מפתח השחזור של BitLocker: איפה למצוא אותו (חשבון, Entra, IT)

By Mirko Peters · 2026-11-12

מצאו את מפתח השחזור של BitLocker בחשבון Microsoft שלכם, בחשבון העבודה, בהדפסה או בכונן USB, וראו איך מנהלים מאחזרים אותו מ-Entra ID או מ-Intune.

Automatically translated with AI from the original post. Read the English original

מפתח השחזור של BitLocker כמעט תמיד מאוחסן בחשבון, ולא במחשב עצמו. פתחו את aka.ms/myrecoverykey במכשיר אחר והתחברו עם חשבון Microsoft שלכם. אם המחשב שייך למעסיק או למוסד הלימודים, השתמשו במקום זאת ב-aka.ms/aadrecoverykey עם חשבון העבודה או הלימודים שלכם. אם אף אחד מהם לא מציג מפתח, בדקו הדפסה או כונן USB, או פנו למחלקת ה-IT. מאמר זה מיועד למשתמשי Windows שנתקלו לראשונה במסך השחזור הכחול, ולמנהלים שמקבלים שיחה כזו ממשתמש. הוא מסביר היכן לחפש בכל מקום, איך מנהל מאחזר מפתחות, מדוע מופיעה ההנחיה, ומה קורה אם אין מפתח כלל.

עיקרי הדברים

• חפשו את מפתח השחזור של BitLocker בחשבון Microsoft שלכם בכתובת aka.ms/myrecoverykey, או במכשיר של העבודה או הלימודים בכתובת aka.ms/aadrecoverykey.
• רשמו את שמונת התווים הראשונים של מזהה המפתח שבמסך הכחול, כדי שתוכלו לבחור את המפתח הנכון אם החשבון שלכם מציג כמה מפתחות.
• מפתח השחזור בן 48 ספרות, ותמיכת Microsoft אינה יכולה לאחזר, לספק או ליצור מחדש עבורכם מפתח שאבד.
• מנהלים יכולים לקרוא מפתחות במרכז הניהול של Microsoft Entra או במרכז הניהול של Intune, וכל חיפוש כזה משאיר עקבות ביקורת.
• אם אין מפתח שחזור בשום מקום, הדרך היחידה לחזור למכשיר היא איפוס, והאיפוס מוחק את כל הקבצים בכונן.

מהו מפתח השחזור, ומדוע חשוב לרשום את מזהה המפתח

מפתח השחזור הוא מספר בן 48 ספרות. התיעוד של Microsoft להתאוששות מציג אותו כשמונה קבוצות של שש ספרות, ומסך השחזור שמופיע באתחול בודק כל קבוצה תוך כדי ההקלדה, כך שרוב שגיאות ההקלדה מזוהות מיד. BitLocker מבקש את המפתח כשהוא אינו יכול לפתוח את הכונן באופן אוטומטי. זה קורה לאחר סיכון אבטחה או שינוי חומרה, או כששכחתם את הסיסמה לכונן נתונים.

לפני שתעשו כל דבר אחר, רשמו את שמונת התווים הראשונים של מזהה מפתח השחזור שהמסך מציג. אם בחשבון שלכם יש יותר ממפתח אחד, למשל משום שהמכשיר הוצפן מחדש פעם אחת או משום שאתם הבעלים של כמה מחשבים, מזהה המפתח הוא הדרך לבחור את הנכון. אם אפשר, צלמו את המסך במצלמת הטלפון. זה לא עולה כלום, ויידרש לכם המזהה פעמיים: פעם אחת כדי למצוא את המפתח, ופעם נוספת אם תתקשרו ל-IT.

עובדה נוספת שכדאי לדעת כבר עכשיו. מאמר התמיכה של Microsoft קובע בבירור שתמיכת Microsoft אינה יכולה לאחזר, לספק או ליצור מחדש מפתח שחזור שאבד. לאף אחד ב-Microsoft אין עותק. לכן החלק הבא חשוב.

היכן למצוא את מפתח השחזור של BitLocker

המקום הנכון תלוי באופן שבו הופעל BitLocker. עברו על האפשרויות לפי הסדר הזה.

1. חשבון Microsoft שלכם. במכשיר אחר, פתחו דפדפן וגשו אל https://aka.ms/myrecoverykey. מאמר של Microsoft קובע שהקישור מפנה לעמוד מפתח השחזור בחשבון שלכם ב-account.microsoft.com. התחברו עם חשבון Microsoft שלכם, מצאו את מזהה המפתח שתואם למזהה שעל המסך, והשתמשו במפתח הזה כדי לפתוח את הכונן. זהו המקרה הנפוץ ביותר במחשבים ביתיים, משום ש-Device Encryption מפעיל את BitLocker כשנכנסים עם חשבון Microsoft, ומשייך את המפתח לחשבון הזה.
2. חשבון עבודה או לימודים. במכשיר אחר, היכנסו לכתובת https://aka.ms/aadrecoverykey והתחברו עם חשבון העבודה או הלימודים שלכם. בחרו ב-Devices, הרחיבו את המכשיר הרלוונטי ובחרו ב-View BitLocker Keys. מצאו את המפתח שתואם למזהה המפתח (key ID) שלכם.
3. הדפסה. אם הדפסתם את המפתח כשהפעלתם את BitLocker, חפשו במקום שבו אתם שומרים מסמכים חשובים הקשורים למכשיר. בהדפסה מופיע מזהה המפתח לצד המפתח עצמו.
4. כונן USB. חברו אותו למכשיר הנעול ופעלו לפי ההוראות שעל המסך. אם המפתח נשמר כקובץ טקסט בכונן, פתחו את הקובץ במכשיר אחר.

