Como desativar o BitLocker: suspender ou descriptografar uma unidade

By Mirko Peters · 2026-11-12

Como desativar o BitLocker: quando suspender a proteção, quando descriptografar com Disable-BitLocker ou manage-bde -off e o que muda em dispositivos gerenciados.

Automatically translated with AI from the original post. Read the English original

Para desativar o BitLocker na unidade do sistema, abra o PowerShell como administrador e execute Disable-BitLocker -MountPoint "C:". A mesma tarefa na linha de comando é manage-bde -off C:. Os dois comandos removem os protetores de chave e iniciam a descriptografia da unidade em segundo plano. Se você só precisa passar por uma atualização de firmware ou uma troca de hardware, não é isso que quer. Você quer suspender a proteção, que é temporária e mantém os dados criptografados. Este artigo é para usuários do Windows que querem remover o BitLocker e para administradores que recebem esse pedido. Ele explica a diferença, os comandos exatos, como acompanhar o progresso e por que um dispositivo gerenciado pode não permitir a descriptografia.

Pontos-chave

• Suspender o BitLocker é temporário e mantém a unidade criptografada, enquanto desativar o BitLocker descriptografa a unidade inteira e remove os protetores de chave.
• Para descriptografar a unidade do sistema, execute Disable-BitLocker -MountPoint C: no PowerShell como administrador, ou manage-bde -off C: em um prompt de comando com privilégios de administrador.
• Use Suspend-BitLocker antes de atualizações de firmware ou de TPM para que o Windows não solicite a chave de recuperação na próxima reinicialização.
• Em um dispositivo gerenciado pela sua organização, a política pode exigir criptografia, então pergunte à equipe de TI antes de descriptografar qualquer coisa.
• Acompanhe o andamento com Get-BitLockerVolume, que informa o status do volume, o status da proteção e a porcentagem de criptografia.

Suspender ou descriptografar: escolha antes de digitar qualquer coisa

Duas ações diferentes são chamadas de "desativar", e confundi-las causa a maior parte dos problemas.

Suspender a proteção pausa o BitLocker por um tempo. A unidade continua criptografada, e você pode retomar a qualquer momento. A Microsoft recomenda isso antes de atualizações de software não Microsoft que alteram componentes de inicialização, como atualizações de firmware do fabricante e atualizações de firmware do TPM. Se você pular a suspensão, a Microsoft afirma que o sistema não vai reconhecer a chave do BitLocker, e você será solicitado a informar a chave de recuperação na próxima reinicialização e em todas as seguintes.

Descriptografar é o que os comandos do PowerShell e do manage-bde fazem. Eles removem todos os protetores de chave e começam a descriptografar o volume. O guia de operações do BitLocker da Microsoft traz uma regra clara: a descriptografia se aplica aos casos em que a proteção não é mais necessária, e não à solução de problemas.

Então, faça a si mesmo uma pergunta. Você quer a unidade desprotegida de vez, ou só fora do caminho por alguns minutos? Para uma atualização de firmware, uma alteração de BIOS ou uma tarefa de reparo, suspenda. Se alguém disser que o notebook está "mais rápido sem ele", meça essa afirmação antes de descriptografar um dispositivo que carrega dados da empresa. Minha recomendação é manter a criptografia ativada em qualquer notebook que saia das instalações.

Suspenda o BitLocker para uma atualização e depois retome

Leva um minuto e evita a solicitação de chave de recuperação. A Microsoft documenta tanto o caminho pelo Painel de Controle quanto o caminho pelo PowerShell.

Painel de Controle:

1. Abra o Painel de Controle.
2. Selecione Sistema e Segurança, depois Criptografia de Unidade BitLocker e, em seguida, Suspender proteção.
3. Selecione Sim.
4. Depois da atualização, vá ao mesmo local, selecione Retomar proteção e selecione Sim.

PowerShell, aberto como administrador:

1. Execute Suspend-BitLocker -MountPoint "C:" -RebootCount 0.
2. Instale a atualização e reinicie quantas vezes for necessário.
3. Execute Resume-BitLocker -MountPoint "C:".

