BitLocker con PowerShell: cómo activarlo, guardar la clave de recuperación, suspenderlo y desactivarlo

BitLocker es el cifrado de disco que trae Windows: si alguien se lleva el portátil o saca el disco, no puede leer nada sin la clave. Esta guía explica cómo manejar BitLocker con PowerShell, que es la forma de hacerlo igual en uno o en cien equipos: ver el estado, activarlo, guardar la clave de recuperación de BitLocker, suspenderlo antes de una actualización del firmware, desactivar BitLocker cuando hace falta y hacer lo mismo con manage-bde, la herramienta de la consola clásica.

Está escrita para dos lectores. Si no es de sistemas, le sirven la tabla de la primera sección y el apartado de la clave de recuperación: con ellos sabe qué preguntarle a su equipo de TI y dónde buscar la clave el día que la pantalla azul la pida. Si es técnico, el resto del artículo le ahorra las trampas que encontramos al leer el módulo por dentro, como un mensaje de error que culpa al disco cuando lo que falta es permiso, o una orden que, al quitar el último protector, deja el disco suspendido sin avisar.

Todo se revisó en un portátil con Windows 11 Pro, Windows PowerShell 5.1 y PowerShell 7.6.9. Para no tocar el cifrado del equipo, las pruebas se hicieron sin permisos de administrador: así medimos qué responde cada orden cuando falta la elevación y leímos el código del módulo BitLocker, que viene en el propio Windows. Lo que hace cada orden con permisos sale de ese código y de la documentación de Microsoft, y el artículo lo dice en cada caso.

BitLocker con PowerShell en un minuto

Todas las órdenes de esta tabla piden una consola de PowerShell abierta como administrador.

Lo que quiere hacer	Orden
Ver si los discos están cifrados	Get-BitLockerVolume
Ver la clave de recuperación de BitLocker de C:	(Get-BitLockerVolume -MountPoint C:).KeyProtector
Añadir una clave de recuperación	Add-BitLockerKeyProtector -MountPoint C: -RecoveryPasswordProtector
Cifrar el disco del sistema con el TPM	Enable-BitLocker -MountPoint C: -TpmProtector -UsedSpaceOnly
Suspender BitLocker durante un reinicio	Suspend-BitLocker -MountPoint C: -RebootCount 1
Reanudar la protección	Resume-BitLocker -MountPoint C:
Desactivar BitLocker y descifrar el disco	Disable-BitLocker -MountPoint C:
Lo mismo desde la consola clásica	manage-bde -status

Qué es BitLocker y qué protege

BitLocker cifra el volumen entero, de modo que lo que hay en el disco es ilegible sin la clave. Normalmente no se nota: cuando el equipo arranca con normalidad, Windows desbloquea el disco y todo funciona igual. La protección actúa cuando el disco sale de ese equipo o cuando alguien intenta arrancarlo de otra forma.

Ante todo, protege los datos guardados, en especial ante la pérdida o el robo de un portátil, y es la diferencia entre «se perdió un equipo» y «se perdieron los datos de los clientes». No protege contra un virus, un correo engañoso ni un ransomware que se ejecuta con el equipo encendido y desbloqueado: para todo eso el disco ya está abierto. Incluso puede usarse en contra de la empresa, como contamos en el caso del ransomware que cifró los equipos de una víctima para cifrar los equipos de una víctima.

Requisitos

Según la documentación de Microsoft, lo tienen Windows Pro, Enterprise y Education. Windows Home no permite activarlo a mano, pero el cifrado de dispositivo existe en todas las versiones y se activa solo en los equipos que cumplen ciertos requisitos de hardware; usa el mismo BitLocker por debajo, solo cifra el disco del sistema y los discos fijos, no las memorias USB.

Para comprobar al arrancar que nadie alteró el equipo, BitLocker usa el TPM, un chip de seguridad que traen casi todos los equipos actuales; Microsoft pide la versión 1.2 o posterior. Sin TPM también funciona, pero entonces hay que guardar una clave de inicio en una memoria USB y conectarla cada vez que el equipo arranca.