שני פרטים מתוך המאמר של Microsoft יחסכו לאנשים הרבה זמן. ראשית, אם מישהו אחר הגדיר את המכשיר או הפעיל את BitLocker, ייתכן שהמפתח נמצא בחשבון Microsoft של אותו אדם, למשל של בן משפחה או של מנהל קודם. שנית, ב-Windows 11 גרסה 24H2 ואילך, מסך השחזור מציג רמז לגבי חשבון Microsoft המקושר למפתח. קראו את הרמז הזה לפני שאתם מנסים חשבונות באופן אקראי.

הדף מכסה גם מכשירים המנוהלים על ידי ארגון. במקרים אלה, מחלקת ה-IT שלכם שולפת את המפתח, ולכן אין טעם לנחש.

כיצד מנהלים שולפים את מפתח השחזור של BitLocker

אם אתם צוות תמיכה (helpdesk), יש לכם יותר אפשרויות מאשר למשתמש. התיעוד של Microsoft על שחזור BitLocker מפרט את המקומות והתפקידים.

Microsoft Entra ID. במכשירים שהוצטרפו ל-Microsoft Entra או שהוצטרפו באופן היברידי, השיטה המומלצת היא לשמור את המפתחות ב-Entra ID, כך שמנהל BitLocker או צוות התמיכה יוכלו לעזור למשתמשים לקבל את המפתחות שלהם. התפקידים Cloud Device Administrator ו-Helpdesk Administrator הם הבחירות הנפוצות. תפקיד מותאם אישית יכול להשתמש בהרשאה microsoft.directory/bitlockerKeys/key/read, ואפשר להגביל אותה ליחידות ניהול (administrative units). ניתן לקרוא מפתחות במרכז הניהול של Microsoft Entra, דרך Microsoft Graph API, או באמצעות PowerShell.

שירות עצמי. כברירת מחדל, משתמשים יכולים לשלוף את המפתחות של המכשירים שלהם בכתובת https://myaccount.microsoft.com: פתחו את הלשונית Devices, בחרו במכשיר ובחרו ב-View BitLocker Keys. מנהל יכול לכבות זאת באמצעות ההגדרה בשם Restrict users from recovering the BitLocker key(s) for their owned devices. ההמלצה של Microsoft היא לאפשר שירות עצמי רק בסביבות מהימנות, ובשאר המקרים להסתמך על שחזור דרך צוות התמיכה.

Intune. במרכז הניהול של Intune, היכנסו ל-Devices, ואז ל-All devices. בחרו במכשיר, ותחת Monitor בחרו ב-Recovery keys. לאחר מכן בחרו ב-Show Recovery Key. המאמר של Microsoft על Intune מציין שפעולה זו יוצרת רשומת ביקורת תחת הפעילות KeyManagement, כך שכל חיפוש ניתן למעקב. באותו מאמר מפורטים גם התפקידים Cloud Device Administrator, Helpdesk Administrator ו-Global Administrator כתפקידים שיכולים לצפות במפתחות.

Active Directory. במכשירים המשויכים לדומיין ששומרים מפתחות ב-AD DS, רק Domain Admins יכולים לקרוא מידע על שחזור כברירת מחדל, אם כי אפשר להאציל את ההרשאה. ה-BitLocker Recovery Password Viewer, שהוא חלק מכלי ניהול השרתים מרחוק, מוסיף לשונית BitLocker Recovery לאובייקט המחשב. אפשר גם לחפש לפי שמונת התווים הראשונים של מזהה הסיסמה.

צעד מומלץ לצוות התמיכה הוא לשאול מדוע הופיעה הבקשה לפני מסירת המפתח, וזה מה שהסעיף הבא מסביר.

מדוע BitLocker ביקש את המפתח

מסירת המפתח פותרת את הבעיה של היום. איתור הסיבה מונע את הפנייה הבאה. Microsoft מונה את הטריגרים הבאים:

• PIN לא ידוע או שנשכח, כאשר המכשיר משתמש ב-TPM יחד עם PIN.
• מפתח הפעלה (startup key) שאבד, כאשר המכשיר משתמש במפתח הפעלה ב-USB.
• שינויים בקבצי אתחול או בקושחה, כגון שדרוג BIOS, או אולי תוכנה זדונית.
• העברת כונן עם מחיצת מערכת הפעלה ו-TPM protector למכשיר אחר, מה שמקשר אותו ל-TPM החדש ומפעיל בקשה לשחזור.

