Comment désactiver BitLocker : suspendre ou déchiffrer un lecteur

Par Mirko Peters · 2026-11-12

Comment désactiver BitLocker : quand suspendre la protection, quand la déchiffrer avec Disable-BitLocker ou manage-bde -off, et ce qui change sur les appareils gérés.

Traduit automatiquement par IA à partir de l'article original. Lire l'original en anglais

Pour désactiver BitLocker sur le lecteur système, ouvrez PowerShell en tant qu’administrateur et exécutez Disable-BitLocker -MountPoint "C:". La même opération en ligne de commande s’effectue avec manage-bde -off C:. Les deux commandes suppriment les protecteurs de clés et lancent le déchiffrement du lecteur en arrière-plan. Si vous devez seulement passer une mise à jour du micrologiciel ou un changement de matériel, ce n’est pas du tout ce qu’il vous faut. Vous voulez suspendre la protection, ce qui est temporaire et laisse les données chiffrées. Cet article s’adresse aux utilisateurs Windows qui veulent supprimer BitLocker et aux administrateurs qui reçoivent cette demande. Il explique la différence, les commandes exactes, la manière de suivre la progression et la raison pour laquelle un appareil géré peut ne pas autoriser le déchiffrement.

Points clés

• La suspension de BitLocker est temporaire et laisse le lecteur chiffré, tandis que la désactivation déchiffre l’ensemble du lecteur et supprime ses protecteurs de clés.
• Pour déchiffrer le lecteur système, exécutez Disable-BitLocker -MountPoint C: dans PowerShell en tant qu’administrateur, ou manage-bde -off C: dans une invite de commandes d’administrateur.
• Utilisez Suspend-BitLocker avant les mises à jour du micrologiciel ou du TPM afin que Windows ne demande pas la clé de récupération au prochain redémarrage.
• Sur un appareil géré par votre organisation, une stratégie peut imposer le chiffrement : demandez donc l’avis de votre service informatique avant de déchiffrer quoi que ce soit.
• Vérifiez la progression avec Get-BitLockerVolume, qui indique l’état du volume, l’état de la protection et le pourcentage de chiffrement.

Suspendre ou déchiffrer : choisissez avant de saisir quoi que ce soit

Deux actions différentes sont appelées « désactiver », et les confondre est à l’origine de la plupart des problèmes.

Suspendre la protection met BitLocker en pause pendant un certain temps. Le lecteur reste chiffré, et vous pouvez reprendre la protection à tout moment. Microsoft la recommande avant les mises à jour logicielles non Microsoft qui modifient les composants de démarrage, comme les mises à jour du micrologiciel du fabricant et les mises à jour du micrologiciel TPM. Si vous ne suspendez pas la protection, Microsoft indique que le système ne reconnaîtra pas la clé BitLocker : on vous demandera la clé de récupération au prochain redémarrage, puis à chaque redémarrage suivant.

Déchiffrer correspond à ce que font les commandes PowerShell et manage-bde. Elles suppriment tous les protecteurs de clés et lancent le déchiffrement du volume. Le guide des opérations BitLocker de Microsoft pose une règle claire : le déchiffrement correspond au cas où la protection n’est plus nécessaire, et non au dépannage.

Posez-vous donc une seule question : voulez-vous que le lecteur ne soit plus protégé de façon définitive, ou seulement écarté du chemin pendant quelques minutes ? Pour une mise à jour du micrologiciel, un changement de BIOS ou une tâche de réparation, suspendez. Si quelqu’un affirme que l’ordinateur portable est « plus rapide sans », mesurez cette affirmation avant de déchiffrer un appareil qui contient des données de l’entreprise. Mon conseil : gardez le chiffrement activé sur tout ordinateur portable qui quitte les locaux.

Suspendre BitLocker pour une mise à jour, puis reprendre

Cette opération prend une minute et évite une invite de récupération. Microsoft documente à la fois la méthode du Panneau de configuration et celle de PowerShell.

Panneau de configuration :

1. Ouvrez le Panneau de configuration.
2. Sélectionnez Système et sécurité, puis Chiffrement de lecteur BitLocker, puis Suspendre la protection.
3. Sélectionnez Oui.
4. Après la mise à jour, rendez-vous au même endroit, sélectionnez Reprendre la protection, puis sélectionnez Oui.

PowerShell, ouvert en tant qu’administrateur :

1. Exécutez Suspend-BitLocker -MountPoint "C:" -RebootCount 0.
2. Installez la mise à jour et redémarrez autant de fois que nécessaire.
3. Exécutez Resume-BitLocker -MountPoint "C:".

