สรุปคำตอบสั้น ๆ
จอฟ้าขอ BitLocker Recovery Key แปลว่า Windows ตรวจพบการเปลี่ยนแปลงตอนบูต เช่น อัปเดต BIOS/Firmware, เปลี่ยนค่า Secure Boot หรือลำดับบูต, เสียบอุปกรณ์บูตอื่น หรือเปลี่ยนเมนบอร์ด/SSD จึงล็อกดิสก์ไว้เพื่อความปลอดภัย วิธีแก้คือ จด 8 ตัวแรกของ Key ID บนหน้าจอ แล้วหา Key 48 หลักที่ตรงกันจาก Microsoft Account (เครื่องส่วนตัว), Microsoft Entra ID/Intune หรือ Active Directory (เครื่ององค์กร) ห้ามลงวินโดว์ใหม่ก่อนหา Key เพราะข้อมูลจะหายถาวร และ Microsoft ไม่สามารถกู้ Key ให้ได้
สารบัญ
ทำไม Windows ถึงขึ้นจอฟ้าขอ BitLocker Recovery Key?
เพราะ BitLocker ตรวจพบว่า “สภาพแวดล้อมตอนบูต” ต่างจากเดิม จึงล็อกดิสก์ไว้จนกว่าจะพิสูจน์ได้ว่าเป็นเจ้าของเครื่องจริง ด้วย Recovery Key 48 หลัก
BitLocker คือระบบเข้ารหัสทั้งดิสก์ของ Windows ทำงานคู่กับชิป TPM บนเมนบอร์ด ทุกครั้งที่เปิดเครื่อง TPM จะตรวจว่า Firmware, ค่า BIOS และไฟล์บูตยังเหมือนเดิมหรือไม่ ถ้าตรงก็ปลดล็อกให้อัตโนมัติจนผู้ใช้ไม่รู้ตัว แต่ถ้ามีอะไรเปลี่ยน ระบบจะถือว่าอาจมีคนพยายามเข้าถึงข้อมูล จึงขอ Recovery Key แทน (Microsoft Learn)
| สาเหตุที่พบบ่อย | ตัวอย่างจากหน้างาน | ป้องกันยังไง |
|---|---|---|
| อัปเดต BIOS / Firmware | โปรแกรมอัปเดตของ Dell, HP, Lenovo หรือ Windows Update ที่มี Firmware ติดมาด้วย | Suspend BitLocker ก่อนอัปเดตทุกครั้ง |
| เปลี่ยนค่าใน BIOS | เปิด/ปิด Secure Boot, เปลี่ยนลำดับบูต, รีเซ็ต TPM | จำกัดสิทธิ์เข้า BIOS ด้วยรหัสผ่าน |
| บูตจากอุปกรณ์อื่น | เสียบ USB / Docking ค้างไว้ตอนเปิดเครื่อง หรือบูตผ่าน Network (PXE) | ถอดอุปกรณ์ที่ไม่จำเป็นก่อนเปิดเครื่อง |
| เปลี่ยนฮาร์ดแวร์ | เปลี่ยนเมนบอร์ด หรือย้าย SSD ไปใส่เครื่องอื่น | สำรอง Key และ Suspend ก่อนส่งซ่อม |
| ใส่ PIN / รหัสผิดหลายครั้ง | องค์กรตั้งนโยบายล็อกเครื่องเมื่อใส่รหัสผิดเกินกำหนด | ทบทวนนโยบาย Lockout ให้เหมาะสม |
BitLocker Recovery Key เก็บอยู่ที่ไหน?
