Шифрование диска BitLocker в Windows 11: как включить 2026

В апреле 2026 года это стало особенно заметно: накопительное обновление KB5083769 для Windows 11 24H2/25H2 у части компьютеров вызвало экран восстановления BitLocker с требованием ввести тот самый 48-значный ключ. Проблему устранили в KB5089549, но пользователи, которые не знали о существовании ключа или не могли его найти, рисковали остаться без доступа к своим данным. Это хороший повод проверить статус шифрования на своём ПК заранее, а не разбираться с этим в момент, когда экран восстановления уже требует код.

Что такое BitLocker и от чего он защищает

BitLocker — технология полнодискового шифрования в Windows: она шифрует не отдельные файлы, а весь том целиком, включая системные файлы, временные данные и место на диске, которое операционная система не помечает как «занятое». Ключевая угроза, от которой защищает BitLocker, — офлайн-атака: диск физически вынимают из устройства или загружаются с внешнего носителя, минуя пароль Windows, чтобы прочитать данные напрямую. Без ключа шифрования такой диск — это набор нечитаемых блоков.

Модуль TPM (Trusted Platform Module) версии 1.2 или выше проверяет целостность процесса загрузки и хранит ключ шифрования так, что получить его, обойдя вход в систему, сложно. Дополнительно BitLocker можно настроить так, чтобы перед загрузкой Windows требовался PIN-код или ключ запуска на USB-флешке — это многофакторная предзагрузочная проверка. Если TPM в системе нет, BitLocker всё равно можно включить с ключом запуска на флешке; защиту только паролем Microsoft не рекомендует, и она отключена по умолчанию.

Важно понимать, чего BitLocker не делает. Это не антивирус и не защита от вредоносного ПО: если на включённом и разблокированном компьютере работает инфостилер или другая вредоносная программа, BitLocker ей не мешает — подробнее о таких угрозах в статье про инфостилеры и кражу паролей и cookie. BitLocker также не шифрует сетевой трафик: он не защищает от перехвата данных в публичной сети или от слежки на уровне провайдера — это задача VPN, и про то, какие именно угрозы он закрывает, рассказано в статье от чего защищает VPN.

Какая у вас Windows: BitLocker или «Шифрование устройства»

Полноценный BitLocker доступен в редакциях Windows 11 Pro, Enterprise, Education и Pro Education/SE — там можно шифровать любые диски, включая внешние накопители, настраивать PIN при загрузке и выбирать алгоритм шифрования. В редакции Home полноценного BitLocker нет: вместо него работает упрощённая функция «Шифрование устройства» (Device encryption), которая доступна на всех редакциях Windows, включая Home, но шифрует только системный диск и встроенные накопители — внешние USB-диски и флешки она не трогает.

Начиная с Windows 11 24H2 Microsoft убрала требования Modern Standby и HSTI, а также требование поддержки DMA для автоматического включения шифрования устройства. Из-за этого шифрование теперь активируется само на значительно большем числе ноутбуков и ПК, чем раньше, — и многие пользователи узнают об этом только тогда, когда система вдруг просит ключ восстановления.

Есть важный нюанс: если на устройстве настроена только локальная учётная запись (без входа через аккаунт Microsoft), диск формально зашифрован, но ключ хранится в незащищённом виде — это состояние аналогично приостановленному BitLocker, и в Проводнике диск помечается жёлтым значком предупреждения. Полноценная защита активируется, когда администратор входит под учётной записью Microsoft: тогда ключ восстановления автоматически загружается в облачный аккаунт и создаётся TPM-протектор.

Проверить, готово ли устройство к автоматическому шифрованию, можно через msinfo32 — в строке «Поддержка шифрования устройства» должно стоять «Meets prerequisites» («Соответствует требованиям»). И ещё один момент: если шифрование устройства выключить вручную, само оно больше не включится.

Как проверить, зашифрован ли диск уже сейчас

Проще всего — через «Параметры»: откройте «Параметры» → «Конфиденциальность и защита» → «Шифрование устройства». Если пункта нет совсем, значит устройство не поддерживает автоматическое шифрование устройства (но может поддерживать полноценный BitLocker, если у вас редакция Pro). На системах с Pro/Enterprise проверяйте через Панель управления → «Шифрование диска BitLocker» — там видно состояние для каждого диска.

Более точный способ — командная строка от имени администратора:

manage-bde -status

Команда покажет для каждого тома поля Conversion Status (идёт шифрование или уже завершено), Protection Status (включена защита или приостановлена) и Encryption Method (какой алгоритм используется). Если Protection Status показывает «Protection Off» при полностью зашифрованном томе — это и есть то самое состояние «зашифровано, но не защищено» с локальной учёткой.

