Em computadores de empresa, até agora o usuário comum, sem permissão de administrador, não conseguia criar o PIN que o BitLocker pede antes de o Windows ligar. Isso deixava o TI com duas saídas ruins: configurar o PIN máquina por máquina ou ficar só com o TPM. A Microsoft começou a testar a mudança em duas builds Insider do Windows 11 lançadas em 13 de novembro.
Sumário
O que muda no BitLocker
O BitLocker pode proteger o disco de duas formas. Na mais simples, só com o TPM, o chip de segurança do PC libera a chave sozinho na hora do boot. Na mais rígida, TPM+PIN, a pessoa precisa digitar um PIN numa tela antes de o Windows carregar. Com isso, um notebook roubado não abre o disco só porque foi ligado.
O problema era que só administradores podiam adicionar esse PIN. Segundo as notas da build 28020.3532, agora o usuário padrão de um dispositivo gerenciado também pode fazer isso. Quando a política de PIN obrigatório chega a um PC que ainda não tem PIN, o Windows mostra uma notificação. Ao clicar nela, abre uma janela para definir o PIN de pré-inicialização.
Para ligar o recurso, o administrador configura no Microsoft Intune, ou em outra ferramenta de gerenciamento, quatro políticas que já existem:
AllowStandardUserEncryption: ligada;AllowWarningForOtherDiskEncryption: desligada;RequireDeviceEncryption: ligada;SystemDrivesRequireStartupAuthentication: ligada.
Antes de aplicar, há uma armadilha. A própria Microsoft avisa que, nos PCs que ainda não têm o recurso, o usuário padrão não consegue adicionar o PIN. Nesses PCs, a criptografia falha, e os que já estão protegidos só com TPM passam a aparecer como fora da política. Por isso, nas notas do canal Experimental, a orientação é aplicar essas políticas só a um grupo de teste que já tenha o recurso.
Quando chega?
Por enquanto, só para quem participa do Windows Insider. O recurso está na build 28020.3532 do canal Beta (26H1) e na build 28120.3542 do canal Experimental (26H1), as duas de 13 de novembro de 2026. Nos dois canais, as novidades são liberadas aos poucos, primeiro para uma parte dos participantes. A Microsoft não deu data para a versão final do Windows 11. Outras novidades que estão em teste aparecem no nosso resumo dos recursos Insider de outubro.
E no Brasil?
Não há diferença por região. O recurso vale para qualquer PC gerenciado pela empresa que esteja num desses canais Insider, no Brasil também. Não há custo extra além da licença de gerenciamento que a empresa já usa, como o Intune.
Vale a pena?
Para o TI de empresas que quer exigir PIN no boot dos notebooks, sim: esse era o pedaço que faltava para não depender de dar permissão de administrador ao funcionário. Mas ainda é teste. O mais seguro agora é experimentar num grupo pequeno de máquinas Insider, seguindo o aviso da Microsoft, e só levar a regra para a frota quando o recurso chegar à versão estável.
Para quem usa o PC em casa, nada muda. Quem é administrador da própria máquina já podia criar o PIN, e a novidade depende de políticas de gerenciamento. Se o seu notebook é antigo e você ainda nem usa criptografia, vale ler os três cuidados de segurança para notebook antigo.
