Cómo suspender BitLocker para mantenimiento de hardware en Windows 11

Solución rápida: Abra el Símbolo del sistema (Admin). Ejecute: manage-bde -protectors -disable C: -RebootCount 1. BitLocker se suspende hasta el próximo reinicio y luego se vuelve a habilitar automáticamente. Para mantenimiento con varios reinicios: -RebootCount 3 (3 reinicios antes de la reactivación automática). Para suspensión permanente: omita RebootCount. Para reanudar manualmente: manage-bde -protectors -enable C:.

BitLocker protege la unidad pero bloquea el entorno de arranque a mediciones específicas del TPM. Antes de cambios de hardware (placa base, TPM, actualización de BIOS), suspenda BitLocker para que no se activen las solicitudes de recuperación. Después del cambio, vuelva a habilitarlo.

Qué causa esta necesidad

BitLocker utiliza mediciones del TPM (PCR) para validar el entorno de arranque. Después de una actualización de BIOS, cambio de firmware, reemplazo de placa base o reconfiguración de hardware, los PCR cambian. BitLocker detecta esto como “manipulación” y exige la clave de recuperación en el próximo arranque. Es molesto si tiene que ingresar 48 dígitos. Suspender BitLocker primero evita esto.

Método 1: Suspender mediante manage-bde con recuento de reinicios

La ruta estándar.

1. Abra el Símbolo del sistema (Admin).
2. Suspenda con reanudación automática después de 1 reinicio:

   manage-bde -protectors -disable C: -RebootCount 1

   Después del próximo reinicio, BitLocker se reanuda automáticamente.

3. Para una actualización de BIOS que necesita varios reinicios: use -RebootCount 3 (o superior).
4. Para mantenimiento que dura días: omita -RebootCount. Se suspende permanentemente. Ejecute el comando de reanudación después.
5. Verifique el estado: manage-bde -status C:. Estado de protección: Desactivado (Suspendido).
6. Ahora realice el mantenimiento de hardware. El arranque continuará sin solicitud de recuperación.
7. Reanude manualmente si usó la suspensión permanente:

   manage-bde -protectors -enable C:

8. Estado: Estado de protección: Activado.

Este es el uso estándar.

Método 2: Suspender mediante PowerShell

Para scripting.

1. Abra PowerShell (Admin).
2. Suspenda con recuento de reinicios:

   Suspend-BitLocker -MountPoint "C:" -RebootCount 1

3. Para suspensión permanente: Suspend-BitLocker -MountPoint "C:" -RebootCount 0.
4. Reanudar: Resume-BitLocker -MountPoint "C:".
5. Estado: Get-BitLockerVolume -MountPoint "C:". Observe ProtectionStatus.
6. Para varias unidades: recorra Get-BitLockerVolume y llame a Suspend-BitLocker en cada una.
7. Para un script de mantenimiento programado:

   Suspend-BitLocker -MountPoint "C:" -RebootCount 5
   Write-Host "BitLocker suspended for 5 reboots; perform maintenance now"

8. Confirme con el usuario. La reanudación automática ocurre después de agotar el recuento de reinicios.

Esta es la ruta de PowerShell.

Método 3: Suspender mediante la interfaz del Panel de control

Para usuarios de GUI.

1. Abra Panel de control → Cifrado de unidad BitLocker.
2. Para la unidad cifrada (normalmente C:), haga clic en Suspender protección.
3. Cuadro de diálogo de confirmación: advierte que la protección de BitLocker se suspenderá. Haga clic en Sí.
4. El estado cambia a Suspendido.
5. Nota: la suspensión por GUI es “permanente hasta que se reanude manualmente”. No hay opción de recuento de reinicios.
6. Después del mantenimiento de hardware: haga clic en Reanudar protección. Estado: Activado.
7. Para PC administradas por la empresa: BitLocker puede ser administrado por Intune / SCCM. Desactívelo mediante la consola de administración en su lugar.
8. Para herramientas de actualización de firmware UEFI: algunas utilidades de actualización de BIOS suspenden BitLocker automáticamente. Consulte la documentación del proveedor.

Esta es la ruta de la GUI.

Cómo verificar que la solución funcionó

• manage-bde -status C: muestra Estado de protección: Desactivado (Suspendido).
• Reinicie — la PC arranca sin solicitud de clave de recuperación.
• Si usó recuento de reinicios: el recuento disminuye en cada reinicio hasta 0 → reanudación automática.
• Después de reanudar: manage-bde -status C: muestra Estado de protección: Activado.

Si nada de esto funciona

Si la suspensión falla: Permiso denegado: debe ejecutarse como Admin. Ya suspendido: verifique el estado. Para cifrado de dos unidades: cada unidad se suspende de forma independiente. Use comandos separados para D:, E:. Para Windows Home con Cifrado de dispositivo: los mismos comandos manage-bde funcionan. Para BitLocker en Server: similar; con posibles ajustes compatibles con clústeres. Para suspensión crónica después de cada actualización: el TPM detecta cambios que no pretendía. Actualice el BIOS del proveedor a la última versión. Para clave de recuperación perdida después de suspender: vuelva a imprimir la clave de recuperación desde aka.ms/myrecoverykey si está vinculada a una cuenta de Microsoft. Desbloqueo automático con otra unidad: mantenga el desbloqueo automático durante la suspensión; la reanudación vuelve a validar.

Conclusión: manage-bde -protectors -disable C: -RebootCount 1 en el Símbolo del sistema como Admin. O PowerShell Suspend-BitLocker -MountPoint "C:" -RebootCount 1. Evite las solicitudes de clave de recuperación durante cambios de BIOS / hardware.