Analyse
Identifier le support avant toute tentative
Un support physique peut être un disque dur interne, un disque externe, un SSD, une clé USB, une carte mémoire, un ensemble RAID, un NAS ou un support intégré à un ordinateur. Ces familles n'ont pas les mêmes composants, les mêmes symptômes ni les mêmes limites. Parler de récupération de données sans nommer le support revient à manquer la moitié du diagnostic.
Le disque dur mécanique dépend de plateaux, de têtes de lecture, d'un moteur et d'une électronique. Le SSD et les supports flash reposent sur un contrôleur, de la mémoire NAND et parfois du chiffrement. Un RAID ou un NAS ajoute une couche de configuration qui détermine l'ordre des disques, la parité, les volumes et les dépendances système.
La famille du média fixe le seuil d'arrêt. Un HDD qui claque risque une dégradation mécanique à chaque rotation ; un SSD qui disparaît peut dépendre d'un contrôleur ou du chiffrement ; une baie ne peut être comprise sans tous ses membres et sa topologie. Appliquer le même scan à ces trois cas confond accès logique et stabilité physique.
Une première orientation par famille de support
| Support | Élément déterminant | Alerte qui impose l'arrêt |
|---|---|---|
| Disque dur | Mécanique, surfaces, micrologiciel et électronique | Claquement, frottement ou disparition répétée |
| SSD / NVMe | Contrôleur, NAND, traduction et chiffrement | Capacité incohérente, forte chauffe ou réponse intermittente |
| Clé USB / carte | Connecteur, contrôleur flash, mémoire | Faux contact, demande de formatage, déconnexions |
| RAID / NAS | Membres, ordre, paramètres et contrôleur | Rebuild imprévu ou plusieurs disques en défaut |
Ce tableau oriente la préservation ; il ne remplace pas le diagnostic. Un même message du système peut provenir d'une panne physique ou d'une structure logique endommagée.
La localisation fonctionnelle complète l'inventaire matériel. Un fichier vu dans une application peut dépendre d'un volume chiffré, d'une base et de journaux stockés ailleurs ; un partage NAS peut s'appuyer sur plusieurs disques. Il faut donc préserver le chemin complet entre support, conteneur et donnée attendue.
Analyse
Séparer symptôme, cause et donnée recherchée
Le symptôme est ce que l'utilisateur voit : disque non reconnu, demande de formatage, fichier disparu, volume vide, lenteur, bruit, message d'erreur ou service inaccessible. La cause peut être physique, électronique, logique, applicative ou liée à une écriture interrompue. La donnée recherchée est encore autre chose : quelques fichiers, une base, des photos, des vidéos ou un volume complet.
Cette séparation change la stratégie. Si la priorité porte sur un dossier précis, la récupération peut chercher à obtenir rapidement une copie fiable de cette zone. Si l'objectif est de reconstruire tout un volume, le diagnostic doit mesurer l'état global du support. Si le support est instable, la priorité devient la préservation avant l'exhaustivité.
Chaque action après le symptôme est un événement technique : une réparation réécrit des structures, un formatage en crée de nouvelles, un système démarré sur SSD peut exécuter le TRIM et une baie relancée peut resynchroniser. Noter ordre, heure et résultat de ces actions permet d'évaluer quelles traces restent interprétables.
Nommer séparément ce qui est vu et ce qui est supposé
« Le disque n'apparaît pas dans le Finder » est un symptôme vérifiable. « La carte électronique est morte » est une hypothèse tant qu'elle n'a pas été mesurée. « Il faut récupérer la base clients depuis mardi » décrit le besoin. Cette séparation empêche qu'un diagnostic supposé dicte une intervention inadaptée.
Le bon premier geste est celui qui reste réversible. Débrancher un support suspect, photographier une baie et conserver un message d'erreur laissent des options. Initialiser, reformater ou réparer sur l'original crée de nouvelles écritures.
