Cómo desactivar BitLocker: suspender o descifrar una unidad

Por Mirko Peters · 2026-11-12

Cómo desactivar BitLocker: cuándo suspender la protección, cuándo descifrarla con Disable-BitLocker o manage-bde -off, y qué cambia en los dispositivos administrados.

Traducido automáticamente con IA a partir de la publicación original. Lee el original en inglés

Para desactivar BitLocker en la unidad del sistema, abre PowerShell como administrador y ejecuta Disable-BitLocker -MountPoint "C:". La misma tarea en la línea de comandos es manage-bde -off C:. Ambos eliminan los protectores de clave e inician el descifrado de la unidad en segundo plano. Si solo necesitas superar una actualización de firmware o un cambio de hardware, no es lo que quieres. Lo que quieres es suspender la protección, que es temporal y mantiene los datos cifrados. Este artículo está dirigido a usuarios de Windows que quieren eliminar BitLocker y a administradores que reciben esa petición. Explica la diferencia, los comandos exactos, cómo comprobar el progreso y por qué un dispositivo administrado puede no permitir el descifrado.

Puntos clave

• Suspender BitLocker es temporal y mantiene la unidad cifrada, mientras que desactivarlo descifra toda la unidad y elimina sus protectores de clave.
• Para descifrar la unidad del sistema, ejecuta Disable-BitLocker -MountPoint C: en PowerShell como administrador, o manage-bde -off C: en un símbolo del sistema con permisos de administrador.
• Usa Suspend-BitLocker antes de las actualizaciones de firmware o de TPM para que Windows no pida la clave de recuperación en el siguiente reinicio.
• En un dispositivo administrado por tu organización, la directiva puede exigir el cifrado, así que consulta con TI antes de descifrar nada.
• Comprueba el progreso con Get-BitLockerVolume, que muestra el estado del volumen, el estado de la protección y el porcentaje de cifrado.

Suspender o descifrar: elige antes de escribir nada

Dos acciones distintas se llaman "desactivar", y confundirlas causa la mayoría de los problemas.

Suspender la protección pausa BitLocker durante un tiempo. La unidad sigue cifrada y puedes reanudar la protección en cualquier momento. Microsoft recomienda hacerlo antes de las actualizaciones de software que no son de Microsoft y que cambian los componentes de arranque, como las actualizaciones de firmware del fabricante y las actualizaciones de firmware de TPM. Si omites la suspensión, Microsoft indica que el sistema no reconocerá la clave de BitLocker, y se te pedirá la clave de recuperación en el siguiente reinicio y en todos los reinicios posteriores.

Descifrar es lo que hacen los comandos de PowerShell y manage-bde. Elimina todos los protectores de clave e inicia el descifrado del volumen. La guía de operaciones de BitLocker de Microsoft lo deja claro: el descifrado corresponde a los casos en los que la protección ya no es necesaria, y no a la solución de problemas.

Así que hazte una pregunta. ¿Quieres la unidad sin protección de forma permanente o solo apartarla del camino unos minutos? Para una actualización de firmware, un cambio de BIOS o una tarea de reparación, suspende. Si alguien dice que el portátil "va más rápido sin él", comprueba esa afirmación antes de descifrar un dispositivo que contiene datos de la empresa. Mi recomendación es mantener el cifrado activado en cualquier portátil que salga de las instalaciones.

Suspende BitLocker para una actualización y luego reanúdalo

Esto tarda un minuto y evita la solicitud de recuperación. Microsoft documenta tanto la ruta del Panel de control como la de PowerShell.

Panel de control:

1. Abre el Panel de control.
2. Selecciona Sistema y seguridad, luego Cifrado de unidad BitLocker y después Suspender protección.
3. Selecciona Sí.
4. Tras la actualización, vuelve al mismo lugar, selecciona Reanudar protección y selecciona Sí.

PowerShell, abierto como administrador:

1. Ejecuta Suspend-BitLocker -MountPoint "C:" -RebootCount 0.
2. Instala la actualización y reinicia tantas veces como sea necesario.
3. Ejecuta Resume-BitLocker -MountPoint "C:".

