O BitLocker é a encriptação integral de disco incluída no Windows 10 Pro e no Windows 11 Pro (bem como no Enterprise e no Education). Para o ativar, escreva «Gerir o BitLocker» no menu Iniciar, escolha Ativar o BitLocker na unidade C: e guarde a chave de recuperação antes de iniciar a encriptação. O Windows Home não tem o BitLocker completo, mas na maioria dos PC recentes oferece uma «encriptação de dispositivo» mais limitada, baseada na mesma tecnologia.
No suporte, o BitLocker aparece sobretudo sob a forma de chamada em pânico: um ecrã azul pede uma chave de recuperação de 48 dígitos depois de uma atualização do BIOS e ninguém sabe onde ela está. Este guia explica como ativar corretamente o BitLocker no Windows 10 Pro e 11 Pro, onde guardar a chave e como evitar esse bloqueio.
BitLocker ou encriptação de dispositivo: qual a diferença?
As duas funcionalidades encriptam o disco com a mesma tecnologia, mas destinam-se a utilizações diferentes. A encriptação de dispositivo é uma versão simplificada e automática; o BitLocker é a ferramenta completa, com todas as opções de gestão.
| Funcionalidade | Windows Home | Windows 10 / 11 Pro |
|---|---|---|
| Encriptação de dispositivo (automática) | Sim, se o hardware for compatível | Sim, se o hardware for compatível |
| BitLocker completo («Gerir o BitLocker») | Não | Sim |
| Encriptar um disco secundário | Não | Sim |
| BitLocker To Go (pens USB, discos externos) | Apenas leitura e desbloqueio | Criação e gestão |
| PIN no arranque | Não | Sim (através de política de grupo) |
| Escolha do local da chave de recuperação | Conta Microsoft | Conta Microsoft, ficheiro, pen USB, impressão |
| Gestão por política de grupo (gpedit.msc) | Não | Sim |
Para um portátil profissional com dados de clientes, o BitLocker completo é a resposta certa: é muitas vezes exigido pelas seguradoras e pelas políticas de segurança no âmbito do RGPD. Se está indeciso entre edições, a nossa comparação Windows 10 Home vs Pro detalha também o Ambiente de Trabalho Remoto e o Hyper-V.
Que requisitos verificar antes de ativar o BitLocker?
O BitLocker funciona sem TPM, mas em condições normais recorre ao chip TPM para desbloquear o disco automaticamente no arranque. Antes de começar, verifique estes pontos:
-
Chip TPM presente e ativo: escreva
tpm.mscem Executar (Win + R). A janela deve indicar «O TPM está pronto a ser utilizado». Caso contrário, ative o fTPM (AMD) ou o PTT (Intel) na UEFI. -
Arranque UEFI com Arranque Seguro: em
msinfo32, «Modo de BIOS» deve indicar UEFI. -
Suporte da encriptação de dispositivo: também em
msinfo32, a linha «Suporte de Encriptação de Dispositivos» indica se o PC cumpre os requisitos, ou o que o impede. - Uma cópia de segurança recente: a encriptação é fiável, mas um disco que já mostra sinais de fragilidade não deve ser encriptado sem cópia de segurança.
- O PC ligado à corrente, no caso de um portátil: a encriptação inicial pode demorar de alguns minutos a várias horas, consoante o tamanho do disco.
A Microsoft flexibilizou estes requisitos com o Windows 11 versão 24H2: como indica a documentação sobre a encriptação automática de dispositivos BitLocker, deixou de ser exigido suporte para Modern Standby ou HSTI. Resultado: muitos mais PC instalados de raiz com a 24H2 são encriptados automaticamente assim que se inicia sessão com uma conta Microsoft, por vezes sem o utilizador saber.
Como ativar o BitLocker no Windows 10 Pro e no Windows 11 Pro?
