BitLocker no Windows 11: como achar e salvar a chave de recuperação agora, antes de ficar trancado para fora do PC

Imagine ligar o computador e dar de cara com uma tela azul pedindo uma chave de 48 números que você nunca viu. Sem ela, nada de Windows, nada de fotos, nada de documentos. Isso está acontecendo com muita gente por causa do BitLocker, a criptografia do próprio Windows, que em muitos notebooks com Windows 11 é ativada sozinha, sem aviso. Neste guia eu mostro como saber se o BitLocker está ligado no seu PC, onde achar a chave de recuperação, como guardar do jeito certo e o que a mudança nos certificados do Secure Boot tem a ver com isso.

No vídeo abaixo eu mostro o passo a passo no Windows 11 Home e no Pro.

O que é o BitLocker e por que ele liga sozinho

O BitLocker embaralha todo o conteúdo do SSD ou HD. Sem a chave, os dados são ilegíveis, mesmo que alguém tire o disco e ligue em outro computador. É uma proteção excelente: se o seu notebook for roubado, ninguém lê os seus arquivos. Eu não sou contra o BitLocker, pelo contrário.

O problema é o jeito como ele chega. No Windows 11, principalmente na edição Home, existe a Criptografia do dispositivo, uma versão simplificada do BitLocker. Em computadores compatíveis, ela é ligada automaticamente quando você entra pela primeira vez com uma conta Microsoft, e a chave de recuperação é guardada nessa conta. Não aparece pergunta nem aviso. Tudo funciona normalmente, até o dia em que o Windows desconfia de alguma mudança e pede a chave.

Quando o Windows pede a chave de recuperação do BitLocker

O BitLocker usa o chip TPM da placa-mãe para destravar o disco sozinho a cada inicialização. Se algo muda no caminho de inicialização, ele bloqueia por segurança e pede a chave. As situações mais comuns que eu vejo na bancada:

• Atualização ou reset do BIOS/UEFI.
• Troca de placa-mãe, de SSD de lugar ou de outra peça importante.
• Mudanças no Secure Boot ou no TPM, inclusive por atualização de firmware.
• Várias tentativas de inicialização com falha seguidas.
• Tentar acessar o disco em outro computador ou por um pendrive de recuperação.

A tela é essa: fundo azul, um campo para digitar a chave e, embaixo, o ID da chave de recuperação. Anote os primeiros 8 dígitos desse ID, porque ele diz qual chave usar, caso você tenha mais de uma. A partir do Windows 11 24H2, essa tela também mostra uma dica da conta Microsoft em que a chave foi salva.

Passo 1: veja se o BitLocker está ligado no seu PC

Windows 11 Home

1. Clique em Iniciar e digite BitLocker ou criptografia.
2. Abra Configurações de criptografia do dispositivo (fica em Configurações, Privacidade e segurança).
3. Se aparecer Criptografia do dispositivo ativada, o disco está criptografado. Se estiver desativada, não há chave para salvar.

Windows 11 Pro

1. Clique em Iniciar, digite BitLocker e abra Gerenciar o BitLocker.
2. Se a unidade C aparecer com o BitLocker ativado, o disco está criptografado.

Em qualquer edição, dá para conferir pelo Prompt de Comando como administrador:

manage-bde -status

Procure a linha de status da proteção da unidade C. Proteção ativada significa que o BitLocker está funcionando e que você precisa ter a chave guardada.

Passo 2: encontre a sua chave de recuperação

Se a criptografia foi ligada automaticamente, a chave quase sempre está na sua conta Microsoft. Para ver:

1. No navegador, de preferência em outro aparelho, acesse aka.ms/myrecoverykey, o endereço oficial da Microsoft.
2. Entre com a mesma conta Microsoft usada no computador.
3. Aparece a lista de chaves de recuperação dos seus dispositivos, com o nome do PC, o ID da chave e a data. Confira o ID com a tela de bloqueio, se for o caso.

Outros lugares onde a chave pode estar, segundo a Microsoft: na conta de trabalho ou escola (em aka.ms/aadrecoverykey), numa folha impressa quando o BitLocker foi ligado, num pendrive em que ela foi salva como arquivo de texto ou na conta Microsoft de quem configurou o seu computador. Se outra pessoa preparou o PC para você, pergunte a ela.

E um aviso importante, que está na página oficial: o Suporte da Microsoft não consegue recuperar, fornecer ou recriar uma chave de recuperação perdida do BitLocker. Sem a chave, a única saída é formatar o disco, e os arquivos vão junto.

