Analyse
Partir d'une copie technique exploitable
La reconstruction de données ne commence pas par les fichiers visibles. Elle commence par une copie technique du support, quand l'état du média le permet. Cette copie peut être complète, partielle ou priorisée selon les zones lisibles. Son rôle est de préserver l'original et de fournir une base de travail stable.
Un support endommagé peut répondre par intermittence, bloquer sur certains secteurs, présenter une capacité incohérente ou afficher une arborescence trompeuse. Dans ce contexte, une copie classique par dossier peut insister sur les zones faibles et perdre du temps sur des fichiers secondaires.
Le journal d'acquisition donne une provenance à chaque bloc utilisé : lecture directe, passe de reprise, zone jamais tentée ou erreur persistante. La reconstruction peut ainsi rattacher un fichier incomplet aux secteurs réellement absents, au lieu d'attribuer indistinctement toute corruption au système de fichiers.
Une image utile conserve une carte de lecture
La stratégie ne consiste pas à relire chaque secteur jusqu'à épuisement. Elle commence par les zones accessibles, réduit les sollicitations sur les zones lentes et revient de manière contrôlée sur ce qui manque. Une carte associe chaque plage à un état — lue, non tentée, instable ou illisible — afin que toute nouvelle passe ait un objectif mesurable. Une copie sans journal d'erreurs masque les lacunes et rend la validation moins fiable.
Salle blanche : seulement pour un besoin mécanique établi. L'ouverture en environnement maîtrisé concerne certains disques durs dont les composants internes doivent être inspectés ou remplacés. Elle ne répare pas un système de fichiers, un SSD, une clé USB ou une corruption logique, et n'est pas une étape automatique de reconstruction.
Le diagnostic du support endommagé détermine d'abord si l'alimentation, la mécanique, l'électronique ou la mémoire autorise une acquisition. La reconstruction ne commence qu'avec un jeu de lectures stabilisé et une liste explicite des zones manquantes.
Analyser l'arborescence sur le média malade oblige souvent les outils à revenir sans cesse sur les mêmes tables et fragments. Une image de travail découple ces parcours logiques de l'état physique : on peut tester une hypothèse, indexer ou revenir en arrière sans rallumer le support pour chaque question.
Analyse
Comprendre le rôle des métadonnées
Les métadonnées décrivent l'organisation des fichiers : noms, dossiers, tailles, dates, fragments, systèmes de fichiers, journaux ou index. Quand elles sont intactes, la récupération peut retrouver une structure proche de l'original. Quand elles sont corrompues, la reconstruction devient plus incertaine.
Un fichier peut encore exister sans son chemin d'origine. Un dossier peut être listé alors que certains contenus sont illisibles. Une base peut être présente mais incohérente. La reconstruction doit donc relier les fragments disponibles aux informations encore fiables.
Les écritures postérieures doivent être datées et qualifiées. Un formatage rapide peut recréer des structures, une réparation peut relier ou libérer des entrées, tandis qu'une restauration peut réoccuper les blocs recherchés. Elles ne produisent pas le même dommage ; leur chronologie indique quelles métadonnées restent crédibles et où une recherche par contenu devient nécessaire.
Restituer des fichiers et remettre le matériel en production sont deux objectifs incompatibles. Une lecture peut être suffisante pour acquérir certaines zones sans rendre le contrôleur, la NAND ou la mécanique fiable. Après l'acquisition, le média reste isolé ; aucun résultat n'est copié dessus et aucune « remise en état » n'est déduite du taux de lecture.
Un stockage propriétaire ajoute souvent des relations invisibles dans un explorateur : index temporel d'un DVR, géométrie RAID d'un NAS, chaîne de snapshots d'une VM ou catalogue d'une application. Extraire les blocs du média n'est alors qu'un début ; il faut retrouver ces relations ou documenter ce que leur absence empêche de valider.
