Puntos clave
- BitLocker en Windows 11 admite varios algoritmos de cifrado (XTS-AES, AES-CBC) con claves de 128 o 256 bits para una protección de datos personalizable.
- Puedes cambiar el método de cifrado de BitLocker antes de cifrar una unidad con el Editor de directivas de grupo, el Editor del Registro, PowerShell o un archivo .reg.
- XTS-AES de 256 bits ofrece mayor seguridad en unidades fijas, mientras que los métodos AES-CBC siguen siendo útiles para dispositivos antiguos o extraíbles.
- Cambiar el método de cifrado ayuda a cumplir los estándares de seguridad empresariales y los requisitos de cumplimiento, además de optimizar el rendimiento.
- Solo se puede modificar el método de cifrado de BitLocker en unidades sin cifrar; los volúmenes ya cifrados permanecen igual.
El cifrado es una herramienta de seguridad esencial, sobre todo en entornos empresariales. BitLocker es una función nativa de Windows 11 compatible con varios algoritmos de cifrado, entre ellos AES-CBC y AES-XTS, con claves de 128 o 256 bits.
Con BitLocker puedes cambiar el método de cifrado para adaptarlo a tus necesidades. Aunque XTS-AES de 128 bits es el método predeterminado, puede que necesites otro según tu hardware o tus requisitos de seguridad.
Si prefieres verlo explicado en vídeo, mira Cómo cambiar el método de cifrado de unidad de BitLocker en Windows 11.
Distintas formas de cambiar el método de cifrado de unidad de BitLocker
Si eres un usuario avanzado, puedes cambiar el método de cifrado con el Editor de directivas de grupo local o el Editor del Registro. En entornos gestionados, puedes desplegar un script con Windows PowerShell o crear un archivo .reg.
📌 Requisitos previos:
- Esta guía sirve para Windows 11 Pro, Enterprise y Education.
- Necesitarás acceso de administrador.
- Esto solo se aplicará a los nuevos volúmenes de BitLocker. La unidad no debe estar cifrada todavía.
- Necesitarás acceso al Editor de directivas de grupo o al Editor del Registro de Windows.
⚠️ Importante: si ya has activado BitLocker en la unidad de destino, tendrás que desactivar BitLocker (descifrar la unidad) para que estos cambios surtan efecto.
La configuración del método de cifrado de BitLocker solo se aplica a los nuevos cifrados: los volúmenes existentes seguirán usando su algoritmo de cifrado actual hasta que los descifres y los vuelvas a cifrar.
📌 Estrategias de despliegue recomendadas:
| Haz clic para elegir un método | 💻 Ideal para usuarios individuales | 💻💻💻 Ideal para empresas |
| Método 1: definir el método de cifrado desde el Editor de directivas de grupo | ✓ | ✓ |
| Método 2: definir el método de cifrado desde el Editor del Registro | ✓ | ✓ |
| Método 3: script de PowerShell para automatizar el proceso | ✓ | |
| Método 4: crear un archivo .reg | ✓ |
Método 1: definir el método de cifrado desde el Editor de directivas de grupo
📌 Caso de uso: este método sirve tanto para entornos empresariales como para usuarios avanzados.
- Abre el menú Inicio y busca Editar directiva de grupo para abrir el programa.
- Ve a Configuración del equipo > Plantillas administrativas > Componentes de Windows > Cifrado de unidad BitLocker.
- Haz doble clic en Elegir método de cifrado de unidad y fuerza de cifrado (Windows 10 [versión 1511] y posterior).
- Selecciona Habilitada.
- En la sección Opciones, modifica la configuración según tus necesidades.
- Puedes cambiar el cifrado de las unidades de datos fijas, las unidades del sistema operativo y las unidades de datos extraíbles.
- De forma predeterminada está en XTS-AES de 128 bits. Las demás opciones son estas:
- AES-CBC de 128 bits
- AES-CBC de 256 bits
- XTS-AES de 256 bits
- Haz clic en Aplicar y luego en Aceptar. Ya puedes cerrar el Editor de directivas de grupo.
- Abre el menú Inicio y busca Símbolo del sistema para abrir el programa.
- Escribe gpupdate /force y pulsa Intro. Así se aplicarán los cambios que has hecho en las directivas de grupo.
Método 2: definir el método de cifrado desde el Editor del Registro
📌 Caso de uso: este método sirve tanto para entornos empresariales como para usuarios avanzados.
