Se BitLocker chiede improvvisamente la chiave di ripristino dopo un aggiornamento del BIOS, una modifica al TPM o a Secure Boot, non significa automaticamente che il disco sia guasto o che il PC sia stato compromesso. BitLocker entra in modalità di ripristino quando le misure di sicurezza registrate all’avvio non coincidono più con quelle attese. La chiave a 48 cifre serve proprio a dimostrare che sei autorizzato ad accedere ai dati.
La priorità è non modificare altre impostazioni del firmware a caso. Annota l’ID della chiave di ripristino mostrato nella schermata, recupera la chiave dalla posizione in cui era stata salvata e, dopo l’accesso a Windows, verifica che BIOS/UEFI, TPM e Secure Boot siano nello stato corretto.
Perché BitLocker può chiedere la recovery key dopo il BIOS
BitLocker protegge il volume cifrato e, sui PC moderni, lavora normalmente insieme al TPM. Durante l’avvio il sistema misura alcuni elementi della catena di boot. Se cambiano in un modo che BitLocker non riesce a riconoscere come previsto, la chiave custodita dal TPM non viene rilasciata automaticamente e Windows passa alla schermata di ripristino.
Microsoft documenta questo comportamento anche nella propria guida di troubleshooting di Secure Boot. Nel 2026 la rotazione dei certificati Secure Boot può, in determinate configurazioni, produrre una variazione temporanea delle misure di avvio e provocare una richiesta BitLocker una tantum. Se dopo aver inserito la chiave i riavvii successivi sono normali, il comportamento può essere coerente con una variazione legittima del firmware.
Quali modifiche possono far scattare BitLocker
Non esiste una sola causa. Il punto comune è una modifica a elementi che fanno parte del percorso di avvio o della fiducia hardware.
- Aggiornamento BIOS/UEFI: soprattutto quando cambia il modo in cui il firmware misura o presenta alcuni componenti al TPM.
- Modifiche a Secure Boot: abilitazione, disabilitazione, sostituzione delle chiavi o aggiornamento dei certificati.
- TPM: aggiornamenti firmware, reset o cambiamenti nella configurazione.
- Ordine di avvio: per esempio un percorso PXE/rete anteposto al Windows Boot Manager.
- Modifiche hardware rilevanti: in alcuni sistemi possono cambiare lo stato misurato all’avvio.
- Policy aziendali: configurazioni BitLocker gestite da dominio, Intune o altri strumenti possono usare criteri più rigidi.
Questo è diverso da un semplice aggiornamento mensile di Windows. La documentazione Microsoft su BitLocker distingue gli aggiornamenti Microsoft gestiti normalmente dal sistema dalle modifiche firmware o TPM di terze parti che possono richiedere precauzioni specifiche.
BitLocker chiede la chiave: significa che qualcuno ha attaccato il PC?
No, non automaticamente. La schermata di recovery è una misura di sicurezza: BitLocker non deve assumere che una variazione dell’ambiente di avvio sia legittima. Un aggiornamento del firmware e una manipolazione non autorizzata possono entrambi cambiare ciò che il TPM misura; la richiesta della chiave serve a bloccare l’accesso automatico finché l’utente non dimostra di avere la credenziale di recupero.
Se la richiesta compare subito dopo un BIOS ufficiale installato da te o dal produttore, la correlazione è plausibile. Se invece appare senza alcuna modifica nota, oppure insieme ad altri comportamenti anomali, conviene verificare cronologia degli aggiornamenti, impostazioni UEFI e stato di Secure Boot prima di considerarla una richiesta normale.
Dove trovare la chiave BitLocker a 48 cifre
La chiave di ripristino è composta da 48 cifre. La schermata BitLocker mostra anche un identificatore: usalo per scegliere la chiave corretta se nel tuo account ne sono presenti più di una.
- Account Microsoft: sui PC personali la chiave può essere stata salvata nell’account associato al dispositivo.
- Account aziendale o scolastico: su un PC gestito può essere conservata nell’organizzazione, per esempio in Microsoft Entra.