El parámetro -RebootCount indica cuántos reinicios pueden producirse antes de que BitLocker se vuelva a activar por sí solo. Los valores válidos van de 0 a 15. Un valor de 0 mantiene la protección suspendida hasta que la reanudes manualmente, lo que significa que tienes que acordarte del último paso. Microsoft también señala que reanudar solo funciona en dispositivos que hayan aceptado el contrato de licencia de software de Windows (EULA).

Cómo desactivar BitLocker: descifrar una unidad con PowerShell o manage-bde

Descifrar requiere un comando por unidad. Abre PowerShell o un símbolo del sistema como administrador, porque las operaciones de BitLocker lo necesitan.

1. Comprueba el estado actual. Ejecuta Get-BitLockerVolume C: | fl en PowerShell. La salida incluye VolumeStatus, ProtectionStatus, LockStatus y EncryptionPercentage. Una unidad totalmente cifrada y protegida muestra FullyEncrypted y On.
2. Descifra la unidad. En PowerShell, ejecuta Disable-BitLocker -MountPoint "C:". BitLocker empieza a descifrar C: de inmediato. En un símbolo del sistema, el equivalente es manage-bde -off C:. La descripción de Microsoft indica que descifra la unidad y desactiva BitLocker, y que todos los protectores de claves se eliminan al completarse el descifrado.
3. Supervisa el progreso. Ejecuta Get-BitLockerVolume C: de nuevo, o manage-bde -status, y consulta el porcentaje de cifrado. Las páginas de Microsoft que revisé no indican una duración típica, así que no lo supongas. Depende de la cantidad de datos de la unidad y de la carga del equipo. Puedes seguir trabajando mientras se ejecuta.
4. Confirma el resultado. Cuando termine el descifrado, el estado del volumen muestra la unidad como totalmente descifrada y la protección desactivada.

Algunas variaciones respecto a los ejemplos de Microsoft:

• Varias unidades a la vez. $BLV = Get-BitLockerVolume seguido de Disable-BitLocker -MountPoint $BLV desactiva BitLocker en todos los volúmenes. La guía de operaciones también muestra Disable-BitLocker -MountPoint C,D para unidades concretas.
• Una prueba. Disable-BitLocker admite -WhatIf, que muestra lo que ocurriría sin ejecutarlo. Es un buen hábito en un servidor.
• Claves automáticas para unidades de datos. Si el volumen del sistema operativo tiene claves automáticas que lo abren al iniciar, Disable-BitLocker no continúa. Ejecuta primero Clear-BitLockerAutoUnlock y, después, desactiva BitLocker en el volumen. Microsoft no explica cómo suelen llegar esas claves, así que revisa la salida del cmdlet si te encuentras con esto.
• Otro equipo. manage-bde acepta un parámetro -computername para cambiar la protección en otra máquina.

Puedes consultar los detalles en la referencia de Disable-BitLocker de Microsoft y en la página de manage-bde -off.

Una nota sobre la aplicación Configuración y Windows Home. Windows Home no incluye Cifrado de unidad BitLocker. En su lugar tiene el Cifrado de dispositivo, que Windows activa al iniciar sesión con una cuenta de Microsoft o con una cuenta profesional o educativa, y que se gestiona en Configuración, en Privacidad y seguridad, Cifrado de dispositivo. El artículo de Microsoft que revisé describe cómo activarlo, pero no documenta los pasos para desactivarlo, así que observa el conmutador de tu propio dispositivo y lee el texto de la pantalla antes de cambiarlo.

Unidades de datos, unidades USB y cómo volver a activar BitLocker

Los comandos funcionan por volumen, así que los mismos pasos se aplican a una unidad de datos o a una unidad USB. El applet del Panel de control muestra tres grupos: Unidad del sistema operativo, Unidades de datos fijas y Unidades de datos extraíbles: BitLocker To Go. Con manage-bde -off indicas el volumen por su letra de unidad seguida de dos puntos, por ejemplo manage-bde -off E:. Microsoft también acepta ahí una ruta GUID de volumen o un volumen montado. Sustituye la letra por la que muestra el Explorador de archivos para tu unidad y compruébalo dos veces, porque descifrar el volumen equivocado te hará perder tiempo.

Descifrar una unidad extraíble tiene una consecuencia práctica. Cuando termina, cualquiera que conecte la memoria a un PC puede leer los archivos, sin contraseña. Decide primero si los datos que contiene deben seguir protegidos.

