Skip to main content

Glosario

Clave de recuperación de BitLocker

La clave de recuperación de BitLocker es un código numérico de 48 dígitos que desbloquea un disco cifrado cuando Windows no puede abrirlo por la vía normal. Si su flota tiene portátiles cifrados y nadie sabe dónde están esas claves, el cifrado ha dejado de ser una protección y se ha convertido en un riesgo operativo.

Cómo funciona

BitLocker guarda la clave que cifra el volumen protegida por el TPM del equipo. En el arranque normal, el TPM comprueba que el firmware y el gestor de arranque son los esperados y libera la clave sin que nadie teclee nada. Cuando esa comprobación falla, Windows entra en modo de recuperación y pide la clave de 48 dígitos.

Las causas son casi siempre mundanas: una actualización de BIOS o UEFI, un cambio en el orden de arranque, la placa base sustituida por el servicio técnico, el Secure Boot desactivado para instalar algo, el disco movido a otro equipo. También ocurre tras una actualización de firmware mal sincronizada con las políticas de medición del TPM.

La clave se puede depositar en varios sitios, y de esa elección depende todo. Vinculada a la cuenta de Microsoft del usuario, lo que en un equipo corporativo es inaceptable. Guardada en Microsoft Entra ID, que es el patrón habitual en parques gestionados con Intune. Archivada en Active Directory para los equipos unidos al dominio. Exportada a un archivo o impresa, que es la vía que acaba en un cajón olvidado. Desde Windows 11 24H2 el cifrado de dispositivo se activa por defecto en más configuraciones de instalación limpia, lo que significa más discos cifrados sin que nadie lo haya decidido conscientemente.

Por qué importa para una flota

El escenario que hunde a un equipo de TI es una actualización de firmware desplegada a 200 portátiles un martes. El miércoles, 30 usuarios llaman con una pantalla azul que pide 48 dígitos, y el soporte descubre que las claves se depositaron en cuentas personales de Microsoft.

Así que la pregunta operativa no es si cifra, sino dónde está la custodia y quién puede consultarla. Debe ser un repositorio corporativo, con permisos limitados, registro de consultas y una vía de verificación de identidad antes de dictar una clave por teléfono. Ese último punto importa: dictar 48 dígitos a alguien que llama diciendo que es el director financiero es un vector de ingeniería social de manual.

Conviene también rotar la clave después de usarla. Muchas organizaciones la dictan y la dejan intacta durante años.

Cómo lo gestiona Appaloosa

Appaloosa gestiona los equipos Windows inscritos y trata el cifrado como un criterio de cumplimiento: comprueba que BitLocker está activo en el volumen del sistema, marca como no conforme el portátil que no lo está y puede retirarle el acceso a las aplicaciones y los recursos gestionados hasta que se corrija. La custodia de claves vive en su directorio corporativo, que es donde debe estar, y el estado de cifrado aparece junto al resto del inventario en la página de MDM para Windows.

Explorar

Toda la plataforma

Inscripción, apps, seguridad, soporte remoto: todo en un lugar.

Explorar Appaloosa

Vea Appaloosa en su parque Reservar una demo

Preguntas frecuentes

¿Dónde debo guardar las claves de recuperación en un parque de empresa?
En un repositorio corporativo, nunca en la cuenta personal de Microsoft del usuario. Lo habitual es depositarlas en Microsoft Entra ID para los equipos gestionados en la nube, o en Active Directory para los unidos al dominio, con permisos de consulta limitados y registro de accesos.
¿Por qué Windows pide la clave de repente si nadie ha tocado nada?
Porque el TPM detectó un cambio en la cadena de arranque. Una actualización de BIOS, un cambio en el orden de arranque, Secure Boot desactivado o la placa base sustituida son las causas más frecuentes. Suspenda la protección de BitLocker antes de actualizar el firmware y volverá a arrancar sin pedirla.
¿Puede un MDM recuperar un disco cifrado si se pierde la clave?
No. Sin la clave de recuperación ni el TPM original, los datos no se recuperan, y eso es precisamente lo que hace útil al cifrado. Lo que sí puede un MDM es verificar que el cifrado está activo y avisarle de los equipos cuya clave no se ha depositado en ningún sitio.