- Abre el menú Inicio y busca Editor del Registro para abrir el programa.
- Ve a HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\FVE
- Selecciona el valor de la unidad que quieres modificar:
- EncryptionMethodWithXtsOs (para unidades del SO)
- EncryptionMethodWithXtsFdv (para unidades de datos fijas)
- EncryptionMethodWithXtsRdv (para unidades extraíbles)
- Cambia el valor según tus necesidades.
- AES de 128 bits (CBC) = 0
- AES de 256 bits (CBC) = 1
- Cifrado por hardware (si es compatible) = 2
- AES de 128 bits (CBC – heredado) = 3
- AES de 256 bits (CBC – heredado) = 4
- (Reservado/sin usar) = 5
- XTS-AES de 128 bits = 6
- XTS-AES de 256 bits = 7
- Reinicia el equipo para aplicar los cambios.
Método 3: script de PowerShell para automatizar el proceso
📌 Caso de uso: es la opción ideal para entornos gestionados. Puedes cambiar esta configuración de forma remota con Windows PowerShell.
- Abre el menú Inicio, busca Windows PowerShell, haz clic con el botón derecho y selecciona Ejecutar como administrador.
- Escribe el siguiente comando y pulsa Intro. Así se establecerá el método de cifrado en XTS-AES de 256 bits.
New-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Force | Out-Null
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Name "EncryptionMethodWithXtsOs" -Value 5
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Name "EncryptionMethodWithXtsFdv" -Value 5
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Name "EncryptionMethodWithXtsRdv" -Value 5
Si solo quieres cambiar una unidad concreta, elimina las líneas que no necesites.
- EncryptionMethodWithXtsOs – unidades del SO
- EncryptionMethodWithXtsFdv – unidades de datos fijas
- EncryptionMethodWithXtsRdv – unidades extraíbles
Si quieres establecer otro método de cifrado, cambia el valor.
- AES de 128 bits (CBC) = 0
- AES de 256 bits (CBC) = 1
- Cifrado por hardware (si es compatible) = 2
- AES de 128 bits (CBC – heredado) = 3
- AES de 256 bits (CBC – heredado) = 4
- (Reservado/sin usar) = 5
- XTS-AES de 128 bits = 6
- XTS-AES de 256 bits = 7
- Ya puedes cerrar Windows PowerShell. Reinicia el equipo para aplicar los cambios.
Método 4: crear un archivo .reg
📌 Caso de uso: este método funciona mejor en entornos empresariales. Puedes hacerlo con la herramienta de gestión de endpoints que prefieras.
- Abre el menú Inicio y busca Bloc de notas para abrir el programa.
- Escribe lo siguiente:
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\FVE]
"EncryptionMethodWithXtsOs"=dword:00000005
"EncryptionMethodWithXtsFdv"=dword:00000005
"EncryptionMethodWithXtsRdv"=dword:00000005
Si solo quieres cambiar una unidad concreta, borra las líneas que no necesites.
- EncryptionMethodWithXtsOs – unidades del SO
- EncryptionMethodWithXtsFdv – unidades de datos fijas
- EncryptionMethodWithXtsRdv – unidades extraíbles
Si quieres establecer otro método de cifrado, cambia el valor dword.
- AES de 128 bits (CBC) = 0
- AES de 256 bits (CBC) = 1
- Cifrado por hardware (si es compatible) = 2
- AES de 128 bits (CBC – heredado) = 3
- AES de 256 bits (CBC – heredado) = 4
- (Reservado/sin usar) = 5
- XTS-AES de 128 bits = 6
- XTS-AES de 256 bits = 7
- Haz clic en Archivo > Guardar como.
- Ponle el nombre BitLocker_EncryptionMethod.reg.
- Abre el menú desplegable Tipo y selecciona > Todos los archivos.
- Ya puedes cerrar el Bloc de notas.
- Ve a la carpeta donde has guardado el archivo .reg y haz doble clic en él. Así se ejecutará el archivo .reg y se aplicarán los cambios al Registro de Windows.
- Reinicia el equipo para aplicar los cambios en el sistema.
