Ви увійшли на aka.ms/myrecoverykey, список завантажився — а ключа, якого вимагає синій екран, там просто немає. Або обліковий запис узагалі порожній. У цю мить більшість людей робить одне з двох: починає пробувати ключі від інших пристроїв або списує диск і запускає чисту інсталяцію.
І те, й інше — передчасно. «Ключ не знайдено» здебільшого не означає, що ключа не існує. Це означає, що ви дивитеся не туди.
Відповідь одразу: Ключ належить до однієї конкретної ідентичності та до одного конкретного диска. Перевірте три речі в такому порядку: іншу ідентичність (особистий обліковий запис Microsoft і робочий обліковий запис Microsoft 365 можуть мати однакову адресу, але це два окремі світи з двома списками пристроїв), корпоративне керування (ключ може бути в Microsoft Entra ID, Intune або Active Directory, де користувач його не бачить) і початковий комп’ютер (якщо диск походить звідкись інде, початкова материнська плата з TPM, можливо, розблокує його сама). Поки що нічого не форматуйте, не видаляйте розділи й не видаляйте запис пристрою з корпоративного керування. Аж коли відповідного ключа не існує, жоден пристрій диск не розблокує, а даних немає в резервній копії — аж тоді це рішення, а не ремонт.
Цей текст продовжує базову інструкцію де шукати BitLocker recovery key через aka.ms. Ми не повторюємо в ньому всі місця, куди зберігається ключ. Розбираємо ситуацію, коли ви звичні місця перевірили — і досі нічого.
Спершу те, чого робити не можна
Чимало безповоротно втрачених даних у BitLocker виникає не в момент блокування диска, а під час подальших спроб «якось полагодити» диск.
Доки ви не знаєте, чи дані замінні, не робіть цього:
- не форматуйте диск і не видаляйте розділи,
- не підтверджуйте ініціалізацію диска, яку пропонує «Керування дисками»,
- не запускайте чисту інсталяцію Windows на той самий диск,
- не запускайте CHKDSK, особливо якщо диск має фізичні проблеми,
- не видаляйте запис пристрою з Entra ID, Intune чи Active Directory,
- не закривайте обліковий запис колишнього працівника,
- не встановлюйте «розблокувальні» програми з невідомих сайтів.
BitLocker — це не збій файлової системи, і форматування його не виправить: воно лише знищить структури, які ще могли б згодитися. А якщо диск клацає, відключається під час роботи або комп’ютер бачить його лише час від часу, вимкніть його повністю. Тоді ви розв’язуєте не одну проблему, а дві: відсутній ключ і вмираюче залізо. Про друге маємо ознаки вмираючого SSD і відновлення даних з диска з пошкодженими секторами.
Спершу з’ясуйте, що саме ви шукаєте
На синьому екрані є два різні числа, і люди їх регулярно плутають.
Ідентифікатор ключа відновлення — це короткий ідентифікатор, з якого ви зазвичай пам’ятаєте перші вісім символів. Він нічого не розблоковує. Він потрібен лише для того, щоб ви впізнали в списку, котрий зі збережених ключів належить цьому диску.
Recovery key — це 48-значне число у вісьмох групах по шість цифр. Саме воно розблоковує диск.
Коли в обліковому записі у вас п’ять ключів і жоден не працює, це майже завжди означає, що ви пробували ключі від інших пристроїв або від старішої інсталяції Windows. Не пробуйте їх навмання — порівняйте ідентифікатор з екрана з ідентифікатором біля запису в списку. Або збіг є, або цього ключа там немає й пошук триває деінде.
За чим упізнати, яким шляхом іти далі
| Ситуація | Що перевірити | Що це означає |
|---|---|---|
| Ключа немає в очікуваному особистому обліковому записі | Хто вперше налаштовував комп’ютер і під якою адресою | Ключ може бути в іншому обліковому записі — з’ясуйте, хто налаштовував комп’ютер. |
| Ту саму пошту ви використовуєте приватно й для роботи | Чи ви в особистій, чи в корпоративній ідентичності | Це два окремі входи, кожен зі своїм списком пристроїв. |
| Ноутбук належав працівникові або іншій фірмі | Entra ID, Intune, локальний Active Directory | Ключ бачить лише адміністратор — і лише тоді, коли резервне копіювання налаштували до шифрування. |
| Диск був вийнятий з іншого комп’ютера | Початкова материнська плата та її TPM | Ключ тримав початковий чип TPM — спробуйте повернути диск у початкову машину. |
| Обліковий запис закрито або працівник пішов | Відновлення облікового запису, запис пристрою в адміністратора | Вирішує те, що збереглося: і обліковий запис, і запис пристрою можуть бути видалені. |
| Маєте кілька ключів, але жоден не працює | Збіг ідентифікатора на екрані з ідентифікатором ключа | Найімовірніше, ви пробуєте ключі від інших пристроїв — порівнюйте ідентифікатори, а не вміст. |
| Немає ні ключа, ні розблокованого пристрою | Резервні копії, OneDrive, SharePoint, сервер, вкладення | Сам диск без ключа ви не відкриєте — шукайте дані поза ним. |
Правильна адреса, неправильна ідентичність
Це найчастіший глухий кут у малих фірм і підприємців. Microsoft веде два окремі світи: особистий обліковий запис Microsoft і робочий чи навчальний обліковий запис у Microsoft Entra ID. І те, й інше може працювати на одній поштовій адресі, але це дві різні ідентичності, кожна зі своїм списком пристроїв і своїм сховищем ключів. Ви входите не в ту, список слухняно завантажується — і він порожній.
