Récupération de données sur SSD et NVMe

Un SSD peut cesser de répondre sans bruit ni avertissement. Débranchez-le : les redémarrages, TRIM et nouvelles écritures peuvent réduire les données encore récupérables.

Demander une soumission

Un SSD absent ou figé doit rester hors tension

L’absence de pièces mobiles ne rend pas les essais répétés sans danger.

Notez le dernier événement, puis débranchez le support. Une coupure électrique, une mise à jour, un gel, une capacité devenue nulle ou une disparition du BIOS orientent des causes différentes. L’évaluation diagnostique commence sans initialisation, formatage ni réparation automatique.

Un SSD peut cesser de répondre sans bruit ni ralentissement préalable. Cette rupture franche correspond parfois à une protection électrique, à un contrôleur bloqué ou à des données de service incohérentes ; elle ne signifie pas que toutes les cellules NAND sont vides. Conservez l’ordinateur ou le boîtier d’origine, surtout pour un module soudé ou chiffré. Le laboratoire compare alimentation, identification, capacité annoncée et stabilité de la liaison avant de choisir un accès qui évite les cycles de démarrage répétés.

Couper toute alimentation résiduelle
Noter la capacité affichée
Conserver l’appareil hôte

La détection intermittente n’est pas un répit

Un contrôleur instable peut répondre quelques secondes avant de se bloquer. Profiter de cette fenêtre avec une copie ordinaire sollicite les mêmes zones dans un ordre imprévisible. Une acquisition contrôlée priorise plutôt les renseignements essentiels.

Une capacité incorrecte pointe vers la couche interne

Un SSD affiché à 0 Mo ou sous un nom générique peut ne plus charger sa table de traduction. Créer une partition n’aide pas le contrôleur à retrouver l’adressage antérieur et ajoute des écritures inutiles.

Un SSD silencieux peut se dégrader à chaque remise sous tension, même sans symptôme mécanique audible.

Contrôleur, micrologiciel et NAND forment un seul système

Les fichiers ne correspondent pas directement à une position fixe dans les puces mémoire.

Le contrôleur répartit, corrige et déplace les données pendant toute la vie du SSD. Sa table FTL relie les adresses vues par l’ordinateur aux pages NAND réelles. Une panne peut donc laisser des puces intactes mais une organisation devenue illisible sans les paramètres du patient.

La récupération ne consiste pas simplement à dessouder des puces et à concaténer leur contenu. Les pages contiennent des données utilisateur, des métadonnées, des codes de correction et parfois un brouillage propre au contrôleur. Plusieurs canaux peuvent être entrelacés, tandis que le nivellement d’usure déplace continuellement les blocs. L’évaluation détermine d’abord si le chemin natif peut être stabilisé ; une lecture brute n’est envisagée que si l’architecture, le chiffrement et l’état électrique rendent cette reconstruction techniquement plausible.

Cartographie FTL propre au patient
Correction ECC par génération
Entrelacement des canaux NAND

L’usure est compensée jusqu’à ce qu’elle ne le soit plus

Réserve de blocs, codes de correction et nivellement d’usure masquent longtemps les cellules faibles. Lorsque ces mécanismes saturent, la panne peut sembler soudaine. Les compteurs de santé ne suffisent pas à prédire la quantité encore lisible.

Un micrologiciel bloqué exige une méthode ciblée

L’objectif n’est pas une mise à jour de confort, mais un accès temporaire et documenté. Toute commande est choisie selon le modèle, la révision et le symptôme afin d’éviter une réinitialisation des métadonnées internes.

Des puces intactes ne garantissent pas une reconstruction lorsque la table d’adressage ou les clés internes manquent.

TRIM change la récupération après suppression

Un fichier effacé sur SSD ne suit pas les mêmes règles que sur un disque magnétique.

Le système peut signaler au SSD que certains blocs ne sont plus utiles. Le contrôleur est alors libre de les effacer en arrière-plan. Si la commande TRIM a été transmise et exécutée, un ancien contenu peut être remplacé par des valeurs vides même sans nouveau fichier visible.

Le délai depuis la suppression, le système d’exploitation, l’interface et l’état de la commande influencent ce qui reste accessible. Une clé USB-SATA ou un ancien boîtier peut ne pas transmettre TRIM, tandis qu’un SSD NVMe interne l’applique habituellement. La présence d’un nom de fichier dans APFS ou NTFS ne prouve donc pas que ses blocs subsistent. Aucun laboratoire ne peut recréer des pages NAND déjà effacées; l’analyse peut seulement vérifier les métadonnées, les blocs encore présents et d’éventuelles copies distinctes.