Antes de empezar: la consola tiene que ser de administrador

Es el primer tropiezo y, además, el mensaje no ayuda. En una consola normal, sin elevar, las órdenes de BitLocker fallan con un acceso denegado seguido de un segundo error que parece decir que el disco no tiene BitLocker. Esto fue lo que respondió el equipo de las pruebas:

Orden sin permisos de administrador	Lo que respondió
Get-BitLockerVolume -MountPoint C:	Acceso denegado y, después, C: no tiene un volumen de BitLocker asociado.
Enable-BitLocker o Suspend-BitLocker con -WhatIf	Acceso denegado y No se ha encontrado el elemento. (0x80070490)
Get-Tpm	Se requiere privilegios de administrador para ejecutar este comando.
manage-bde -status C:	ERROR: se denegó un intento por tener acceso a un recurso necesario. y código de salida -2147217405
Confirm-SecureBootUEFI	No se pudieron establecer privilegios adecuados. Acceso denegado.

El segundo error es engañoso: el disco puede estar cifrado perfectamente. Ocurre porque el módulo pide los datos del volumen al sistema, recibe un acceso denegado y luego informa de que no encontró nada. Cada intento tardó además unos 5 segundos en fallar, en las dos versiones de PowerShell. Si ve «no tiene un volumen de BitLocker asociado», antes de concluir nada abra la consola como administrador y repita la orden.

En PowerShell 7 el primer error cambia de texto, El cliente no tenía acceso disponible a un recurso CIM., pero significa lo mismo.

Los comandos de BitLocker con PowerShell

El módulo BitLocker de Windows trae 15 cmdlets. Los contamos con Get-Command -Module BitLocker en las dos versiones y son los mismos:

Cmdlet	Para qué sirve
Get-BitLockerVolume	Estado de cada volumen: cifrado, porcentaje, protectores
Enable-BitLocker	Activa el cifrado con un primer protector
Disable-BitLocker	Descifra el volumen y apaga BitLocker
Suspend-BitLocker	Deja el disco cifrado pero sin pedir la clave durante uno o varios reinicios
Resume-BitLocker	Vuelve a activar la protección después de suspenderla
Add-BitLockerKeyProtector	Añade una forma de desbloquear: TPM, PIN, contraseña, clave de recuperación
Remove-BitLockerKeyProtector	Quita un protector
Backup-BitLockerKeyProtector	Guarda la clave de recuperación en Active Directory
BackupToAAD-BitLockerKeyProtector	Guarda la clave de recuperación en Microsoft Entra ID
BackupToMSA-BitLockerKeyProtector	Guarda la clave de recuperación en una cuenta de Microsoft
Lock-BitLocker	Bloquea una unidad de datos
Unlock-BitLocker	Desbloquea una unidad de datos con contraseña o clave de recuperación
Enable-BitLockerAutoUnlock	Desbloqueo automático de una unidad de datos al iniciar sesión
Disable-BitLockerAutoUnlock	Quita ese desbloqueo automático
Clear-BitLockerAutoUnlock	Borra todas las claves de desbloqueo automático del equipo

Todos menos Get-BitLockerVolume y Clear-BitLockerAutoUnlock admiten -WhatIf, y el módulo es el mismo en Windows PowerShell 5.1 y en PowerShell 7.

Ver el estado de los discos

Get-BitLockerVolume devuelve un objeto por volumen. Sus propiedades más útiles son VolumeStatus, ProtectionStatus, EncryptionPercentage, EncryptionMethod y KeyProtector:

Get-BitLockerVolume
Get-BitLockerVolume -MountPoint C: | Select-Object MountPoint, VolumeType, VolumeStatus, ProtectionStatus, EncryptionPercentage, EncryptionMethod
(Get-BitLockerVolume -MountPoint C:).KeyProtector | Select-Object KeyProtectorId, KeyProtectorType

