Come disattivare BitLocker: sospendere o decrittografare un'unità

By Mirko Peters · 2026-11-12

Come disattivare BitLocker: quando sospendere la protezione, quando decrittografarla con Disable-BitLocker o manage-bde -off e cosa cambia sui dispositivi gestiti.

Automatically translated with AI from the original post. Read the English original

Per disattivare BitLocker sull'unità di sistema, apri PowerShell come amministratore ed esegui Disable-BitLocker -MountPoint "C:". Lo stesso risultato dalla riga di comando si ottiene con manage-bde -off C:. Entrambi rimuovono i protettori delle chiavi e avviano la decrittografia dell'unità in background. Se ti serve solo superare un aggiornamento del firmware o una modifica hardware, non è questo che vuoi. Ti serve sospendere la protezione, che è temporanea e mantiene i dati crittografati. Questo articolo è rivolto agli utenti Windows che vogliono eliminare BitLocker e agli amministratori che ricevono questa richiesta. Spiega la differenza, i comandi esatti, come controllare l'avanzamento e perché un dispositivo gestito potrebbe non consentire la decrittografia.

Punti chiave

• Sospendere BitLocker è temporaneo e mantiene l'unità crittografata, mentre disattivarlo decrittografa l'intera unità e rimuove i suoi protettori delle chiavi.
• Per decrittografare l'unità di sistema, esegui Disable-BitLocker -MountPoint C: in PowerShell come amministratore, oppure manage-bde -off C: da un prompt dei comandi con privilegi di amministratore.
• Usa Suspend-BitLocker prima degli aggiornamenti di firmware o TPM, così Windows non chiederà la chiave di ripristino al riavvio successivo.
• Su un dispositivo gestito dalla tua organizzazione, un criterio potrebbe richiedere la crittografia, quindi chiedi al reparto IT prima di decrittografare qualsiasi cosa.
• Controlla l'avanzamento con Get-BitLockerVolume, che riporta lo stato del volume, lo stato della protezione e la percentuale di crittografia.

Sospendere o decrittografare: scegli prima di digitare qualsiasi comando

Due azioni diverse vengono entrambe chiamate "disattiva", e confonderle causa la maggior parte dei problemi.

Sospendere la protezione mette in pausa BitLocker per un certo periodo. L'unità resta crittografata e puoi riprendere in qualsiasi momento. Microsoft lo consiglia prima degli aggiornamenti software non Microsoft che modificano i componenti di avvio, come gli aggiornamenti del firmware del produttore e del firmware TPM. Se salti la sospensione, Microsoft afferma che il sistema non riconoscerà la chiave di BitLocker e ti verrà chiesta la chiave di ripristino al riavvio successivo e a ogni riavvio seguente.

Decrittografare è ciò che fanno i comandi PowerShell e manage-bde. Rimuove tutti i protettori delle chiavi e avvia la decrittografia del volume. La guida alle operazioni di BitLocker di Microsoft fornisce una regola chiara: la decrittografia è indicata quando la protezione non è più necessaria, e non per la risoluzione dei problemi.

Quindi chiediti una cosa. Vuoi che l'unità resti senza protezione in modo permanente, o solo che resti fuori dai piedi per qualche minuto? Per un aggiornamento del firmware, una modifica del BIOS o un'attività di riparazione, sospendi. Se qualcuno dice che il portatile è "più veloce senza", verifica l'affermazione prima di decrittografare un dispositivo che contiene dati aziendali. Il mio consiglio è di mantenere la crittografia attiva su ogni portatile che esce dall'azienda.

Sospendi BitLocker per un aggiornamento, poi riprendi

Bastano pochi minuti ed evita la richiesta di ripristino. Microsoft documenta sia il percorso dal Pannello di controllo sia quello con PowerShell.

Pannello di controllo:

1. Apri Pannello di controllo.
2. Seleziona Sistema e sicurezza, poi Crittografia unità BitLocker, quindi Sospendi protezione.
3. Seleziona Sì.
4. Dopo l'aggiornamento, torna nello stesso punto, seleziona Riprendi protezione e seleziona Sì.

PowerShell, aperto come amministratore:

1. Esegui Suspend-BitLocker -MountPoint "C:" -RebootCount 0.
2. Installa l'aggiornamento e riavvia quante volte necessario.
3. Esegui Resume-BitLocker -MountPoint "C:".