Le paramètre -RebootCount définit le nombre de redémarrages pouvant intervenir avant que BitLocker ne se réactive automatiquement. Les valeurs valides vont de 0 à 15. Une valeur de 0 maintient la protection suspendue jusqu’à ce que vous la repreniez manuellement, ce qui signifie que vous devez penser à cette dernière étape. Microsoft précise également que la reprise ne fonctionne que sur les appareils ayant accepté le contrat de licence Windows (CLUF).

Comment désactiver BitLocker : déchiffrer un lecteur avec PowerShell ou manage-bde

Le déchiffrement nécessite une commande par lecteur. Ouvrez PowerShell ou une invite de commandes en tant qu’administrateur, car les opérations BitLocker l’exigent.

1. Vérifiez l’état actuel. Exécutez Get-BitLockerVolume C: | fl dans PowerShell. La sortie comprend VolumeStatus, ProtectionStatus, LockStatus et EncryptionPercentage. Un lecteur entièrement chiffré et protégé affiche FullyEncrypted et On.
2. Déchiffrez le lecteur. Dans PowerShell, exécutez Disable-BitLocker -MountPoint "C:". BitLocker commence immédiatement à déchiffrer C:. Dans une invite de commandes, l’équivalent est manage-bde -off C:. Selon la description de Microsoft, la commande déchiffre le lecteur et désactive BitLocker, et tous les protecteurs de clés sont supprimés une fois le déchiffrement terminé.
3. Suivez la progression. Exécutez à nouveau Get-BitLockerVolume C:, ou manage-bde -status, et surveillez le pourcentage de chiffrement. Les pages Microsoft que j’ai consultées n’indiquent pas de durée type, donc mieux vaut ne pas deviner. Elle dépend de la quantité de données présentes sur le lecteur et de la charge de la machine. Vous pouvez continuer à travailler pendant l’opération.
4. Confirmez le résultat. Une fois le déchiffrement terminé, l’état du volume indique que le lecteur est entièrement déchiffré et que la protection est désactivée.

Quelques variantes par rapport aux exemples de Microsoft :

• Plusieurs lecteurs à la fois. $BLV = Get-BitLockerVolume suivi de Disable-BitLocker -MountPoint $BLV désactive BitLocker sur tous les volumes. Le guide d’exploitation montre aussi Disable-BitLocker -MountPoint C,D pour des lecteurs désignés.
• Un test à blanc. Disable-BitLocker accepte -WhatIf, qui affiche ce qui se passerait sans l’exécuter. C’est une bonne habitude à prendre sur un serveur.
• Clés automatiques pour les lecteurs de données. Si le volume du système d’exploitation possède des clés automatiques qui le déverrouillent au démarrage, Disable-BitLocker ne poursuit pas. Exécutez d’abord Clear-BitLockerAutoUnlock, puis désactivez BitLocker sur le volume. Microsoft n’indique pas comment ces clés sont généralement créées, donc vérifiez la sortie de l’applet de commande si vous rencontrez ce problème.
• Un autre ordinateur. manage-bde accepte un paramètre -computername pour modifier la protection d’une autre machine.

Vous trouverez les détails dans la référence Disable-BitLocker de Microsoft et dans la page manage-bde -off.

Remarque sur l’application Paramètres et Windows Home. Windows Home ne comprend pas BitLocker Drive Encryption. Il dispose à la place du Chiffrement de l’appareil, que Windows active lorsque vous vous connectez avec un compte Microsoft ou un compte professionnel ou scolaire. Vous le gérez dans Paramètres, sous Confidentialité et sécurité, Chiffrement de l’appareil. L’article Microsoft que j’ai consulté décrit comment l’activer, mais ne documente pas les étapes pour le désactiver. Examinez donc le bouton bascule sur votre propre appareil et lisez le texte affiché à l’écran avant de le modifier.

Lecteurs de données, clés USB et réactivation de BitLocker

Les commandes agissent par volume : les mêmes étapes s’appliquent donc à un lecteur de données ou à une clé USB. L’applet du Panneau de configuration affiche trois groupes : Lecteur du système d’exploitation, Lecteurs de données fixes et Lecteurs de données amovibles - BitLocker To Go. Avec manage-bde -off, vous désignez le volume par sa lettre de lecteur suivie de deux-points, par exemple manage-bde -off E:. Microsoft accepte également ici un chemin de GUID de volume ou un volume monté. Remplacez la lettre par celle qu’affiche l’Explorateur pour votre lecteur, et vérifiez-la deux fois : déchiffrer le mauvais volume fait perdre du temps.

Le déchiffrement d’un lecteur amovible a une conséquence pratique. Une fois l’opération terminée, n’importe qui qui branche la clé sur un PC peut lire les fichiers, sans mot de passe. Décidez d’abord si les données qu’elle contient doivent rester protégées.

