Évaluation
Comprendre ce que fait une suppression
La suppression enlève souvent l’entrée qui pointe vers le fichier sans nettoyer immédiatement chaque bloc. Une portion des données supprimées peut alors demeurer sur le média jusqu’à la réattribution de cet espace par le système.
Le comportement dépend toutefois de la technologie. Sur un HDD, un secteur libéré peut encore être lu tant qu’aucune nouvelle écriture ne le remplace. Sur un SSD SATA ou NVMe, la commande TRIM ou une désallocation avertit le contrôleur, qui peut retirer rapidement ces adresses de l’accès normal.
Il faut distinguer :
- Déplacement dans la corbeille;
- Vidage ou suppression directe;
- Suppression dans une base d’application;
- Suppression propagée par synchronisation;
- Perte d’une clé de chiffrement;
- Écrasement par de nouvelles données.
Un nom ou une miniature ne prouve pas que le contenu complet existe encore. Une arborescence vide ne prouve pas non plus que tous les blocs ont disparu.
Le support après formatage correspond à un autre scénario, puisque l’opération réécrit au moins une partie des structures du volume.
Il faut d’abord interrompre l’activité qui écrit sur le support. Tant que le système reste actif, ses journaux, ses caches, ses mises à jour et ses données temporaires peuvent occuper les zones nouvellement libérées.
Évaluation
Identifier ce qui a changé après suppression
La chronologie après l’erreur compte souvent plus que le clic initial. Un ordinateur actif, une synchronisation, une restauration ou une réinstallation ajoute des écritures parfois invisibles pour l’utilisateur.
Notez les renseignements suivants :
| Fait à relever | Ce qu’il permet d’établir |
|---|---|
| Moment de la suppression | Durée d’activité qui a suivi |
| Nom et emplacement | Périmètre de la recherche |
| Technologie du média | Fonctionnement HDD, SSD, carte ou clé |
| Format du volume | Structures logiques à examiner |
| Remises en marche | Possible déclenchement de TRIM ou d’entretien |
| Contenu créé depuis | Risque de remplacement des blocs |
| Service synchronisé | Copies possibles et propagation de l’erreur |
| Méthode de chiffrement | Conditions nécessaires à la lecture |
Une application peut supprimer une entrée de base plutôt qu’un fichier autonome. Messagerie, catalogue photo et logiciel d’affaires exigent alors de reconstruire un ensemble cohérent.
Cherchez d’abord les copies indépendantes : sauvegarde déconnectée, historique, pièce jointe, export, snapshot ou ancien appareil hors ligne.
Gardez hors réseau les appareils actuellement déconnectés. L’un d’eux peut conserver une ancienne version qui serait effacée ou remplacée dès la reprise de la synchronisation.
Notez aussi les outils lancés. Un scan, une installation ou une restauration vers le même volume modifie l’état que l’on souhaite analyser.
Évaluation
Réagir sans écraser les données
Arrêter l’usage signifie suspendre les écritures et les tentatives sur la source. Pour un disque système, n’installez rien et ne redémarrez pas; faites choisir une mise hors tension adaptée à l’état de la machine.
N’enregistrez jamais les fichiers retrouvés sur le volume concerné. Un outil mal utilisé peut scanner longtemps, solliciter une panne physique et remplacer les blocs recherchés.
Éjectez un volume externe stable avant de le débrancher. Sur SSD système, les redémarrages sont particulièrement défavorables en raison des écritures ordinaires et de TRIM.
Chez Datastrophe, le processus de récupération suit une séquence simple :
- Retirer le média ou l’appareil de l’usage courant;
- Mettre la synchronisation en pause sans effacer de compte;
- Dresser la liste des versions conservées ailleurs;
- Préciser le contenu, la période et la version recherchés;
- Effectuer une acquisition maîtrisée lorsque l’état le permet;
- Réserver les analyses à la copie obtenue.
L’acquisition secteur par secteur suppose un média suffisamment lisible. Des bruits, des coupures de connexion ou des erreurs répétées imposent de traiter d’abord la défaillance physique, avant la suppression logique. Un environnement de salle blanche concerne uniquement certaines manipulations internes d’un HDD.
La destination doit être saine et distincte afin qu’aucun fichier reconstruit ne remplace les blocs encore exploitables.
Évaluation
Évaluer les limites selon le support
La technologie et l’activité postérieure influencent davantage le résultat que la taille. Un petit document peut être entièrement écrasé, tandis qu’une grande vidéo peut subsister en fragments.