Date exacte de suppression
Interface utilisée au moment
État du système hôte

Le temps n’est pas le seul facteur

L’alimentation, le système d’exploitation, le type de boîtier et la prise en charge de TRIM déterminent ce qui s’est produit. Laisser le SSD branché « au cas où » peut justement permettre au nettoyage interne de se poursuivre.

Formatage et réinstallation ajoutent un second risque

Au-delà de TRIM, une nouvelle installation écrit partitions, journaux et fichiers système. La priorité est donc de retirer le SSD et de confier la recherche à une copie, conformément au processus de récupération.

Après une suppression, laissez le SSD éteint : l’entretien interne peut poursuivre l’effacement sans nouvelle copie visible.

Le chiffrement peut être matériel ou logiciel

Lire les puces ne donne pas automatiquement des fichiers en clair.

BitLocker, FileVault et l’autochiffrement du SSD doivent être identifiés avant l’analyse logique. La clé de récupération, le mot de passe, le compte associé ou l’ordinateur d’origine peut être indispensable. Datastrophe ne contourne pas une protection d’accès ; l’autorisation et les clés légitimes font partie du dossier.

Le chiffrement se situe parfois dans plusieurs couches : contrôleur du SSD, volume système et dossier applicatif. Une image physique lisible peut donc rester inexploitable tant que la clé appropriée n’est pas fournie. Pour BitLocker, conservez l’identifiant de clé et le compte où la récupération a pu être sauvegardée ; pour FileVault, gardez le Mac et ses justificatifs d’accès. La carte mère peut aussi participer au déverrouillage. L’évaluation diagnostique distingue ainsi une absence de données d’une impossibilité cryptographique d’interpréter les blocs.

Clé de récupération autorisée
Compte du propriétaire disponible
Carte mère conservée intacte

Le TPM peut lier le volume à l’ordinateur

Sur certains systèmes, le déverrouillage habituel dépend de la carte mère et de son module de sécurité. Il faut conserver l’appareil complet, même si le SSD a déjà été retiré, ainsi que toute clé enregistrée dans un compte d’entreprise ou personnel.

Une panne du contrôleur complique l’ordre des blocs

Avant même le déchiffrement, les pages NAND doivent être remises dans leur ordre logique avec leurs corrections. Une image brute désordonnée ne constitue donc pas un volume exploitable.

L’acquisition physique et le déchiffrement sont deux étapes distinctes ; réussir la première ne garantit pas la seconde.

La salle blanche n’est pas le traitement par défaut d’un SSD

Un SSD n’a ni têtes ni plateaux à protéger des particules.

Les interventions portent surtout sur l’électronique, le contrôleur et la mémoire flash. Un environnement propre peut être utile à certaines manipulations de composants, mais une salle blanche ISO 5 ne résout ni TRIM, ni chiffrement, ni table FTL détruite. La méthode suit l’architecture réelle du support.

La comparaison avec un disque dur est trompeuse : il n’y a ni tête, ni moteur, ni plateau à protéger des particules. Le laboratoire emploie plutôt des mesures hors tension, une alimentation limitée, des interfaces techniques et, selon le boîtier, de la microsoudure. Sur un SSD M.2 ou BGA, la chaleur et les contraintes mécaniques deviennent elles-mêmes des risques. Une intervention sur composants n’est justifiée que si elle augmente l’accès sans détruire les paramètres propres au patient.

La microsoudure sert une acquisition précise

Des mesures électriques, une alimentation stabilisée ou l’accès à des points techniques peuvent permettre de diagnostiquer la carte. Remplacer au hasard un composant ou chauffer le circuit risque plutôt d’endommager des pistes et des puces.

Les puces monolithiques demandent un autre accès

Dans certains appareils, contrôleur et mémoire sont fortement intégrés. Le laboratoire de récupération de données sélectionne alors l’approche compatible sans présenter une opération mécanique comme solution universelle.

L’acquisition est adaptée à la stabilité du SSD

La vitesse maximale importe moins que la conservation des blocs encore accessibles.

Le support original est lu sans réparation du volume et avec un suivi des erreurs. Si la connexion se coupe, les reprises sont limitées et l’ordre de lecture peut favoriser un profil utilisateur, une base ou un projet urgent. Les reconstructions logiques restent séparées de l’acquisition physique.

Certains SSD répondent quelques minutes après un démarrage à froid, d’autres figent lorsqu’une zone précise est sollicitée. L’acquisition tient compte de cette fenêtre : blocs faciles d’abord, pauses contrôlées, limites de reprise et journal des adresses manquantes. Si les métadonnées sont accessibles, les fichiers prioritaires peuvent orienter la lecture. Une copie complète en taille peut néanmoins contenir des lacunes neutralisées ; sa qualité se mesure par les blocs réellement acquis et par l’état des fichiers, non par la seule capacité du fichier image.

