Cómo comprobar el estado de cifrado de BitLocker desde powershell en Windows 11

Solución rápida: Abra PowerShell (Admin). Ejecute: Get-BitLockerVolume. La salida muestra todas las unidades con su estado de cifrado, porcentaje y protección activada/desactivada. Para una unidad: Get-BitLockerVolume -MountPoint "C:". Para un resumen breve: manage-bde -status C:.

BitLocker puede estar activo, suspendido, descifrando o desactivado. El cmdlet Get-BitLockerVolume de PowerShell muestra el estado de cifrado de un vistazo. Útil para: confirmar la protección después de habilitarla, comprobar el progreso durante el cifrado, crear scripts de informes de cumplimiento.

Qué causa esta necesidad

Comprobar BitLocker manualmente mediante la interfaz requiere abrir Panel de control → Cifrado de unidad BitLocker. Consume tiempo. PowerShell ofrece el estado al instante. Útil para: auditoría de TI, scripts de automatización, comprobaciones rápidas después de acciones de BitLocker, administración de flotas.

Método 1: Comprobar el estado con Get-BitLockerVolume

La ruta estándar.

1. Abra PowerShell como administrador (Win+X → Terminal (Admin) → cambie a la pestaña PowerShell).
2. Compruebe todas las unidades:

   Get-BitLockerVolume

3. La tabla de salida muestra:
   • MountPoint: letra de unidad (C:, D:).
   • VolumeType: OperatingSystem, Data, Removable.
   • CapacityGB: tamaño de la unidad.
   • VolumeStatus: FullyEncrypted, FullyDecrypted, EncryptionInProgress, DecryptionInProgress.
   • EncryptionPercentage: 0-100. 100 = totalmente cifrado.
   • ProtectionStatus: On (activo), Off (suspendido).
   • LockStatus: Locked, Unlocked.
4. Para una unidad: Get-BitLockerVolume -MountPoint "C:".
5. Para información detallada (todas las propiedades): Get-BitLockerVolume -MountPoint "C:" | Select-Object *.
6. Para un resumen breve en una línea: Get-BitLockerVolume | Format-Table MountPoint, VolumeStatus, ProtectionStatus, EncryptionPercentage.

Este es el uso estándar.

Método 2: Usar manage-bde para una salida heredada o detallada

Para un formato de salida uniforme.

1. Abra el Símbolo del sistema (Admin) o PowerShell.
2. Estado de C:

   manage-bde -status C:

3. Salida (varias líneas):
   • Conversion Status: Fully encrypted.
   • Percentage Encrypted: 100.0%.
   • Encryption Method: XTS-AES 128.
   • Protection Status: Protection On.
   • Lock Status: Unlocked.
   • Identification Field: None.
   • Automatic Unlock: Disabled.
   • Key Protectors: enumera cada uno (TPM, Recovery Password, etc.).
4. Para todas las unidades: manage-bde -status.
5. Para pausar/reanudar la protección:

   manage-bde -protectors -disable C: -RebootCount 1

   (desactiva la protección durante 1 reinicio y luego la vuelve a activar automáticamente)

6. Para comprobar protectores específicos:

   manage-bde -protectors -get C:

   Enumera los protectores TPM, clave de recuperación y contraseña.

Esta es la alternativa a manage-bde.

Método 3: Script para informes de estado de la flota

Para varios equipos.

1. Para un script que informe el estado de BitLocker en una red:

   $results = @()
   foreach ($pc in (Get-Content "C:\Scripts\pcs.txt")) {
       $status = Invoke-Command -ComputerName $pc -ScriptBlock {
           Get-BitLockerVolume | Where-Object { $_.MountPoint -eq "C:" }
       }
       $results += [PSCustomObject]@{
           Computer = $pc
           VolumeStatus = $status.VolumeStatus
           ProtectionStatus = $status.ProtectionStatus
           EncryptionPct = $status.EncryptionPercentage
       }
   }
   $results | Export-Csv "C:\Reports\bitlocker_status.csv" -NoTypeInformation

2. Esto ejecuta Get-BitLockerVolume en cada equipo de pcs.txt y exporta a CSV.
3. Útil para: auditoría de cumplimiento, preparación de migración de sistema operativo, inventario de TI.
4. Para Active Directory: obtenga todos los equipos del dominio desde Get-ADComputer en lugar de un archivo.
5. Para equipos que no están en el dominio: use WinRM. Configure winrm quickconfig en cada uno.
6. Para monitoreo basado en agente: SCCM, Intune y ManageEngine ServiceDesk informan el estado de BitLocker de forma nativa.

Este es el enfoque de administración de flotas.

Cómo verificar que la solución funcionó

• Get-BitLockerVolume devuelve la unidad o unidades con VolumeStatus y ProtectionStatus visibles.
• Si BitLocker está activo: ProtectionStatus = On.
• Si está descifrando: VolumeStatus = DecryptionInProgress, EncryptionPercentage muestra el progreso.
• Guarde en CSV para registros: Get-BitLockerVolume | Export-Csv C:\status.csv.

Si nada de esto funciona

Si no se encuentra el cmdlet:

Windows Home edition: BitLocker no está disponible. Use BitLocker To Go para unidades extraíbles en su lugar. O actualice a Pro. Problema de permisos: debe ejecutarse como administrador. Para unidades cifradas con herramientas de terceros (VeraCrypt): los cmdlets de BitLocker no las detectan. Use el comando de estado propio de la herramienta. Para unidades bloqueadas: Get-BitLockerVolume las muestra, pero no se puede acceder a su contenido hasta desbloquearlas. Use . Unlock-BitLocker -MountPoint "D:" -Password (Read-Host -AsSecureString)Para BitLocker mediante Directiva de grupo: el estado se informa a AD mediante la directiva de grupo. Compruebe el atributo de AD msFVE-RecoveryInformation. Para dispositivos Surface con Cifrado de dispositivo: similar a BitLocker pero simplificado. Get-BitLockerVolume sigue funcionando.

En resumen: en PowerShell como administrador muestra el estado de todas las unidades. Use Get-BitLockerVolume para una salida heredada detallada. Cree un script con Invoke-Command para informes de estado de la flota.manage-bde -status C: