Si gestionas equipos Windows en una empresa, BitLocker suele ser la opción por defecto: viene integrado, se administra de forma centralizada y guarda las claves de recuperación donde TI puede encontrarlas. VeraCrypt es la mejor opción cuando necesitas código abierto verificable, contenedores portátiles, volúmenes ocultos o cifrado en ediciones de Windows sin BitLocker. Y hay un tercer factor que casi nadie compara: qué pasa con esos discos cifrados el día que retiras el equipo.
TL;DR
- BitLocker encaja mejor en flotas de equipos: TPM, PIN de prearranque y custodia de claves en Active Directory o Entra ID.
- VeraCrypt es gratuito y de código abierto, funciona en Windows, macOS y Linux, pero no tiene ninguna vía de recuperación: si pierdes la contraseña o la cabecera del volumen, los datos se pierden.
- Ninguno sustituye a una copia de seguridad verificada: el cifrado protege frente a pérdida o robo, no frente a ransomware ni fallos de hardware.
- Al retirar equipos, destruir las claves (borrado criptográfico) puede ser válido según NIST SP 800-88, pero solo si queda documentado con un certificado de sanitización.
Tabla de contenidos
- Qué hace cada herramienta
- Comparativa rápida para equipos de TI
- Gestión de claves y recuperación: donde se decide la elección
- Seguridad real: lo que cada modelo protege y lo que no
- Rendimiento y despliegue
- BitLocker vs FileVault: si tienes Mac en la flota
- No es una decisión binaria
- Perspectiva de Recycle for Life: el cifrado es la mitad de la historia
- Qué pasa con los discos cifrados al retirar equipos
- Una copia de seguridad sigue siendo imprescindible
- Cómo decidir: criterios según tu caso
- Retirar equipos cifrados con garantías
- Preguntas frecuentes
- Fuentes
Qué hace cada herramienta
BitLocker es la función de cifrado de volúmenes completos de Windows. Según la documentación de Microsoft, está pensada para frenar el robo o la exposición de datos en dispositivos perdidos, robados o retirados de forma inadecuada. Además del cifrado, en equipos con un TPM compatible valida la integridad de los componentes de arranque), de modo que el sistema no arranca si alguien ha manipulado el cargador.
VeraCrypt es un proyecto gratuito y de código abierto que cifra particiones, discos completos o contenedores en forma de archivo. Permite cifrar la partición del sistema o la unidad entera donde está Windows, y ofrece funciones que BitLocker no tiene, como volúmenes ocultos y cifrado en cascada. Según una guía comparativa, la versión 1.26.29, de junio de 2026, incorporó Argon2id como función de derivación de claves para volúmenes que no son del sistema.
La diferencia de fondo no es el algoritmo, que en ambos casos es sólido. Es el modelo de confianza: BitLocker confía en Microsoft y en el hardware de tu equipo; VeraCrypt confía en ti y en una contraseña que nadie más puede recuperar.
Comparativa rápida para equipos de TI
| Criterio | BitLocker | VeraCrypt |
|---|---|---|
| Coste | Incluido en Windows compatible | Gratuito |
| Código | Propietario | Abierto, auditable |
| Ediciones de Windows | Pro, Enterprise y Education | Todas, incluida Home |
| Plataformas | Windows | Windows, macOS y Linux |
| Gestión de claves | Centralizada (AD DS, Entra ID) | Manual, por usuario |
| Recuperación | Clave de recuperación custodiada | Sin recuperación: disco de rescate y copia de cabecera |
| Integración con TPM | Sí, con PIN de prearranque opcional | No usa TPM de la misma forma |
| Funciones avanzadas | Pocas | Volúmenes ocultos, cascada, contenedores |
| Despliegue masivo | Pensado para ello | Difícil de escalar |
La fila de ediciones merece una aclaración. La documentación de Microsoft limita BitLocker a Pro, Enterprise y Education. En equipos con Windows Home puede existir el cifrado de dispositivo, según las guías de referencia, pero con menos control administrativo. Comprueba la edición exacta antes de planificar.
Gestión de claves y recuperación: donde se decide la elección
En una empresa, el cifrado falla casi siempre por una razón humana: alguien olvida una contraseña o un portátil de un empleado que se fue no se puede abrir. Aquí las dos herramientas son opuestas.
BitLocker: claves bajo control de TI
BitLocker permite depositar la clave de recuperación en Active Directory o Entra ID, de modo que el departamento de TI pueda desbloquear un equipo sin depender del usuario. Es la ventaja más práctica en entornos con decenas o cientos de portátiles. Eso sí, solo funciona si has verificado que la clave está de verdad custodiada: las guías de referencia recomiendan comprobar el estado de protección y recuperar el material de recuperación antes de cambios de ciclo de vida del equipo.
