Como ativar a criptografia BitLocker no Windows 11

O que o BitLocker protege e o que ele exige

O BitLocker criptografa o volume inteiro — arquivos do sistema, programas, seus documentos — e a chave de desbloqueio nunca sai do chip TPM, a não ser que você mesmo exporte uma chave de recuperação. O ladrão que arranca o SSD do notebook leva ruído, não dados; nem um USB bootável com acesso total ao disco consegue ler algo. A criptografia é transparente e praticamente sem custo em qualquer CPU moderna com aceleração AES.

As restrições ficam por conta da edição e do hardware. O BitLocker completo exige Windows 11 Pro, Enterprise ou Education; a edição Home oferece só a “criptografia de dispositivo” em hardware compatível. Além disso, você precisa de um chip TPM 2.0 e boot UEFI — padrão em qualquer máquina com Windows 11 — e de uma chave de recuperação que você vá de fato encontrar daqui a dois anos.

• Uma atualização de BIOS, UEFI ou firmware do TPM que altere o estado de boot medido
• Troca de placa-mãe ou processador, ou mudança do SSD para outro PC
• Mudanças na ordem de boot ou no Secure Boot, ou um USB bootável esquecido na porta
• Proteção suspensa para manutenção e nunca retomada
• Um PIN de inicialização esquecido, se você usar um além do TPM

Ativando o BitLocker passo a passo

Abra Painel de Controle → Sistema e Segurança → Criptografia de Unidade de Disco BitLocker — o mais rápido é buscar «Gerenciar BitLocker» no menu Iniciar — ou clique com o botão direito em C: no Explorador de Arquivos e escolha «Ativar BitLocker». O assistente pergunta primeiro onde salvar a chave de recuperação de 48 dígitos: conta Microsoft, unidade flash USB, arquivo ou impressão. A conta Microsoft é a opção mais prática, e a chave se recupera a qualquer momento em aka.ms/myrecoverykey; a única regra de ouro é nunca guardar a única cópia na unidade que ela protege.

Em seguida escolha “Criptografar somente o espaço em disco usado” — suficiente para uma unidade em uso — ou “Criptografar a unidade inteira”, melhor para um disco que já guardou dados, e decida se roda a verificação do sistema BitLocker no próximo reinício. Depois do reboot aparece o cadeado na bandeja e a criptografia avança em segundo plano; o progresso é consultado com manage-bde -status C: em um prompt de administrador. Num NVMe moderno, o trabalho todo costuma ficar abaixo de uma hora. Uma checagem antes: em muitos notebooks de fábrica a “criptografia de dispositivo” já vem ativa — veja em Configurações → Privacidade e segurança → Criptografia de dispositivo —, mas só o assistente completo oferece suspensão, PIN de inicialização e controle das unidades de dados.

Depois de ativar: suspender antes de atualizar firmware e descriptografar se preciso

Dois hábitos evitam dor de cabeça. Antes de uma atualização de BIOS/UEFI ou do TPM, abra a mesma página do BitLocker e clique em «Suspender proteção»: os dados continuam criptografados, mas o Windows para de exigir o estado de boot medido, então a atualização não vai disparar um pedido de chave no boot seguinte. Retome depois — ou simplesmente reinicie, pois a suspensão termina sozinha. Unidades de dados extras são criptografadas pelo clique com o botão direito no Explorador, marcando o desbloqueio automático para que abram junto com a unidade do sistema.

Remover o BitLocker por completo — «Desativar BitLocker» — descriptografa a unidade inteira: horas num HDD antigo, bem menos num SSD; se você vai vender o PC, redefinir o Windows com a opção “Remover tudo” é o caminho mais limpo. E se o Windows pedir a chave de recuperação na inicialização, busque-a em aka.ms/myrecoverykey em vez de chutar: depois de várias tentativas erradas, o acesso à unidade pode ser bloqueado.

Perguntas e respostas

Continue lendo

Todos os artigos · FAQ