Los valores posibles vienen definidos en el propio módulo, y los leímos de él:

Propiedad	Valores
VolumeStatus	FullyDecrypted, FullyEncrypted, EncryptionInProgress, DecryptionInProgress, EncryptionSuspended, DecryptionSuspended, FullyEncryptedWipeInProgress, FullyEncryptedWipeSuspended
ProtectionStatus	Off, On, Unknown
VolumeType	OperatingSystem, Data
KeyProtectorType	Tpm, TpmPin, TpmStartupKey, TpmPinStartupKey, RecoveryPassword, Password, ExternalKey, PublicKey, TpmNetworkKey, AdAccountOrGroup, Unknown

Por eso conviene fijarse en la diferencia entre las dos primeras. VolumeStatus dice si los datos están cifrados; ProtectionStatus, si la protección está activa. Un disco FullyEncrypted con ProtectionStatus en Off está cifrado pero suspendido: arranca sin pedir nada, y en ese estado la protección no actúa.

Activar BitLocker con PowerShell

Enable-BitLocker cifra un volumen y exige elegir un protector al activarlo; si no se indica ninguno, falla con No se puede resolver el conjunto de parámetros usando los parámetros con nombre especificados. Los demás protectores se añaden después con Add-BitLockerKeyProtector.

La propia referencia oficial del cmdlet recomienda un orden que conviene seguir siempre: primero crear la clave de recuperación, después guardarla fuera del equipo y solo al final activar el cifrado.

Add-BitLockerKeyProtector -MountPoint C: -RecoveryPasswordProtector
$id = ((Get-BitLockerVolume -MountPoint C:).KeyProtector | Where-Object KeyProtectorType -eq 'RecoveryPassword' | Select-Object -Last 1).KeyProtectorId
BackupToAAD-BitLockerKeyProtector -MountPoint C: -KeyProtectorId $id
Enable-BitLocker -MountPoint C: -TpmProtector -EncryptionMethod XtsAes256 -UsedSpaceOnly

En un equipo de un dominio de Active Directory, la tercera línea sería Backup-BitLockerKeyProtector en lugar de BackupToAAD-BitLockerKeyProtector. Al terminar, el módulo avisa de que hay que reiniciar para la prueba de hardware.

Las opciones que más se usan

• -EncryptionMethod: admite Aes128, Aes256, XtsAes128 y XtsAes256; cualquier otro valor falla y el mensaje lista estos cuatro. Si no se indica, el código del módulo deja que Windows elija. La referencia de Enable-BitLocker dice que por defecto se usa XTS-AES-128 y recomienda indicarlo siempre; las preguntas frecuentes de BitLocker, en cambio, hablan de AES-128. Para no depender de cuál de las dos acierte, escríbalo.
• -UsedSpaceOnly: cifra solo el espacio ocupado. Según Microsoft, puede reducir el tiempo de cifrado en más de un 99 % y, desde ese momento, lo que se guarda se cifra al escribirse. Microsoft advierte que no es la forma más segura: en un equipo usado, lo borrado antes de cifrar puede seguir en el espacio libre sin cifrar. En un equipo nuevo es la opción lógica.
• -SkipHardwareTest: salta la prueba que comprueba, con un reinicio, que el equipo arranca bien con los protectores elegidos. Es más rápido, pero si algo falla se descubre con el disco ya cifrado.
• -HardwareEncryption: usa el cifrado del propio disco. El módulo no lo deja combinar con -UsedSpaceOnly y avisa: Los modificadores UsedSpaceOnly y HardwareEncryption no pueden usarse juntos. Omitiendo UsedSpaceOnly.

Los avisos del módulo cambian de idioma según la versión

El módulo trae sus avisos en inglés y en español de España. En el equipo de las pruebas, con Windows en español de México, Windows PowerShell 5.1 cargó los textos en español, empezando por ACCIONES NECESARIAS, y PowerShell 7 los cargó en inglés, ACTIONS REQUIRED. Es el aviso que muestra la contraseña de recuperación y pide guardarla «en un lugar seguro, lejos del equipo». Conviene saberlo para no pasarlo por alto en la versión que lo muestra en inglés.

