BitLocker : quand Windows chiffre vos disques sans vous prévenir

Un matin, un poste refuse de démarrer et affiche un écran bleu réclamant une clé de récupération BitLocker à 48 chiffres. Personne, dans l’organisation, ne se souvient d’avoir chiffré cette machine. La clé, elle, n’a jamais été mise de côté. À partir de cet instant, les données du disque sont soit à portée de main, soit définitivement hors d’atteinte, et il n’y a rien entre les deux.

Ce scénario est devenu banal, parce que Windows chiffre désormais par défaut sur bien plus de machines qu’avant. Cet article dit franchement ce qui est récupérable et ce qui ne l’est pas quand l’accès à un disque chiffré est perdu, y compris les cas où un laboratoire ne peut rien. C’est précisément la question que personne ne traite honnêtement sur le sujet.

Pourquoi Windows chiffre désormais vos disques, souvent sans le dire

Windows propose deux formes de chiffrement intégré. BitLocker complet, présent sur les éditions Pro, Entreprise et Éducation, s’active et se pilote explicitement. Device Encryption, sa version grand public, s’active seule, sans intervention, dès que la machine remplit certaines conditions. Les deux reposent sur le même moteur de chiffrement ; la différence tient au contrôle qu’on garde dessus.

Ce qui a changé récemment tient en peu de mots. À partir de Windows 11 version 24H2, Microsoft a supprimé deux prérequis matériels qui limitaient jusque-là le chiffrement automatique, rendant bien plus de machines éligibles. Concrètement, le chiffrement automatique s’active quand l’appareil dispose d’un module TPM et du démarrage sécurisé UEFI, et que l’utilisateur ouvre sa session avec un compte Microsoft. Une installation ou une réinstallation propre suffit à le déclencher, y compris sur des éditions Famille, tandis qu’un compte local, lui, ne l’active pas. Le disque se retrouve alors chiffré en arrière-plan, discrètement, et son utilisateur l’ignore le plus souvent.

Où est la clé, et pourquoi personne d’autre ne peut la fournir

Le chiffrement ne protège que si la clé reste hors de portée. C’est aussi ce qui le rend impitoyable en cas de perte. Le mot de passe de récupération BitLocker, un nombre à 48 chiffres, est conservé selon la configuration dans le compte Microsoft de l’utilisateur, dans l’annuaire de l’entreprise (Microsoft Entra ID ou Active Directory), dans un fichier ou sur une impression. Pour une machine grand public reliée à un compte Microsoft, la sauvegarde dans ce compte est le comportement par défaut.

Le point à comprendre est le suivant : ni le fabricant du disque, ni Microsoft, ni un laboratoire ne détiennent de double de cette clé. Le volume est protégé par un chiffrement AES, et l’AES ne se casse pas par la force sur du matériel courant. Sans la clé ni le mot de passe de récupération, le contenu reste des données chiffrées. Ce n’est pas une limite technique qu’un outil plus malin viendrait contourner, c’est le principe même du dispositif : s’il suffisait de contourner la clé, le chiffrement ne servirait à rien.

Ce qui fait apparaître l’écran de récupération

BitLocker ne réclame pas sa clé au hasard. Il le fait quand l’environnement de démarrage change au point qu’il ne reconnaît plus la machine. Les situations classiques sont connues : une mise à jour du firmware BIOS ou UEFI, un changement de carte mère, une modification touchant le module TPM, une réinstallation ou une réinitialisation, le déplacement du disque vers un autre ordinateur. Le déclencheur paraît souvent anodin, une simple mise à jour matérielle, mais il place le disque en état de méfiance et exige la preuve qu’on est bien autorisé à le lire.

Le piège, pour un parc, est là : l’écran surgit un matin sur une machine dont personne ne savait qu’elle était chiffrée, et dont la clé n’a jamais été centralisée. À noter, sans en faire une généralité, que Microsoft documente aussi des situations où, après certaines manipulations de mises à jour cumulatives sur Windows 11 24H2, le déverrouillage échoue même avec le bon code confidentiel, et où seul le mot de passe de récupération rouvre le volume. La clé de récupération n’est donc pas une précaution théorique.

Ce qui est récupérable, et ce qui ne l’est pas

Une fois l’accès perdu, tout se ramène à deux questions : disposez-vous de la clé, et le disque est-il sain ? Quatre situations en découlent, et il faut les nommer sans détour.

Clé disponible et disque sain : vous n’avez besoin de personne

C’est le cas le plus fréquent, et le plus simple. Si vous retrouvez le mot de passe de récupération, dans le compte Microsoft associé ou dans l’annuaire de l’entreprise, vous déverrouillez le disque vous-même, sans outil ni prestataire. Aucun laboratoire n’a de valeur à ajouter ici, et le dire fait partie d’un diagnostic honnête. Le seul vrai travail est organisationnel : savoir où la clé a été sauvegardée.

