BitLocker in Windows 11: trovare la chiave di ripristino, sospenderlo e disattivarlo

La schermata blu di BitLocker che chiede una chiave di ripristino di 48 cifre è uno dei momenti peggiori per chi usa un PC con Windows 11, soprattutto se non sapeva nemmeno di avere il disco cifrato. Succede sempre più spesso: dalla versione 24H2 Microsoft ha tolto alcuni prerequisiti hardware della crittografia automatica del dispositivo, che quindi si attiva su molti più computer, Home compresi. In questa guida vediamo dove cercare la chiave, come sospendere BitLocker prima di un aggiornamento del BIOS e come disattivarlo del tutto, con i comandi esatti.

Versioni: Windows 11 24H2, 25H2 e 26H2 (Home con Crittografia dispositivo, Pro con BitLocker). La procedura segue la documentazione ufficiale Microsoft, verificata al 4 novembre 2026.

Crittografia dispositivo e BitLocker: cosa avete davvero

Un dettaglio della documentazione Microsoft che pochi conoscono: la crittografia del dispositivo inizia con una “chiave in chiaro”, equivalente a BitLocker sospeso, e diventa davvero protettiva solo quando un amministratore accede con un account Microsoft e la chiave di ripristino viene caricata online. Su un PC con soli account locali i dati risultano cifrati ma il dispositivo resta non protetto. Ne parliamo nella guida sull’account locale in Windows 11.

1. Dove trovare la chiave di ripristino

Quando Windows la chiede, la schermata di ripristino mostra un ID chiave: annotatene le prime 8 cifre, servono a riconoscere la chiave giusta se ne avete più di una. Poi cercate in quest’ordine:

1. Account Microsoft personale: da un altro dispositivo aprite https://aka.ms/myrecoverykey, accedete e cercate la voce con lo stesso ID. Attenzione: la chiave può stare nell’account di chi ha configurato il PC (un familiare, il negozio).
2. Account di lavoro o scuola: https://aka.ms/aadrecoverykey, poi Dispositivi, espandete il dispositivo e scegliete l’opzione per visualizzare le chiavi BitLocker. Se il PC è gestito, chiedete al reparto IT.
3. Stampa o file: se avete attivato BitLocker a mano, potreste averla stampata o salvata su una chiavetta. Il file di testo si apre su un altro computer.

2. Salvate la chiave adesso, mentre Windows funziona

Il momento giusto per occuparsi della chiave è prima del problema. Aprite il Terminale come amministratore:

manage-bde -status
manage-bde -protectors -get C:

Il primo comando riepiloga lo stato di tutte le unità: stato di conversione, percentuale cifrata, metodo di crittografia, stato di protezione e protezioni presenti. Il secondo elenca le protezioni del disco C:, e la voce “password numerica” contiene la chiave di 48 cifre con il suo ID. Copiatela su carta o in un gestore di password su un altro dispositivo: salvarla solo sul disco cifrato non serve a nulla.

3. Sospendere BitLocker prima di BIOS, Secure Boot o cambi hardware

Aggiornare il BIOS, cambiare le impostazioni di Secure Boot o del TPM, spostare il disco su un altro PC: sono le cause tipiche della richiesta di chiave al riavvio successivo, perché il TPM rileva un cambiamento nella catena di avvio. La soluzione è sospendere la protezione per un numero definito di riavvii (Terminale come amministratore):

manage-bde -protectors -disable C: -rc 1

-rc (abbreviazione di -rebootcount) accetta un valore da 0 a 15: la protezione riprende da sola dopo quel numero di riavvii. Con 0 resta sospesa a tempo indeterminato, scelta che sconsigliamo. Se l’aggiornamento del BIOS richiede più riavvii, impostate 2 o 3. La procedura completa per il firmware è nella guida su come aggiornare il BIOS.

4. Disattivare BitLocker del tutto

Ha senso prima di vendere un disco senza formattarlo, per alcuni dual boot o se non volete gestire la chiave. Sulle edizioni Home la via più semplice è l’interruttore in Impostazioni > Privacy e sicurezza > Crittografia dispositivo. Da riga di comando, su qualsiasi edizione con BitLocker:

manage-bde -off C:

Il comando avvia la decrittografia; quando è completa, tutte le protezioni vengono rimosse. Potete continuare a usare il PC nel frattempo, e l’operazione si mette in pausa con manage-bde -pause C: e riprende con manage-bde -resume C:.

Una nota per chi la disattiva sulle edizioni Home: secondo Microsoft, se spegnete la crittografia del dispositivo non si riattiverà più da sola, va riaccesa a mano. Per impedire a priori l’attivazione automatica su un’installazione nuova, la documentazione indica il valore di registro PreventDeviceEncryption (REG_DWORD 1) in HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlBitLocker, ma Microsoft raccomanda di lasciare la crittografia attiva sui sistemi che la supportano. Noi siamo d’accordo, a patto di avere la chiave al sicuro.

5. Sbloccare un disco cifrato da un altro PC o da WinRE

Se dovete leggere i dati di un disco BitLocker collegato a un altro computer, o dal prompt dei comandi dell’ambiente di ripristino, usate la chiave così (sostituite la lettera dell’unità e le cifre):

manage-bde -unlock E: -recoverypassword CHIAVE_DI_48_CIFRE_CON_TRATTINI

La password va scritta esattamente com’è, trattini compresi.

Se qualcosa va storto

• La chiave non è nell’account Microsoft: controllate gli altri account Microsoft usati sul PC e quelli di chi lo ha configurato. Microsoft dichiara che il supporto non può recuperare, fornire o ricreare una chiave persa.
• Non trovate la chiave da nessuna parte: se potete annullare la modifica che ha scatenato la richiesta (per esempio riportare il BIOS alle impostazioni precedenti o riattivare Secure Boot), fatelo e riavviate. Altrimenti l’unica strada indicata da Microsoft è reimpostare il dispositivo, perdendo tutti i file: è il motivo per cui il punto 2 di questa guida conta più di tutti gli altri.
• La richiesta della chiave compare a ogni avvio: è rimasta attiva una modifica che il TPM considera un cambiamento della catena di avvio (impostazioni di Secure Boot o del TPM, firmware, avvio da un’altra unità). Avviate con la chiave, poi riportate il firmware allo stato precedente; se la modifica era voluta, la prossima volta sospendete prima BitLocker come al punto 3.
• manage-bde risponde con un errore di accesso: il Terminale non è aperto come amministratore.

Come tornare indietro

Ogni operazione di questa guida è reversibile. Una sospensione si annulla con manage-bde -protectors -enable C:; un disco decrittografato si cifra di nuovo dall’interruttore di Crittografia dispositivo o, sulle edizioni Pro, con manage-bde -on C:, salvando la nuova chiave di ripristino che verrà generata. Prima di reimpostare o formattare il PC, o di clonare il disco su un nuovo SSD, ripassate il punto 2.

Articolo redatto con il supporto di strumenti di intelligenza artificiale e verificato dalla redazione. Come usiamo l'AI · Come lavoriamo