- Stampa cartacea: durante l’attivazione può essere stata stampata e archiviata.
- Unità USB o file: in alcune configurazioni la chiave è stata salvata manualmente su un supporto o in un file.
- Amministratore IT: per un computer di lavoro è spesso la strada corretta prima di toccare BIOS o TPM.
Microsoft raccoglie i percorsi di recupero nella pagina ufficiale Trova la chiave di ripristino BitLocker. Sui sistemi recenti la schermata di recovery può mostrare anche un indizio sull’account Microsoft associato.
Non esiste un generatore legittimo capace di ricostruire una chiave BitLocker persa. Siti o software che promettono di calcolarla partendo dall’ID della recovery key non sostituiscono la chiave originale e sono un rischio da evitare.
Cosa fare dopo aver inserito la chiave
Se Windows parte normalmente, non serve disattivare subito la cifratura. Prima stabilisci se la richiesta è stata un episodio singolo oppure si ripete.
| Situazione | Cosa controllare |
|---|---|
| Recovery una sola volta dopo BIOS/firmware | Verifica che Windows riparta e che non ci siano nuovi firmware in attesa |
| Recovery a ogni riavvio | Controlla ordine di boot, Secure Boot, TPM e impostazioni cambiate dal BIOS |
| Recovery senza aggiornamenti noti | Controlla cronologia, stato UEFI e gestione aziendale prima di modificare il firmware |
| Chiave non trovata | Verifica account Microsoft, account lavoro/scuola, copie stampate o USB |
Nel caso di richieste ripetute, Microsoft indica tra gli scenari possibili anche un boot PXE/rete configurato prima del disco locale: percorsi di avvio differenti possono produrre misure Secure Boot diverse e impedire a BitLocker di sigillarsi in modo stabile al TPM.
Devo sospendere BitLocker prima di aggiornare il BIOS?
Dipende dal tipo di aggiornamento e dalle istruzioni del produttore. Per gli aggiornamenti Microsoft gestiti normalmente da Windows non è necessario sospendere BitLocker in modo preventivo. Per alcuni aggiornamenti firmware non Microsoft, TPM o UEFI, il produttore può invece indicare di sospendere temporaneamente i protector BitLocker.
La distinzione è importante: sospendere i protector per una manutenzione prevista non equivale a decifrare l’intero disco. Dopo l’aggiornamento e il riavvio, la protezione va ripresa secondo la procedura prevista. Se il produttore del PC distribuisce il BIOS tramite uno strumento ufficiale che gestisce BitLocker automaticamente, segui quel flusso invece di intervenire manualmente.
Non cancellare il TPM e non disattivare Secure Boot a caso
Quando compare la recovery key, la tentazione è entrare nel BIOS e provare impostazioni diverse finché il PC parte. È il modo più facile per rendere la diagnosi più difficile. Non cancellare il TPM senza sapere esattamente quali credenziali e chiavi dipendono da esso e non disattivare Secure Boot come soluzione generica.
Se ricordi una modifica precisa fatta poco prima del problema, verifica la documentazione del produttore e valuta il ripristino di quella singola impostazione. Se il PC è aziendale, fermati e coinvolgi l’amministratore: i criteri di recovery possono essere centralizzati.
Perché il tema è particolarmente importante nel 2026
Microsoft sta aggiornando l’infrastruttura di Secure Boot perché parte dei vecchi certificati arriva a scadenza. Le patch di settembre 2026 includono interventi proprio su Secure Boot e BitLocker. Nel nostro approfondimento su Windows 10 KB5122878 abbiamo spiegato perché conviene avere la recovery key disponibile prima di modifiche importanti al firmware, senza trasformare ogni aggiornamento in un allarme.
La regola pratica resta semplice: se BitLocker chiede la chiave una volta dopo una modifica legittima, recuperala da una fonte affidabile e verifica il sistema; se la chiede a ogni avvio, cerca la causa che continua a cambiare la catena di boot. Disattivare la cifratura senza capire il motivo elimina una protezione ma non risolve necessariamente il problema che ha fatto scattare la recovery.
