Desinstalar Sophos Endpoint en Windows

Una desinstalación correcta de Endpoint consta de dos trabajos separados. Primero se elimina el software Sophos del dispositivo Windows. Solo después se borra de Sophos Fusion (antes Sophos Central) el objeto de dispositivo que ya no se necesita.

Este orden es importante. El borrado en Sophos Fusion no es una desinstalación remota. Elimina el objeto y sus alerts, pero deja en el equipo un agente que todavía esté instalado.

Antes de empezar

• acceso de administrador local
• ventana de mantenimiento activa
• Tamper Protection desactivado para este dispositivo
• el idioma del desinstalador coincide con el de la versión de Sophos Endpoint instalada
• plan de recuperación o rollback
• ninguna limpieza o investigación activa que todavía necesite el Endpoint

La desactivación local durante cuatro horas o por dispositivo en Sophos Fusion se explica en Desactivar Sophos Fusion Tamper Protection de forma segura.

No borrar demasiado pronto: El dispositivo permanece en Sophos Fusion hasta que la desinstalación local se ha completado correctamente. Así siguen disponibles la contraseña, el estado y la información de diagnóstico.

Método de desinstalación compatible

Sophos proporciona en Windows un desinstalador central:

C:\Program Files\Sophos\Sophos Endpoint Agent\SophosUninstall.exe

1. Desactivar Tamper Protection para el dispositivo.
2. Abrir Command Prompt o PowerShell con derechos de administrador.
3. Ejecutar SophosUninstall.exe desde la ruta indicada.
4. Completar el asistente y reiniciar Windows después para finalizar la eliminación.
5. Comprobar después que se han eliminado los servicios Sophos, la interfaz de protección y las aplicaciones Sophos instaladas.

Como alternativa, puede desinstalarse Sophos Endpoint Agent en Settings > Apps > Apps & features en Windows 10 o en Settings > Apps > Installed apps en Windows 11. Windows inicia el mismo desinstalador compatible.

Desinstalación desatendida

Para distribución de software u offboarding controlado, el programa admite la ejecución silenciosa:

PowerShell

& "C:\Program Files\Sophos\Sophos Endpoint Agent\SophosUninstall.exe" --quiet

Command Prompt o archivo .bat

"C:\Program Files\Sophos\Sophos Endpoint Agent\SophosUninstall.exe" --quiet

Para pocos dispositivos, la eliminación interactiva mediante Settings > Apps o el desinstalador sigue siendo el método normal; --quiet se reserva para un despliegue controlado y repetible. Esta ejecución se aplica a Windows 10 (x64) y posteriores, y a Windows Server 2016 y posteriores, con un Core Agent compatible. En plataformas heredadas, Sophos indica uninstallcli.exe --quiet en el mismo directorio; para la eliminación interactiva heredada se utiliza uninstallgui.exe. Antes de un despliegue amplio se deben inventariar el sistema operativo, la arquitectura y la versión de Core Agent. En un archivo batch deben mantenerse las comillas alrededor de la ruta completa y guardarse el archivo con extensión .bat.

Con --language=<LanguageID> puede definirse el idioma del desinstalador mediante un identificador de idioma estándar decimal o hexadecimal. Debe coincidir con el idioma de la versión de Sophos Endpoint instalada. El sistema de despliegue debe evaluar el exit code, las aplicaciones instaladas y un posible reinicio. La finalización del proceso por sí sola no demuestra el éxito.

Los valores numéricos de retorno no se interpretan como códigos generales de Windows:

Sophos documenta el log de desinstalación como C:\Windows\Temp\Sophos Endpoint Agent. Con el código 8, primero se realiza el reinicio ya pendiente y después se vuelve a comprobar el dispositivo. Para otros códigos de error, Avanet recomienda no continuar con reinicios o ejecuciones repetidos. Después de la eliminación debe reiniciarse Windows antes de realizar la validación siguiente. Este reinicio final es obligatorio tanto para la desinstalación interactiva como para la realizada por línea de comandos o batch, aunque el código 0 signifique que el propio desinstalador no lo solicita.

Límites y rollback del despliegue silencioso

--quiet oculta el asistente, pero no elimina requisitos previos ni dependencias del producto. En dispositivos protegidos por ZTNA, Device Encryption o MDR, debe utilizarse primero el flujo de Sophos Fusion Install or uninstall software. Antes del mantenimiento se confirman la recuperación del cifrado, el acceso continuado al dispositivo y la continuidad del servicio de supervisión acordado.

No existe una matriz actual fiable que permita deducir aprobaciones generales por fabricante para combinaciones con otro software de seguridad. Antes de una retirada amplia se hace un inventario de los productos y versiones realmente instalados y se prueba esa combinación exacta en un grupo piloto pequeño. Si un producto bloquea o afecta a la retirada, el caso concreto y sus logs se remiten a los fabricantes implicados; las suposiciones de coexistencia específicas de un fabricante que no estén respaldadas o verificadas no sustituyen esta prueba.

La desinstalación no tiene rollback automático. Avanet recomienda comenzar con un grupo piloto pequeño y mantener disponibles un instalador actual vinculado al tenant y los datos de recuperación. Si falla la validación, el dispositivo no se marca como retirado correctamente: se conservan logs y estado y, como recomendación de seguridad de Avanet, se aísla si es necesario; después se restaura la protección documentada o se escala a Sophos Support.

