Come attivare la crittografia BitLocker in Windows 11

Cosa protegge BitLocker e cosa gli serve

BitLocker cifra l'intero volume — file di sistema, programmi, i vostri documenti — e la chiave di sblocco non lascia mai il chip TPM, a meno che non esportiate deliberatamente una chiave di ripristino. Un ladro che sfilasse il disco SSD dal portatile si ritrova rumore, non dati; perfino una USB avviabile con pieno accesso al disco non legge niente. La crittografia gira in trasparenza e a costo quasi zero su qualsiasi CPU moderna — che, sull'hardware di questo decennio, significa: su tutte.

L'inghippo sta nell'edizione e nell'hardware. Il BitLocker completo richiede Windows 11 Pro, Enterprise o Education; l'edizione Home offre solo la più leggera «crittografia del dispositivo» sull'hardware supportato. In più servono un chip TPM 2.0 e l'avvio UEFI — standard su qualsiasi macchina con Windows 11 — e una chiave di ripristino che tra due anni riuscirete davvero a ritrovare.

• Un aggiornamento firmware di BIOS, UEFI o TPM che cambia lo stato di avvio misurato
• Sostituzione di scheda madre o CPU, oppure spostamento della SSD in un altro PC
• Modifiche all'ordine di avvio, a Secure Boot o una USB avviabile dimenticata inserita
• Protezione sospesa per manutenzione e mai riattivata
• Un PIN di avvio dimenticato, se lo usate in aggiunta al TPM

Attivare BitLocker, passo per passo

Aprite Pannello di controllo → Sistema e sicurezza → Crittografia unità BitLocker — la via più rapida è cercare Gestisci BitLocker nel menu Start — oppure fate clic destro sul disco C: in Esplora file e scegliete Attiva BitLocker. La procedura guidata chiede prima dove salvare la chiave di ripristino da 48 cifre: account Microsoft, chiavetta USB, file o stampa. L'account Microsoft è la scelta più comoda, e la chiave si recupera in qualsiasi momento su aka.ms/myrecoverykey; l'unica regola che conta è di non tenere mai l'unica copia sull'unità che essa protegge.

Poi scegliete Crittografa solo lo spazio su disco utilizzato — più che sufficiente per dischi in uso quotidiano — oppure Crittografa l'intera unità, meglio per un disco che conteneva già dati, e decidete se eseguire il controllo del sistema BitLocker al riavvio successivo. Dopo il riavvio nel vassoio compare l'icona del lucchetto e la crittografia prosegue in background; lo stato si controlla in ogni momento con manage-bde -status C: da un prompt amministrativo. Su una NVMe moderna l'intero lavoro richiede in genere meno di un'ora. Un controllo prima di cominciare: molti portatili preinstallati girano già con la più leggera crittografia del dispositivo — guardate sotto Impostazioni → Privacy e sicurezza → Crittografia dispositivo — ma solo la procedura completa offre sospensione, PIN di avvio e controllo delle unità dati.

Dopo l'attivazione: sospendere prima degli aggiornamenti firmware, decifrare se serve

Due abitudini tengono BitLocker indolore. Prima di un aggiornamento firmware di BIOS/UEFI o TPM, aprite la solita pagina BitLocker e cliccate Sospendi protezione: i dati restano cifrati, ma Windows smette di far rispettare lo stato di avvio misurato, così l'aggiornamento non innescherà una richiesta di ripristino al boot successivo. Riprendete poi la protezione — o semplicemente riavviate, perché la sospensione termina da sola. Per le unità dati aggiuntive, clic destro sull'unità in Esplora file, attivate BitLocker e spuntate lo sblocco automatico, così si aprono insieme all'unità del sistema.

Rimuovere del tutto BitLocker — Disattiva BitLocker — decifra l'unità per intero, cosa che su un vecchio HDD richiede ore e su una SSD molto meno; se state vendendo il PC, il percorso più pulito è un ripristino di Windows con l'opzione «Rimuovi tutto». E se un giorno Windows chiedesse la chiave di ripristino all'avvio, recuperatela da aka.ms/myrecoverykey invece di tirare a indovinare, perché i tentativi sbagliati ripetuti possono chiudervi fuori dall'unità.

Domande e risposte

Da leggere dopo

Tutti gli articoli · FAQ