BitLocker chiede la chiave di ripristino: dove trovarla e cosa fare su Surface Pro 7 e PC Windows

BitLocker chiede la chiave di ripristino ma non la trovi? In questa guida completa spieghiamo perché accade (Surface Pro 7 e altri PC Windows), dove cercare la Recovery Key a 48 cifre e cosa fare se proprio non è reperibile, con procedure passo‑passo e consigli per evitare il problema in futuro.

Indice

Problema

All’avvio, Windows visualizza una schermata blu di BitLocker che richiede l’immissione della chiave di ripristino a 48 cifre. Senza quella chiave non è possibile sbloccare l’unità e accedere ai dati. È una protezione progettata per impedire l’accesso non autorizzato, anche nel caso in cui il disco venga spostato su un altro computer.

Perché Windows chiede all’improvviso la chiave di ripristino

Nella maggior parte dei casi, BitLocker sblocca automaticamente l’unità tramite il TPM (Trusted Platform Module) e la configurazione sicura del firmware. Se però BitLocker rileva cambiamenti di sicurezza o incongruenze, richiede la chiave come misura cautelativa. Ecco le cause più comuni:

Reset o sostituzione del TPM (es. dopo un aggiornamento firmware/BIOS o la pulizia manuale del TPM).
Modifiche al Secure Boot/UEFI o variazioni dell’ordine di boot; tentativi di avvio da supporti esterni non autorizzati.
Aggiornamenti di sistema importanti, interrotti o installati in condizioni particolari.
Migrazione fisica del disco su un altro PC o variazioni hardware significative (es. sostituzione scheda madre).
Modifica del PIN di avvio BitLocker o attivazione/disattivazione di funzioni di virtualizzazione/Device Guard che alterano le misure.
Account e criteri aziendali: cambiamenti delle policy MDM/Intune/Azure AD possono imporre il recupero.

Nota: sui PC consumer con Windows 10/11 compatibili con “Device Encryption” (variante semplificata di BitLocker), la chiave può essere stata salvata automaticamente nell’account Microsoft al primo accesso.

Dove può trovarsi la chiave

Controlla con ordine tutte le possibili sedi. Ti suggeriamo di stampare o trascrivere l’ID chiave (8 cifre) mostrato nella schermata di recupero: serve a identificare la chiave corretta quando ne possiedi più d’una.

Possibile posizione	Come verificarla	Note
Account Microsoft personale	Da un altro dispositivo, accedi al portale “My BitLocker Recovery Keys” con tutti gli account Microsoft che potresti aver usato durante la prima configurazione del PC.	La chiave viene caricata automaticamente in molti scenari con accesso Microsoft durante il setup iniziale. ^[1]
Azure AD / Entra ID (PC aziendale o scuola)	Contatta l’IT: la chiave è archiviata nel portale di gestione (Azure AD / Entra ID) o in Intune, associata al dispositivo.	Non è visibile all’utente finale. L’IT può cercare per nome dispositivo o per ID chiave.
Active Directory locale (dominio on‑prem)	Chiedi al reparto IT di estrarla con “Active Directory Users and Computers” dagli attributi del computer (tab “BitLocker Recovery”).	Disponibile se configurato tramite criteri di gruppo.
Stampa cartacea	Controlla i documenti consegnati con il PC o stampati quando hai attivato BitLocker. Spesso la stampa è stata suggerita dalla procedura guidata.	Conservata tipicamente in buste, raccoglitori o manuali d’acquisto.
File .TXT o chiavetta USB	Inserisci eventuali pendrive usate in passato; cerca sui PC e nello spazio cloud (es. cartelle Documenti/Desktop sincronizzate) file del tipo “BitLocker Recovery Key…txt”.	Il file potrebbe trovarsi su OneDrive o in backup locali esterni.
Account Microsoft di un familiare	Se un parente ti ha aiutato a configurare il dispositivo usando il suo account, la chiave potrebbe essere nel suo profilo Microsoft.	Una chiave è univoca per ogni disco: solo la chiave esatta sblocca l’unità. Un altro account non può “forzare” lo sblocco.

Come controllare ogni posizione, passo per passo

Account Microsoft personale

Prendi un secondo dispositivo (PC o smartphone).
Accedi al portale “My BitLocker Recovery Keys” con il tuo account Microsoft principale.
Se non trovi la chiave, esci e ripeti l’accesso con eventuali altri account che potresti aver usato in passato (personali o familiari).
Confronta l’ID chiave (8 cifre) mostrato sul PC bloccato con quello della chiave trovata: devono combaciare.