⚠️ Aspectos a tener en cuenta
| Riesgos | Posibles consecuencias | Cómo revertirlo |
| Un usuario establece un método de cifrado menos seguro del recomendado. | Esto podría exponer la unidad a algunas vulnerabilidades de seguridad. | Asegúrate de elegir el mejor método de cifrado según tu hardware. XTS-AES es la opción más segura para unidades fijas y es la recomendada. |
| Un usuario hace cambios incorrectos en el Registro de Windows. | Esto puede provocar una configuración errónea o inestabilidad del sistema. | Crea una copia de seguridad del Registro de Windows antes de hacer cualquier cambio. Así podrás restaurarlo a su estado anterior si se producen cambios no deseados. |
Combinaciones de cifrado compatibles
BitLocker en Windows 11 admite estas opciones de cifrado:
- XTS-AES de 128 bits (predeterminado)
- XTS-AES de 256 bits
- AES-CBC de 128 bits (solo para unidades extraíbles)
- AES-CBC de 256 bits (solo para unidades extraíbles)
XTS-AES es más seguro y es la opción recomendada para unidades fijas. AES-CBC, en cambio, es compatible con sistemas heredados y puede usarse en unidades USB.
Otras consideraciones antes de cambiar el método de cifrado de unidad de BitLocker
- Solo puedes hacerlo antes de cifrar la unidad, es decir, antes de activar BitLocker.
- Cambiar esta configuración no afectará a los volúmenes existentes. Si una unidad ya está cifrada, no se volverá a cifrar.
- El cifrado de 256 bits es más seguro que el de 128 bits, pero ralentizará ligeramente tu sistema.
- Para comprobar qué cifrado se está usando, abre el Símbolo del sistema, escribe
manage-bde -statusy pulsa Intro.
¿Por qué cambiar el método de cifrado de BitLocker?
Cambiar el método de cifrado de BitLocker garantiza que todos tus dispositivos gestionados cumplan con los estándares de seguridad de tu organización. También puedes hacerlo para ajustarte a la normativa local y a las políticas federales.
El método de cifrado también influye en el rendimiento del dispositivo. Cambiarlo puede ayudarte a optimizar el rendimiento y a garantizar la compatibilidad con herramientas externas de descifrado o recuperación.
Guía de inicio rápido
NinjaOne puede ayudarte a gestionar el cifrado de BitLocker, incluido el cambio del método de cifrado, de las siguientes formas:
1. Despliegue de scripts
Puedes usar la gestión de scripts de NinjaOne para desplegar scripts de PowerShell o por lotes que modifiquen la configuración de BitLocker.
2. Gestión de directivas de grupo
Si tu plan de NinjaOne incluye Group Policy Management, puedes:
Desplegar objetos de directiva de grupo (GPO) que configuren los ajustes de BitLocker.
Usar GPO para imponer métodos de cifrado (por ejemplo, XTS-AES de 256 bits) en unidades del SO y de datos.
3. Gestión de parches
La gestión de parches de Windows de NinjaOne puede aplicar actualizaciones que habiliten o admitan métodos de cifrado más recientes si fuera necesario.
NinjaOne dispone de un script llamado «Suspend BitLocker» que puede:
- Suspender la protección de BitLocker hasta después del siguiente reinicio
- Reiniciar el equipo de forma opcional una vez suspendida
- Debe ejecutarse con privilegios administrativos
- Ofrecer una forma de desactivar temporalmente la protección de cifrado de BitLocker
- Resultar útil cuando necesitas hacer cambios en el sistema que podrían verse afectados por el cifrado activo de BitLocker
Refuerza la seguridad cambiando los métodos de cifrado de BitLocker
Puedes cambiar el método de cifrado de BitLocker con el Editor de directivas de grupo local o el Editor del Registro. Los administradores en entornos empresariales también pueden usar scripts de Windows PowerShell o crear un archivo .reg.
Cambiar el método de cifrado te ayuda a cumplir los estándares de seguridad de tu organización, así como la normativa local y las políticas federales. También puede que quieras gestionar esta opción en función del hardware de tus dispositivos. Eso sí, recuerda que solo puede hacerse en una unidad sin cifrar: no se puede cambiar en dispositivos ya cifrados.
Enlaces relacionados:
- Cómo activar o desactivar el cifrado de dispositivo en Windows 11
- Cómo bloquear unidades cifradas con BitLocker en Windows
- Cómo desbloquear una unidad del SO cifrada con BitLocker en Windows 10
- Cómo encontrar tu clave de recuperación de BitLocker en Windows
- Cómo desbloquear una unidad de BitLocker (fija o extraíble) en Windows
Te recomendamos ver esta breve videoguía: «Cómo bloquear unidades cifradas con BitLocker en Windows».