VeraCrypt: libertad con responsabilidad total
VeraCrypt no almacena ni custodia claves. Si pierdes la contraseña o se daña la cabecera del volumen, el contenido normalmente se pierde para siempre: por eso cada volumen, salvo las particiones del sistema, incluye una cabecera de respaldo incrustada. Para el cifrado del sistema, el programa exige crear un disco de rescate que permite reparar el cargador de arranque, aunque sigues necesitando la contraseña correcta. Además, conviene destruir y recrear ese disco cada vez que cambias la contraseña del sistema, para que un atacante con un disco antiguo y una contraseña antigua capturada no pueda saltarse la protección.
Para un usuario avanzado individual, esto es asumible. Para un departamento de TI que atiende a cientos de empleados, es una carga operativa difícil de justificar.
Seguridad real: lo que cada modelo protege y lo que no
Ambas herramientas protegen datos en reposo: un equipo apagado, perdido o robado. Ninguna protege contra un equipo encendido y desbloqueado con malware activo.
La memoria es un punto delicado. VeraCrypt aclara en su documentación que cifra discos, no la RAM, y que la mayoría de los programas no limpian los búferes donde guardan datos sin cifrar. Mientras un volumen está montado, las claves residen en memoria y son atacables por técnicas de arranque en frío o extracción de memoria, salvo que actives mitigaciones como el cifrado de RAM, con su coste de rendimiento. Tampoco puede garantizar el borrado de claves de la memoria durante la hibernación o un fallo del sistema.
BitLocker con TPM y PIN de prearranque reduce ese riesgo en el arranque, porque la clave no se libera sin validar el estado del equipo y la identidad del usuario. No es infalible, pero para un portátil corporativo que viaja es una configuración razonable.
Sobre la pregunta frecuente de si VeraCrypt es más seguro: el código abierto permite auditoría independiente, y eso es un argumento real. Pero la seguridad práctica depende más de cómo se configura y se gestiona que del algoritmo. Un BitLocker bien desplegado con TPM y PIN protege mejor a una organización que un VeraCrypt con contraseñas débiles apuntadas en un post-it.
Rendimiento y despliegue
BitLocker aprovecha la aceleración por hardware y se despliega de forma escalable mediante directivas, por lo que el impacto en el uso diario suele ser bajo. Con VeraCrypt, algunos usuarios reportan caídas de velocidad de escritura en discos concretos, como en este hilo de un foro que muestra que los resultados varían mucho según el equipo, así que prueba en tu hardware antes de decidir. En cualquier caso, un despliegue masivo con VeraCrypt exige instalar el programa, formar a cada usuario y gestionar contraseñas una por una.
BitLocker vs FileVault: si tienes Mac en la flota
Si mezclas Windows y macOS, la comparación relevante pasa a ser BitLocker y FileVault. Las guías recomiendan FileVault para proteger el volumen de arranque de los Mac y BitLocker o el cifrado de dispositivo en Windows. Es decir, cada sistema con su herramienta nativa y una política común de custodia de claves. Algunas universidades estadounidenses exigen ya cifrado de disco completo con ambas herramientas cuando se almacenan datos confidenciales. VeraCrypt queda para casos concretos: contenedores que viajan entre sistemas operativos o datos que requieren volúmenes ocultos.
No es una decisión binaria
Los analistas que llevan años comparando ambas herramientas coinciden en que no hace falta elegir una sola. Una combinación habitual: BitLocker para el cifrado de disco completo en todos los equipos corporativos, y VeraCrypt para contenedores aislados con información especialmente sensible, o para el intercambio de datos entre plataformas.
Perspectiva de Recycle for Life: el cifrado es la mitad de la historia
Desde nuestra posición, que es la de recoger y reciclar equipos de empresas, vemos el cifrado desde el final del ciclo de vida. Muchas organizaciones invierten tiempo en elegir entre BitLocker y VeraCrypt y ninguno en responder una pregunta posterior: ¿qué hacemos con estos discos cuando el portátil se jubile?
Nuestra recomendación es práctica. Elige la herramienta que tu equipo pueda gestionar de forma fiable durante años, que en la mayoría de empresas Windows es BitLocker. Verifica que las claves de recuperación existen y se pueden recuperar. Y decide desde el principio la política de retirada: si basta con el borrado criptográfico documentado o si determinados activos requieren destrucción física. Ahí es donde un proceso transparente, adaptado a cada cliente y con certificado, marca la diferencia. Nosotros ofrecemos destrucción de datos in situ sin coste para volúmenes grandes, certificación de cumplimiento EPA y recogida gratuita para empresas.
Lo que no recomendamos es improvisar: un disco cifrado con una clave olvidada en un cajón no es un disco seguro, es un disco sin inventariar.
— Keith
Qué pasa con los discos cifrados al retirar equipos
El cifrado también ayuda al final de la vida útil. Con BitLocker se puede aplicar el llamado crypto-shredding: destruir todas las copias de las claves de cifrado), incluidas las de AD DS u otros archivos centrales, deja los datos inaccesibles de forma permanente y el disco físico intacto para reutilizarlo o revenderlo. Es una alternativa más barata y rápida que triturar o sobrescribir.