Consiglio: molti utenti hanno più identità Microsoft (es. outlook.it, hotmail.com, live.com o alias). Controllale tutte.

PC aziendale/scuola con Azure AD / Entra ID

Comunica all’IT il nome del dispositivo (o il seriale) e l’ID chiave (8 cifre) apparso nella schermata di BitLocker.
L’IT può recuperare la chiave dal portale di gestione (Azure AD / Entra ID o Intune) o dall’inventario interno.
Per i domini ibridi, l’IT potrebbe verificare sia in cloud sia su AD locale.

Active Directory on‑prem

Aprire “Active Directory Users and Computers” → individuare l’oggetto Computer → scheda/attributi di BitLocker Recovery.
Confermare che l’ID della chiave corrisponda a quello mostrato sul PC bloccato.

File .TXT o USB

Controlla tutte le chiavette USB e i dischi esterni che usi di solito. Cerca file che iniziano con “BitLocker Recovery Key”.
Su eventuali altri PC dove accedi abitualmente, apri Esplora file e cerca “BitLocker Recovery Key”. Non dimenticare Desktop, Documenti e le cartelle sincronizzate in cloud.
Se usi servizi di backup, verifica le versioni storiche delle tue cartelle utente.

Stampa cartacea

Cerca in raccoglitori, buste e manuali consegnati al momento dell’acquisto o dell’attivazione.
Se l’attivazione è avvenuta in negozio o in laboratorio, chiedi se è stata consegnata o conservata una stampa.

Account Microsoft di un familiare

Chiedi a chi ti ha aiutato nella configurazione iniziale se ha usato il suo accesso Microsoft.
In tal caso, dovrà verificare la sezione “My BitLocker Recovery Keys” sul proprio profilo e comunicarti la chiave che combacia con il tuo ID.

Cosa fare se la chiave non si trova

Ricontrolla sistematicamente tutte le fonti sopra elencate (inclusi account e-mail “dimenticati”, alias e vecchi indirizzi). Verifica gli ID chiave su ciascun risultato.
Nessun back‑door esiste: né Microsoft né i produttori possono rigenerare o bypassare BitLocker. È progettato con un modello “zero‑knowledge” per proteggere i dati anche da chi produce il software. ^[2]
Valuta le opzioni residue:
- Reimposta/Installa da zero Windows: elimina i dati cifrati e reinstalla il sistema operativo.
- Surface Bare‑Metal Recovery (BMR): per molte macchine Surface esiste un’immagine ufficiale per ripristinare firmware e factory image. ^[3]
- Servizi forensi hardware: tecniche avanzate con costi molto alti e risultati incerti. Perlopiù non recuperano dati cifrati senza chiave; hanno senso solo per scenari con valore estremamente elevato e aspettative realistiche.

Importante: se i file sono critici, verifica prima l’esistenza di backup (Cronologia file, OneDrive, immagini di sistema o backup esterni). Potrai ripristinarli dopo la formattazione.

Quando conviene ancora cercare la chiave

Hai più account Microsoft? Hai cambiato indirizzo nel tempo? Controlla ogni accesso e ogni alias.
Il PC è aziendale? Insisti con l’IT: la chiave è quasi sempre registrata su qualche sistema di gestione.
Hai usato il PC per anni senza mai formattare? È probabile che la chiave esista come TXT o stampa fatta all’attivazione.

Come reinstallare Windows se la chiave è irrecuperabile

La reinstallazione rimuove la cifratura assieme ai dati, restituendoti un sistema pulito. Ecco i percorsi più comuni:

Opzione A: “Reimposta il PC” dall’ambiente di ripristino

Accedi all’ambiente di ripristino (RE) del PC. Se non riesci ad avviare Windows, usa l’avvio avanzato (interrompendo l’avvio un paio di volte) oppure un supporto di installazione.
Seleziona Risoluzione dei problemi → Reimposta il PC.
Scegli Rimuovi tutto (in presenza di BitLocker bloccato, “Mantieni i miei file” in genere non è applicabile).
Procedi seguendo le istruzioni. Al termine, passerai per l’OOBE (configurazione iniziale).

Opzione B: Installazione pulita con supporto USB

Da un altro PC, crea un supporto di installazione ufficiale di Windows (strumento dedicato). Usa una chiavetta USB da 8–16 GB.
Avvia il PC bloccato da USB (vedi istruzioni “Boot da USB” più sotto).
Quando il setup chiede dove installare, seleziona l’unità di sistema e, se necessario, elimina le partizioni esistenti (per rimuovere ogni traccia della cifratura), quindi crea nuove partizioni e installa.

