Como ativar o BitLocker no Windows 11 e salvar a chave

Notebook esquecido no banco de trás do carro, SSD retirado e plugado em outra máquina: sem criptografia de disco, o ladrão lê seus arquivos em dois minutos, e a senha do Windows não atrapalha em nada, porque ela só vale quando o sistema está rodando. O BitLocker fecha essa porta criptografando o volume inteiro. O problema é que muita gente ativa sem saber onde foi parar a chave de recuperação, e aí o primeiro erro de boot vira perda total dos dados. Este tutorial mostra como ativar, onde a chave fica guardada e como confirmar que o disco está protegido.

Device Encryption ou BitLocker: qual você tem?

Qual a diferença entre Criptografia de dispositivo e BitLocker no Windows 11?

A Criptografia de dispositivo (Device Encryption) é uma versão simplificada que liga o BitLocker automaticamente e só oferece um botão de ligar/desligar; o BitLocker completo, com escolha de onde guardar a chave e controle por unidade, exige Windows 11 Pro ou superior.

Segundo a documentação da Microsoft, a Criptografia de dispositivo está disponível em todas as edições do Windows, criptografa o disco do sistema e as unidades fixas (não pendrives) e usa por padrão o método XTS-AES de 128 bits. A partir do Windows 11 24H2, os pré-requisitos antigos (Modern Standby/HSTI e ausência de portas com acesso DMA) foram removidos, então mais máquinas passam a se qualificar. Para saber se a sua se qualifica, abra o msinfo32 e procure a linha Suporte a Criptografia de Dispositivo (Device Encryption Support): se disser Atende aos pré-requisitos, você está dentro.

Passo 1: ativar no Windows 11 Home (Criptografia de dispositivo)

Entre no Windows com uma conta Microsoft com permissão de administrador. Esse detalhe importa: segundo a Microsoft, num PC que só usa contas locais o disco até fica criptografado, mas a chave não é protegida e o equipamento continua sem proteção efetiva.

1. Abra Configurações > Privacidade e segurança > Criptografia de dispositivo.
2. Ligue a chave Criptografia de dispositivo.
3. Aguarde. A tela só mostra o recurso como ativo depois que a criptografia termina, e o Windows pode adiar o processo se detectar uso intenso ou se o notebook estiver na bateria.

Se a opção nem aparece, o PC não cumpre os requisitos de hardware ou de firmware (TPM e inicialização UEFI com Secure Boot ajudam). Nesse caso, a saída é subir para o Pro ou usar uma ferramenta de terceiros, como o VeraCrypt.

Passo 2: ativar no Windows 11 Pro (BitLocker completo)

1. Clique em Iniciar e digite Gerenciar BitLocker.
2. Na unidade do sistema (geralmente C:), clique em Ativar o BitLocker.
3. Escolha como salvar a chave de recuperação (veja o passo 3). Faça isso antes de continuar: o assistente não avança sem essa etapa.
4. Escolha o escopo. Em PC novo, criptografar só o espaço usado é rápido e suficiente. Em PC usado há anos, prefira criptografar a unidade inteira, porque arquivos apagados antes ainda podem estar nos setores livres.
5. Escolha o modo de criptografia. Para a unidade interna fixa, o modo novo (XTS-AES) é o indicado; o modo de compatibilidade só faz sentido para discos que você vai plugar em versões antigas do Windows.
6. Marque Executar verificação do sistema do BitLocker, reinicie e deixe o processo terminar. Você pode usar o PC enquanto ele roda.

O BitLocker usa o chip TPM para liberar o disco no boot sem pedir nada. Em máquinas sem TPM, a Microsoft documenta que é obrigatório salvar uma chave de inicialização em um dispositivo removível (a opção de senha existe, mas é desencorajada e vem desativada por padrão, porque não tem bloqueio contra tentativas repetidas).

Passo 3: guardar a chave de recuperação

Onde fica a chave de recuperação do BitLocker?

A chave é um número de 48 dígitos. Se o PC usa conta Microsoft, ela fica na sua conta, em aka.ms/myrecoverykey; se você imprimiu ou salvou em pendrive, está lá; em PC de empresa ou escola, fica na conta corporativa.

Quando o BitLocker pede a chave (troca de placa-mãe, atualização de firmware, mudança em configuração de boot), a tela mostra os 8 primeiros dígitos do ID da chave. Use esse ID para achar a chave certa na lista da sua conta, a partir de outro dispositivo. A própria Microsoft avisa que o suporte não consegue recuperar, fornecer nem recriar uma chave perdida. Sem ela, o caminho que sobra é redefinir o PC, e isso apaga tudo.

Boas práticas para a chave:

• Guarde uma cópia fora do PC criptografado: gerenciador de senhas, impressão guardada em local seguro ou pendrive. O guia sobre como usar o Bitwarden ajuda a organizar isso.
• Se a chave está na conta Microsoft, essa conta passa a ser a porta de entrada dos seus dados. Proteja com autenticação em dois fatores ou, melhor, com passkeys.
• Não salve o arquivo da chave na própria unidade C:. Parece óbvio, mas é o erro mais comum.

Passo 4: conferir se o disco está mesmo protegido

Abra o Prompt de Comando ou o PowerShell como administrador e rode:

manage-bde -status C:

Veja estas linhas na saída:

• Status da Conversão: deve ficar em Totalmente Criptografado (ou Somente o Espaço Usado Criptografado), e não em Criptografia em Andamento.
• Status da Proteção: deve ser Proteção Ativada. Se aparecer Proteção Desativada com o disco criptografado, o BitLocker está suspenso e a chave fica "em claro" no disco. Isso acontece, por exemplo, enquanto a chave de recuperação ainda não foi salva.

Para listar os protetores configurados e ver o ID da chave de recuperação:

manage-bde -protectors -get C:

Compare o ID mostrado com o ID da chave que você guardou. Se não bater, você guardou a chave errada, e é melhor descobrir isso agora do que na tela azul de recuperação.

Limites: o que o BitLocker não resolve

BitLocker protege dados em repouso: PC desligado, roubado, ou disco descartado. Ele não impede malware de ler seus arquivos com o Windows já logado, não substitui antivírus e não protege contra um phishing que rouba sua senha. Mesmo o modo padrão (só TPM) tem um ponto fraco conhecido: o ataque descrito no post sobre o zero-day YellowKey no BitLocker mostra por que exigir PIN no boot faz diferença em notebook que sai de casa.

Criptografia também não substitui backup. Se o disco falhar ou um ransomware cifrar tudo, você precisa de cópia em outro lugar; a regra de backup 3-2-1 explica como montar. E para um panorama dos outros ajustes de segurança do sistema, o post com as 10 configurações para deixar o Windows 11 mais seguro cobre o resto da lista.

Resumo

Ative a criptografia hoje, guarde a chave de 48 dígitos fora do PC e confira com manage-bde -status C: se a proteção está ativa. São dez minutos de configuração contra o risco de entregar o conteúdo do seu notebook a quem o encontrar. Se quiser ir além do modo só-TPM, comece pela leitura do post sobre o YellowKey, que explica como exigir o PIN na inicialização.

Fontes: documentação da Microsoft (BitLocker overview, no Microsoft Learn, e Finding your BitLocker recovery key, no Microsoft Support).