Jak włączyć szyfrowanie BitLocker w Windows 11

Czego BitLocker chroni i czego wymaga

BitLocker szyfruje cały wolumin — pliki systemowe, programy, twoje dokumenty — a klucz odblokowujący nie opuszcza modułu TPM, dopóki sam nie wyeksportujesz klucza odzyskiwania. Złodziej, który wyciągnie SSD z laptopa, dostanie szum, nie dane; nawet bootowalny pendrive z pełnym dostępem do dysku niczego nie odczyta. Szyfrowanie działa przezroczyście i praktycznie bez kosztów na każdym nowoczesnym procesorze — a na sprzęcie tej dekady to znaczy: na każdym.

Haczyk tkwi w edycji systemu i sprzęcie. Pełny BitLocker wymaga Windows 11 Pro, Enterprise lub Education; edycja Home oferuje jedynie lżejsze „szyfrowanie urządzenia” na obsługiwanym sprzęcie. Poza tym potrzebny jest moduł TPM 2.0 i rozruch UEFI — standard w każdym komputerze z Windows 11 — oraz klucz odzyskiwania, który za dwa lata faktycznie uda się odnaleźć.

• Aktualizacja BIOS, UEFI lub firmware modułu TPM, która zmienia mierzony stan rozruchu
• Wymiana płyty głównej lub procesora albo przeniesienie SSD do innego komputera
• Zmiany w kolejności rozruchu, Secure Boot albo zapomniany w porcie pendrive startowy
• Ochrona wstrzymana na czas serwisu i nigdy nie wznowiona
• Zapomniany PIN startowy, jeśli używasz go dodatkowo obok modułu TPM

Włączanie BitLockera krok po kroku

Otwórz Panel sterowania → System i zabezpieczenia → Szyfrowanie dysku funkcją BitLocker — najszybciej szukając w Start „Zarządzanie funkcją BitLocker” — albo kliknij dysk C: prawym przyciskiem w Eksploratorze i wybierz Włącz funkcję BitLocker. Kreator najpierw zapyta, gdzie zapisać 48-cyfrowy klucz odzyskiwania: na koncie Microsoft, na pendrive, w pliku lub w wydruku. Konto Microsoft jest najwygodniejsze — klucz możesz pobrać w każdej chwili na aka.ms/myrecoverykey; jedna zasada, która się naprawdę liczy: nigdy nie trzymaj jedynej kopii na dysku, który ta kopia ma chronić.

Potem wybierz Szyfruj tylko używane miejsce na dysku — w zupełności wystarcza dla dysków w codziennym użyciu — albo Szyfruj cały dysk, lepszy dla nośnika, na którym dane już leżały, i zdecyduj, czy przy następnym restarcie uruchomić test systemowy BitLockera. Po restarcie w zasobniku pojawi się kłódka, a szyfrowanie będzie się ciągnąć w tle; postęp sprawdzisz w każdej chwili komendą manage-bde -status C: w konsoli administratora. Na nowoczesnym dysku NVMe cała robota zajmuje zwykle mniej niż godzinę. Jedna kontrola na dokładkę: wiele fabrycznie instalowanych laptopów ma już od razu włączone lżejsze szyfrowanie urządzenia — zajrzyj do Ustawienia → Prywatność i zabezpieczenia → Szyfrowanie urządzenia — ale pełny kreator daje ci wstrzymywanie ochrony, PIN startowy i kontrolę nad dyskami z danymi.

Po włączeniu: wstrzymuj przed aktualizacjami firmware, w razie potrzeby odszyfruj

Dwa nawyki sprawiają, że BitLocker nie boli. Przed aktualizacją BIOS/UEFI lub firmware modułu TPM otwórz tę samą stronę BitLockera i kliknij Wstrzymaj ochronę: dane pozostają zaszyfrowane, ale Windows przestaje pilnować mierzonego stanu rozruchu, więc aktualizacja nie wywoła monitu o klucz odzyskiwania przy następnym starcie. Potem wznowić ochronę — albo po prostu zrestartuj, bo zawieszenie kończy się samo. Dodatkowe dyski z danymi klikasz prawym przyciskiem w Eksploratorze, włączasz BitLocker i zaznaczasz automatyczne odblokowywanie, żeby otwierały się razem z dyskiem systemowym.

Całkowite usunięcie BitLockera — Wyłącz funkcję BitLocker — odszyfrowuje dysk do zera, co na starym HDD trwa godziny, a na SSD dużo krócej; jeśli sprzedajesz komputer, czystszą drogą jest reset Windowsa z opcją „Usuń wszystko”. A jeśli Windows kiedykolwiek zażąda przy starcie klucza odzyskiwania, pobierz go z aka.ms/myrecoverykey zamiast zgadywać — powtórzone błędne próby mogą zablokować ci dostęp do dysku.

Pytania i odpowiedzi

Przeczytaj także

Wszystkie poradniki · Pytania i odpowiedzi