Opzione C: Surface Bare‑Metal Recovery (BMR)

Se possiedi un Surface Pro 7 (o altro Surface supportato), Microsoft fornisce immagini di ripristino:

Da un altro PC, scarica l’immagine corretta per il tuo modello e versione. ^[3]
Prepara una USB da 16–32 GB formattata FAT32 e copia l’immagine seguendo le istruzioni del produttore.
Avvio da USB su Surface:
- Spegnere il dispositivo.
- Inserire la USB.
- Tieni premuto Volume Giù e premi il tasto di accensione.
- Rilascia Volume Giù quando appare il logo Surface: il dispositivo dovrebbe avviarsi dal supporto.
Segui la procedura guidata per ripristinare firmware e factory image.

Accesso a UEFI Surface: tieni premuto Volume Su e premi Accensione; rilascia quando compare la schermata UEFI. Da qui puoi modificare l’ordine di boot o abilitare l’avvio da USB, se necessario.

Consigli sul boot da USB (generico)

Entra nel BIOS/UEFI (di solito tasto F2, F12, Esc o Del all’avvio), abilita l’avvio da USB e imposta la chiavetta come prioritaria.
Assicurati che la chiavetta sia formattata FAT32 se richiesto dal dispositivo.
Se il Secure Boot blocca l’avvio e il supporto è legittimo, verifica le opzioni “Trusted Sources/Keys” o temporaneamente imposta l’avvio consentito, quindi ripristina le impostazioni sicure dopo l’installazione.

Recuperare i dati da backup esistenti

Dopo la reinstallazione o il ripristino BMR, riallinea i dati dalle tue copie di sicurezza:

OneDrive: accedi con il tuo account e lascia che i file si risincronizzino.
Cronologia file: collega l’unità di backup e usa “Ripristina file personali”.
Immagini di sistema / backup di terze parti: segui il flusso del software usato per ripristinare cartelle, librerie o intere partizioni.

Nota: non esistono strumenti legittimi per decifrare il contenuto di un’unità BitLocker senza la chiave. Se i backup non esistono e la chiave è persa, i dati sono da considerarsi irrecuperabili.

Prevenzione per il futuro

La prevenzione è l’unica strategia efficace contro la perdita di dati in scenari BitLocker. Applica queste pratiche appena hai di nuovo accesso a Windows.

Azione consigliata	Perché
Salvare la chiave in almeno due luoghi (account Microsoft + stampa/USB)	Ridondanza se perdi l’accesso a un account o a un servizio cloud
Annotare gli 8 digit dell’ID mostrato nella schermata di recupero ^[1]	Ti aiuta a identificare rapidamente la chiave corretta quando ne hai più d’una
Su dispositivi gestiti, verificare che il backup chiavi in Azure AD/Intune sia attivo	Evita incidenti quando cambia l’hardware o si aggiornano i criteri di sicurezza
Creare regolarmente una unità di ripristino USB con l’utility Windows “Recovery Drive” ^[4]	Permette di riparare/reinstallare rapidamente senza dipendere da connessioni o altri PC
Mantenere backup dei dati (Cronologia file, OneDrive, immagini di sistema)	Scongiura perdite definitive in caso di richieste improvvise della chiave

Altre buone pratiche

Verifica il salvataggio della chiave dopo l’attivazione di BitLocker: stampa, TXT su USB e conferma nel portale dell’account.
Prima di aggiornare il firmware o cambiare impostazioni UEFI rilevanti, assicurati di avere la chiave a portata di mano.
Su portatili con SSD rimovibile, non spostare il disco su altri PC senza prima sospendere BitLocker in modo controllato (quando possibile).
In ambienti aziendali, standardizza criteri e automazioni MDM per il backup delle chiavi e testali periodicamente.

FAQ – Domande frequenti

Che differenza c’è tra BitLocker e “Device Encryption”?

Su molte edizioni Home compatibili, Windows attiva la “Device Encryption” (basata su BitLocker) con impostazioni semplificate e backup automatico nel tuo account Microsoft. Le edizioni Pro/Enterprise permettono la gestione completa di BitLocker, inclusi PIN di avvio, criteri aziendali e metodi di sblocco avanzati.

Ho l’ID chiave (8 cifre) sullo schermo: a cosa serve?

L’ID è un identificatore che ti permette di abbinare la chiave di ripristino corretta quando ne sono state salvate più varianti (es. per dischi o partizioni diversi o dopo rotazioni della chiave). È necessario che l’ID visualizzato sul portale o sui documenti coincida con quello del PC bloccato.