Il parametro -RebootCount stabilisce quanti riavvii possono passare prima che BitLocker si riattivi da solo. I valori validi vanno da 0 a 15. Con il valore 0 la protezione resta sospesa finché non la riprendi manualmente, quindi ricordati di eseguire l'ultimo passaggio. Microsoft segnala inoltre che la ripresa funziona solo sui dispositivi che hanno accettato il contratto di licenza di Windows (EULA).

Come disattivare BitLocker: decrittografare un'unità con PowerShell o manage-bde

Decrittografare richiede un comando per unità. Apri PowerShell o il prompt dei comandi come amministratore, perché le operazioni di BitLocker lo richiedono.

1. Verifica la situazione attuale. Esegui Get-BitLockerVolume C: | fl in PowerShell. L'output include VolumeStatus, ProtectionStatus, LockStatus e EncryptionPercentage. Un'unità completamente crittografata e protetta mostra FullyEncrypted e On.
2. Decrittografa l'unità. In PowerShell, esegui Disable-BitLocker -MountPoint "C:". BitLocker inizia subito a decrittografare C:. Nel prompt dei comandi, l'equivalente è manage-bde -off C:. La descrizione di Microsoft indica che decrittografa l'unità e disattiva BitLocker, e che tutti i protettori di chiavi vengono rimossi al termine della decrittografia.
3. Controlla l'avanzamento. Esegui di nuovo Get-BitLockerVolume C: oppure manage-bde -status, e controlla la percentuale di crittografia. Le pagine Microsoft che ho consultato non indicano una durata tipica, quindi non fare supposizioni. Dipende dalla quantità di dati sull'unità e dal carico della macchina. Puoi continuare a lavorare mentre l'operazione è in corso.
4. Verifica il risultato. Al termine della decrittografia, lo stato del volume indica l'unità come completamente decrittografata e la protezione è disattivata.

Alcune varianti rispetto agli esempi di Microsoft:

• Più unità contemporaneamente. $BLV = Get-BitLockerVolume seguito da Disable-BitLocker -MountPoint $BLV disattiva BitLocker su tutti i volumi. La guida alle operazioni mostra anche Disable-BitLocker -MountPoint C,D per unità specifiche.
• Una prova. Disable-BitLocker supporta -WhatIf, che mostra cosa succederebbe senza eseguire l'operazione. È un'abitudine utile su un server.
• Chiavi automatiche per le unità dati. Se il volume del sistema operativo ha chiavi automatiche che lo sbloccano all'avvio, Disable-BitLocker non procede. Esegui prima Clear-BitLockerAutoUnlock, poi disattiva BitLocker sul volume. Microsoft non spiega come queste chiavi vengano solitamente create, quindi controlla l'output del cmdlet se ti imbatti in questo problema.
• Un altro computer. manage-bde accetta il parametro -computername per modificare la protezione su un'altra macchina.

Puoi leggere i dettagli nella documentazione di riferimento di Microsoft su Disable-BitLocker e nella pagina manage-bde -off.

Una nota sull'app Impostazioni e su Windows Home. Windows Home non include BitLocker Drive Encryption. Include invece la crittografia del dispositivo, che Windows attiva quando accedi con un account Microsoft o con un account di lavoro o dell'istituto di istruzione, e la gestisci in Impostazioni, alla voce Privacy e sicurezza, Crittografia del dispositivo. L'articolo Microsoft che ho consultato descrive come attivarla e non documenta i passaggi per disattivarla, quindi osserva l'interruttore sul tuo dispositivo e leggi il testo sullo schermo prima di modificarlo.

Unità dati, unità USB e come riattivare BitLocker

I comandi lavorano per volume, quindi gli stessi passaggi valgono per un'unità dati o per una chiavetta USB. L'applet del Pannello di controllo elenca tre gruppi: Unità del sistema operativo, Unità dati fisse e Unità dati rimovibili - BitLocker To Go. Con manage-bde -off indichi il volume con la lettera di unità seguita dai due punti, per esempio manage-bde -off E:. Microsoft accetta anche un percorso GUID del volume o un volume montato. Sostituisca la lettera con quella che Esplora risorse mostra per la sua unità e controlli due volte, perché decrittografare il volume sbagliato fa perdere tempo.

La decrittografia di un'unità rimovibile ha una conseguenza pratica. Al termine, chiunque colleghi la chiavetta a un PC può leggere i file, senza password. Decida prima se i dati al suo interno devono restare protetti.