Structure retrouvée et fichiers par signature ne se valent pas
| Méthode logique | Avantage | Limite visible dans la restitution |
|---|---|---|
| Métadonnées du système de fichiers | Noms, dossiers, dates et fragments associés | Dépend de leur intégrité |
| Journal ou index applicatif | Chronologie et relations métier possibles | Format parfois propriétaire ou partiel |
| Recherche par signature | Retrouve certains contenus sans arborescence | Noms et dossiers perdus, faux positifs possibles |
| Recoupement de plusieurs sources | Complète une version avec une autre | Exige une chronologie et une validation rigoureuses |
La recherche par signature ne sait pas toujours distinguer deux fragments contigus, un fichier supprimé ancien et un contenu actuel. Elle est utile en dernier recours, mais ne doit pas être présentée comme l'équivalent d'une arborescence reconstruite.
Analyse
Prioriser les fichiers au lieu de tout promettre
Quand le support est très dégradé, la stratégie doit être guidée par les données attendues. Comptabilité, contrats, vidéos, photos récentes, base métier ou projet client n'ont pas le même poids que des fichiers temporaires. La reconstruction utile commence par les priorités.
Cette priorisation influence l'ordre d'analyse. Certaines zones peuvent être lues avant d'autres. Des extensions ou signatures spécifiques peuvent être recherchées. Une base peut nécessiter plusieurs fichiers associés. Une archive peut être inutilisable si quelques blocs manquent.
Le volume brut est un mauvais indicateur de résultat. Quelques gigaoctets contenant la base cohérente, ses journaux et les pièces attendues peuvent répondre au besoin, tandis que des millions de fragments non nommés ne le font pas. Le diagnostic Datastrophe mesure donc le périmètre prioritaire couvert, les dépendances retrouvées et les lacunes constatées.
Décrire la priorité avec des critères vérifiables
Une demande exploitable indique :
- Les dossiers, utilisateurs ou partages attendus ;
- La période utile et, si possible, quelques noms de fichiers connus ;
- Les formats sensibles comme les bases, les archives, les vidéos ou les disques virtuels ;
- Les dépendances indispensables à l'application ;
- Un échantillon sain pouvant servir de référence.
Cette précision permet de lire d'abord les zones à forte valeur et de valider un résultat réel, plutôt que d'optimiser un nombre de fichiers sans rapport avec le besoin.
La fiche d'incident relie dernière utilisation saine, symptôme, tentatives et données attendues. Ces repères permettent de comparer les dates, les noms connus et les signatures avec les fragments retrouvés, puis d'écarter plus facilement une ancienne version ou un résidu sans rapport avec la perte.
Chaque priorité est décrite comme un ensemble fonctionnel. Une base réclame parfois données, journal et version de moteur ; une vidéo propriétaire, son flux, son index et la correspondance horaire ; un projet, ses médias liés et paramètres. Cette carte empêche de classer « récupéré » un composant isolé que rien ne permet d'exploiter.
Analyse
Valider les fichiers reconstruits
La validation est une étape à part entière. Un fichier présent dans une restitution n'est pas forcément exploitable. Il peut être partiel, corrompu, doublonné, ancien ou ouvert seulement par certains logiciels. La reconstruction doit donc être contrôlée.
Le contrôle commence par les fichiers prioritaires. Il faut vérifier leur ouverture, leur période, leur cohérence et leur usage réel. Pour une base, cela peut nécessiter l'application métier. Pour une archive, il faut vérifier l'extraction. Pour une vidéo, il faut contrôler la lecture utile, pas seulement l'existence du fichier.
La restitution sépare au minimum quatre états : contrôlé, lisible sans validation métier, partiel et non retrouvé. Un fichier reconstruit par signature sans nom ni date ne reçoit pas le même statut qu'un document ouvert depuis son chemin d'origine. Cette qualification évite qu'un simple compteur de fichiers masque les défauts.
Un statut explicite pour chaque résultat sensible
Un document peut être marqué « ouvert et contrôlé », une archive « extraite sans erreur », une base « importée mais cohérence métier à confirmer » et une vidéo « lisible avec lacunes entre deux horodatages ». Ces statuts sont plus utiles qu'une étiquette globale de réussite. Ils séparent le contrôle technique de la validation fonctionnelle qui appartient au détenteur des données.