Pas de clé et disque sain : les données sont perdues

C’est le cas le plus douloureux, et celui sur lequel il faut être le plus clair. Un disque en parfait état de marche, mais dont la clé est introuvable, ne se récupère pas. Ni par nous, ni par quiconque. 

Les logiciels qui promettent de récupérer un disque BitLocker sans le déverrouiller entretiennent une confusion : on ne déchiffre pas de l’AES sans la clé, et un laboratoire sérieux ne prétendra jamais le contraire. La seule issue passe par la clé elle-même, si une copie subsiste quelque part, un ancien export, la sauvegarde d’un compte, une trace dans l’annuaire.

Clé disponible mais disque défaillant : le seul cas où un laboratoire change quelque chose

C’est ici, et seulement ici, que l’intervention d’un laboratoire prend son sens. La clé est disponible, mais le disque ne répond plus correctement : secteurs défectueux, contrôleur de SSD hors service, métadonnées de chiffrement corrompues. 

Les outils standards, qui supposent un disque lisible de bout en bout, échouent alors, car le déchiffrement réclame une chaîne de données intacte. Le problème n’est plus cryptographique, il est matériel. C’est le sujet de la section suivante.

Chiffrement interrompu ou volume corrompu : un diagnostic d’abord

Reste le cas des chiffrements interrompus, par une coupure ou un arrêt pendant l’opération, et des volumes dont la structure a été abîmée. L’état du volume y est incertain, à mi-chemin entre le clair et le chiffré, et aucune règle générale ne dit ce qui reste exploitable sans examen. 

C’est typiquement une situation où un diagnostic en laboratoire doit précéder toute tentative, car une manipulation à l’aveugle peut détruire le peu qui restait récupérable.

Quand un disque chiffré tombe en panne

Le chiffrement complique une récupération déjà rendue difficile par la panne matérielle. Sur un disque non chiffré défaillant, un laboratoire peut souvent reconstruire les fichiers par morceaux, en exploitant les zones encore lisibles, même quand l’ensemble reste incomplet. Le chiffrement retire cette marge : tant que la chaîne de données déchiffrées n’est pas complète et cohérente, il n’y a pas de fichier à lire, seulement des blocs illisibles. La récupération d’un support chiffré suppose donc de rétablir d’abord un accès matériel fiable au disque, puis d’appliquer la clé sur des données redevenues exploitables.

L’origine de la panne dicte le travail. Sur un disque dur chiffré victime d’une panne mécanique, il faut traiter le matériel, têtes, plateaux, électronique, avant même de parler de déchiffrement. Sur un SSD chiffré, et Device Encryption équipe surtout des portables à SSD, une défaillance du contrôleur peut rendre la mémoire flash inaccessible alors même que la clé est disponible. Dans les deux cas, la clé est nécessaire sans être suffisante : sans un disque redevenu lisible, elle n’ouvre rien.

Anticiper, à l’échelle d’un parc

Tout ce qui précède se résume, côté organisation, à une règle simple : la clé doit exister ailleurs que sur la machine qu’elle protège, et avant qu’on en ait besoin. Quatre réflexes y suffisent le plus souvent.

Savoir quelles machines sont chiffrées, d’abord. L’information est lisible localement dans les informations système de Windows, et un parc géré peut la remonter de façon centralisée. Ensuite, centraliser les clés de récupération plutôt que de les laisser dans un compte Microsoft individuel : l’annuaire d’entreprise, Microsoft Entra ID ou Active Directory, est fait pour cela et évite qu’une clé disparaisse avec un salarié parti. Avant toute opération matérielle planifiée, mise à jour du BIOS, changement de carte mère ou de disque, Microsoft recommande de suspendre temporairement BitLocker, ce qui laisse le disque chiffré tout en évitant le passage en récupération. Enfin, sauvegarder les données indépendamment du chiffrement : BitLocker protège contre le vol du support, il ne remplace pas une sauvegarde, et un disque chiffré perdu sans clé reste une perte de données comme une autre.

À ne pas confondre avec un ransomware

Un dernier point, parce que la confusion est fréquente. Le chiffrement dont parle cet article est légitime : c’est Windows qui protège vos données, avec une clé qui vous appartient. Un rançongiciel fait l’inverse, il chiffre vos données avec une clé que vous n’aurez jamais, pour vous en priver et réclamer une rançon. Les symptômes se ressemblent, un accès soudainement bloqué, mais les causes et les réponses n’ont rien de commun. Un écran de récupération BitLocker n’est pas une attaque : c’est, presque toujours, votre propre système qui vous demande une preuve que vous n’aviez pas préparée.

Le disque, dans toute cette affaire, est rarement le problème. Le problème, c’est la clé absente. 

BitLocker a fait exactement ce pour quoi il est conçu, rendre les données illisibles à quiconque ne peut pas prouver son droit de les lire, y compris leur propriétaire le jour où il a perdu la clé. La seule protection qui vaille se joue donc avant l’incident, en s’assurant que cette clé existe quelque part de sûr. Après, il est trop tard pour tout le monde, et un laboratoire honnête vous le dira plutôt que de vous le vendre.