מאמרו של Microsoft מנחה את צוות ה-helpdesk לאתר את שורש הבעיה לפני שמוסרים את המפתח. נקודות התחלה שימושיות הן manage-bde.exe -status ויומן האירועים. אם יש לכם חשד לתוכנה זדונית, יש לטפל במכשיר כאירוע אבטחה ולא כנעילה שגרתית.

לאחר שחזור מוצלח, Windows רושם אירוע ביומן, מאפס את מדידות אימות הפלטפורמה של ה-TPM כך שיתאימו לתצורה הנוכחית, ומשחרר את מפתח ההצפנה. אם ההנחיה ממשיכה לחזור, לפי Microsoft יש להשהות ולחדש את BitLocker, פעולה שמאפסת את פרופיל האימות. במכשירים עם החלפה אוטומטית של סיסמת השחזור, הסיסמה מתחלפת אחרי השימוש, ומנהלים יכולים להחליף אותה לפי דרישה מ-Intune או מ-Configuration Manager. זה חשוב אם הדבקתם מפתח בטיקט, כי המפתח הישן מפסיק לתקף עבור המכשיר ברגע שהוחלף.

אם אינכם מוצאים את המפתח

בדקו קודם כל כל חשבון שבבעלותכם, כולל חשבונות ישנים וחשבון של מי שהגדיר את המחשב. לאחר מכן בדקו את הדפוסים המודפסים ואת כונני ה-USB. במכשיר מנוהל, מחלקת ה-IT היא הדרך היחידה.

אם אינכם מוצאים את המפתח ולא ניתן לבטל את השינוי שהפעיל את ההנחיה, לפי המאמר של Microsoft יהיה צורך לאפס את המכשיר באמצעות אפשרות שחזור של Windows. פעולה זו מוחקת את כל הקבצים שלכם. הקבצים המוצפנים לא ניתנים לקריאה ללא המפתח, ולכן אל תתחילו באיפוס לפני שביקשתם מכל מי שעשוי להחזיק במפתח.

טעויות נפוצות

• אי-רישום של מזהה המפתח. בלעדיו, ייתכן שתנסו את המפתח הלא נכון מתוך רשימה של כמה מפתחות.
• חיפוש בחשבון הלא נכון. ייתכן שהמפתח נמצא בחשבון Microsoft שאינכם משתמשים בו לעיתים קרובות, בחשבון העבודה שלכם, או בחשבון של מי שהגדיר את המחשב.
• הקלדת המפתח במסך הכחול מהזיכרון. שמונה-וארבעים הספרות חייבות להיות מדויקות. קראו אותן מהמסך האחר והקלידו כל קבוצה בזהירות.
• איפוס מוקדם מדי של המכשיר. איפוס מוחק את הקבצים שלכם והוא אמצעי אחרון, לא ראשון.
• מסירת המפתח בלי לברר למה. מנהל שמדלג על שורש הבעיה עלול לחוות את אותה הנחיה בשבוע הבא, או לפספס בעיית אבטחה.

נושאים קשורים לבירור

• גבו את המפתח לפני שתזדקקו לו: בדקו עכשיו שחשבון Microsoft שלכם או Entra ID מציגים מפתח לכל מכשיר, כי הבדיקה תארוך שתי דקות היום.
• Device Encryption לעומת BitLocker Drive Encryption: ב-Windows Home זמינה Device Encryption, ואילו BitLocker Drive Encryption זמינה בגרסאות Pro, Enterprise ו-Education, כפי שמסביר המאמר של Microsoft על Device Encryption.
• השהו את BitLocker לפני עדכוני קושחה: הדבר מונע הנחיית שחזור לאחר עדכון BIOS או TPM.
• החליפו מפתחות שחזור אחרי השימוש: Intune יכול להחליף מפתח לפי דרישה במכשירי Windows נתמכים.
• כיבוי BitLocker: יש משתמשים שרוצים לפענח כונן לחלוטין, לפעולה זו יש שלבים וסיכונים משלה.

הצעד הבא

כדי לאתר את מפתח שחזור BitLocker שלכם, רשמו את מזהה המפתח, ואז בדקו את חשבון Microsoft שלכם בכתובת aka.ms/myrecoverykey או את חשבון העבודה שלכם בכתובת aka.ms/aadrecoverykey. לאחר שחזרתם להתחבר, פתחו שוב את אותו דף ואשרו שלכל אחד מהמכשירים שלכם שמור מפתח, כך שההנחיה הבאה תיפתר בשתי דקות ולא בשני ימים. שווה לשמור בסימניות את המאמר של Microsoft על איתור מפתח שחזור BitLocker, ומנהלים כדאי שיקראו פעם אחת את תהליך השחזור של BitLocker ואת ההנחיות של Intune ל-BitLocker.