Sur HDD, la reconstruction dépend de l’écrasement, de la fragmentation et du système de fichiers. Sur SSD, TRIM, collecte interne, chiffrement et traduction d’adresses augmentent l’incertitude.
Les cartes et clés utilisent aussi la NAND, mais leur comportement varie avec le contrôleur et l’hôte. Réutiliser une carte pour de nouvelles photos peut remplacer rapidement les anciennes prises.
Sur NAS ou RAID, la suppression agit à travers une couche répartie. Examinez snapshots, corbeilles réseau et sauvegardes avant toute reconstruction ou réinitialisation.
Le résultat doit distinguer :
- Fichier complet avec son nom et son emplacement;
- Contenu lisible dont les métadonnées ont disparu;
- Élément incomplet ou endommagé;
- Fragments impossibles à rattacher avec certitude;
- Référence retrouvée sans blocs exploitables;
- Aucun contenu après remplacement ou nettoyage interne.
Cette gradation évite d’annoncer une récupération sur la seule base d’une liste de noms. Les priorités doivent être ouvertes et contrôlées jusqu’à la fin.
Évaluation
Prévenir les suppressions critiques
La prévention combine versions, droits appropriés et restaurations testées. Une synchronisation propage aussi les suppressions; une copie indépendante conserve un état antérieur.
Adaptez la conservation : historique quotidien des documents actifs, snapshots des espaces partagés, sauvegarde déconnectée et délai suffisant pour découvrir l’erreur.
Limitez les suppressions massives par les droits, une confirmation supplémentaire et des archives en lecture seule. Vérifiez aussi que les exports d’applications peuvent être réimportés.
Testez régulièrement un scénario réel : retrouver une version datée, la restaurer ailleurs et l’ouvrir. Ce contrôle révèle exclusions, comptes expirés et clés absentes.
Sur SSD, la prévention est décisive : la fiabilité matérielle ne compense pas l’effet de TRIM. La meilleure récupération reste souvent une version indépendante déjà validée.
Enseignez finalement une réaction simple : interrompre l’utilisation, consigner le moment de l’erreur, aviser la personne responsable et chercher les versions existantes tout en laissant les appareils hors ligne déconnectés.
Évaluation
Sources techniques primaires et limites
Périmètre documentaire — de données supprimées: Pour récupération de données supprimées, les sources primaires consultées sont NIST SP 800-86. Preuve physique — de données supprimées: Elles définissent les principes de préservation, de stockage et de validation, mais ne démontrent ni l’état physique précis, ni le comportement du contrôleur, ni la disponibilité des clés, ni la cohérence opérationnelle du matériel reçu. Preuve contrôleur — de données supprimées: Ces éléments doivent être mesurés sur l’ensemble original et vérifiés sur des copies.
Évaluation
Demander une évaluation contrôlée
Ensemble complet — de données supprimées: Pour évaluer récupération de données supprimées, fournissez l’appareil ou l’ensemble complet, les composantes d’alimentation et d’interface, l’ordre et les étiquettes des membres, l’historique des symptômes et la liste exacte des fichiers prioritaires. Chronologie d’incident — de données supprimées: Les accès autorisés sont transmis par un canal protégé distinct; évitez un nouveau démarrage uniquement pour produire une capture.
Responsabilité du laboratoire — de données supprimées: Datastrophe réalise directement le diagnostic, les contrôles d’intégrité et la récupération dans son propre laboratoire avec sa propre équipe. Diagnostic gratuit — de données supprimées: Le diagnostic et la soumission sont gratuits. Limite du transport — de données supprimées: Le transport privé aller-retour est inclus; le transporteur déplace seulement le colis scellé, sans accéder aux données ni les traiter.
Liste contrôlée — de données supprimées: Avant tout paiement, le client reçoit le prix proposé et une liste vérifiée. Classes de vérification — de données supprimées: Chaque élément est classé, dans l’ordre, recoverable_verified, partial, detected_unverified ou unrecoverable. Déclenchement du paiement — de données supprimées: Seuls les éléments recoverable_verified, ouverts et jugés utilisables, sont présentés comme récupérables. Résultat non vérifié — de données supprimées: Le paiement est demandé uniquement après l’acceptation de la liste et du prix.
Résultat non vérifié — de données supprimées: Si aucune donnée utilisable n’est vérifiée, si la récupération échoue ou si le client refuse la liste ou le prix, aucuns frais standards ne sont exigés. Pièce exceptionnelle — de données supprimées: La seule exception vise une pièce rare, coûteuse et non remboursable, commandée seulement après l’acceptation d’une proposition distincte, explicite et chiffrée.