Posso evitare che BitLocker chieda di nuovo la chiave?

Non del tutto: la richiesta è legata alla sicurezza. Puoi però ridurne la probabilità tenendo la piattaforma stabile (TPM, Secure Boot, UEFI), sospendendo e riattivando BitLocker prima di aggiornamenti firmware importanti e mantenendo la chiave sempre disponibile.

Se reinstallo Windows, potrò leggere i file cifrati?

No. La reinstallazione elimina i metadati di cifratura e i file cifrati restano illeggibili senza la chiave originale. Potrai solo ripristinare dati da backup.

Esistono strumenti “magici” per recuperare la chiave?

No. Qualsiasi strumento che prometta di “bypassare” BitLocker senza la chiave è inaffidabile o illecito. BitLocker è progettato per essere crittograficamente forte: senza chiave non c’è sblocco. ^[2]

Il mio PC è dell’azienda, ma l’IT non trova la chiave: che faccio?

Fornisci:

Nome dispositivo (o seriale) e ID chiave a 8 cifre dalla schermata.
Eventuali dettagli su dominio/tenant e sull’utente primario del dispositivo.
La data approssimativa di attivazione o di un recente cambio hardware/firmware.

L’IT può cercare in Intune, Entra ID/Azure AD e AD on‑prem; in ultimo, potrà procedere con la reinstallazione seguendo le policy interne.

Ho sostituito la scheda madre: perché ora mi chiede la chiave?

Il TPM e le misure del sistema sono cambiate: BitLocker considera l’ambiente diverso e, per sicurezza, chiede la chiave di ripristino per verificare che tu sia autorizzato.

Checklist “prima di formattare”

Hai verificato tutti gli account Microsoft (principali, secondari, alias, familiari)?
Hai chiesto all’IT (per PC aziendali/scuola) controlli su Intune/Entra ID/AD?
Hai cercato file TXT e chiavette USB che potresti aver usato in passato?
Hai controllato stampe cartacee in buste e raccoglitori?
Hai annotato l’ID chiave a 8 cifre e confrontato i risultati?
Hai identificato eventuali backup (OneDrive, Cronologia file, immagini di sistema) per recuperarli dopo l’installazione?

Errori comuni da evitare

Cancellare o reinizializzare il TPM senza avere la chiave a portata: forzerà la richiesta della chiave al riavvio.
Modificare impostazioni UEFI critiche (Secure Boot, modalità di avvio) senza salvare prima la chiave.
Affidarsi a software “miracolosi” che promettono lo sblocco: rischi di perdere tempo e denaro.
Non eseguire backup periodici: la miglior difesa resta avere copie aggiornate dei dati.

Approfondimento tecnico (per amministratori)

Protector types: TPM‑only, TPM+PIN, startup key (USB), password. I criteri aziendali possono forzare combinazioni e rotazioni.
Key rotation: alcune policy ruotano automaticamente le chiavi di recupero dopo l’uso; documenta i processi di inventario.
Escrow: verifica regolarmente il corretto escrow delle chiavi (Azure AD/Intune/AD DS) e automatizza controlli di conformità.
BitLocker network unlock: valutabile in reti cablate aziendali, non applicabile a scenari consumer o fuori sede.

Riepilogo operativo

Se un Surface Pro 7 o un qualsiasi PC Windows richiede la recovery key BitLocker e non la trovi subito, non farti prendere dal panico: esiste sempre una traccia se la procedura è stata eseguita correttamente. Controlla sistematicamente account Microsoft (anche familiari), repository aziendali (Azure AD/Entra ID, Intune, AD), chiavette USB, file TXT e stampe. Se dopo ogni verifica la chiave manca, non esistono scorciatoie: reinstalla Windows o usa la Bare‑Metal Recovery di Surface accettando la perdita dei dati cifrati. Poi metti in sicurezza il futuro: conserva la chiave in due luoghi, crea un’unità di ripristino e mantieni backup regolari.

Riferimenti

Microsoft Support – “Find your BitLocker recovery key”. ^[1]
Microsoft Support – “BitLocker overview”. ^[2]
Microsoft Surface – “Surface Recovery Image Download”. ^[3]
Microsoft Support – “Recovery Drive”. ^[4]

In sintesi
Se la chiave di ripristino non è reperibile in nessuna delle sedi previste, non esiste metodo legittimo per decifrare il disco: l’unica soluzione è reinstallare Windows (o, su Surface, usare la Bare‑Metal Recovery), accettando la perdita dei dati crittografati. Per evitare il problema, effettua subito il backup della chiave e dei file importanti.