O parâmetro -RebootCount define quantas reinicializações podem ocorrer antes de o BitLocker se ativar novamente sozinho. Os valores válidos vão de 0 a 15. Com o valor 0, a proteção permanece suspensa até você retomá-la manualmente, o que significa que você precisa lembrar do último passo. A Microsoft também observa que a retomada só funciona em dispositivos que aceitaram o EULA do Windows.

Como desativar o BitLocker: descriptografar uma unidade com PowerShell ou manage-bde

A descriptografia exige um comando por unidade. Abra o PowerShell ou um prompt de comando como administrador, pois as operações do BitLocker exigem esse nível de acesso.

1. Verifique a situação atual. Execute Get-BitLockerVolume C: | fl no PowerShell. A saída inclui VolumeStatus, ProtectionStatus, LockStatus e EncryptionPercentage. Uma unidade totalmente criptografada e protegida mostra FullyEncrypted e On.
2. Descriptografe a unidade. No PowerShell, execute Disable-BitLocker -MountPoint "C:". O BitLocker começa a descriptografar C: imediatamente. Em um prompt de comando, o equivalente é manage-bde -off C:. A descrição da Microsoft diz que ele descriptografa a unidade e desativa o BitLocker, e que todos os protetores de chave são removidos quando a descriptografia é concluída.
3. Acompanhe o progresso. Execute Get-BitLockerVolume C: novamente, ou manage-bde -status, e observe o percentual de criptografia. As páginas da Microsoft que consultei não informam uma duração típica, então não faça suposições. Ela depende da quantidade de dados na unidade e da carga de trabalho do computador. Você pode continuar trabalhando enquanto o processo é executado.
4. Confirme o resultado. Quando a descriptografia terminar, o status do volume mostra a unidade como totalmente descriptografada, e a proteção está desativada.

Algumas variações em relação aos exemplos da Microsoft:

• Várias unidades de uma vez. $BLV = Get-BitLockerVolume seguido de Disable-BitLocker -MountPoint $BLV desativa o BitLocker em todos os volumes. O guia de operações também mostra Disable-BitLocker -MountPoint C,D para unidades específicas.
• Uma execução de teste. Disable-BitLocker aceita -WhatIf, que mostra o que aconteceria sem executar a ação. É um hábito útil em servidores.
• Chaves automáticas em unidades de dados. Se o volume do sistema operacional tiver chaves automáticas que o desbloqueiam na inicialização, o Disable-BitLocker não prossegue. Execute primeiro Clear-BitLockerAutoUnlock e depois desative o BitLocker no volume. A Microsoft não explica como essas chaves normalmente são criadas, então verifique a saída do cmdlet caso isso ocorra.
• Outro computador. manage-bde aceita o parâmetro -computername para alterar a proteção em outra máquina.

Você pode consultar os detalhes na referência do Disable-BitLocker e na página manage-bde -off.

Uma observação sobre o aplicativo Configurações e o Windows Home. O Windows Home não inclui o BitLocker Drive Encryption. Em vez disso, ele tem a Criptografia de Dispositivo, que o Windows ativa quando você entra com uma conta Microsoft ou uma conta corporativa ou escolar, e você a gerencia em Configurações, em Privacidade e segurança, Criptografia de dispositivo. O artigo da Microsoft que consultei descreve como ativá-la, mas não documenta os passos para desativá-la, então observe a opção no seu próprio dispositivo e leia o texto na tela antes de fazer qualquer alteração.

Unidades de dados, unidades USB e como reativar o BitLocker

Os comandos funcionam por volume, então os mesmos passos valem para uma unidade de dados ou um pen drive. O applet do Painel de Controle lista três grupos: Unidade do sistema operacional, Unidades de dados fixas e Unidades de dados removíveis - BitLocker To Go. Com manage-bde -off, você informa o volume pela letra da unidade seguida de dois-pontos, por exemplo manage-bde -off E:. A Microsoft também aceita ali um caminho GUID de volume ou um volume montado. Substitua a letra pela que o Explorador de Arquivos mostra para a sua unidade e confira com atenção, porque descriptografar o volume errado desperdiça tempo.

Descriptografar uma unidade removível tem uma consequência prática. Quando o processo terminar, qualquer pessoa que conectar o pen drive a um PC poderá ler os arquivos, sem senha. Decida antes se os dados nele devem continuar protegidos.