Чтобы узнать, соответствует ли устройство требованиям автоматического шифрования, откройте msinfo32 и найдите строку «Поддержка шифрования устройства». Ещё один визуальный признак: в Проводнике диск с незащищённым ключом помечается жёлтым значком предупреждения на иконке.

Как включить BitLocker в Windows 11 Pro: пошагово

1. Проверьте, что TPM включён: наберите tpm.msc в строке поиска, посмотрите состояние модуля; также убедитесь, что в UEFI включён Secure Boot.
2. Откройте Панель управления → «Шифрование диска BitLocker» → выберите нужный диск → «Включить BitLocker».
3. Выберите, как сохранить ключ восстановления. Рекомендуется выбрать минимум два варианта из списка — например, сохранить в учётную запись Microsoft и дополнительно распечатать или сохранить в файл на другом носителе.
4. Выберите объём шифрования: «Шифровать только занятое место на диске» — быстрее, подходит для нового компьютера без личных данных в удалённых файлах; «Шифровать весь диск» — медленнее, но надёжнее для уже использовавшегося ПК, где в удалённых, но не перезаписанных секторах могли остаться данные.
5. Выберите режим шифрования: «Новый режим шифрования» для внутренних дисков этого компьютера, «Совместимый режим» — если диск может потребоваться подключать к устройствам со старыми версиями Windows (актуально для съёмных носителей).
6. Запустите проверку системы BitLocker, если она предложена, и перезагрузите компьютер — это убедится, что BitLocker сможет прочитать ключи восстановления ещё до начала шифрования.
7. После перезагрузки шифрование продолжится в фоновом режиме — компьютером можно пользоваться как обычно, скорость шифрования на современных SSD с аппаратной поддержкой AES, как правило, не создаёт заметного замедления в повседневных задачах.

Как включить шифрование устройства в Windows 11 Home

Откройте «Параметры» → «Конфиденциальность и защита» → «Шифрование устройства» и включите переключатель (нужны права администратора). Для этого устройство должно соответствовать требованиям: наличие модуля TPM, настроенная среда восстановления Windows (WinRE) и включённый Secure Boot. Если переключатель недоступен или раздела нет вовсе — проверьте через msinfo32, соответствует ли устройство требованиям, и войдите под учётной записью Microsoft с правами администратора — автоматическое шифрование привязано именно к ней.

PIN при загрузке: когда нужен

Связка TPM и PIN имеет смысл для ноутбуков, которые вы носите с собой: она не даёт расшифровать диск сразу при включении питания, даже если злоумышленник физически владеет устройством и пытается обойти экран входа в Windows через загрузочное меню. Включается это через групповую политику «Требовать дополнительную проверку подлинности при запуске» (доступна в редакциях с BitLocker), после чего PIN-протектор добавляется командой:

manage-bde -protectors -add C: -TPMAndPIN

Команда запросит придумать и подтвердить PIN-код, который будет запрашиваться при каждом включении компьютера до загрузки Windows.

Ключ восстановления BitLocker: где хранить и где найти

Ключ восстановления BitLocker — это код из 48 цифр. У каждого ключа есть ID восстановления — первые 8 символов кода, который помогает выбрать нужный ключ, если на экране восстановления система просит код, а у вас сохранено несколько ключей от разных дисков или устройств.

Где искать ключ, если он уже понадобился:

• в учётной записи Microsoft — на странице aka.ms/myrecoverykey, если при включении BitLocker или шифрования устройства ключ сохранялся туда;
• в рабочей или учебной учётной записи — на странице aka.ms/aadrecoverykey или через ИТ-отдел организации, если компьютер подключён к рабочему или учебному аккаунту;
• в распечатке, если при включении BitLocker вы выбирали вариант «Распечатать ключ восстановления»;
• в текстовом файле на USB-флешке или в другом месте, если выбирали вариант «Сохранить в файл».

Как хранить ключ правильно: не держите единственную копию на том же диске, который он защищает, — если диск недоступен, вы не сможете прочитать и файл с ключом. Разумный вариант — сохранить копию в менеджере паролей (о том, как выбрать и настроить менеджер паролей, написано в статье про менеджеры паролей и безопасность) и дополнительно сделать офлайн-копию — распечатку или флешку, хранящуюся отдельно от компьютера.

Посмотреть и заранее сохранить ключ можно командой от имени администратора:

manage-bde -protectors -get C:

Либо через Панель управления → «Шифрование диска BitLocker» → «Резервное копирование ключа восстановления» для нужного диска.