BitLocker può essere riattivato in seguito. L'articolo di supporto Microsoft su BitLocker Drive Encryption descrive il percorso: apra l'applet, selezioni Attiva BitLocker accanto all'unità, scelga come proteggere l'unità ed esegua il backup della chiave di ripristino. La crittografia procede quindi in background, e può continuare a usare il dispositivo mentre termina. Lo consideri una nuova configurazione, non una "ripresa". Tutti i protettori delle chiavi precedenti sono stati rimossi con la decrittografia, quindi la chiave di ripristino salvata in precedenza non vale per la nuova crittografia. Salvi la nuova chiave in un punto a cui può accedere da un altro dispositivo e verifichi, seguendo le indicazioni su come trovare una chiave di ripristino, che la nuova chiave compaia davvero nel suo account.

Dispositivi gestiti dalla sua organizzazione

Il reparto IT di solito gestisce BitLocker, e i criteri dell'organizzazione potrebbero richiedere la crittografia. È la prima cosa da verificare su un portatile di lavoro. Se un criterio impone la crittografia, una decrittografia manuale potrebbe essere annullata, oppure potrebbe far uscire il dispositivo dalla conformità.

Se gestisce i dispositivi con Intune, le impostazioni di BitLocker si trovano in un criterio di crittografia del disco della protezione endpoint. Per la crittografia silenziosa, le indicazioni Microsoft elencano impostazioni come Require Device Encryption impostata su Enabled. L'articolo Microsoft non dice cosa succede a un dispositivo crittografato quando rimuove o annulla l'assegnazione del criterio, e non descrive un modo per decrittografare tramite Intune. Non dia per scontato che annullare l'assegnazione di un criterio decrittografi qualcosa. Faccia una prova su un dispositivo e verifichi il risultato con Get-BitLockerVolume.

Una affermazione dell'articolo su Intune vale la pena di ricordarla. Se elimina l'oggetto Intune di un dispositivo aggiunto a Microsoft Entra che BitLocker protegge, Intune sincronizza e rimuove i protettori delle chiavi per il volume del sistema operativo, lasciando BitLocker in stato sospeso su quel volume. Eliminare un record di dispositivo per "fare pulizia" quindi non è innocuo.

Errori comuni

• Decrittografare per risolvere un problema di avvio. Microsoft afferma che la decrittografia non è un passaggio di risoluzione dei problemi. Sospenda, ripari, riprenda.
• Dimenticare di riprendere dopo una sospensione. Con -RebootCount 0 la protezione resta disattivata finché non esegue Resume-BitLocker. Lo inserisca nella checklist degli aggiornamenti.
• Non conoscere la chiave di ripristino. Se decrittografa e in seguito riattiva BitLocker, ottiene un nuovo set di protettori. Non si affidi a una vecchia stampa.
• Decrittografare un portatile con dati aziendali. In questo caso l'unità è leggibile da chiunque si impossessi del dispositivo. Lo faccia solo se il criterio lo consente.
• Saltare il passaggio delle chiavi automatiche. Disable-BitLocker si rifiuta di essere eseguito finché il cmdlet di pulizia elencato sopra non ha rimosso quelle chiavi.
• Dare per scontato che il criterio Intune decrittografi. La documentazione Microsoft non lo dice, quindi lo verifichi su un dispositivo di prova.

Argomenti correlati da esplorare

• Trovi la chiave di ripristino prima di apportare modifiche: se un aggiornamento del firmware o una modifica hardware fa comparire la schermata blu, la chiave di ripristino è l'unico modo per tornare dentro.
• Sospenda BitLocker per gli aggiornamenti di BIOS e TPM: è l'alternativa più sicura a disattivare la crittografia.
• Distribuzione silenziosa di BitLocker con Intune: le impostazioni per TPM, Secure Boot e utenti standard determinano se la crittografia parte senza richiesta.
• Crittografia del dispositivo e Crittografia unità BitLocker: le due funzionalità differiscono per edizione, e la differenza determina dove le gestisci.
• Verifica lo stato della crittografia su molti PC: Get-BitLockerVolume ti fornisce i dati per un report semplice.

Prossimo passo

Per disattivare BitLocker, decidi prima se ti serve sospenderlo o decrittografare. Sospendi per aggiornamenti e riparazioni, e decrittografa con Disable-BitLocker o manage-bde -off solo quando l'unità non ha più bisogno di protezione e il criterio lo consente. Poi controlla Get-BitLockerVolume finché il volume non segnala che la decrittografia è terminata.