Você pode ativar o BitLocker novamente depois. O artigo de suporte da Microsoft sobre o BitLocker Drive Encryption descreve o caminho: abra o applet, selecione Ativar BitLocker ao lado da unidade, escolha como a unidade será protegida e faça backup da chave de recuperação. A criptografia então é executada em segundo plano, e você pode continuar usando o dispositivo enquanto ela termina. Trate isso como uma nova configuração, não como uma "retomada". Todos os protetores de chave anteriores foram removidos quando você descriptografou, então a chave de recuperação que você salvou antes não se aplica à nova criptografia. Salve a nova chave em um lugar acessível a partir de outro dispositivo e confira, com as orientações sobre como encontrar uma chave de recuperação, se a nova chave realmente aparece na sua conta.

Dispositivos gerenciados pela sua organização

O departamento de TI normalmente gerencia o BitLocker, e a política da organização pode exigir criptografia. Esse é o primeiro ponto a verificar em um notebook de trabalho. Se uma política exigir criptografia, uma descriptografia manual pode ser revertida ou pode fazer o dispositivo deixar de estar em conformidade.

Se você gerencia dispositivos com o Intune, as configurações do BitLocker ficam em uma política de criptografia de disco do Endpoint Security. Para a criptografia silenciosa, a orientação da Microsoft lista configurações como Require Device Encryption definida como Enabled. O artigo da Microsoft não diz o que acontece com um dispositivo criptografado quando você remove ou desatribui a política, e não descreve uma forma de descriptografar pelo Intune. Não presuma que desatribuir uma política descriptografa algo. Teste em um dispositivo e verifique o resultado com Get-BitLockerVolume.

Uma afirmação do artigo do Intune vale a pena lembrar. Se você excluir o objeto do Intune de um dispositivo ingressado no Microsoft Entra que o BitLocker protege, o Intune sincroniza e remove os protetores de chave do volume do sistema operacional, o que deixa o BitLocker suspenso nesse volume. Excluir um registro de dispositivo para "fazer uma limpeza" não é, portanto, inofensivo.

Erros comuns

• Descriptografar para resolver um problema de inicialização. A Microsoft afirma que a descriptografia não é uma etapa de solução de problemas. Suspenda, repare, retome.
• Esquecer de retomar após uma suspensão. Com -RebootCount 0, a proteção fica desligada até você executar Resume-BitLocker. Inclua isso na checklist de atualização.
• Deixar a chave de recuperação desconhecida. Se você descriptografar e depois reativar o BitLocker, terá um novo conjunto de protetores. Não confie em uma cópia impressa antiga.
• Descriptografar um notebook com dados da empresa. Assim, a unidade fica legível para quem tiver o dispositivo em mãos. Faça isso somente quando a política permitir.
• Pular a etapa das chaves automáticas. O Disable-BitLocker se recusa a executar até que o cmdlet de limpeza da lista acima tenha removido essas chaves.
• Presumir que a política do Intune descriptografa. A documentação da Microsoft não diz isso, então valide em um dispositivo de teste.

Tópicos relacionados para explorar

• Localize a chave de recuperação antes de qualquer alteração: se uma atualização de firmware ou uma troca de hardware provocar a tela azul, a chave de recuperação é a única forma de voltar a acessar o equipamento.
• Suspenda o BitLocker para atualizações de BIOS e TPM: essa é a alternativa mais segura a desativar a criptografia.
• Implantação silenciosa do BitLocker com o Intune: as configurações de TPM, Secure Boot e usuários padrão determinam se a criptografia começa sem um aviso.
• Criptografia de Dispositivo versus BitLocker Drive Encryption: os dois recursos diferem por edição, e essa diferença define onde você os gerencia.
• Verifique o status de criptografia em muitos PCs: Get-BitLockerVolume fornece os dados para um relatório simples.

Próximo passo

Para desativar o BitLocker, primeiro decida se você precisa suspender ou descriptografar. Suspenda para atualizações e reparos, e descriptografe com Disable-BitLocker ou manage-bde -off somente quando a unidade não precisar mais de proteção e a política permitir. Depois, verifique Get-BitLockerVolume até que o volume informe que a descriptografia foi concluída.