ขึ้นกับว่าเครื่องถูกตั้งค่าด้วยบัญชีแบบไหน — บัญชี Microsoft ส่วนตัว, บัญชีองค์กร Microsoft 365 (Entra ID) หรือ Active Directory ของบริษัท
ตอนเปิด BitLocker ครั้งแรก Windows มักสำรอง Key ไว้ให้อัตโนมัติ ปัญหาคือผู้ใช้ส่วนใหญ่ไม่รู้ว่าถูกเก็บไว้ที่ไหน ดูจากตารางนี้ได้เลย
| เครื่องตั้งค่าด้วย | Key เก็บที่ | วิธีเปิดดู | ใครดูได้ |
|---|---|---|---|
| บัญชี Microsoft ส่วนตัว @outlook.com, @hotmail.com | Microsoft Account | aka.ms/myrecoverykey | เจ้าของบัญชีที่ใช้ตั้งเครื่อง |
| บัญชีองค์กร Microsoft 365 Entra joined | Microsoft Entra ID (+ Intune ถ้ามี) | aka.ms/aadrecoverykey → Devices → View BitLocker Keys | ผู้ใช้เอง (ถ้าองค์กรอนุญาต) หรือ IT Admin |
| Join Domain บริษัท Active Directory | Computer object ใน AD DS | ADUC → Properties → แท็บ BitLocker Recovery | Domain Admin หรือผู้ที่ได้รับสิทธิ์ |
| สำรองเอง | ไฟล์ .txt, USB หรือกระดาษที่พิมพ์ไว้ | เปิดจากเครื่องอื่น | ผู้ที่เก็บไฟล์ไว้ |
6 ขั้นตอนหา BitLocker Recovery Key และเข้าเครื่องให้ได้
จด Key ID ก่อน ลองย้อนการเปลี่ยนแปลงล่าสุด แล้วหา Key ตามประเภทเครื่อง ใช้มือถือหรือคอมเครื่องอื่นค้นได้เลย
-
จด Key ID และชื่อเครื่อง
ถ่ายรูปหน้าจอฟ้าไว้ก่อน แล้วจด 8 ตัวแรกของ Recovery key ID ที่แสดงบนหน้าจอ เพราะบัญชีเดียวอาจมีหลาย Key ต้องใช้ Key ID นี้จับคู่ให้ถูก ถ้าเป็นเครื่องบริษัทให้จด ชื่อเครื่อง (มักติดสติกเกอร์ไว้ใต้เครื่อง) ด้วย เพื่อให้ IT ค้นได้เร็ว
ห้าม กดรีเซ็ตเครื่องหรือลงวินโดว์ใหม่ในขั้นนี้
-
ย้อนการเปลี่ยนแปลงล่าสุด
บางกรณีไม่ต้องใช้ Key เลย ถ้าย้อนสิ่งที่ทำให้เกิดได้
- ถอด USB, Docking Station หรือฮาร์ดดิสก์ภายนอกที่เสียบค้างไว้ แล้วรีสตาร์ต
- ถ้าเพิ่งเข้า BIOS ไปเปลี่ยน Secure Boot หรือลำดับบูต ให้เปลี่ยนกลับเป็นค่าเดิม
ถ้ายังขอ Key อยู่ ไปขั้นที่ 3–5 ตามประเภทเครื่อง
-
เครื่องส่วนตัว: หาใน Microsoft Account
ใช้มือถือหรือคอมเครื่องอื่นเข้า aka.ms/myrecoverykey แล้วล็อกอินด้วย บัญชี Microsoft ที่ใช้ตั้งเครื่องครั้งแรก เลือก Key ที่ Key ID ตรงกับหน้าจอ ถ้าไม่เจอให้ลองบัญชีของคนที่ตั้งเครื่องให้ เช่น ร้านที่ขายหรือคนในครอบครัว
-
เครื่ององค์กร: หาใน Microsoft Entra ID / Intune
ถ้าเครื่องล็อกอินด้วยบัญชีบริษัท (Microsoft 365) ผู้ใช้เข้า aka.ms/aadrecoverykey → Devices → เลือกเครื่อง → View BitLocker Keys
ถ้าองค์กรปิดสิทธิ์ส่วนนี้ ให้ IT Admin ค้นจาก Microsoft Entra admin center (หน้ารายละเอียดของเครื่อง) หรือหน้า Recovery keys ของเครื่องใน Intune admin center ตาม ขั้นตอนของ Microsoft
-
เครื่องที่ Join Domain: หาใน Active Directory
สำหรับบริษัทที่มี Windows Server เป็น Domain Controller ผู้ดูแลระบบทำได้ 2 วิธี (ต้องติดตั้ง BitLocker Recovery Password Viewer ใน RSAT)