La clave de recuperación de BitLocker

La clave de recuperación es la que salva el día. Windows la pide cuando detecta un cambio que podría ser un ataque: una actualización del firmware o del BIOS, un cambio en el TPM, una placa base nueva o un cambio en el gestor de arranque, según la guía de recuperación de Microsoft. Es un número de 48 dígitos en ocho grupos, y sin ella no hay forma de recuperar los datos. El soporte de Microsoft lo deja claro: no puede recuperar, dar ni volver a crear una clave perdida.

Dónde buscarla

La pantalla de recuperación muestra el identificador de la clave, y basta con anotar sus 8 primeros caracteres para encontrar la correcta. Según la ayuda de Microsoft para buscar la clave, puede estar en cualquiera de estos sitios:

Dónde	Cómo se consulta
Cuenta de Microsoft personal	https://aka.ms/myrecoverykey, iniciando sesión con la cuenta y buscando el identificador
Cuenta profesional o educativa (Microsoft Entra ID)	https://aka.ms/aadrecoverykey, apartado Dispositivos, Ver claves de BitLocker
Active Directory de la empresa	La consulta el departamento de TI
Copia impresa o archivo de texto	La que se guardó al activar BitLocker
Memoria USB	Conectándola al equipo bloqueado

Verla y guardarla con PowerShell

Con el equipo encendido y una consola de administrador, la clave se lee de los protectores del volumen. Trátela como una contraseña: quien la tenga puede abrir el disco.

(Get-BitLockerVolume -MountPoint C:).KeyProtector |
    Where-Object KeyProtectorType -eq 'RecoveryPassword' |
    Select-Object KeyProtectorId, RecoveryPassword

Para guardarla en Microsoft Entra ID o en Active Directory se pasa el identificador del protector. Este bloque respalda todas las claves de recuperación de C: en Entra ID:

$volumen = Get-BitLockerVolume -MountPoint C:
foreach ($p in $volumen.KeyProtector | Where-Object KeyProtectorType -eq 'RecoveryPassword') {
    BackupToAAD-BitLockerKeyProtector -MountPoint C: -KeyProtectorId $p.KeyProtectorId
}

En un dominio, Backup-BitLockerKeyProtector hace lo mismo hacia Active Directory. Para los equipos personales con cuenta de Microsoft existe BackupToMSA-BitLockerKeyProtector.

Suspender BitLocker antes de una actualización

Suspender no descifra nada: el disco sigue cifrado, pero la clave queda accesible para que el equipo arranque sin pedir la de recuperación. Es lo que Microsoft recomienda antes de una actualización del BIOS o del firmware, que de otro modo puede disparar la pantalla de recuperación. Al reanudar, BitLocker vuelve a sellar la clave con el estado nuevo del equipo.

Suspend-BitLocker -MountPoint C: -RebootCount 1
Resume-BitLocker -MountPoint C:

-RebootCount dice cuántos reinicios dura la suspensión. Admite de 0 a 15: con 16, PowerShell responde que El argumento 16 es mayor que el intervalo máximo permitido de 15. Si no se indica, la referencia oficial del cmdlet dice que vale 1 y la protección vuelve sola tras el siguiente reinicio. Con 0, la suspensión dura hasta que alguien ejecute Resume-BitLocker.

En cambio, ese 0 es el que deja equipos desprotegidos durante meses: alguien suspende para una actualización y nadie reanuda. Por eso conviene usar siempre un número y revisar de vez en cuando que ningún disco cifrado tenga la protección apagada; el escenario 1 lo hace.

Desactivar BitLocker

Desactivar BitLocker sí descifra el volumen, y tarda según el tamaño del disco. La orden lanza el descifrado y vuelve; el descifrado sigue en segundo plano:

Disable-BitLocker -MountPoint C:
Get-BitLockerVolume -MountPoint C: | Select-Object MountPoint, VolumeStatus, EncryptionPercentage

La segunda línea muestra el avance: VolumeStatus pasa por DecryptionInProgress y EncryptionPercentage baja hasta 0.

