. Valores como %%14592 son referencias a esas cadenas de las DLL. Este visor te muestra todo lo que el archivo contiene realmente — el bloque System, cada campo EventData/UserData y el XML en bruto — en lugar de inventarse un texto de mensaje que no puede conocer.

¿Es seguro abrir aquí un registro sensible? ¿Adónde va el archivo?

A ninguna parte. El archivo lo lee un Web Worker en tu propia pestaña del navegador; no hay ningún punto de subida, ninguna cuenta y ningún registro del contenido del archivo. Puedes comprobarlo igual que con las demás herramientas locales de este sitio: carga la página, desconéctate y el análisis seguirá funcionando. Eso importa, porque los registros de eventos nombran usuarios, máquinas y direcciones IP — trátalos como pruebas, no como algo que pegar en convertidores en la nube o en chats de IA.

El resumen enumera fragmentos que no se pudieron leer. ¿Está roto mi archivo?

En parte, y eso es normal en registros recuperados de imágenes de disco o de copias interrumpidas. Un .evtx es una secuencia de fragmentos de 64 KB; el daño suele destruir fragmentos individuales, no el archivo entero. El visor señala cada fragmento ilegible con su desplazamiento en bytes y analiza todo lo que lo rodea, para que sepas con precisión qué falta en lugar de obtener un registro acortado en silencio. Un fragmento que es todo ceros es espacio preasignado, no daño, y se omite sin comentarios — exactamente como lo trata Windows.

¿Qué tamaño de registro puedo abrir?

Hasta 64 MB, lo que con la densidad típica de un registro de Seguridad equivale aproximadamente a 130.000 registros. El análisis avanza por lotes con indicación de progreso, así que incluso un archivo de ese tamaño sigue respondiendo bien; la tabla pagina sus resultados en lugar de mostrar todas las filas a la vez. Si necesitas dividir un registro mayor, exporta los subconjuntos filtrados que te importan como JSON o CSV y trabaja a partir de ellos.