Тому перевірте:
- Хто робив перше налаштування ноутбука. Ключ зберігся в його обліковий запис, а не у ваш.
- Хто вмикав шифрування або приєднував пристрій до фірми.
- Чи при вході на
aka.msобирається особистий, чи робочий обліковий запис. - Чи не готував комп’ютер зовнішній адміністратор, постачальник або колишній працівник.
- Чи не користувався власник старішою адресою Outlook.com, Hotmail або Live.
Новіші Windows 11 вміють на екрані відновлення показати підказку щодо облікового запису, у якому шукати ключ. Але вони не покажуть повну адресу, лише фрагмент — цього досить, щоб розрізнити два облікові записи, але не щоб угадати невідомий.
Диск з іншого комп’ютера: початкова материнська плата ще може допомогти
Системний диск за нормальної роботи розблоковує чип TPM на материнській платі. Ключ він видає лише тоді, коли збігається відбиток запуску — прошивка, налаштування UEFI, завантажувач. Перекладете SSD в інший ноутбук або в USB-кишеню — і початкового TPM просто немає. Звідси й вимога recovery key.
Якщо початковий комп’ютер ще існує й працює:
- поверніть диск у нього,
- не змінюйте перед тим налаштування TPM, Secure Boot чи режим завантаження — кожна така зміна руйнує відбиток, і ключ вимагатиме навіть початкова машина,
- спробуйте звичайний запуск,
- коли Windows розблокуються, спершу скопіюйте дані, а вже потім розбирайтеся з рештою.
На розблокованій системі стан можна перевірити командою manage-bde -status, а доступні механізми захисту вивести через manage-bde -protectors -get. Вони покажуть вам, як усе налаштовано, і дадуть змогу зберегти ключ заново. Але відсутній ключ до заблокованого диска вони не створять.
І ні, підключення SSD через USB-кишеню шифрування не обходить. USB-кишеня — це лише спосіб дістатися до диска; дані за ним і далі зашифровані, і ключ у вас запитають так само.
Корпоративний ноутбук: ключ може бути не в користувача
У керованому комп’ютері recovery key може зберігатися в Microsoft Entra ID, Microsoft Intune або в локальному домені Active Directory. Користувач тоді просто не бачить його у своєму обліковому записі — і ніколи не побачить. Це не його помилка.
Адміністратору передайте:
- назву пристрою,
- серійний номер ноутбука,
- повний ідентифікатор ключа з екрана,
- ім’я початкового користувача,
- приблизний період, коли комп’ютер з’явився у фірмі.
Адміністратор може шукати як за пристроєм, так і за ідентифікатором ключа. У пристроїв, керованих через Intune, ключ зазвичай є у властивостях пристрою, у комп’ютерів у локальному домені — біля об’єкта комп’ютера в Active Directory. Але зверніть увагу на одну річ: резервне копіювання ключів до каталогу — не самоочевидна річ. Воно мало бути налаштоване перед тим, як увімкнули шифрування. Якщо налаштоване не було, в Entra ID чи AD ви нічого не знайдете, хоч би як шукали. Microsoft описує корпоративні місця зберігання ключів і процес відновлення в документації BitLocker.
Звільнення працівника саме собою ключ не скасовує. Той висить на записі пристрою, а не на його поштовій скриньці. Тому не видаляйте цей ноутбук з Entra ID, Intune чи Active Directory, доки адміністратор не перевірить ключ — видаленням запису ви викинете саме те, що шукаєте.
Закритий або успадкований обліковий запис
У разі закритого особистого облікового запису перше питання — чи можна відновити доступ до самого облікового запису. Сервіс може допомогти вам визначити, яку адресу використовував комп’ютер, але обійти перевірку власника в Microsoft він не вміє — як і ніхто інший.
У випадку комп’ютера після колишнього партнера, працівника чи померлого власника розділіть дві речі, які між собою не пов’язані:
- кому належить пристрій,
- хто має право на дані та на обліковий запис.
