Comment fonctionne la récupération de données, et où vont les fichiers supprimés

Ce qui se passe pendant une analyse

1. Cesser d’écrire sur le disque

   Chaque nouveau fichier, téléchargement ou mise à jour peut occuper l’espace d’un fichier supprimé. La récupération ne fonctionne que sur des données non remplacées : cette étape compte plus que tout réglage.

2. Choisir le lecteur

   Dans Récupération de fichiers supprimés, sélectionnez le lecteur, la carte mémoire ou l’image disque. L’analyse se contente de lire, la source n’est donc pas modifiée.

3. Passe du système de fichiers

   L’outil lit d’abord la comptabilité du système de fichiers, comme la table de fichiers maître de NTFS ou les entrées de répertoire FAT, à la recherche d’entrées marquées comme supprimées. Elles conservent nom, dossier, taille et emplacement des données, d’où des fichiers qui reviennent comme les originaux.

4. Recherche par signatures

   Il lit ensuite le disque secteur par secteur à la recherche d’en-têtes connus, comme les octets qui ouvrent un JPEG, un PDF ou un MP4. Cela retrouve des fichiers dont les enregistrements ont été effacés, par exemple après un formatage, mais nom et dossier ne figurent pas dans les données, d’où des noms génériques.

5. Validation

   Un validateur indépendant tente d’analyser chaque candidat. FileFix Ultimate indique un résultat vérifié, partiellement récupéré ou extrait non vérifié, avec une confiance élevée, moyenne ou faible.

6. Enregistrer sur un autre disque

   Les copies récupérées sont écrites sur un autre disque physique. Les écrire sur la source pourrait écraser d’autres fichiers encore à retrouver.

Où va un fichier supprimé

Un système de fichiers est un index. Pour chaque fichier, il garde le nom, le dossier, la taille, les dates et la liste des zones du disque qui contiennent les données. Supprimer, y compris vider la Corbeille ou utiliser Maj+Suppr, marque d’ordinaire cet enregistrement comme inutilisé et ces zones comme libres. Écrire des zéros sur des gigaoctets serait lent, Windows ne le fait donc pas.

Tant que ces zones ne sont pas réutilisées, les octets sont physiquement là. Sur un grand disque dur presque vide, cela peut durer des semaines. Sur un disque système presque plein qui écrit sans cesse fichiers temporaires, mises à jour et cache du navigateur, ce peut être quelques minutes. Les chances diminuent donc avec le temps plutôt qu’à un instant précis.

Enregistrements du système de fichiers ou recherche par signatures

La récupération par enregistrements est la méthode précise. Si l’entrée supprimée subsiste, elle indique exactement quels clusters appartiennent au fichier et dans quel ordre ; même un fichier fragmenté peut être reconstitué, avec son nom et son dossier. Sur FAT32 et exFAT, la chaîne qui relie les clusters est souvent effacée à la suppression, il faut donc deviner l’ordre ; FileFix Ultimate teste plusieurs dispositions sur le contenu et retient celle qui se valide.

La recherche par signatures, ou carving, ignore le système de fichiers et lit les secteurs bruts. Elle reconnaît un fichier à son en-tête et, si le format le permet, à sa structure interne ou à sa fin. Elle fonctionne après un formatage rapide ou sur un lecteur RAW dont l’index est illisible. Sa faiblesse : noms, dossiers et dates vivent dans l’index, pas dans le fichier, et un fichier dispersé en morceaux peut revenir incomplet. Photos et vidéos portent souvent leur date en interne, ce qui aide au tri.

Pourquoi certains fichiers ne reviennent pas

L’écrasement est définitif. Quand de nouvelles données occupent les mêmes secteurs, les anciens octets sont remplacés et aucun logiciel ne peut lire ce qui n’existe plus. Un fichier partiellement écrasé peut parfois être sauvé en partie, par exemple le haut lisible d’une photo.

Les SSD se comportent autrement que les disques durs. Avec TRIM, Windows signale au SSD les blocs libres, et le disque peut les effacer en arrière-plan peu après la suppression. Leur lecture renvoie alors des zéros. Un formatage complet écrit sur tout le volume, et un dommage physique comme un atterrissage des têtes empêche toute lecture. Ces cas sont détaillés dans les guides sur le TRIM des SSD, les fichiers écrasés et les secteurs défectueux.

Ce que la récupération ne peut pas faire

• Elle ne peut pas rendre des données écrasées par de nouveaux fichiers.
• Elle ne peut généralement pas lire les blocs qu’un SSD a déjà effacés après TRIM.
• Les fichiers trouvés uniquement par signatures ne retrouvent ni leur nom ni leur dossier.
• Un volume chiffré exige la clé ou le mot de passe avant toute lecture.
• Un disque endommagé mécaniquement doit aller en laboratoire plutôt qu’être analysé.

Comment FileFix Ultimate applique ces méthodes

• Lit NTFS, FAT32, exFAT, ext2/3/4, HFS+ et les disques optiques pour rendre noms et dossiers quand les enregistrements subsistent.
• Recherche par signatures de 68 types de fichiers, du JPEG et des RAW d’appareil photo à Office, HWP, PST et la vidéo.
• Validation indépendante de chaque résultat, avec des étiquettes honnêtes et un niveau de confiance.
• Analyse en lecture seule, enregistrement uniquement sur un autre disque.
• Gratuit pour un usage personnel, sans limite de récupération, entièrement hors ligne.

Questions fréquentes