Vous pourrez réactiver BitLocker plus tard. L’article de support de Microsoft consacré à BitLocker Drive Encryption décrit la démarche : ouvrez l’applet, sélectionnez Activer BitLocker à côté du lecteur, choisissez le mode de protection du lecteur et sauvegardez la clé de récupération. Le chiffrement s’exécute ensuite en arrière-plan, et vous pouvez continuer à utiliser l’appareil pendant qu’il se termine. Considérez-le comme une nouvelle configuration, et non comme une « reprise ». Tous les protecteurs de clés précédents ont été supprimés lors du déchiffrement : la clé de récupération que vous avez enregistrée auparavant ne s’applique donc pas au nouveau chiffrement. Enregistrez la nouvelle clé à un endroit accessible depuis un autre appareil, et consultez le guide sur la recherche d’une clé de récupération pour vérifier que la nouvelle clé apparaît bien dans votre compte.

Appareils gérés par votre organisation

Votre service informatique gère généralement BitLocker, et la stratégie de l’organisation peut exiger le chiffrement. C’est la première chose à vérifier sur un ordinateur portable professionnel. Si une stratégie impose le chiffrement, un déchiffrement manuel peut être annulé, ou faire sortir l’appareil de conformité.

Si vous gérez vos appareils avec Intune, les paramètres BitLocker se trouvent dans une stratégie de chiffrement de disque du point de terminaison. Pour le chiffrement silencieux, le guide de Microsoft répertorie des paramètres tels que Exiger le chiffrement de l’appareil défini sur Activé. L’article de Microsoft ne dit pas ce qui arrive à un appareil chiffré lorsque vous supprimez la stratégie ou que vous la retirez de son affectation, et il ne décrit aucune méthode de déchiffrement via Intune. Ne partez pas du principe que retirer une stratégie déchiffre quoi que ce soit. Faites le test sur un appareil et vérifiez le résultat avec Get-BitLockerVolume.

Une affirmation de l’article Intune mérite d’être retenue. Si vous supprimez l’objet Intune d’un appareil joint à Microsoft Entra protégé par BitLocker, Intune synchronise et supprime les protecteurs de clés du volume du système d’exploitation, ce qui laisse BitLocker suspendu sur ce volume. Supprimer un enregistrement d’appareil pour « faire du ménage » n’est donc pas anodin.

Erreurs courantes

• Déchiffrer pour résoudre un problème de démarrage. Microsoft indique que le déchiffrement n’est pas une étape de dépannage. Suspendez, réparez, reprenez.
• Oublier de reprendre après une suspension. Avec -RebootCount 0, la protection reste désactivée tant que vous n’exécutez pas Resume-BitLocker. Ajoutez-le à votre liste de contrôle des mises à jour.
• Ne pas connaître la clé de récupération. Si vous déchiffrez puis réactivez BitLocker plus tard, vous obtenez un nouvel ensemble de protecteurs. Ne vous fiez pas à une ancienne impression.
• Déchiffrer un ordinateur portable contenant des données de l’entreprise. Le lecteur peut alors être lu par quiconque s’empare de l’appareil. N’effectuez cette opération que si la stratégie le permet.
• Oublier l’étape de la clé automatique. Disable-BitLocker refuse de s’exécuter tant que l’applet de nettoyage présentée dans la liste ci-dessus n’a pas supprimé ces clés.
• Supposer que la stratégie Intune déchiffre. La documentation de Microsoft ne le dit pas : vérifiez-le sur un appareil de test.

Sujets connexes à explorer

• Trouvez la clé de récupération avant toute modification : si une mise à jour du micrologiciel ou un changement de matériel déclenche l’écran bleu, la clé de récupération est le seul moyen de revenir.
• Suspendez BitLocker pour les mises à jour du BIOS et du TPM : c’est l’alternative plus sûre à la désactivation du chiffrement.
• Déploiement silencieux de BitLocker avec Intune : les paramètres relatifs au TPM, à Secure Boot et aux utilisateurs standard déterminent si le chiffrement démarre sans invite.
• Chiffrement de l’appareil ou Chiffrement de lecteur BitLocker : les deux fonctionnalités diffèrent selon l’édition, et cette différence détermine l’endroit où vous les gérez.
• Vérifier l’état du chiffrement sur de nombreux PC : Get-BitLockerVolume fournit les données nécessaires à un rapport simple.

Prochaine étape

Pour désactiver BitLocker, déterminez d’abord si vous devez le suspendre ou le déchiffrer. Suspendez-le pour les mises à jour et les réparations, et ne le déchiffrez avec Disable-BitLocker ou manage-bde -off que lorsque le lecteur n’a plus besoin d’être protégé et que la stratégie l’autorise. Vérifiez ensuite Get-BitLockerVolume jusqu’à ce que le volume indique que le déchiffrement est terminé.