Test & Avis Expert
BitLocker est la fonction de chiffrement de volume intégrée à Windows. Microsoft la présente comme une réponse aux appareils perdus, volés ou mis au rebut : le disque reste illisible si on l'extrait de la machine pour le brancher ailleurs.
Comment ça marche
BitLocker chiffre des volumes entiers et s'appuie sur un TPM — une puce dédiée présente sur la plupart des PC récents, qui mesure le démarrage et refuse de libérer la clé si le système a été altéré hors ligne. Un TPM 1.2 ou ultérieur est requis pour cette vérification d'intégrité. On peut y ajouter un code PIN ou une clé de démarrage sur clé USB, exigés avant le chargement de Windows. Sans TPM, la clé de démarrage sur support amovible devient obligatoire ; l'option par simple mot de passe existe mais Microsoft la désactive par défaut et la déconseille, faute de verrouillage après une série d'essais. L'activation manuelle n'est possible que sur les éditions Pro, Entreprise, Éducation et Pro Éducation. À côté, le « chiffrement de l'appareil » s'active tout seul sur du matériel éligible, toutes éditions confondues, en XTS-AES 128 bits par défaut — depuis Windows 11 version 24H2, les prérequis DMA et HSTI/veille moderne ont été supprimés, ce qui élargit le parc concerné.
Ce que ça ne protège pas
Comme tout chiffrement de disque, BitLocker ne couvre que l'appareil éteint. Session ouverte, le volume est monté et son contenu est accessible à n'importe quel programme s'exécutant sous votre compte : un rançongiciel chiffre des fichiers déjà déchiffrés par BitLocker sans la moindre difficulté. Le second point mérite d'être lu attentivement : le chiffrement automatique dépose la clé de récupération dans le compte Microsoft de l'administrateur, dans Microsoft Entra ID ou dans Active Directory. Une copie de la clé existe donc en dehors de la machine, chez un tiers qui peut la remettre sur réquisition. Microsoft indique par ailleurs qu'un appareil n'utilisant que des comptes locaux reste non protégé, même si les données sont chiffrées. Enfin le code est fermé : aucune vérification indépendante du fonctionnement réel n'est possible, et changer la méthode de chiffrement après coup impose de déchiffrer entièrement le disque d'abord.
Face aux alternatives
VeraCrypt est libre, son code est auditable, et il fonctionne sur l'édition Famille de Windows où l'activation manuelle de BitLocker n'est pas proposée ; en contrepartie il s'intègre moins étroitement au démarrage du système. FileVault et LUKS sont les équivalents macOS et Linux. Cryptomator vise les fichiers synchronisés vers un service en ligne, pas le disque système.
