Analyse
Comprendre ce que fait un formatage
Formater crée ou réinitialise les structures qui permettent au système d'organiser un volume. L'opération écrit au minimum des métadonnées : table de fichiers, répertoires racine, informations d'allocation et identifiants du système de fichiers.
Un formatage rapide ne parcourt pas nécessairement chaque bloc de données. Il peut laisser du contenu ancien tout en supprimant les références qui reliaient noms, chemins et fragments. Un formatage complet ou sécurisé peut au contraire vérifier, initialiser ou écraser une part beaucoup plus large du support.
Le mot « formaté » reste donc trop vague. Il faut identifier :
- L'appareil et le support concernés ;
- L'outil utilisé : Windows, macOS, caméra, NAS, installateur ;
- L'option rapide, complète ou sécurisée ;
- L'ancien et le nouveau système de fichiers ;
- La présence de chiffrement ;
- Les opérations réalisées après.
Changer de FAT32 à exFAT, d'NTFS à APFS ou recréer une partition modifie les structures à des emplacements différents. Formater une carte dans une caméra peut aussi créer immédiatement des dossiers ou fichiers de gestion.
Le formatage n'est ni une simple suppression ni une preuve d'effacement total. Il impose une analyse de la nouvelle structure et de ce qu'elle a remplacé.
Analyse
Distinguer suppression, formatage et écrasement
La suppression libère des entrées ; le formatage reconstruit le cadre du volume ; l'écrasement remplace réellement des blocs. Ces événements peuvent se suivre, mais leur potentiel de récupération n'est pas équivalent.
Après une suppression isolée, l'ancienne arborescence conserve parfois des informations fines. Après formatage, les nouvelles métadonnées peuvent avoir remplacé les anciennes tables, obligeant à rechercher les fichiers par signatures ou structures résiduelles. Cette méthode perd souvent noms, chemins et dates.
L'écrasement fixe une limite physique. Lorsqu'un nouveau bloc occupe l'emplacement d'un ancien, le contenu précédent n'est pas reconstituable à partir de ce bloc. Une réinstallation, une restauration système ou la copie de nouvelles vidéos peut donc être plus dommageable que le formatage rapide initial.
| Événement | Principal effet |
|---|---|
| Suppression | Référence retirée, espace marqué libre |
| Formatage rapide | Structures du volume recréées |
| Formatage complet | Écritures ou vérification étendue |
| Repartitionnement | Carte des volumes modifiée |
| Réinstallation | Nombreux blocs réutilisés |
| TRIM SSD | Blocs libérés signalés au contrôleur |
Le chiffrement ajoute une autre limite. Si le formatage supprime les métadonnées ou clés nécessaires au déchiffrement, des blocs encore présents peuvent rester inutilisables.
TRIM, chiffrement et réécriture ne prouvent pas la même chose
Sur SSD, une commande TRIM ou de désallocation peut rendre des blocs libérés inaccessibles au niveau logique avant tout écrasement visible. Le chiffrement peut, lui, laisser des blocs présents mais inutilisables si les clés ou métadonnées nécessaires ont disparu. Dans les deux cas, l'absence d'un fichier lors d'un scan ne prouve pas à elle seule ce qui s'est produit ; le type de support, les commandes émises et l'état des clés doivent être qualifiés.
La chronologie précise est donc essentielle. Ne consignez pas seulement « formatage effectué » : notez l'écran, l'option, la durée, le système choisi et ce qui a été copié ensuite. L'article sur les données supprimées détaille le cas distinct où les références sont retirées sans recréer tout le volume.
Analyse
Éviter les actions post-formatage
Après l'erreur, le meilleur geste est d'arrêter le support avant toute réinstallation ou nouvelle copie. Une tentative destinée à « vérifier » crée souvent plus d'écritures que le formatage lui-même.
Ne recréez pas une partition, ne reformatez pas dans l'ancien format et ne lancez pas de réparation automatique. Ces opérations ne font pas réapparaître les anciennes structures ; elles en écrivent de nouvelles aux mêmes emplacements critiques.
N'installez aucun outil sur le volume et ne sauvegardez jamais les fichiers retrouvés dessus. Une analyse lancée depuis la source peut écrire des fichiers temporaires, viser le mauvais disque ou solliciter longuement un support déjà défaillant.
Procédez ainsi :
- Cessez toute utilisation ; pour un support externe inactif, éjectez-le puis débranchez-le, et pour un disque système, ne redémarrez pas avant d'avoir choisi une mise hors tension contrôlée ;
- Notez l'outil, l'option et la durée du formatage ;
- Conservez mots de passe et clés de chiffrement ;
- Recherchez les sauvegardes et exports indépendants ;
- Listez les dossiers, les formats et les périodes prioritaires ;
- Faites acquérir le support sur une destination séparée selon le processus de récupération.
Si le disque produit des bruits, des erreurs ou des déconnexions, la panne physique prime. La décision de récupérer ou remplacer le support commence par cet état physique ; un scan logiciel prolongé n'est alors pas adapté. Pour un disque mécanique nécessitant une ouverture, une salle blanche peut devenir pertinente ; elle ne concerne pas le formatage en lui-même.
