Analyse
Comprendre ce que fait une suppression
Supprimer un fichier retire généralement sa référence avant de garantir l'effacement de tous ses blocs. Ces données supprimées peuvent donc subsister en partie tant que le système de fichiers n'a pas réutilisé l'espace marqué comme disponible.
Cette description des données supprimées vaut surtout comme principe logique. Le comportement réel dépend du support et du système. Sur un disque dur mécanique, les anciens blocs peuvent rester lisibles jusqu'à leur écrasement. Sur un SSD SATA, TRIM peut transmettre au contrôleur la liste des blocs libérés ; sur un SSD NVMe, la commande de désallocation remplit une fonction comparable. Selon le système, l'interface, le chiffrement et la collecte interne, le contrôleur peut ensuite rendre ces blocs inaccessibles sans nouvelle copie visible de l'utilisateur.
Il faut distinguer plusieurs événements :
- Déplacement dans la corbeille, souvent réversible ;
- Vidage de la corbeille ou suppression directe ;
- Suppression dans une application qui gère sa propre base ;
- Suppression synchronisée vers un service distant ;
- Effacement cryptographique par perte d'une clé ;
- Écrasement par de nouvelles données.
Une miniature, un nom ou une entrée d'index ne prouve pas que le fichier complet existe encore. Inversement, une arborescence vide ne prouve pas que tous les blocs ont disparu.
La distinction avec le formatage et ses limites est essentielle : cette autre opération réécrit au minimum des structures du volume.
La première réponse est temporelle : arrêter les écritures avant de chercher. Plus le système continue à fonctionner, plus journaux, caches, mises à jour et fichiers temporaires peuvent réutiliser les zones libérées.
Analyse
Identifier ce qui a changé après suppression
La chronologie après l'erreur est souvent plus déterminante que le geste de suppression lui-même. Un ordinateur resté allumé plusieurs heures, un autre appareil synchronisé, une restauration ou une réinstallation crée des écritures dont l'utilisateur n'a pas toujours conscience.
Notez précisément :
| Information | Pourquoi elle compte |
|---|---|
| Date et heure | Estime le délai d'activité |
| Chemin et nom | Cible les métadonnées et recherches |
| Support | Distingue HDD, SSD, carte ou clé |
| Système de fichiers | Situe les structures à analyser |
| Redémarrages | Peuvent activer maintenance et TRIM |
| Fichiers créés depuis | Évaluent le risque d'écrasement |
| Synchronisation | Identifie copies et suppressions propagées |
| Chiffrement | Conditionne l'exploitation des blocs |
Les applications peuvent ajouter une couche. Une base de messagerie, un catalogue photo ou un logiciel métier ne supprime pas forcément un fichier autonome ; il modifie une base, des pièces jointes ou un index. La restauration doit alors viser la cohérence de l'ensemble.
Cherchez d'abord les copies indépendantes : sauvegarde déconnectée, historique de versions, pièce jointe, export, destinataire, snapshot ou ancien appareil non synchronisé. Cette recherche est souvent plus sûre qu'une analyse immédiate du support original.
Ne reconnectez pas automatiquement tous les appareils. Une machine hors ligne peut encore porter une version que la synchronisation supprimerait dès son retour sur le réseau.
La chronologie doit inclure les outils déjà lancés. Un scan, une « restauration » vers le même volume ou une installation de logiciel modifie l'état qu'il prétend examiner.
Analyse
Réagir sans écraser les données
Arrêter l'usage signifie cesser les écritures ordinaires et les tentatives de récupération sur le support source. Pour un disque système, ne redémarrez pas et n'installez rien. Notez si la machine est encore allumée ou déjà arrêtée, puis faites décider d'une mise hors tension contrôlée selon le contexte : un arrêt, un redémarrage ou une mise à jour peuvent eux-mêmes écrire sur le volume.
N'installez aucun programme sur le volume concerné et n'y enregistrez pas les fichiers retrouvés. Un outil lancé sans maîtrise peut scanner longuement un support instable, écrire au mauvais endroit ou écraser les blocs recherchés.
Pour un volume externe stable, débranchez-le après éjection. Pour un disque système SSD, les démarrages répétés sont particulièrement défavorables, car le système écrit en continu et peut transmettre TRIM. Gardez les identifiants de chiffrement et notez le modèle exact.
Le processus de récupération suit une séquence de préservation simple :
- Isoler le support ou l'appareil ;
- Figer les synchronisations sans supprimer les comptes ;
- Inventorier les copies indépendantes ;
- Définir les fichiers, versions et périodes prioritaires ;
- Acquérir le support de manière contrôlée si nécessaire ;
- Analyser uniquement la copie.
Une copie bit à bit n'est possible et utile que si le support reste lisible. En présence de bruits, déconnexions ou erreurs, la panne physique passe avant la suppression logique. Un disque mécanique défaillant peut nécessiter un laboratoire ; la salle blanche n'est pertinente que pour une intervention interne sur ce type de disque, pas pour toute suppression.