Une reprise partielle devient possible lorsque la liste des manques est actionnable : période absente, table non validée, archive incomplète ou séquence tronquée. Le métier peut alors choisir une saisie manuelle, une autre source ou un fonctionnement dégradé. Sans ce périmètre, il risque de traiter une restitution lacunaire comme la référence complète.
Le protocole de contrôle est défini avant l'extraction : ouverture et pages attendues pour un document, test complet pour une archive, montage et requêtes ciblées pour une base, décodage continu et plage horaire pour une vidéo. Le détenteur des données confirme ensuite le sens métier que les seuls contrôles techniques ne peuvent établir.
Analyse
Expliquer les limites sans dramatiser
La reconstruction a des limites techniques. Des zones écrasées, une mémoire flash illisible, des plateaux fortement rayés, des métadonnées détruites ou un chiffrement sans clé peuvent empêcher certains résultats. Ces limites doivent être expliquées sans vocabulaire spectaculaire.
Il faut également éviter les promesses générales. Deux supports avec le même symptôme peuvent produire des résultats différents selon l'historique, les écritures, le type de système de fichiers et la priorité des données. La méthode réduit l'incertitude, elle ne l'annule pas.
Les résultats sont écrits sur une destination neuve ou préalablement vérifiée, distincte des images de travail. Elle doit accueillir les fichiers, les rapports d'erreurs et, si nécessaire, plusieurs versions sans écrasement. Le média source reste étiqueté et hors ligne jusqu'à l'acceptation du périmètre restitué.
Une reconstruction réussie n'implique pas la reproduction bit à bit de l'état antérieur. Elle fournit les ensembles prioritaires que les preuves disponibles permettent de contrôler, avec leur provenance et leurs défauts. Le verdict porte sur cet usage mesurable, jamais sur une promesse générale de retour « comme avant ».
Le périmètre déclaré sert également à minimiser l'exposition : les recherches ciblent formats, périodes et dossiers nécessaires, les copies techniques restent contrôlées et la restitution sépare les résultats demandés des fragments non pertinents. La conservation et la suppression des supports de travail suivent ensuite les règles convenues pour le dossier.
Sources techniques primaires et limites
Le NIST SP 800-86 recommande une collecte traçable et un examen sur des copies. Ce cadre ne qualifie ni les têtes, les surfaces, les alimentations, le pont d’interface ou les zones non lues du disque reçu, et ne permet pas de confondre détection et récupération vérifiée.
Faire qualifier le dossier « Reconstruction de données sur support endommagé »
Transmettez à Datastrophe le disque et son boîtier éventuel, les alimentations et câbles, la chronologie de l’incident et des essais, les journaux de copie et la liste des données prioritaires. Les codes, clés et éléments d’authentification autorisés sont communiqués par un canal distinct ; ils ne sont jamais inscrits sur le support ni dans le colis.
Datastrophe réalise directement le diagnostic, les contrôles d’intégrité et la récupération dans son laboratoire, avec sa propre équipe. Le diagnostic et le devis sont gratuits. Le transport privé aller et retour est systématiquement pris en charge ; le transporteur déplace uniquement le colis scellé, sans accéder aux données ni les traiter.
Avant tout paiement, le client reçoit le prix proposé et une liste contrôlée. Chaque élément y est classé, dans cet ordre, recoverable_verified, partial, detected_unverified ou unrecoverable. Seuls les éléments recoverable_verified, dont le contenu a été contrôlé et jugé exploitable, sont présentés comme récupérables. Le client paie seulement après avoir accepté la liste et le prix ; la préparation du résultat et la restitution interviennent ensuite.
Si aucune donnée exploitable n’est vérifiée, si la récupération échoue ou si le client refuse la liste ou le prix, aucun frais standard n’est dû. La seule exception concerne une pièce rare, coûteuse et non remboursable : elle ne peut être commandée qu’après une proposition séparée, explicite et chiffrée.