Une image complète en taille peut contenir des blocs vides

Les adresses illisibles ou déjà nettoyées doivent être signalées. Un fichier image ayant la capacité nominale du SSD ne prouve pas que chaque secteur contient l’ancienne information.

Plusieurs hypothèses peuvent coexister

Une copie sert à reconstruire les partitions, une autre à rechercher les signatures, et une troisième à tester un système de fichiers. Cette séparation garde les résultats comparables et les essais réversibles.

La validation porte sur les fichiers qui comptent

Une arborescence visible n’est pas une preuve de bon fonctionnement.

Documents, photos, archives, machines virtuelles et bases sont testés selon leur format. Les fichiers prioritaires sont ouverts sur des copies et classés comme utilisables, partiels ou non vérifiables. Les chemins et dates sont conservés lorsque les métadonnées le permettent.

La mémoire flash peut retourner une grande quantité de contenu tout en perdant quelques pages déterminantes. Une photo tolère parfois un défaut local ; une archive chiffrée, une base ou un disque virtuel peut devenir inutilisable si son index ou son en-tête manque. Le contrôle choisit donc des échantillons représentatifs dans plusieurs dossiers et périodes. Les fichiers récupérés par signature sans leur nom d’origine sont séparés de l’arborescence reconstruite, afin que la remise reste compréhensible et que les limites soient visibles.

Les fichiers volumineux révèlent vite les lacunes

Une vidéo ou une image de machine virtuelle peut traverser de nombreux blocs. Quelques zones manquantes ont parfois un effet important. Le compte rendu ne confond pas fichier détecté et contenu réellement exploitable.

Le SSD défaillant n’est pas remis en production

Même si l’accès revient, la cause de l’incident demeure. Les données récupérées sont remises sur un support sain et devraient être dupliquées avant tout tri ou déplacement.

La soumission doit préciser l’appareil et l’incident

Le modèle commercial seul ne décrit ni le chiffrement ni le comportement observé.

Indiquez la référence du SSD, sa capacité, l’ordinateur d’origine et les essais déjà effectués. Précisez le message d’erreur, la date de la perte, une éventuelle panne électrique et les dossiers indispensables. Gardez adaptateur, boîtier et carte mère disponibles.

Pour un module NVMe, fournissez la référence complète et le modèle de l’ordinateur portable ou du serveur. Mentionnez une suppression, un formatage, une mise à jour de micrologiciel ou un clonage tenté, même si l’opération a échoué. Ne lancez pas un test d’endurance pour compléter le dossier. La demande de soumission sert à cadrer les données prioritaires, les accès de chiffrement et les dépendances matérielles ; l’évaluation confirme ensuite ce qui est techniquement lisible avant toute projection de résultat.

Les clés sont transmises séparément

Ne placez pas de mot de passe dans le colis. Une clé BitLocker ou FileVault est communiquée par le canal convenu après l’identification du dossier et l’autorisation du propriétaire.

Une décision éclairée vient après l’évaluation

La demande de soumission recueille les priorités et la chronologie. La méthode proposée tient ensuite compte de l’état constaté, des limites de TRIM et du niveau de vérification attendu.

FAQ

Questions fréquentes

Que faire lorsqu’un SSD n’est plus détecté ?

Débranchez-le et évitez les adaptateurs, redémarrages et outils d’initialisation. Notez s’il apparaît dans le BIOS, sa capacité affichée et l’événement précédent. Ces indices aident à distinguer alimentation, contrôleur et micrologiciel.

Des fichiers supprimés sur SSD sont-ils récupérables ?

Cela dépend notamment de TRIM, de l’alimentation laissée au support et des nouvelles écritures. Si les blocs ont été nettoyés, leur ancien contenu n’existe plus. Une mise hors tension rapide préserve les scénarios encore possibles.

Faut-il envoyer l’ordinateur avec le NVMe ?

Oui lorsque le chiffrement, le TPM, un connecteur propriétaire ou le contexte de la panne peut dépendre de l’appareil. Ne retirez pas un module soudé et conservez la carte mère si le système ne démarre plus.

Pourquoi une lecture directe des puces NAND ne suffit-elle pas ?

Le contrôleur répartit les pages, ajoute des corrections et maintient une table de traduction. Il faut reconstituer cet ordre, puis traiter le chiffrement et le système de fichiers avant d’obtenir des documents utilisables.

Le SSD peut-il servir de nouveau après récupération ?

Non. Un support ayant perdu sa détection ou son intégrité n’est plus une base fiable. Le travail vise à transférer les données vérifiées vers un support sain, pas à certifier le SSD pour un nouvel usage.

Supports

Autres expertises

Évaluation

Un doute sur un support ou une panne ?

Datastrophe qualifie le risque avant toute intervention et vous indique la marche à suivre la plus prudente.

Demander une évaluation