La guía de referencia en Estados Unidos es NIST SP 800-88 Rev. 1. Según un análisis académico reciente, reconoce el borrado criptográfico como método válido de sanitización, y destruir las claves de un volumen BitLocker o VeraCrypt puede cumplir en muchos entornos regulados, como los sujetos a HIPAA, siempre que el proceso quede documentado con un certificado de sanitización.
Hay matices que conviene respetar:
- El cifrado debía estar activo desde el primer día. Si el disco se usó sin cifrar durante meses, destruir claves ahora no sirve de nada.
- Hay que localizar todas las copias de la clave. En BitLocker, eso incluye Active Directory, Entra ID, cuentas de usuario, impresiones y archivos exportados. En VeraCrypt, discos de rescate y copias de cabecera.
- Debe quedar constancia. Sin certificado, para un auditor el borrado no existió.
- Algunos datos exigen destrucción física. Si tu política interna o un contrato lo pide, el borrado criptográfico no basta.
Para profundizar en errores frecuentes, consulta nuestra guía sobre los errores al eliminar datos electrónicos y la lista de mejores prácticas de destrucción física.
Una copia de seguridad sigue siendo imprescindible
El cifrado protege frente a lo que ocurre si alguien se lleva el equipo. No protege frente a un borrado accidental, un ransomware o un disco que falla. Antes de cualquier retirada de hardware o cambio de ciclo de vida, prueba el flujo de recuperación: que la clave de BitLocker está en Entra ID, o que el disco de rescate de VeraCrypt corresponde a la contraseña actual. Después, comprueba que la copia de seguridad se restaura de verdad.
Cómo decidir: criterios según tu caso
- Flota de portátiles Windows Pro o Enterprise: BitLocker, con TPM, PIN de prearranque y custodia de claves en el directorio.
- Equipos con Windows Home que no puedes actualizar: VeraCrypt, o el cifrado de dispositivo si el equipo lo admite, con un procedimiento claro de gestión de contraseñas.
- Datos que viajan entre Windows, macOS y Linux: contenedores de VeraCrypt.
- Necesidad de verificar el código por política interna: VeraCrypt.
- Entornos con auditoría y cumplimiento: BitLocker, por la trazabilidad de claves, más un proceso certificado de retirada.
- Mezcla de Windows y Mac: BitLocker y FileVault con política común.
Retirar equipos cifrados con garantías
Cuando llegue el momento, nuestro servicio de destrucción de datos en discos duros cubre la parte que el cifrado no resuelve: certificado, trazabilidad y, si hace falta, destrucción física de equipos. Si prefieres que los activos aún útiles generen valor, la recuperación de activos de TI ofrece pago inmediato por componentes recuperables. Para equipos completos, consulta el servicio de reciclaje de computadoras, con recogida gratuita para empresas. Puedes empezar desde nuestra página principal pidiendo un presupuesto sin compromiso. Si te interesa el enfoque in situ, lee nuestra guía de destrucción de datos in situ.
Preguntas frecuentes
¿Es VeraCrypt más seguro que BitLocker?
No necesariamente. VeraCrypt ofrece código abierto, volúmenes ocultos y cifrado en cascada, lo que lo hace atractivo para necesidades de privacidad avanzadas. BitLocker, bien configurado con TPM y PIN, ofrece una seguridad muy sólida con gestión centralizada. En la práctica, la configuración y la custodia de claves pesan más que la herramienta.
¿Cuáles son las desventajas de BitLocker?
Es propietario, así que dependes de Microsoft para su auditoría y evolución. Está limitado a las ediciones Pro, Enterprise y Education, y solo cubre Windows. Si las claves de recuperación no se custodian bien, un fallo de hardware puede dejarte sin acceso al disco.
¿Puedo usar los dos a la vez?
Sí, y es una combinación habitual. BitLocker protege el disco completo de cada equipo corporativo, y VeraCrypt se reserva para contenedores con datos muy sensibles o que deben moverse entre sistemas operativos distintos.
¿Basta con cifrar el disco para reciclar un equipo de forma segura?
Solo si el cifrado estaba activo desde el inicio, se destruyeron todas las copias de la clave y el proceso quedó documentado con un certificado de sanitización. Si falta alguno de esos tres elementos, lo prudente es una destrucción o un borrado certificado por un proveedor especializado.
Fuentes
- BitLocker Overview, Microsoft Learn
- Keys to Protecting Data with BitLocker Drive Encryption, Microsoft Learn)
- VeraCrypt: System Encryption
- VeraCrypt: Program Menu y cabeceras de volumen
- VeraCrypt: Rescue Disk
- VeraCrypt: Unencrypted Data in RAM
- BitLocker vs VeraCrypt, CryptoExpert
- FileVault vs BitLocker, TechGeeks
- Full Disk Encryption with BitLocker and FileVault, University of Maryland IT
- Windows encryption showdown, Lifehacker Australia
- Análisis sobre NIST SP 800-88 y borrado criptográfico
- BitLocker vs VeraCrypt, r/Bitwarden