- เปิด Active Directory Users and Computers → คลิกขวาที่ Computer object → Properties → แท็บ BitLocker Recovery
- หรือคลิกขวาที่ Domain → Find BitLocker Recovery Password → ใส่ Key ID 8 ตัวแรก → Search
-
ใส่ Key แล้วหาต้นเหตุ
พิมพ์ Key 48 หลักบนหน้าจอฟ้า (ไม่ต้องพิมพ์ขีด ระบบจะใส่ให้) เมื่อเข้า Windows ได้แล้ว อย่าเพิ่งจบงาน ให้เปิด Command Prompt แบบ Run as administrator แล้วตรวจ
manage-bde -status C: :: ดูสถานะการเข้ารหัสและ Protection manage-bde -protectors -get C: :: ดู Key ID และ Recovery Password ปัจจุบันจากนั้นดู Event Viewer (Applications and Services Logs → Microsoft → Windows → BitLocker-API) และประวัติ Windows Update ว่าเกิดจากการอัปเดต หรือมีคนแก้ไขเครื่อง นอกเวลาทำงาน สุดท้ายสำรอง Key ไว้ในระบบกลางให้เรียบร้อย
สิ่งที่ทีม Hinet เรียนรู้จากเคส BitLocker ของลูกค้า
เดือนตุลาคม 2026 ทีม Hinet เจอเคสเครื่องผู้ใช้เปิดแล้วขึ้นจอฟ้าขอ Recovery Key 48 หลัก ทีมเริ่มจากค้น Key ที่ Key ID ตรงกับหน้าจอ แต่ก่อนส่ง Key ให้ผู้ใช้ เราตรวจเพิ่มอีกข้อเสมอ คือ มีการอัปเดตหรือมีใครแก้ไขเครื่องนอกเวลาทำงานหรือไม่
เหตุผลคือจอฟ้า BitLocker ไม่ได้เป็นแค่ “ปัญหาเข้าเครื่องไม่ได้” แต่เป็น สัญญาณด้านความปลอดภัย ด้วย ถ้าสาเหตุคือ BIOS Update ตามรอบก็จบแค่ใส่ Key แต่ถ้าไม่มีใครอธิบายได้ว่าทำไมการบูตเปลี่ยน อาจมีคนพยายามบูตเครื่องจาก USB เพื่อเข้าถึงข้อมูล ซึ่งต้องตรวจต่อ
มุมมองของเรา: BitLocker ไม่ใช่ศัตรู การไม่รู้ว่า Key อยู่ไหนต่างหากที่เป็นความเสี่ยง เครื่อง Windows 11 รุ่นใหม่จำนวนมากเปิด BitLocker ไว้โดยผู้ใช้ไม่รู้ตัว วันที่เครื่องล็อกคือวันที่ต้องรีบหา Key ฉะนั้นควรเก็บ Key ทุกเครื่องไว้ที่ระบบกลางตั้งแต่วันแรกที่แจกเครื่องให้พนักงาน
ป้องกันไม่ให้ขึ้นจอฟ้าขอ Recovery Key ซ้ำต้องทำอะไร?
เก็บ Key ทุกเครื่องไว้ในระบบกลาง และ Suspend BitLocker ก่อนอัปเดต BIOS หรือส่งเครื่องซ่อมทุกครั้ง
- เก็บ Key ทุกเครื่องไว้ในระบบกลาง — เครื่องที่ใช้ Microsoft 365 ให้ Join Entra ID / ตั้ง Intune Policy บังคับสำรอง Key ส่วนเครื่องที่ Join Domain ให้ตั้ง Group Policy เก็บ Key ลง AD
- Suspend ก่อนอัปเดต BIOS / Firmware ผ่าน Control Panel → BitLocker Drive Encryption → Suspend protection หรือคำสั่ง (Run as administrator):
ข้อมูลยังถูกเข้ารหัสอยู่ และระบบกลับมาป้องกันเองหลังรีสตาร์ตครบmanage-bde -protectors -disable C: -RebootCount 1 - ตรวจเครื่องที่ไม่มี Key ในระบบ — รัน
manage-bde -protectors -get C:ขณะเครื่องยังใช้งานได้ แล้วสำรองตาม วิธีของ Microsoft - ตั้งรหัสผ่าน BIOS เพื่อไม่ให้ผู้ใช้เปลี่ยน Secure Boot หรือลำดับบูตเอง
- เพิ่มขั้นตอนใน Checklist พนักงานเข้า-ออก ทุกเครื่องที่แจกต้องมี Key ในระบบ และทุกเครื่องที่รับคืนต้องเข้าได้ก่อนลบบัญชีผู้ใช้
เมื่อไหร่ควรให้ผู้เชี่ยวชาญช่วยแก้?