O procedimento é idêntico nos dois sistemas. Inicie sessão com uma conta de administrador e:
- Abra o menu Iniciar, escreva BitLocker e escolha Gerir o BitLocker. Também pode ir a Painel de Controlo > Sistema e Segurança > Encriptação de Unidade BitLocker.
- Junto à unidade do sistema (C:), clique em Ativar o BitLocker. O Windows verifica a configuração do PC.
- Escolha onde guardar a chave de recuperação: conta Microsoft, pen USB, ficheiro ou impressão. Faça pelo menos duas cópias, uma delas fora do PC.
- Selecione Encriptar apenas o espaço em disco utilizado num PC novo (mais rápido), ou Encriptar a unidade inteira num PC já utilizado, para abranger dados eliminados mas ainda recuperáveis.
- Escolha Novo modo de encriptação (XTS-AES) para um disco interno; o Modo compatível só serve para um disco amovível que vá ser ligado a versões antigas do Windows.
- Marque Executar a verificação do sistema BitLocker e reinicie. A encriptação começa depois em segundo plano e pode continuar a trabalhar.
Num PC recente com um processador que suporte as instruções AES, o impacto no desempenho do dia a dia é normalmente reduzido. Para um disco de dados (D:, E:), a mesma janela oferece a opção «Desbloquear automaticamente esta unidade neste computador», que evita introduzir uma palavra-passe em cada arranque.
Onde encontrar a chave de recuperação do BitLocker?
A chave de recuperação é um código de 48 dígitos, identificado por um «ID da chave». É a única forma de aceder ao disco se o BitLocker não o conseguir desbloquear automaticamente. Nem o suporte da Microsoft a consegue recriar: se se perder, os dados também se perdem.
Consoante a opção escolhida na ativação, encontra-se:
-
Na sua conta Microsoft: a partir de outro dispositivo, abra
https://aka.ms/myrecoverykeye inicie sessão com a conta utilizada no PC. Compare os 8 primeiros caracteres do ID da chave apresentado no ecrã de recuperação. -
Numa conta profissional ou escolar (Microsoft Entra ID):
https://aka.ms/aadrecoverykey, ou junto do seu departamento de informática. - Numa pen USB, num ficheiro de texto ou em papel, se tiver escolhido essas opções.
A página oficial Localizar a chave de recuperação do BitLocker detalha cada caso. Conselho prático: enquanto o PC ainda arranca, mostre a chave com manage-bde -protectors -get C: e guarde-a no seu gestor de palavras-passe. Demora trinta segundos e evita muitos dissabores.
Porque é que o BitLocker pede a chave de recuperação no arranque?
O BitLocker verifica em cada arranque se a cadeia de arranque não foi alterada. Se algo mudar, considera que o disco pode ter sido movido ou manipulado e pede a chave. As causas que vemos com mais frequência:
- atualização do BIOS/UEFI ou reposição das definições UEFI;
- desativação ou limpeza do TPM, ativação/desativação do Arranque Seguro;
- substituição da motherboard, ou disco transferido para outro PC;
- alteração da ordem de arranque, arranque a partir de uma pen USB ou de uma estação de ancoragem.
A solução: suspender a proteção antes de qualquer intervenção no firmware. Em Gerir o BitLocker, clique em Suspender a proteção, faça a atualização do BIOS e depois clique em Retomar a proteção. Os dados continuam encriptados durante a suspensão; apenas a verificação no arranque fica em pausa.
Gerir o BitLocker na linha de comandos (manage-bde e PowerShell)
Para verificar o estado de um computador à distância ou automatizar uma intervenção com scripts, a ferramenta manage-bde (linha de comandos como administrador) e os cmdlets do PowerShell do módulo BitLocker são mais rápidos do que a interface:
| Necessidade | Comando |
|---|---|
| Estado da encriptação | manage-bde -status C: |
| Mostrar a chave de recuperação | manage-bde -protectors -get C: |
| Suspender durante um reinício | manage-bde -protectors -disable C: -RebootCount 1 |
| Suspender (PowerShell) | Suspend-BitLocker -MountPoint "C:" -RebootCount 1 |
| Estado de todos os volumes (PowerShell) | Get-BitLockerVolume |
| Desbloquear um disco de dados | manage-bde -unlock D: -RecoveryPassword <chave> |
| Desativar e desencriptar | manage-bde -off C: |
Com -RebootCount 1, a proteção é retomada automaticamente após o reinício seguinte: é o método mais seguro antes de uma atualização do BIOS, porque não há risco de se esquecer de a reativar.