No confundir con «Manage software»

En My Environment > Computers & Servers, Manage software puede eliminar productos de protección individuales o cambiar Agent Mode. Sophos Core Agent permanece instalado para la gestión y futuros cambios de producto.

Para retirar completamente el dispositivo sigue siendo necesario SophosUninstall.exe. Manage software sirve para cambiar de forma controlada el alcance del producto, no para el offboarding completo.

Comprobar la desinstalación

Tras finalizar el asistente o el comando silencioso y reiniciar Windows, se validan como mínimo estos puntos:

• Sophos Endpoint Agent ya no aparece entre las aplicaciones instaladas.
• Han desaparecido el escudo Sophos y la interfaz Endpoint local.
• Ya no se ejecutan servicios de protección Sophos.
• El producto sucesor previsto está activo y actualizado.
• Windows Security muestra el proveedor de protección esperado.
• El dispositivo no tiene un reinicio Sophos pendiente ni un proceso de desinstalación incompleto.

Una carpeta residual por sí sola no demuestra una instalación activa. Los servicios en ejecución, los productos registrados y el proveedor de protección son más concluyentes.

Eliminar después el dispositivo de Sophos Fusion

La limpieza en Sophos Fusion se realiza solo después de la validación local:

1. Abrir My Environment > Computers & Servers.
2. Seleccionar el dispositivo desinstalado.
3. Confirmar Delete.
4. Comprobar que el objeto ya no aparece en la lista activa.

Al borrar se pierden los alerts asignados al dispositivo. La información necesaria se documenta previamente. Sophos conserva actualmente los dispositivos borrados durante 30 días para su recuperación.

Si el dispositivo ya se borró o la licencia caducó

Con Core Agent 2023.2 o posterior en Windows 10 o posterior o Windows Server 2016 o posterior, normalmente no es necesario recuperar manualmente la contraseña de Tamper Protection tras borrar el dispositivo o caducar la licencia. Un dispositivo borrado puede restaurarse durante 30 días; su contraseña de Tamper Protection permanece disponible durante 120 días en Reports > Reports > Endpoint Protection (o Server Protection) > Restore deleted devices and recover Tamper Protection passwords. No se aplica el antiguo método de Registry y Safe Mode. Para consultar el procedimiento compatible y las excepciones, véase Desinstalar Sophos Endpoint después de borrarlo de Sophos Fusion.

Troubleshooting

SophosUninstall.exe indica Tamper Protection activo

Volver a comprobar el estado de Tamper Protection: abrir My Environment > Computers & Servers, seleccionar el nombre del dispositivo y desplazarse hasta Tamper Protection. Para trabajos breves es apropiado el override local de cuatro horas. Si el dispositivo ya se ha borrado o la licencia ha caducado, debe utilizarse el procedimiento de recuperación independiente enlazado anteriormente.

Falta SophosUninstall.exe

Comprobar primero si Sophos Core Agent sigue correctamente instalado. Un agente dañado o eliminado parcialmente no se limpia con paquetes MSI individuales o borrados de Registry al azar. Conservar los logs de instalación Sophos y utilizar el procedimiento actual de reparación o soporte.

El dispositivo vuelve a aparecer en Sophos Fusion

Probablemente sigue activa o se ha reinstalado una componente de gestión. Comprobar distribución de software, Golden Image, tareas RMM y Core Agent local. Volver a borrar el objeto sin analizar la causa no resuelve el problema.

La desinstalación no termina

Comprobar primero que el idioma del desinstalador coincide con el de la versión de Sophos Endpoint instalada. Comprobar también las limpiezas Sophos activas, Windows Installer, reinicios pendientes y otro software de seguridad. Conservar los logs de instalación y desinstalación antes de intervenir de nuevo.

Falla RemoveSIPSSubmitterUserAccount

Un error en RemoveSIPSSubmitterUserAccount indica que el agente ya se ha eliminado parcialmente. Se recopilan los logs completos de SDU y desinstalación, pero no se crean ni modifican valores de Registry no verificados. Avanet recomienda ejecutar SophosUninstall.exe como máximo una vez más tras resolver un bloqueo claramente demostrado.

Si la eliminación sigue incompleta, no se prueban limpiezas manuales mediante MSI, Registry o Safe Mode ni se ejecuta SophosZap sin una indicación concreta. A Sophos Support se entregan el archivo SDU, el log de desinstalación, el código de retorno, el sistema y la arquitectura, la versión de Core Agent, el comando exacto y su hora, además del estado de Tamper Protection y, si corresponde, ZTNA, Device Encryption o MDR.

SophosZap solo como último recurso

SophosZap no es el método normal de desinstalación ni una forma de eludir Tamper Protection activo. Esta herramienta de limpieza heurística solo se considera cuando se ha comprobado que Tamper Protection está desactivado y SophosUninstall.exe aun así ha fallado o ha dejado una desinstalación incompleta. Si estos requisitos no están totalmente claros, se detienen los intentos locales y se entrega el caso a Sophos Support.

El procedimiento controlado para obtener una copia actual y firmada, revisar los productos Sophos compatibles e incompatibles, gestionar reinicios, localizar el log y respetar los límites de parada está en la sección sobre SophosZap de Desinstalar Sophos Endpoint a pesar de Tamper Protection. Esta guía detallada se vuelve a comprobar justo antes del uso; SophosZap no se incluye preventivamente en paquetes de desinstalación generales.

Preguntas frecuentes