Passo 3: faça backup da chave do jeito certo

Com o Windows funcionando, guarde a chave em pelo menos dois lugares fora do computador. Nunca salve só no próprio PC: se ele travar, o arquivo fica preso lá dentro.

No Windows 11 Pro

1. Abra Gerenciar o BitLocker.
2. Clique em Fazer backup da chave de recuperação.
3. Escolha salvar na conta Microsoft, salvar em arquivo (num pendrive) ou imprimir.

Em qualquer edição, pelo comando manage-bde

No Prompt de Comando como administrador, este comando mostra os protetores da unidade C, incluindo a senha numérica, que é a chave de recuperação de 48 dígitos:

manage-bde -protectors -get C:

Copie a senha numérica junto com o ID e guarde em dois lugares seguros: um gerenciador de senhas confiável, uma folha impressa guardada com os documentos da casa, um pendrive que fica guardado. O importante é que pelo menos uma cópia não dependa da sua conta Microsoft, porque se você perder o acesso a ela, a chave vai junto.

A tela azul já apareceu: o que fazer agora

Se você chegou aqui com o computador já travado na tela de recuperação, respire. Siga esta ordem, que é a que eu uso com clientes:

1. Não reinicie várias vezes nem formate. Isso não destrava o disco e só complica.
2. Anote o ID que aparece na tela, pelo menos os oito primeiros dígitos.
3. Pegue o celular ou outro computador e acesse o endereço oficial da Microsoft mostrado no Passo 2, com a sua conta Microsoft.
4. Procure a chave com o mesmo ID e digite os 48 números na tela azul. Os grupos são separados automaticamente, é só digitar em sequência.
5. Se não encontrar, tente outras contas Microsoft que você já usou, a conta de quem configurou o PC e a conta do trabalho ou da escola. Veja também se a loja ou o técnico que entregou o notebook anotou a chave.

Depois que o Windows abrir, a primeira coisa a fazer é o backup da chave, como no Passo 3. E vale descobrir o que causou o bloqueio: uma atualização de BIOS recente, uma peça trocada ou alguma mudança no Secure Boot. Se a causa foi pontual, o Windows volta a destravar sozinho nas próximas inicializações.

Pendrive e HD externo também podem ter criptografia

No Windows Pro existe o BitLocker To Go, que criptografa pendrives e HDs externos com uma senha. Ele é ótimo para levar documentos sensíveis, mas tem a mesma regra: sem a senha e sem a chave de recuperação, ninguém abre o dispositivo, nem você. Quando criar, salve a chave do pendrive junto com as outras, em lugar seguro.

Vale a pena desativar o BitLocker?

Na maioria dos casos, não. Com a chave guardada, o BitLocker deixa de ser risco e vira proteção de graça. Em SSD, a perda de desempenho é praticamente imperceptível. Para notebook, que pode ser perdido ou roubado, eu recomendo manter ligado.

Desativar faz sentido em poucos casos: um desktop que nunca sai de casa, um PC em que você vai mexer muito em BIOS e peças, ou quando você não tem como guardar a chave com segurança. Se decidir desligar:

• Windows 11 Home: em Configurações de criptografia do dispositivo, desligue a Criptografia do dispositivo.
• Windows 11 Pro: em Gerenciar o BitLocker, clique em Desativar o BitLocker.
• Pelo comando, como administrador:

manage-bde -off C:

A descriptografia roda em segundo plano e pode levar de minutos a horas, dependendo do tamanho do disco. Deixe o notebook na tomada e não desligue no meio.

O alerta do Secure Boot: certificados de 2011 vencendo em 2026

No segundo vídeo deste tema eu falo de uma mudança que tem tudo a ver com o BitLocker. O Secure Boot, que impede que vírus e sistemas adulterados iniciem antes do Windows, usa certificados da Microsoft criados em 2011. Segundo a página oficial da Microsoft, eles vencem em 2026: o KEK CA 2011 em 24 de junho, o UEFI CA 2011 em 27 de junho e o Windows Production PCA 2011 em 19 de outubro. Os substitutos são os certificados de 2023, como o Windows UEFI CA 2023.

O que acontece com quem não atualizar? A Microsoft explica que o computador continua ligando e recebendo as atualizações normais do Windows, mas deixa de receber novas proteções da inicialização, como atualizações do gerenciador de inicialização e correções para falhas descobertas no processo de boot. Ou seja, não é que o PC vai morrer amanhã, mas ele fica menos protegido com o tempo.

Como verificar no seu PC

1. Abra a Segurança do Windows, vá em Segurança do dispositivo e veja os ícones: verde está tudo certo, amarelo é recomendação e vermelho pede atenção.
2. Abra Informações do Sistema (msinfo32) e procure Estado da Inicialização Segura: Ativado, Desativado ou Sem suporte.
3. Para saber se o certificado novo já está instalado, rode no PowerShell como administrador o comando abaixo. Se responder True, o Windows UEFI CA 2023 já está no seu PC.