Le triage Datastrophe consigne séparément identité du média, comportement observé, hypothèses, écritures postérieures et périmètre utile. Ces cinq éléments conduisent à un geste mesurable — arrêt, acquisition, inventaire de baie ou contrôle logique — sans transformer un message d'erreur en certitude ni annoncer un résultat avant lecture.
Analyse
Préserver l'original avant de chercher les fichiers
La récupération de données sérieuse commence souvent par un geste simple : arrêter d'utiliser le support. Chaque écriture peut remplacer une zone utile. Chaque redémarrage peut solliciter une mécanique fragile. Chaque scan peut multiplier les lectures sur des secteurs déjà instables.
Quand le support répond encore, l'objectif n'est pas de l'explorer longuement depuis l'ordinateur de travail. Il faut d'abord décider si une copie technique est possible. Cette copie permet ensuite d'analyser les fichiers sans exposer l'original à des tentatives répétées.
Copie de fichiers et image technique ne répondent pas au même besoin
Une copie de fichiers utilise le système de fichiers déjà monté : elle convient à un support stable et à des données clairement accessibles. Une image technique cherche à reproduire les zones lisibles tout en suivant les erreurs ; elle devient préférable si le support ralentit, disparaît ou contient une structure endommagée. Dans les deux cas, la destination doit être un autre support sain.
La préservation prend une forme différente selon la technologie : couper l'alimentation d'un HDD bruyant, immobiliser le connecteur d'une clé, refuser l'initialisation d'une carte ou éviter les cycles d'un SSD à capacité variable. Le principe commun n'est pas « ne rien faire », mais empêcher l'action qui consomme l'état encore disponible.
Le processus de récupération décrit le passage de l'inventaire au diagnostic, puis à la copie et à la restitution. Cette vue d'ensemble aide à préparer le dossier ; le choix des mesures reste ensuite propre à la mécanique, à la flash ou à la topologie multi-disques rencontrée.
Analyse
Comprendre les limites selon la technologie
Un disque dur peut être limité par des secteurs illisibles, des têtes endommagées, des plateaux marqués ou une électronique défaillante. Un SSD peut être limité par un contrôleur inaccessible, une mémoire flash dégradée, un chiffrement actif ou des tables internes incohérentes. Une carte mémoire peut devenir illisible après une écriture interrompue ou une usure avancée.
Les limites ne signifient pas automatiquement impossibilité. Elles indiquent surtout que le résultat doit être mesuré. Certains fichiers peuvent être valides, d'autres partiels, corrompus ou absents. Le diagnostic doit expliquer cette différence au lieu de promettre une récupération globale.
Le laboratoire et la salle blanche ne sont pas des synonymes
Le laboratoire rassemble l'instrumentation nécessaire aux mesures électroniques, lectures contrôlées, copies et reconstructions logiques. La salle blanche n'est pertinente que lorsqu'un disque dur mécanique doit être ouvert pour une intervention interne maîtrisée. Elle n'améliore pas une suppression logique, un SSD non reconnu, une clé USB cassée ou un RAID mal configuré.
Pour un RAID ou un NAS, chaque membre n'est qu'une pièce d'un assemblage. Il faut conserver les positions, les numéros de série, le niveau déclaré, la taille de bande, le contrôleur, les anciens remplacements et l’historique des rebuilds. Tester isolément « le disque qui marche » peut produire une lecture sans rapport avec le volume logique recherché.
L'orientation se poursuit donc vers le parcours correspondant au média. Le socle reste la réversibilité : stopper les écritures, mesurer la stabilité, copier sur une destination saine quand c'est possible et analyser la copie. Les outils, limites et critères de validation changent ensuite entre HDD, flash et ensembles complexes.
Analyse
Préparer un dossier exploitable
Un dossier de récupération gagne en efficacité quand les informations utiles sont réunies dès le début. Le modèle du support, la capacité, l'appareil d'origine, le système utilisé, le message affiché, la date de la panne et les actions tentées orientent le diagnostic.