Что делать, если Windows просит ключ восстановления

Экран восстановления BitLocker может появиться по нескольким причинам: изменения в прошивке или настройках UEFI, переключение Secure Boot, замена системной платы или другого ключевого компонента, а иногда — обновление самой Windows. Именно так произошло в апреле 2026 года: накопительное обновление KB5083769 для Windows 11 24H2/25H2 у части компьютеров меняло цифровую подпись загрузчика, из-за чего измерения TPM при определённой групповой политике перестали совпадать с ожидаемыми — и система уходила в режим восстановления. Проблема затрагивала в основном корпоративные компьютеры со специфическими настройками политики безопасности и была устранена в обновлении KB5089549.

Порядок действий на экране восстановления:

1. сверьте ID ключа восстановления, показанный на экране (первые 8 символов), с ID сохранённых у вас ключей — это позволит сразу выбрать правильный, если ключей несколько;
2. найдите нужный ключ по этому ID на другом устройстве — в учётной записи Microsoft, в рабочем аккаунте, в распечатке или на флешке;
3. введите все 48 цифр ключа на экране восстановления;
4. после успешного входа в Windows установите последние обновления системы и прошивки UEFI — это снижает риск повторного запроса ключа по той же причине.

Нужно сказать честно: если ключа восстановления нет ни в одном из перечисленных мест, данные на зашифрованном диске восстановить не получится — это прямое следствие того, как устроено шифрование, и ни Microsoft, ни сторонние специалисты не могут «обойти» эту защиту без ключа.

Если вы планируете обновление BIOS или UEFI самостоятельно, разумно заранее приостановить защиту BitLocker, чтобы избежать лишнего запроса ключа после перезагрузки: через Панель управления кнопкой «Приостановить защиту» или командой manage-bde -protectors -disable C: -RebootCount 1, которая отключит защиту ровно на одну следующую перезагрузку.

BitLocker To Go: шифрование флешки и внешнего диска

BitLocker To Go — это шифрование съёмных носителей: USB-флешек и внешних жёстких дисков. Функция доступна только в редакциях с полноценным BitLocker (Pro, Enterprise, Education); для защиты накопителя можно использовать пароль или смарт-карту. Зашифрованную таким образом флешку можно подключить и прочитать на другом компьютере с Windows, введя пароль — для этого не нужна та же учётная запись или тот же компьютер, на котором флешку зашифровали.

BitLocker To Go особенно уместен для флешек с рабочими документами, которые вы носите между устройствами, и для внешних дисков с резервными копиями. Про то, как правильно организовать сами резервные копии на случай атаки вымогателей, рассказано в статье как защититься от программ-вымогателей — зашифрованная флешка с бэкапом закрывает ровно тот риск, что бэкап попадёт не в те руки при краже или потере.

BitLocker и VPN: два разных слоя защиты

BitLocker и VPN защищают данные в разных состояниях. BitLocker — это защита данных «в покое» (data at rest): файлов, которые физически лежат на диске выключенного или заблокированного устройства. VPN — это защита данных «в пути» (data in transit): трафика, который устройство отправляет и получает через сеть, пока вы активно работаете за компьютером.

Представьте типичную ситуацию: вы работаете с ноутбуком в кафе или в зале ожидания аэропорта. Если ноутбук украдут, когда он выключен или заблокирован, BitLocker не даст прочитать данные с диска без ключа восстановления. Но пока вы подключены к открытому Wi-Fi кафе или аэропорта и активно работаете, под угрозой — именно ваш сетевой трафик, и здесь защищает уже не BitLocker, а VPN; подробнее о рисках открытых сетей — в статье про безопасность в публичном Wi-Fi.

LiMP VPN для Windows скачивается на странице приложений LiMP VPN — клиент работает поверх уже зашифрованного BitLocker диска, добавляя защиту трафика без конфликта с шифрованием файловой системы. Подробнее о настройке VPN-клиента именно на компьютере с Windows — в статье VPN для Windows.

Чек-лист: защитите диск за 15 минут

• Проверьте текущий статус шифрования: «Параметры» → «Шифрование устройства» или manage-bde -status.
• Если диск не зашифрован — включите BitLocker (Pro) или «Шифрование устройства» (Home).
• Сохраните ключ восстановления минимум в двух местах, не считая самого диска: учётная запись Microsoft + распечатка или флешка.
• Запишите или сверьте ID ключа восстановления — первые 8 символов 48-значного кода.
• На ноутбуке, который носите с собой, включите PIN при загрузке через TPM-and-PIN протектор.
• Зашифруйте флешку с важными документами через BitLocker To Go, если она есть в вашей редакции Windows.
• Перед обновлением BIOS/UEFI приостанавливайте защиту BitLocker, чтобы не получить лишний запрос ключа.
• Перед продажей или передачей компьютера убедитесь, что данные действительно недоступны новому владельцу — зашифрованный диск без передачи ключа восстановления этому помогает напрямую.