	Suspender BitLocker	Desactivar BitLocker
¿Descifra el disco?	No	Sí, en segundo plano
¿Cuánto tarda?	Al instante	Según el tamaño del disco
¿Cuándo se usa?	Actualizar el BIOS o el firmware, cambios de hardware	Retirar el cifrado, por ejemplo antes de reutilizar o reinstalar el equipo
¿Cómo se deshace?	Sola tras los reinicios indicados, o con Resume-BitLocker	Volviendo a activar BitLocker

Protectores: añadir y quitar formas de desbloquear

Un volumen puede tener varios protectores a la vez: el TPM para el arranque diario, una clave de recuperación para emergencias y, si se quiere más seguridad, un PIN que se escribe al encender.

$pin = Read-Host -AsSecureString -Prompt 'PIN de arranque'
Add-BitLockerKeyProtector -MountPoint C: -TpmAndPinProtector -Pin $pin
(Get-BitLockerVolume -MountPoint C:).KeyProtector | Select-Object KeyProtectorId, KeyProtectorType

Después, para quitar un protector se usa su identificador, el KeyProtectorId que muestra la tercera línea:

Remove-BitLockerKeyProtector -MountPoint C: -KeyProtectorId '{00000000-0000-0000-0000-000000000000}'

La trampa del último protector

Al leer el código de Remove-BitLockerKeyProtector encontramos algo que la documentación no cuenta. Si Windows se niega a borrar un protector porque es el último que protege la clave, el cmdlet suspende BitLocker y vuelve a intentarlo. El resultado es un disco cifrado con la protección apagada, y la orden no avisa de ese paso. Antes de quitar un protector, compruebe que queda otro, y después mire ProtectionStatus.

El mismo código explica dos mensajes. Un protector de agente de recuperación de datos no se quita con PowerShell: La eliminación del certificado del agente de recuperación de datos debe realizarse con el complemento Certificados. Y el de desbloqueo en red solo se retira desde la directiva de grupo.

Unidades de datos y memorias USB

Las unidades que no son la del sistema se protegen con una contraseña o con la cuenta de un usuario o un grupo de Active Directory, y se pueden desbloquear solas al iniciar sesión:

$clave = Read-Host -AsSecureString -Prompt 'Contraseña de la unidad'
Enable-BitLocker -MountPoint E: -PasswordProtector -Password $clave -UsedSpaceOnly
Enable-BitLockerAutoUnlock -MountPoint E:

Para abrir una unidad bloqueada, con su contraseña o con la clave de recuperación, y volver a cerrarla:

Unlock-BitLocker -MountPoint E: -Password (Read-Host -AsSecureString -Prompt 'Contraseña')
Lock-BitLocker -MountPoint E:

Unlock-BitLocker también acepta -RecoveryPassword con los 48 dígitos. Lock-BitLocker admite -ForceDismount, que según el código del módulo desmonta la unidad a la fuerza.

BitLocker con manage-bde

manage-bde es la herramienta de consola de BitLocker y funciona en CMD y en PowerShell. Su ayuda, en español, se ve con manage-bde -?. Estas son las equivalencias de lo anterior:

Tarea	manage-bde	PowerShell
Ver el estado	manage-bde -status	Get-BitLockerVolume
Ver los protectores y la clave	manage-bde -protectors -get C:	(Get-BitLockerVolume -MountPoint C:).KeyProtector
Añadir una clave de recuperación	manage-bde -protectors -add C: -RecoveryPassword	Add-BitLockerKeyProtector -RecoveryPasswordProtector
Cifrar	manage-bde -on C:	Enable-BitLocker
Descifrar	manage-bde -off C:	Disable-BitLocker
Pausar el cifrado en curso	manage-bde -pause C:	(no tiene equivalente directo)
Suspender la protección	manage-bde -protectors -disable C:	Suspend-BitLocker
Desbloquear una unidad	manage-bde -unlock E: -RecoveryPassword seguido de los 48 dígitos	Unlock-BitLocker
Trabajar en otro equipo	manage-bde -status -ComputerName EQUIPO	Invoke-Command, ver PowerShell remoto