Checklist avant emballage ou dépôt
- Étiqueter chaque support sans masquer son numéro de série ;
- Conserver l'ordre des disques d'une baie et joindre les éléments retirés ;
- Protéger connecteurs et boîtiers contre les chocs et l'électricité statique ;
- Joindre alimentation ou adaptateur seulement s'ils peuvent participer à la panne ;
- Fournir la chronologie et les données prioritaires sur une note séparée ;
- Ne pas remettre sous tension pour obtenir une dernière capture.
La liste des données prioritaires est tout aussi importante. Elle peut préciser des dossiers, des extensions, une période, une application ou un utilisateur. Sans priorité, le laboratoire peut récupérer beaucoup d'éléments secondaires sans répondre au besoin réel.
Les accessoires ne sont joints que s'ils participent à la chaîne d'accès : alimentation d'un boîtier, tiroir numéroté, adaptateur propriétaire, contrôleur, appareil d'origine ou éléments nécessaires au déchiffrement. Ils sont étiquetés séparément. Leur présence peut distinguer un défaut d'interface d'une panne du média sans réassembler le système au hasard.
Il n'existe pas de recette unique pour un support physique. La méthode part de l'architecture et du symptôme, choisit le seuil d'arrêt, produit si possible une acquisition journalisée, puis reconstruit et contrôle les données prioritaires. Chaque étape doit laisser davantage d'informations qu'elle n'en détruit.
Le dossier distingue preuve, indice et hypothèse. Une capacité correctement affichée prouve seulement que l'interface répond ; une arborescence visible ne garantit pas les blocs ; un aperçu ne valide pas le fichier complet. Cette gradation permet d'expliquer les limites sans convertir une première lecture favorable en promesse globale.
Les critères de restitution sont fixés avant l'analyse : arborescence et droits pour un partage, dates et noms pour des archives, journaux associés pour une base, continuité temporelle pour une vidéo. Le résultat se juge sur ces usages contrôlés et sur les lacunes déclarées, non sur le seul nombre d'objets exportés.
Sources techniques primaires et limites
Le NIST SP 800-86 recommande une collecte traçable et un examen sur des copies. Ce cadre ne qualifie ni les têtes, les surfaces, les alimentations, le pont d’interface ou les zones non lues du disque reçu, et ne permet pas de confondre détection et récupération vérifiée.
Faire qualifier le dossier « Supports physiques : bases de récupération »
Transmettez à Datastrophe le disque et son boîtier éventuel, les alimentations et câbles, la chronologie de l’incident et des essais, les journaux de copie et la liste des données prioritaires. Les codes, clés et éléments d’authentification autorisés sont communiqués par un canal distinct ; ils ne sont jamais inscrits sur le support ni dans le colis.
Datastrophe réalise directement le diagnostic, les contrôles d’intégrité et la récupération dans son laboratoire, avec sa propre équipe. Le diagnostic et le devis sont gratuits. Le transport privé aller et retour est systématiquement pris en charge ; le transporteur déplace uniquement le colis scellé, sans accéder aux données ni les traiter.
Avant tout paiement, le client reçoit le prix proposé et une liste contrôlée. Chaque élément y est classé, dans cet ordre, recoverable_verified, partial, detected_unverified ou unrecoverable. Seuls les éléments recoverable_verified, dont le contenu a été contrôlé et jugé exploitable, sont présentés comme récupérables. Le client paie seulement après avoir accepté la liste et le prix ; la préparation du résultat et la restitution interviennent ensuite.
Si aucune donnée exploitable n’est vérifiée, si la récupération échoue ou si le client refuse la liste ou le prix, aucun frais standard n’est dû. La seule exception concerne une pièce rare, coûteuse et non remboursable : elle ne peut être commandée qu’après une proposition séparée, explicite et chiffrée.