O BitLocker protege os dados de um notebook perdido ou roubado. Veja como ele funciona, como ativá-lo e o erro que as pessoas mais cometem.
O que ele protege — e o que não protege
A criptografia não protege contra tudo. Saiba onde ela ajuda.
| Situação | O BitLocker ajuda? |
|---|---|
| Notebook perdido ou roubado (desligado) | Sim — o conteúdo é texto cifrado; ilegível sem credenciais/chave de recuperação |
| Disco arrancado e ligado a outro PC | Sim — o mesmo; levá-lo embora não adianta |
| Alguém usa/espia seu PC já com a sessão iniciada | Não (isso é login forte + bloqueio automático) |
| Infecção por malware / phishing | Não (precisa de defesas separadas) |
Como funciona (em resumo)
A chave é guardada pelo TPM (o chip de segurança do PC), vinculada à integridade do hardware e liberada na inicialização. Para mais robustez, exija um PIN na inicialização.
O mais importante: guardar a chave de recuperação em segurança
Com o BitLocker, o verdadeiro problema raramente é "ser quebrado" — é se trancar para fora.
Perca a chave de recuperação e seus próprios dados nunca mais abrem
Uma mudança no TPM, a troca da placa-mãe ou uma atualização de firmware podem fazer o BitLocker pedir a chave de recuperação de 48 dígitos. Se você não a salvou, você — o legítimo dono — fica trancado para fora dos seus dados. A regra: guarde-a fora do PC criptografado. Salvá-la apenas dentro do mesmo PC significa que você não consegue alcançá-la durante um bloqueio.
Como ativá-lo
Verifique sua edição
Ative-o e salve a chave de recuperação FORA do PC
Para mais robustez, exija um PIN
Use o BitLocker To Go para discos externos/USB
Como verificar seu próprio PC
Não suponha que o disco está criptografado. Verifique o estado dele e onde a chave de recuperação de fato está guardada.
Veja se a criptografia está ativa
Veja os detalhes pela linha de comando
manage-bde -status. Para cada disco, ele mostra o "Protection Status" (status da proteção), o método de criptografia e a porcentagem criptografada. Se a proteção estiver desativada, o disco não está protegido, mesmo que esteja criptografado.Descubra onde a chave de recuperação está guardada
manage-bde -protectors -get C: para saber qual chave pertence a qual disco.Suspenda antes de uma atualização de BIOS
Um PC só com conta local pode estar criptografado, mas não protegido
Segundo a Microsoft, a criptografia de dispositivo começa num estado equivalente a "suspenso", com a chave armazenada sem proteção. A proteção é ativada quando a chave de recuperação é salva numa conta Microsoft (ou, em PCs de trabalho, no Entra ID ou similar). Um PC usado só com uma conta local continua no estado desprotegido, embora os dados estejam criptografados. Verifique o status da proteção com o manage-bde -status acima.
Exemplo: a pane de 2024 que fez muita gente precisar da chave de recuperação
Em julho de 2024, uma atualização de um produto de segurança corporativo deixou muitas máquinas Windows sem conseguir iniciar. A Microsoft estimou que cerca de 8,5 milhões de dispositivos foram afetados.
Os passos de recuperação publicados pela Microsoft exigiam iniciar o PC no Modo de Segurança ou no ambiente de recuperação, e avisavam que a chave de recuperação do BitLocker poderia ser pedida no caminho. Nas máquinas em que ninguém sabia onde a chave estava guardada, a recuperação parou nesse ponto.
Chaves de recuperação não servem só para casos de roubo. Este caso mostra o que ajuda a se preparar:
- Mantenha a chave de recuperação fora do dispositivo e num lugar onde você a encontre rápido (uma conta Microsoft para pessoas físicas; Entra ID ou Active Directory para organizações)
- Registre a qual dispositivo pertence cada ID de chave de recuperação
- Decida quem pode ver as chaves de recuperação (quem tem a chave consegue ler tudo naquele disco)
Como localizar a chave está em Como encontrar sua chave de recuperação do BitLocker.
Como ele difere de recursos parecidos
| Recurso | O que ele criptografa | Onde você o encontra |
|---|---|---|
| BitLocker | O disco do sistema e os discos internos (também discos externos e USB, com o BitLocker To Go) | Windows Pro / Enterprise / Education |
| Criptografia de dispositivo | O disco do sistema e os discos internos (não discos externos ou USB) | Dispositivos compatíveis, inclusive com Windows Home. Usa o mesmo mecanismo do BitLocker |
| FileVault | O disco de inicialização | macOS |
| EFS (Encrypting File System) | Arquivos e pastas individuais | Windows. Não protege o disco inteiro |
Para as diferenças mais finas entre o BitLocker e a criptografia de dispositivo (telas de configuração, protetores disponíveis), veja BitLocker vs criptografia de dispositivo. Para desativar o BitLocker com segurança, veja Como desativar o BitLocker.
A visão deste site: a proteção mínima para qualquer dispositivo que sai do prédio
A criptografia de disco é o mínimo para qualquer dispositivo que você leva para fora. Um notebook está cheio de material que, se vazar, leva a danos maiores: senhas salvas, chaves SSH, arquivos de trabalho. Sem criptografia, um roubo significa que o disco é arrancado e tudo isso é lido. Ative o BitLocker (ou o FileVault num Mac) e guarde a chave de recuperação fora do PC. Esses dois passos reduzem uma perda ou roubo a "você só perdeu o hardware". Mas a criptografia é uma defesa para o estado "desligado", então sempre combine-a com um login forte e bloqueio automático.
Leia a seguir
- Se o PC pedir a chave de recuperação: Como encontrar sua chave de recuperação do BitLocker
- Para desativar: Como desativar o BitLocker
- Na estrada: Protegendo um notebook que você carrega por aí
- Inventário: Inventário de segurança (auditando o PC que guarda suas chaves)
- Armazenamento: Como escolher um gerenciador de senhas
- Comparação: BitLocker vs criptografia de dispositivo
Fontes (primárias)
- Microsoft Learn, "BitLocker overview" — learn.microsoft.com (edições compatíveis, TPM e PIN, requisitos da criptografia de dispositivo e backup da chave de recuperação, requisitos flexibilizados no Windows 11 24H2, XTS-AES 128 como padrão)
- Microsoft Learn, "BitLocker recovery overview" — learn.microsoft.com (o que dispara a recuperação, a senha de recuperação de 48 dígitos, locais de armazenamento, suspender e retomar)
- Blog oficial da Microsoft (20 de julho de 2024, sobre a resposta à pane) — blogs.microsoft.com (número estimado de dispositivos afetados)
- Microsoft Support, "KB5042421" (passos de recuperação da pane) — support.microsoft.com (a chave de recuperação pode ser pedida durante a recuperação)