Diagnostic
Comprendre ce que le système supprime
Lors d'une suppression, le système de fichiers commence souvent par libérer l'entrée qui référençait le fichier. Les blocs peuvent alors subsister jusqu'à leur réutilisation, ce qui permet parfois d'envisager la récupération de données supprimées sans jamais en garantir le résultat.
Le comportement dépend fortement de la technologie. Sur un disque dur mécanique, les anciennes zones peuvent subsister jusqu'à leur réécriture. Sur SSD ou NVMe, TRIM, la désallocation, la gestion interne de la flash et le chiffrement peuvent rendre les blocs inaccessibles sans nouvelle copie visible.
Il faut distinguer les événements qui portent tous le mot « suppression » :
- Déplacement dans une corbeille encore réversible ;
- Vidage de la corbeille ou suppression directe ;
- Effacement effectué depuis une application métier ;
- Suppression propagée par synchronisation ;
- Perte d'une clé qui rend les données chiffrées illisibles ;
- Écrasement physique par de nouveaux contenus.
Une miniature ou un nom retrouvé ne prouve pas que le fichier complet est encore présent. Inversement, une arborescence vide n'établit pas que tous les blocs ont disparu : métadonnées, contenu et emplacement logique doivent être examinés séparément.
Le formatage et ses limites concerne une modification plus large des structures du volume. Après une suppression ciblée comme après un formatage, la première mesure consiste toutefois à arrêter les écritures avant toute recherche.
Caches, indexation, mises à jour et fichiers temporaires continuent à utiliser le support même lorsque l'utilisateur ne crée rien. Le risque évolue donc surtout avec l'activité postérieure, davantage qu'avec le nombre d'heures affiché depuis l'erreur.
Diagnostic
Reconstituer l'activité après la suppression
La chronologie après l'effacement est souvent plus déterminante que le clic initial. Une machine restée allumée, un logiciel installé, des fichiers créés, un redémarrage ou une restauration produisent des écritures qui peuvent remplacer les zones libérées.
Notez les faits avant de lancer un outil. Cette fiche distingue l'état du support, les copies indépendantes et les appareils susceptibles d'avoir reçu ou propagé la suppression.
| Information | Utilité pour le diagnostic |
|---|---|
| Date et heure | Estimer la durée d'activité postérieure |
| Nom et chemin | Cibler métadonnées et versions |
| Support et système | Distinguer HDD, SSD, carte ou clé |
| Redémarrages | Identifier maintenance, TRIM ou mises à jour |
| Fichiers créés | Évaluer le risque de réécriture |
| Synchronisation | Repérer copies saines et suppressions propagées |
| Chiffrement | Conserver les accès indispensables |
Une messagerie, un catalogue photo ou un logiciel comptable ne gère pas forcément un fichier isolé. La suppression peut modifier une base, des index et des pièces jointes ; la restitution devra donc préserver la cohérence de tout l'ensemble.
Cherchez d'abord les sources indépendantes : sauvegarde déconnectée, historique de versions, destinataire, export, snapshot ou appareil qui n'a pas rejoint le réseau. Cette recherche est souvent moins risquée qu'un scan immédiat de l'original.
Gardez les équipements déconnectés tant que leur état n'est pas relevé. Un poste qui n'est plus en ligne peut renfermer une version antérieure ; sa reconnexion risquerait de propager aussitôt la suppression.
Ajoutez à la chronologie les outils déjà utilisés et leur destination. Une récupération enregistrée sur le même volume ou un logiciel installé après l'erreur modifie précisément l'état qu'il prétend analyser.
Diagnostic
Arrêter les écritures et comparer les versions
Arrêter l'usage signifie suspendre tant les écritures ordinaires que les essais de récupération sur la source. Sur un disque système, n'installez rien et ne multipliez pas les redémarrages ; sur un support externe stable, éjectez-le avant de le déconnecter.
Le choix de la mise hors tension dépend du contexte. Un ordinateur encore allumé, chiffré ou engagé dans une opération ne se traite pas comme une clé USB inactive. Notez son état, les comptes ouverts et les clés disponibles avant toute décision.
N'enregistrez jamais les fichiers retrouvés sur le support analysé. La destination doit être saine et distincte, afin qu'une copie reconstruite ne remplace pas d'autres blocs encore exploitables.
Chez Datastrophe, le processus de récupération organise la préservation dans un ordre contrôlé :
- Isoler le support ou l'appareil concerné ;
- Mettre les synchronisations en pause sans effacer leur configuration ;
- Recenser les copies autonomes et leurs différentes versions ;
- Classer les fichiers, dates et dossiers prioritaires ;
- Acquérir le support si sa stabilité le permet ;
- Analyser et restaurer uniquement sur des copies.
Une image bit à bit ne se justifie que lorsque le support demeure assez stable pour être lu sans risque excessif. Clics, erreurs croissantes ou déconnexions déplacent la priorité vers le diagnostic physique avant l'analyse de la suppression.
La salle blanche concerne uniquement certaines interventions internes sur un disque mécanique. Elle n'est ni automatique pour un fichier supprimé ni adaptée à une simple recherche logique sur un support stable.