N'utilisez pas le volume « juste quelques minutes ». Les caches, journaux et mises à jour sont précisément les écritures susceptibles de remplacer les anciennes données.
Analyse
Évaluer ce qui peut être reconstruit
Le diagnostic des dommages combine état du support, traces de l'ancien système et validation des fichiers. L'acquisition Datastrophe préserve d'abord les blocs lisibles. L'analyse travaille ensuite sur une copie pour éviter de modifier le volume formaté. Le diagnostic des dommages en laboratoire explique comment l'état physique et logique détermine l'ordre des opérations.
Lorsque les anciennes métadonnées subsistent, il peut être possible de retrouver les noms, les dossiers et la fragmentation. Lorsqu'elles sont remplacées, une recherche par signatures repère certains formats, mais elle gère mal les fichiers fragmentés et restitue rarement leur contexte complet.
Les formats structurés demandent une validation exigeante. Une archive peut être détectée mais refuser l'extraction ; une base peut s'ouvrir avec des tables manquantes ; une vidéo peut perdre son index ; un document peut contenir seulement son aperçu.
Le rapport doit distinguer :
- Fichier complet avec nom et chemin ;
- Fichier complet renommé ou sans date fiable ;
- Fichier reconstruit avec réserve ;
- Fichier partiel ;
- Trace détectée sans contenu exploitable ;
- Zone écrasée ou nettoyée.
Sur SSD, TRIM et la collecte interne peuvent réduire les possibilités rapidement après formatage. Le contrôleur abstrait les adresses physiques, si bien qu'une image logique ne reflète pas toujours ce qui existait avant. Aucune promesse uniforme n'est techniquement honnête.
Les priorités améliorent la pertinence du diagnostic : un dossier de travail récent, une année de photos ou une base métier précise se contrôlent mieux qu'un objectif vague de « tout récupérer ».
Analyse
Prévenir les pertes liées au formatage
La prévention repose sur l'identification claire des supports et une sauvegarde vérifiée avant toute opération destructive. Beaucoup d'erreurs surviennent parce que plusieurs volumes portent un nom générique ou une capacité proche.
Avant formatage, affichez le modèle, la capacité, le numéro du disque et les partitions. Débranchez les supports qui ne participent pas à l'opération. Pour une installation système, créez une sauvegarde indépendante puis restaurez un fichier test.
Les caméras et enregistreurs doivent suivre une rotation : copie sur deux destinations, validation, puis formatage dans l'appareil prévu. Le support ne doit être effacé qu'après confirmation de la personne responsable des données.
Sur les postes professionnels, séparez les disques de travail, les destinations de sauvegarde et les supports d'installation. Restreignez les droits de formatage et documentez les procédures de remise à zéro.
Les sauvegardes versionnées protègent contre une erreur découverte tardivement. Une synchronisation qui reproduit le volume vide n'est pas suffisante. Gardez au moins une version hors ligne ou immuable pendant une durée adaptée.
Enfin, prévoyez la réponse à l'incident : qui arrête la machine, qui note l'opération et où se trouvent les clés de chiffrement ? Une procédure de cinq minutes évite les réinstallations réflexes qui transforment un formatage parfois analysable en écrasement massif.
Sources techniques primaires et limites
Le NIST SP 800-86 recommande une collecte traçable et un examen sur des copies. Ce cadre ne qualifie ni les têtes, les surfaces, les alimentations, le pont d’interface ou les zones non lues du disque reçu, et ne permet pas de confondre détection et récupération vérifiée.
Faire qualifier le dossier « Formatage : limites en récupération de données »
Transmettez à Datastrophe le disque et son boîtier éventuel, les alimentations et câbles, la chronologie de l’incident et des essais, les journaux de copie et la liste des données prioritaires. Les codes, clés et éléments d’authentification autorisés sont communiqués par un canal distinct ; ils ne sont jamais inscrits sur le support ni dans le colis.
Datastrophe réalise directement le diagnostic, les contrôles d’intégrité et la récupération dans son laboratoire, avec sa propre équipe. Le diagnostic et le devis sont gratuits. Le transport privé aller et retour est systématiquement pris en charge ; le transporteur déplace uniquement le colis scellé, sans accéder aux données ni les traiter.
Avant tout paiement, le client reçoit le prix proposé et une liste contrôlée. Chaque élément y est classé, dans cet ordre, recoverable_verified, partial, detected_unverified ou unrecoverable. Seuls les éléments recoverable_verified, dont le contenu a été contrôlé et jugé exploitable, sont présentés comme récupérables. Le client paie seulement après avoir accepté la liste et le prix ; la préparation du résultat et la restitution interviennent ensuite.
Si aucune donnée exploitable n’est vérifiée, si la récupération échoue ou si le client refuse la liste ou le prix, aucun frais standard n’est dû. La seule exception concerne une pièce rare, coûteuse et non remboursable : elle ne peut être commandée qu’après une proposition séparée, explicite et chiffrée.