Володіння ноутбуком не дає вам доступу до чужого онлайн-облікового запису. Тому щодо корпоративних даних залучіть адміністратора Microsoft 365 і людину, відповідальну за фірму. І перш ніж щось видаляти, перегляньте OneDrive, SharePoint, корпоративний сервер і систему резервного копіювання — потрібні документи часто існують і поза заблокованим диском. Заблокований профіль не означає заблоковані дані.
Якщо єдиний ключ зберігався виключно в назавжди закритому обліковому записі й іншої копії ніде немає, з диска його ніхто не відновить.
Що може перевірити сервіс — а чого вже не вміє ніхто
Сенс діагностики не в тому, щоб пообіцяти «зламати BitLocker». Чесний обсяг такий:
- переконатися, що йдеться саме про BitLocker, і який розділ заблоковано,
- записати ідентифікатор потрібного ключа,
- перевірити стан SSD чи HDD без записів і без форматування,
- з’ясувати, чи початковий комп’ютер ще розблокує диск сам,
- допомогти розрізнити особисту й корпоративну ідентичність і скерувати до адміністратора,
- після розблокування безпечно скопіювати дані в інше місце,
- у разі несправного диска спершу створити робочу копію й працювати з неї, а не з оригіналу.
Навіть інструмент repair-bde — не шлях в обхід шифрування. Він уміє рятувати дані з пошкодженого тому, але все одно потребує дійсних даних відновлення або заздалегідь збереженого key package. Без цього він не зробить нічого.
Microsoft сам зазначає, що його підтримка не вміє ні отримати, ні заново створити втрачений recovery key. Без дійсного ключа дані на правильно зашифрованому диску недоступні — це не прогалина в підтримці, це весь сенс BitLocker. Це підтверджує безпосередньо підтримка Microsoft.
Скільки це коштує і за що ви платите
Ціна залежить від того, чи сервіс лише перевіряє облікові записи й конфігурацію, копіює дані з розблокованого диска, чи водночас має справу з несправним SSD або HDD. Перевірка стану й облікових записів починається орієнтовно від 590 Kč; відновлення даних з диска, який до того ж технічно пошкоджений, — це інша дисципліна з іншою ціною, докладніше в статті про відновлення даних у Брні. Без огляду конкретного пристрою називати тверду суму було б нечесно.
Перш ніж кудись віддавати комп’ютер, запитайте:
- чи діагностика оплачується й тоді, коли ключ не знайдеться,
- чи отримаєте ви результат перевірки раніше, ніж почнеться наступна платна робота,
- чи збереже сервіс початковий диск без змін,
- скільки даних треба скопіювати після розблокування й куди,
- чи ціна відновлення вказана орієнтовно і що може її підвищити.
Технік, який знає, що робить, одразу вам скаже, що справний BitLocker-диск без ключа не відкриє. Пропозиція гарантованого розблокування без recovery key — тривожний сигнал: або вони не знають, про що говорять, або розраховують виставити вам рахунок за невдачу.
Коли це вже не ремонт, а рішення
Коли відповідного ключа не існує, початковий пристрій диск не розблоковує, а даних немає в резервній копії, подальші спроби нікуди не ведуть. Лишаються дві можливості:
- відкласти диск без змін на випадок, якщо ключ колись знайдеться — старий ноутбук, нотатки попереднього техніка, папірець у шухляді,
- списати дані, стерти диск і встановити Windows начисто.
Чиста інсталяція поверне комп’ютер до роботи, але зашифрованих файлів не врятує. Перш ніж її запускати, перегляньте ще раз хмарні сховища, NAS, бухгалтерські експорти, поштові вкладення й резервні копії інших комп’ютерів. У фірмі істотна частина документів зазвичай доступна й деінде, навіть якщо локальний профіль лишився заблокованим.
Щоб це не повторилося
Recovery key має бути поза зашифрованим комп’ютером — роздрукований, в іншому обліковому записі, у сейфі. Ключ, збережений лише на диску, який він розблоковує, — це жарт, з якого ніхто не сміється.
У фірмі налаштуйте централізоване зберігання ключів в Entra ID, Intune або Active Directory і, головне, перевірте на новому пристрої, що ключ справді записався. Налаштована політика й записаний ключ — не одне й те саме; різницю між ними ви дізнаєтеся або перевіркою, або тоді, коли вже пізно.
До кожного ключа ведіть назву пристрою, серійний номер, користувача й дату останньої перевірки. І не надсилайте ключ у звичайний чат і не лишайте його роздрукованим поруч із ноутбуком — це дані, які розблоковують диск. Шифрування настільки надійне, наскільки надійне місце, куди ви поклали ключ від нього. Ширший контекст, чому BitLocker на багатьох комп’ютерах увімкнувся сам, розбираємо в статті BitLocker увімкнувся сам.