La destination de récupération doit toujours être distincte et saine. Ainsi, aucun fichier reconstruit ne remplace des blocs encore utiles.
Analyse
Évaluer les limites selon le support
Les limites varient davantage selon la technologie et l'activité postérieure que selon la taille du fichier. Un petit document peut être totalement écrasé ; une grande vidéo peut survivre partiellement dans des blocs dispersés.
Sur HDD, l'absence d'écrasement laisse parfois des possibilités de reconstruction, mais la fragmentation et l'état du système de fichiers influencent le résultat. Sur SSD et NVMe, TRIM, collecte de déchets, chiffrement interne et traduction d'adresses rendent la récupération après suppression plus incertaine.
Sur carte mémoire et clé USB, le contrôleur gère aussi la NAND, mais le comportement varie selon le modèle, le système hôte et les commandes transmises. Une carte réutilisée pour de nouvelles photos peut écraser rapidement les prises anciennes.
Sur un NAS ou un RAID, la suppression concerne une couche logique répartie sur plusieurs disques. Snapshots, corbeilles réseau et sauvegardes doivent être examinés avant toute reconstruction brute. Modifier la grappe ou réinitialiser un volume peut aggraver la situation.
Le résultat se qualifie ainsi :
- Nom, chemin et contenu complets ;
- Contenu complet sans métadonnées d'origine ;
- Fichier partiel ou corrompu ;
- Fragments non attribuables ;
- Trace sans contenu récupérable ;
- Absence après écrasement ou nettoyage interne.
Cette gradation évite la promesse « récupéré » fondée sur une liste de noms. Les fichiers prioritaires doivent être ouverts, comparés à leur format attendu et contrôlés jusqu'au bout.
Analyse
Prévenir les suppressions critiques
La prévention associe sauvegardes versionnées, droits adaptés et restauration testée. Une simple synchronisation protège mal contre une suppression propagée ; une copie déconnectée conserve un état antérieur.
Appliquez une règle de conservation proportionnée : historique quotidien pour les documents actifs, snapshots sur les espaces partagés, sauvegarde indépendante et durée suffisante pour découvrir l'erreur. La corbeille n'est qu'un délai court, pas un plan de reprise.
Réduisez les suppressions massives par des droits limités, une validation supplémentaire et des dossiers d'archive en lecture seule. Dans les logiciels métier, documentez les exports et vérifiez qu'ils peuvent réellement être réimportés.
Testez chaque trimestre un scénario concret : retrouver une version datée, la restaurer vers un emplacement séparé et l'ouvrir. Ce test révèle les exclusions, comptes expirés et sauvegardes chiffrées sans clé.
Pour les SSD, la prévention est particulièrement importante : une excellente disponibilité matérielle ne compense pas les effets de TRIM après suppression. Le meilleur résultat ne vient pas d'un outil lancé plus vite, mais d'une version indépendante déjà contrôlée.
Enfin, formez les utilisateurs au premier geste : ne pas continuer, noter l'heure, prévenir le responsable et rechercher les copies sans reconnecter tous les appareils. Une réaction calme préserve davantage de possibilités qu'une série d'essais improvisés.
Sources techniques primaires et limites
Le NIST SP 800-86 recommande une collecte traçable et un examen sur des copies. Ce cadre ne qualifie ni les têtes, les surfaces, les alimentations, le pont d’interface ou les zones non lues du disque reçu, et ne permet pas de confondre détection et récupération vérifiée.
Faire qualifier le dossier « Données supprimées : récupération et limites »
Transmettez à Datastrophe le disque et son boîtier éventuel, les alimentations et câbles, la chronologie de l’incident et des essais, les journaux de copie et la liste des données prioritaires. Les codes, clés et éléments d’authentification autorisés sont communiqués par un canal distinct ; ils ne sont jamais inscrits sur le support ni dans le colis.
Datastrophe réalise directement le diagnostic, les contrôles d’intégrité et la récupération dans son laboratoire, avec sa propre équipe. Le diagnostic et le devis sont gratuits. Le transport privé aller et retour est systématiquement pris en charge ; le transporteur déplace uniquement le colis scellé, sans accéder aux données ni les traiter.
Avant tout paiement, le client reçoit le prix proposé et une liste contrôlée. Chaque élément y est classé, dans cet ordre, recoverable_verified, partial, detected_unverified ou unrecoverable. Seuls les éléments recoverable_verified, dont le contenu a été contrôlé et jugé exploitable, sont présentés comme récupérables. Le client paie seulement après avoir accepté la liste et le prix ; la préparation du résultat et la restitution interviennent ensuite.
Si aucune donnée exploitable n’est vérifiée, si la récupération échoue ou si le client refuse la liste ou le prix, aucun frais standard n’est dû. La seule exception concerne une pièce rare, coûteuse et non remboursable : elle ne peut être commandée qu’après une proposition séparée, explicite et chiffrée.