Diagnostic
Adapter les attentes à la technologie
Sur disque dur, les secteurs non réécrits peuvent rester lisibles, mais la fragmentation réduit la probabilité de reconstruire un fichier complet. Une panne mécanique ajoute un risque indépendant : insister pour rechercher une suppression peut alors abîmer les zones encore accessibles.
Sur SSD et NVMe, TRIM, collecte interne, traduction d'adresses et chiffrement rendent l'issue plus incertaine. Le temps écoulé ne suffit pas à prévoir le résultat, car contrôleur et système peuvent traiter les blocs sans intervention visible.
Sur clé ou carte mémoire, le contrôleur gère également la NAND. Une caméra ou un enregistreur réutilise parfois très vite l'espace, tandis que certains appareils propagent une nouvelle structure au premier redémarrage.
Sur NAS et RAID, la suppression intervient au niveau du volume réparti. Corbeilles réseau, snapshots et sauvegardes doivent être examinés avant de toucher à la grappe. Une reconstruction ou une initialisation n'est pas un geste neutre.
Le résultat doit décrire ce qui est réellement exploitable :
- Nom, chemin et contenu complets ;
- Contenu complet sans ses métadonnées d'origine ;
- Fichier partiel ou corrompu ;
- Fragments sans rattachement certain ;
- Trace de fichier sans contenu récupérable ;
- Absence après écrasement ou nettoyage interne.
Ouvrez le document, parcourez la vidéo, testez l'archive et chargez la base dans une copie de son application. Une liste de noms ou un nombre de fichiers ne permet pas de distinguer une restitution complète d'un ensemble de fragments inutilisables.
Diagnostic
Prévenir les suppressions critiques
Une protection efficace combine sauvegardes versionnées, droits adaptés et restauration testée. La synchronisation seule reproduit souvent la suppression ; une copie déconnectée conserve un état antérieur que l'équipe peut comparer sans urgence.
Fixez une durée de conservation proportionnée aux activités. Documents actifs, espaces partagés, bases métier et archives ne demandent pas le même historique, mais chacun doit pouvoir revenir à une date identifiable.
Limitez les suppressions massives par des droits spécifiques, une validation supplémentaire et des zones d'archive en lecture seule. Pour les applications, documentez les exports et vérifiez leur réimportation au lieu de supposer qu'un fichier exporté suffit.
Testez régulièrement un scénario complet : retrouver une version datée, la restaurer ailleurs et la faire ouvrir par l'utilisateur concerné. Ce contrôle révèle les comptes expirés, les exclusions, les clés absentes et les sauvegardes techniquement réussies mais inutilisables.
La première personne informée applique quatre consignes : arrêter l'utilisation, consigner l'heure, avertir le responsable et chercher les copies sans remettre tout le parc en ligne. Cette retenue préserve davantage de possibilités qu'un logiciel lancé dans la précipitation.
La prévention ne rend pas toute suppression récupérable. Elle évite surtout que TRIM, synchronisation, écrasement ou manipulations désordonnées éliminent une version qui existait encore au moment de la découverte.
Diagnostic
Sources techniques primaires et limites
Périmètre documentaire — de données supprimées: Pour récupération de données supprimées, les références primaires retenues sont NIST SP 800-86. Preuve physique — de données supprimées: Elles cadrent la préservation, la structure de stockage et la validation, sans prouver l’état physique exact, le comportement du contrôleur, la disponibilité des clés ni la cohérence métier du matériel reçu. Preuve contrôleur — de données supprimées: Ces points exigent des mesures sur l’ensemble d’origine et des contrôles sur des copies.
Diagnostic
Faire établir un diagnostic contrôlé
Ensemble complet — de données supprimées: Pour le diagnostic de récupération de données supprimées, transmettez l’appareil ou le lot complet, les éléments d’alimentation et d’interface associés, l’ordre et les étiquettes, la chronologie des symptômes et la liste précise des données prioritaires. Chronologie d’incident — de données supprimées: Les accès autorisés passent par un canal protégé distinct ; ne redémarrez pas la source uniquement pour obtenir une nouvelle capture.
Responsabilité du laboratoire — de données supprimées: Datastrophe effectue directement le diagnostic, les contrôles d’intégrité et la récupération dans son propre laboratoire, avec sa propre équipe. Diagnostic gratuit — de données supprimées: Le diagnostic et le devis sont gratuits. Limite du transport — de données supprimées: Le transport privé aller-retour est compris ; le transporteur déplace uniquement le colis scellé, sans accéder aux données ni les traiter.
Liste contrôlée — de données supprimées: Avant tout paiement, le client reçoit le prix proposé et une liste contrôlée. Classes de vérification — de données supprimées: Chaque élément est classé, dans l’ordre, recoverable_verified, partial, detected_unverified ou unrecoverable. Déclenchement du paiement — de données supprimées: Seuls les éléments recoverable_verified, ouverts et jugés exploitables, sont présentés comme récupérables. Résultat non vérifié — de données supprimées: Le paiement intervient après acceptation de la liste et du prix.
Résultat non vérifié — de données supprimées: Si aucune donnée exploitable n’est vérifiée, si la récupération échoue ou si le client refuse la liste ou le prix, aucun frais standard n’est dû. Pièce exceptionnelle — de données supprimées: Une pièce rare, coûteuse et non remboursable constitue la seule exception et requiert une proposition séparée, explicite et chiffrée acceptée au préalable.