Windows Home: encriptação de dispositivo ou passar para Pro?
No Windows 11 Home, a encriptação de dispositivo está em Definições > Privacidade e segurança > Encriptação de dispositivos; no Windows 10 Home, em Definições > Atualização e segurança > Encriptação de dispositivos. Se a opção não aparecer, o hardware não é compatível (consulte msinfo32). A proteção só fica realmente ativa depois de iniciar sessão com uma conta Microsoft, onde a chave é guardada automaticamente. Com uma conta local, fica pendente.
É suficiente para proteger um PC familiar em caso de roubo, mas não pode encriptar um disco secundário, criar uma pen USB BitLocker To Go nem escolher onde guardar a chave. Para isso, precisa da edição Pro. A mudança faz-se sem reinstalar nem perder dados, introduzindo uma chave de produto Pro em Definições > Sistema > Ativação: os passos estão descritos nos nossos guias para atualizar o Windows 11 Home para Pro e para passar do Windows 10 Home para Pro.
Um lembrete para o Windows 10: o suporte padrão terminou a 14 de outubro de 2025, e a Microsoft prolongou até 12 de outubro de 2027 o programa de Atualizações de Segurança Alargadas (ESU) para particulares, gratuito no Espaço Económico Europeu enquanto mantiver a sessão iniciada no PC com a sua conta Microsoft. O BitLocker continua a funcionar normalmente no Windows 10 Pro, mas se o seu PC for compatível, o Windows 11 Pro continua a ser a opção mais duradoura para um computador encriptado.
Perguntas frequentes
O BitLocker torna o PC mais lento?
Num processador recente com aceleração AES, a diferença é normalmente pouco percetível em tarefas de escritório. Já a encriptação inicial ocupa o disco durante algumas horas, no máximo.
Se reinstalar o Windows, perco os dados encriptados?
Uma reinstalação que formata o disco apaga os dados, encriptados ou não. Para recuperar ficheiros de um disco BitLocker ligado a outro PC, precisa da chave de recuperação.
É possível ativar o BitLocker sem chip TPM?
Sim, marcando «Permitir o BitLocker sem um TPM compatível» em gpedit.msc (Configuração do Computador > Modelos Administrativos > Componentes do Windows > Encriptação de Unidade BitLocker > Unidades do Sistema Operativo > Exigir autenticação adicional no arranque). Nesse caso, precisa de uma palavra-passe ou de uma pen USB em cada arranque.
O meu PC com Home pede uma chave BitLocker sem eu ter ativado nada. Porquê?
A encriptação de dispositivo foi ativada automaticamente quando iniciou sessão com a sua conta Microsoft. A chave está nessa conta, em aka.ms/myrecoverykey.
Como desativar o BitLocker?
Em Gerir o BitLocker, clique em Desativar o BitLocker, ou execute manage-bde -off C:. A desencriptação decorre em segundo plano; deixe o PC ligado até terminar.
Passe para o Windows Pro para tirar partido do BitLocker
Se o seu PC tem o Home e quer o BitLocker completo, uma chave de licença do Windows 11 Professional desbloqueia a funcionalidade em poucos minutos, sem reinstalar. Para um computador que tem de continuar no Windows 10, a chave de licença do Windows 10 Professional oferece o mesmo BitLocker. As chaves são entregues por email com as instruções de ativação, e o nosso suporte ajuda-o se a atualização bloquear.