ถ้าค้นครบทุกที่แล้วยังไม่เจอ Key, เครื่องขอ Key ซ้ำหลังใส่แล้ว หรือหาต้นเหตุไม่ได้ ควรให้ผู้ดูแลระบบตรวจก่อนตัดสินใจรีเซ็ต
การรีเซ็ตเครื่องคือการยอมเสียข้อมูลถาวร ควรเป็นทางเลือกสุดท้ายหลังตรวจระบบกลางทุกจุดแล้ว ทีม Hinet ดูแลเครื่องลูกค้าผ่าน IT Support Outsource และวางระบบ Microsoft 365 Business ให้เก็บ Key ทุกเครื่องแบบรวมศูนย์ ถ้าต้องให้ช่างรีโมทเข้าไปช่วยหลังเข้าเครื่องได้ ดู วิธีติดตั้ง AnyDesk บน Windows หรือ แจ้งอาการให้ทีมช่างที่ฟอร์มด้านล่าง
คำถามที่พบบ่อยเรื่อง BitLocker Recovery Key
ไม่เคยเปิด BitLocker เลย ทำไมเครื่องถึงขอ Recovery Key?
Windows 10/11 หลายรุ่นเปิด Device Encryption (ซึ่งใช้ BitLocker) ให้อัตโนมัติเมื่อตั้งเครื่องด้วยบัญชี Microsoft หรือบัญชีองค์กร โดยเฉพาะ Windows 11 ตั้งแต่เวอร์ชัน 24H2 ผู้ใช้จึงอาจไม่รู้ตัวว่าดิสก์ถูกเข้ารหัสอยู่ ในกรณีนี้ Key มักถูกสำรองไว้ในบัญชีที่ใช้ตั้งเครื่องครั้งแรก
Microsoft หรือร้านซ่อมคอมช่วยกู้ BitLocker Recovery Key ให้ได้ไหม?
ไม่ได้ Microsoft ระบุชัดว่าฝ่าย Support ไม่สามารถดึง สร้างใหม่ หรือกู้ Key ที่หายได้ และร้านซ่อมก็ไม่มีทางถอดรหัสโดยไม่มี Key ถ้าหาไม่เจอจริงทางเลือกเดียวคือรีเซ็ตหรือลงวินโดว์ใหม่ ซึ่งข้อมูลในเครื่องจะหายทั้งหมด
ใน Microsoft Account มี Recovery Key หลายอัน ต้องใช้อันไหน?
ให้ดู Key ID บนหน้าจอฟ้า แล้วเลือก Key ที่ 8 ตัวแรกของ Key ID ตรงกัน เพราะบัญชีเดียวอาจผูกหลายเครื่อง หรือเครื่องเดียวอาจมีหลาย Key จากการเปิดปิด BitLocker หลายรอบ
ใส่ Key แล้วเข้าเครื่องได้ รีสตาร์ตครั้งถัดไปจะขอ Key อีกไหม?
โดยปกติไม่ขอ เพราะหลังใส่ Recovery Key ระบบจะจดค่าการบูตปัจจุบันใหม่ แต่ถ้าต้นเหตุยังอยู่ เช่น ยังเสียบอุปกรณ์บูตค้างไว้ หรือ TPM มีปัญหา จะขอซ้ำ จึงควรหาต้นเหตุให้เจอทุกครั้ง
จะอัปเดต BIOS โดยไม่ให้ขึ้นจอฟ้าขอ Key ต้องทำยังไง?
ให้ Suspend BitLocker ก่อนอัปเดต ผ่าน Control Panel > BitLocker Drive Encryption > Suspend protection หรือคำสั่ง manage-bde -protectors -disable C: -RebootCount 1 ข้อมูลยังถูกเข้ารหัสอยู่ และระบบจะกลับมาป้องกันเองหลังรีสตาร์ตครบจำนวนที่กำหนด
ควรปิด BitLocker ไปเลยจะได้ไม่มีปัญหาไหม?
ไม่แนะนำ โดยเฉพาะโน้ตบุ๊ก เพราะ BitLocker ป้องกันไม่ให้คนที่ขโมยหรือเก็บเครื่องได้อ่านข้อมูลบริษัท ซึ่งเกี่ยวข้องกับหน้าที่ดูแลข้อมูลส่วนบุคคลตาม PDPA ด้วย ทางที่ถูกคือเก็บ Recovery Key ไว้ในระบบกลางขององค์กรให้ครบทุกเครื่อง
แหล่งอ้างอิง
- Microsoft Support — Find your BitLocker recovery key
- Microsoft Learn — BitLocker recovery overview
- Microsoft Learn — BitLocker recovery process
- Microsoft Support — Back up your BitLocker recovery key
บทความที่เกี่ยวข้อง
ตรวจทานความถูกต้องทางเทคนิคโดยทีมวิศวกรระบบ Hinet Computer System · อัปเดตล่าสุด 29 ต.ค. 2026