Eso sí, ojo con -pause: según su propia ayuda, pausa el cifrado o el descifrado en curso, que es distinto de suspender la protección. Y manage-bde también necesita una consola de administrador; sin ella da el error de la tabla del principio. Si viene de la consola clásica, nuestra guía de comandos CMD tiene el resto de equivalencias, y la de PowerShell explica cómo trabajar con los objetos que devuelven estos cmdlets.

Escenarios de ejemplo con BitLocker y PowerShell

Todos se ejecutan en una consola de administrador. Cambie las letras de unidad por las de su equipo.

Escenario 1: informe de cifrado del equipo

Para saber de un vistazo qué está cifrado, qué está suspendido y si cada disco tiene clave de recuperación:

Get-BitLockerVolume | ForEach-Object {
    [pscustomobject]@{
        Unidad       = $_.MountPoint
        Tipo         = $_.VolumeType
        Estado       = $_.VolumeStatus
        Proteccion   = $_.ProtectionStatus
        Porcentaje   = $_.EncryptionPercentage
        Metodo       = $_.EncryptionMethod
        ConRecuperacion = [bool]($_.KeyProtector | Where-Object KeyProtectorType -eq 'RecoveryPassword')
    }
} | Format-Table -AutoSize

En resumen, las dos señales de alarma son Proteccion en Off con Estado en FullyEncrypted (suspendido) y ConRecuperacion en False: un disco cifrado sin clave de recuperación es un disco que puede perderse entero.

Escenario 2: revisar varios equipos y guardar el resultado

Con PowerShell remoto activo en los equipos, el mismo informe se recoge de una lista y se guarda en un CSV para Excel:

$equipos = 'PC-CONTABILIDAD', 'PC-GERENCIA'
$resultado = Invoke-Command -ComputerName $equipos -ScriptBlock {
    Get-BitLockerVolume | Select-Object MountPoint, VolumeStatus, ProtectionStatus, EncryptionPercentage
}
$archivo = Join-Path ([Environment]::GetFolderPath('Desktop')) 'bitlocker.csv'
$resultado | Select-Object PSComputerName, MountPoint, VolumeStatus, ProtectionStatus, EncryptionPercentage |
    Export-Csv -Path $archivo -NoTypeInformation -Encoding UTF8 -Delimiter ';'

El punto y coma es el separador que espera Excel con la configuración regional de Colombia. El informe no incluye las claves a propósito: un CSV con claves de recuperación en el escritorio sería un riesgo mayor que el que resuelve.

Escenario 3: actualizar el BIOS sin que pida la clave

Antes de ejecutar el actualizador del fabricante:

Suspend-BitLocker -MountPoint C: -RebootCount 2
Get-BitLockerVolume -MountPoint C: | Select-Object MountPoint, VolumeStatus, ProtectionStatus

Con 2, la suspensión aguanta un reinicio de más si el actualizador lo necesita; si el fabricante indica más reinicios, suba el número. Después, compruebe que ProtectionStatus volvió a On; si no, ejecute Resume-BitLocker -MountPoint C:.

Escenario 4: un equipo pide la clave de recuperación

Si al encender aparece la pantalla de recuperación, el procedimiento es siempre el mismo:

1. Anotar los 8 primeros caracteres del identificador de la clave que muestra la pantalla.
2. Buscar la clave con ese identificador en la cuenta de Microsoft, en Microsoft Entra ID o en Active Directory, según cómo se guardó.
3. Escribir los 48 dígitos y dejar que el equipo arranque.
4. Ya dentro, averiguar qué la disparó (una actualización del firmware, un cambio en el TPM) y, si se repite, revisar los protectores con Get-BitLockerVolume.