([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023')

Como atualizar

O caminho recomendado é o mais simples: Configurações, Windows Update, verificar atualizações, instalar tudo e reiniciar. A maioria dos PCs recebe os certificados novos automaticamente. Se depois disso o comando ainda responder False, a Microsoft documenta, para PCs gerenciados manualmente, um valor de Registro que pede ao Windows para aplicar todas as atualizações do Secure Boot. Antes de rodar, confirme que você tem a chave do BitLocker guardada, porque mexer no gerenciador de inicialização pode fazer o Windows pedir a chave na próxima vez que ligar.

reg add HKLM\SYSTEM\CurrentControlSet\Control\SecureBoot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f

Depois, no PowerShell como administrador, peça para a tarefa de atualização rodar agora em vez de esperar o próximo ciclo, e reinicie o PC:

Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

Para acompanhar, rode o comando abaixo e veja o valor UEFICA2023Status. Updated significa que deu certo. InProgress pede mais uma reinicialização. Se aparecer erro, normalmente é o firmware da placa-mãe que precisa de atualização, e aí o único lugar seguro para baixar o BIOS é o site oficial do fabricante.

Get-ItemProperty HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing

Quem instalou o Windows 11 em PC sem TPM 2.0, com o Secure Boot desligado, sente menos essa mudança, porque a verificação nem acontece. Por outro lado, fica com menos uma camada de proteção. E quem usa Windows modificado ou ferramentas antigas de boot deve redobrar a atenção.

Como a criptografia protege você no dia a dia

Vale entender o outro lado da história, porque muita gente sai desligando tudo depois de um susto. Pense no notebook esquecido no ônibus ou levado num assalto. Sem criptografia, basta tirar o SSD, ligar num adaptador USB em qualquer computador e copiar fotos, documentos, senhas salvas no navegador e conversas. Com a criptografia ligada, o disco não passa de um monte de dados embaralhados.

O mesmo vale para quando você vende ou manda o computador para o conserto. Com o disco criptografado e a sua conta protegida, os seus arquivos continuam privados. Por isso a minha recomendação é sempre a mesma: mantenha a proteção, mas trate a chave como trata a senha do banco, guardada e com cópia.

Checklist para nunca ficar trancado para fora

• Confira se o BitLocker ou a Criptografia do dispositivo está ligado.
• Abra aka.ms/myrecoverykey e confirme que a chave do seu PC está lá.
• Guarde uma segunda cópia fora da conta Microsoft.
• Antes de atualizar BIOS, trocar peças ou mexer no Secure Boot, tenha a chave em mãos.
• Mantenha a senha e a recuperação da sua conta Microsoft em dia, com telefone e e-mail alternativo.
• Crie um ponto de restauração antes de mudanças grandes no sistema.

Se o seu problema é outro, como esquecer a senha do Windows, veja o guia de como recuperar a senha do Windows. E para proteger o PC com senha e PIN do jeito certo, o de colocar senha no PC. Me conta nos comentários do vídeo se o BitLocker estava ligado no seu computador e se você já salvou a sua chave.

Perguntas frequentes

Onde fica a chave de recuperação do BitLocker?

Na maioria dos casos, na conta Microsoft usada no PC, em aka.ms/myrecoverykey. Também pode estar na conta de trabalho, numa impressão ou num pendrive.

A Microsoft pode me dar a chave se eu perdi?

Não. O Suporte da Microsoft não consegue recuperar nem recriar uma chave perdida. Sem ela, é preciso formatar e os arquivos são perdidos.

O BitLocker deixa o PC lento?

Em SSD, a diferença é praticamente imperceptível. Em HD mecânico antigo pode haver uma pequena perda, mas a segurança costuma compensar.

Windows 11 Home tem BitLocker?

Tem a Criptografia do dispositivo, uma versão simplificada do BitLocker, que funciona da mesma forma e também pede a chave de recuperação.

Meu PC vai parar de ligar por causa do Secure Boot?

Segundo a Microsoft, não: sem os certificados de 2023, o PC continua ligando, mas deixa de receber novas proteções da inicialização. Atualize pelo Windows Update.

Fontes:

• Microsoft: localizar sua chave de recuperação do BitLocker
• Microsoft: expiração dos certificados do Secure Boot e atualizações de CA
• Microsoft: chaves de Registro para atualização do Secure Boot (KB5068202)
• Microsoft Learn: manage-bde