Más adelante puedes volver a activar BitLocker. El artículo de soporte de Microsoft sobre BitLocker Drive Encryption describe el proceso: abre el applet, selecciona Activar BitLocker junto a la unidad, elige cómo se protege la unidad y haz una copia de seguridad de la clave de recuperación. Después, el cifrado se ejecuta en segundo plano y puedes seguir usando el dispositivo mientras termina. Trátalo como una configuración nueva, no como una "reanudación". Al descifrar se eliminaron todos los protectores de clave anteriores, así que la clave de recuperación que guardaste antes no sirve para el nuevo cifrado. Guarda la nueva clave en un lugar al que puedas acceder desde otro dispositivo y consulta la guía para encontrar una clave de recuperación para comprobar que la nueva clave aparece realmente en tu cuenta.

Dispositivos administrados por tu organización

Tu departamento de TI suele administrar BitLocker, y la directiva de la organización puede exigir el cifrado. Es lo primero que hay que comprobar en un portátil de trabajo. Si una directiva exige el cifrado, un descifrado manual puede revertirse o puede hacer que el dispositivo deje de cumplir la normativa.

Si administras dispositivos con Intune, la configuración de BitLocker está en una directiva de cifrado de disco de seguridad de puntos de conexión. Para el cifrado silencioso, la guía de Microsoft enumera ajustes como Require Device Encryption con el valor Enabled. El artículo de Microsoft no dice qué ocurre con un dispositivo cifrado cuando quitas o desasignas la directiva, y tampoco describe una forma de descifrar a través de Intune. No des por hecho que desasignar una directiva descifra nada. Haz la prueba en un dispositivo y verifica el resultado con Get-BitLockerVolume.

Hay una afirmación del artículo de Intune que conviene recordar. Si eliminas el objeto de Intune de un dispositivo unido a Microsoft Entra que protege BitLocker, Intune sincroniza y elimina los protectores de clave del volumen del sistema operativo, lo que deja BitLocker en estado suspendido en ese volumen. Por tanto, eliminar un registro de dispositivo para "limpiar" no es inofensivo.

Errores comunes

• Descifrar para solucionar un problema de arranque. Microsoft indica que descifrar no es un paso de solución de problemas. Suspender, reparar, reanudar.
• Olvidar reanudar tras una suspensión. Con -RebootCount 0, la protección permanece desactivada hasta que ejecutes Resume-BitLocker. Añádelo a la lista de comprobación de actualizaciones.
• No conocer la clave de recuperación. Si descifras y después vuelves a activar BitLocker, obtienes un conjunto nuevo de protectores. No te fíes de una copia impresa antigua.
• Descifrar un portátil con datos de la empresa. La unidad queda legible para cualquiera que se lleve el dispositivo. Hazlo solo cuando la directiva lo permita.
• Omitir el paso de las claves automáticas. Disable-BitLocker no se ejecuta hasta que el cmdlet de limpieza de la lista anterior haya eliminado esas claves.
• Dar por hecho que la directiva de Intune descifra. La documentación de Microsoft no lo dice, así que compruébalo en un dispositivo de prueba.

Temas relacionados para explorar

• Localiza la clave de recuperación antes de hacer cambios: si una actualización de firmware o un cambio de hardware provoca la pantalla azul, la clave de recuperación es la única forma de volver a entrar.
• Suspende BitLocker para las actualizaciones de BIOS y TPM: es la alternativa más segura a desactivar el cifrado.
• Implementación silenciosa de BitLocker con Intune: la configuración de TPM, Secure Boot y usuarios estándar determina si el cifrado se inicia sin solicitar nada al usuario.
• Cifrado de dispositivo frente a Cifrado de unidad BitLocker: las dos funciones difieren según la edición, y esa diferencia determina dónde las administras.
• Comprueba el estado del cifrado en muchos PC: Get-BitLockerVolume te proporciona los datos para un informe sencillo.

Siguiente paso

Para desactivar BitLocker, primero decide si necesitas suspenderlo o descifrar la unidad. Suspéndelo para actualizaciones y reparaciones, y descifra con Disable-BitLocker o manage-bde -off solo cuando la unidad ya no necesite protección y la directiva lo permita. Después, comprueba Get-BitLockerVolume hasta que el volumen indique que el descifrado ha finalizado.