Si la clave no aparece en ningún sitio, no hay forma de recuperar los datos del disco. Por eso el orden del apartado de activación, con la clave guardada antes de cifrar, no es opcional.

Escenario 5: cifrar un equipo nuevo en tres pasos

Add-BitLockerKeyProtector -MountPoint C: -RecoveryPasswordProtector
Get-BitLockerVolume -MountPoint C: | ForEach-Object { $_.KeyProtector | Where-Object KeyProtectorType -eq 'RecoveryPassword' } |
    ForEach-Object { BackupToAAD-BitLockerKeyProtector -MountPoint C: -KeyProtectorId $_.KeyProtectorId }
Enable-BitLocker -MountPoint C: -TpmProtector -EncryptionMethod XtsAes128 -UsedSpaceOnly

Es el mismo orden que recomienda Microsoft, en una sola secuencia: clave, respaldo y cifrado. Reinicie cuando el módulo lo pida y, al volver, compruebe el avance con Get-BitLockerVolume.

Errores comunes y qué significan

Mensaje	Causa	Qué hacer
Acceso denegado seguido de C: no tiene un volumen de BitLocker asociado.	La consola no es de administrador	Abrir PowerShell como administrador; el disco puede estar cifrado
Acceso denegado y No se ha encontrado el elemento. (0x80070490)	Lo mismo, con Enable-BitLocker o Suspend-BitLocker	Igual que el anterior
Se requiere privilegios de administrador para ejecutar este comando.	Get-Tpm sin elevar	Consola de administrador
ERROR: se denegó un intento por tener acceso a un recurso necesario.	manage-bde sin elevar	Consola de administrador
No se puede resolver el conjunto de parámetros usando los parámetros con nombre especificados.	Enable-BitLocker sin protector, o con dos	Indicar un solo protector y añadir los demás con Add-BitLockerKeyProtector
El argumento 16 es mayor que el intervalo máximo permitido de 15.	-RebootCount fuera de rango	Un número de 0 a 15
No se puede hacer coincidir el nombre de identificador	-EncryptionMethod con un valor que no existe	Aes128, Aes256, XtsAes128 o XtsAes256
Los modificadores UsedSpaceOnly y HardwareEncryption no pueden usarse juntos.	Las dos opciones a la vez	El módulo quita -UsedSpaceOnly y sigue

Recomendaciones

1. Guarde la clave de recuperación antes de cifrar, en Microsoft Entra ID o en Active Directory, y compruebe que está ahí.
2. Elija el método de cifrado de forma explícita. La documentación de Microsoft no se pone de acuerdo sobre cuál es el de fábrica.
3. Suspenda con un número de reinicios, nunca con 0, salvo que vaya a reanudar usted mismo.
4. Revise el estado periódicamente: un disco FullyEncrypted con la protección en Off no está protegido.
5. No quite el último protector, porque el cmdlet suspende BitLocker sin avisar.
6. Use siempre una consola de administrador y no se fíe del mensaje «no tiene un volumen de BitLocker asociado» en una que no lo es.
7. No guarde claves en archivos compartidos ni en informes. Una clave de recuperación abre el disco.
8. Recuerde lo que BitLocker no hace: protege un disco perdido o robado, no un equipo encendido frente a un virus o un ransomware.

Cuando BitLocker es parte de la gestión de los equipos

BitLocker con PowerShell resuelve en minutos lo que a mano lleva una tarde por equipo, siempre que alguien lleve el control de las claves y revise el estado. El problema suele aparecer el día en que un portátil pide la clave de recuperación y nadie sabe dónde quedó.

En KHARONTE llevamos ese control dentro del soporte técnico para empresas: administramos los puestos de trabajo y su configuración, y nuestra mesa de ayuda TI atiende la pantalla de recuperación cuando aparece. Si busca servicios administrados de TI para que sus equipos estén al día, revise nuestros servicios de TI para empresas, donde también está el licenciamiento de Windows Pro.