Supprimer un fichier ou formater un disque ne l'efface pas physiquement : sur un disque dur, la donnée reste sur les plateaux, intacte, tant qu'aucune nouvelle donnée n'a été écrite par-dessus. Vos chances de récupération sont donc souvent bonnes après une suppression ou un formatage accidentel, à une condition impérative : arrêtez immédiatement d'utiliser le support concerné. Chaque minute où l'ordinateur continue de tourner peut recouvrir ce que vous cherchez à sauver, car les mises à jour et autres processus automatiques écrivent précisément dans l'espace « libéré ». Sur un SSD, où le mécanisme TRIM efface vite les données supprimées, il faut agir encore plus vite.

La suite explique pourquoi une suppression n'est pas un effacement, où se cache le vrai danger, et pourquoi le logiciel de récupération que vous êtes tenté de télécharger peut faire plus de mal que de bien.

Ce qui se passe vraiment quand vous supprimez un fichier

Sous Windows, une suppression classique ne va nulle part : elle passe par la corbeille. Le fichier est retiré de sa place, mais conservé dans une sorte de zone tampon d'où l'on peut encore le sortir. Ce n'est qu'en vidant la corbeille que l'on croit l'effacer pour de bon.

Sauf que « pour de bon » est trompeur. Quand vous videz la corbeille, le système note que le fichier n'existe plus, mais sur les plateaux d'un disque dur, la donnée reste physiquement présente. Pourquoi ? Parce qu'effacer réellement le contenu prendrait beaucoup de temps : il faudrait réécrire par-dessus, secteur par secteur, ce qui solliciterait énormément le disque à chaque suppression. Le système ne s'embarrasse pas de ce travail ; il se contente de rayer une ligne dans son registre.

Ce registre s'appelle la table d'allocation, ou index : le répertoire qui indique au système quels fichiers existent et où leurs données se trouvent physiquement sur le disque. Pour le comprendre, imaginez un livre. La table d'allocation est le sommaire. Chaque chapitre correspond à un fichier, et le sommaire indique à quelle page il commence, c'est-à-dire où la donnée se trouve sur le disque. Quand vous supprimez un fichier, le système n'arrache pas les pages : il efface la ligne correspondante dans le sommaire. Les pages, elles, sont toujours là. Il suffit de savoir les retrouver.

C'est toute la raison pour laquelle la récupération est possible. Tant que personne n'a réécrit par-dessus, le chapitre entier attend, invisible mais intact.

Le vrai danger : réécrire par-dessus

Si la donnée reste là, qu'est-ce qui peut mal tourner ? La réécriture.

Une fois le fichier supprimé, le système considère l'espace qu'il occupait comme disponible. À la première occasion, il voudra y écrire de nouvelles données. Si vous venez de supprimer un gros fichier et que le système doit en enregistrer un autre, ou plusieurs petits, cet espace fraîchement « libéré » sera même privilégié. Les nouvelles données s'installent alors exactement là où se trouvaient les anciennes, et les recouvrent définitivement.

Le piège, c'est que vous n'avez pas besoin de faire quoi que ce soit pour déclencher ce processus. Un ordinateur allumé travaille en permanence, sans vous. Windows ou macOS téléchargent et installent des mises à jour, qui vont chercher de la place là où il y en a, donc dans l'espace qui contient vos données supprimées. L'antivirus écrit ses fichiers. La défragmentation automatique réorganise le disque. Tous ces processus, involontaires et invisibles, se disputent l'espace libre et peuvent recouvrir, morceau par morceau, ce que vous espériez récupérer.

D'où la règle absolue : dès qu'une suppression accidentelle a eu lieu, cessez d'utiliser le système d'exploitation qui tourne sur ce disque. N'enregistrez rien, n'installez rien, et si possible éteignez l'appareil. Le même principe vaut pour un téléphone : continuer à l'utiliser, c'est laisser les processus d'arrière-plan travailler contre vous.

Disque dur ou SSD : la nuance qui change tout

Cette bonne nouvelle, « la donnée reste là », connaît une exception majeure, et elle dépend du type de support.

Sur un disque dur classique, mécanique, l'écriture est relativement lente. Aucun système ne s'amuse à réécrire spontanément des secteurs qui semblent libres : ce serait contre-productif et inutilement lent. Vos données supprimées peuvent donc survivre longtemps, tant que rien ne vient les recouvrir.

Sur un SSD, c'est une autre histoire. Le TRIM est une commande qui permet au SSD d'effacer réellement les blocs marqués comme libres, afin de maintenir ses performances d'écriture. Concrètement, après une suppression, le SSD peut purger physiquement vos données en quelques minutes, de sa propre initiative. La fenêtre de récupération est donc bien plus courte, et l'arrêt du support doit être encore plus rapide. C'est l'une des grandes différences entre récupérer un disque dur et récupérer un SSD.

Formatage, repartitionnement : rapide ou complet, tout se joue là

Supprimer un fichier ou un dossier, c'est effacer ses entrées une à une dans l'index. Un formatage procède autrement : au lieu de retirer les lignes du sommaire une par une, il remet la table d'allocation entière à zéro d'un coup. La table devient minuscule, comme un sommaire vierge.

Mais l'ancien contenu, lui, est toujours là, et souvent l'ancienne table d'allocation aussi, retrouvable parce qu'elle était plus grande. C'est ce qui permet, après un simple formatage, de reconstruire entièrement la structure des fichiers. Le même principe s'applique au repartitionnement : on récrit l'organisation, mais les données sous-jacentes subsistent.

Encore faut-il distinguer deux types de formatage, car ils n'ont rien de comparable :

	Formatage rapide	Formatage complet
Ce qu'il fait	Recrée seulement le sommaire (la table d'allocation)	Recrée la table, puis remet chaque secteur à zéro
Les données	Toujours présentes physiquement	Réellement effacées, secteur par secteur
Durée	Quasi instantané	Plusieurs heures sur un disque de plusieurs To
Récupération	Souvent possible	Très compromise

Autrement dit, un formatage rapide n'efface presque rien de vos données, tandis qu'un formatage complet les écrase méthodiquement. Si vous avez le choix au moment de formater et que vous doutez, le formatage rapide laisse toujours une porte de sortie.

Les logiciels de récupération : quand ils sauvent, quand ils détruisent

Face à une suppression, le réflexe est de chercher un logiciel de récupération. Il en existe beaucoup, de fiabilités et de principes très variables. Certains sont bons. Mais presque tous partagent le même défaut de conception : ils ne figent pas l'état du disque avant de travailler. Ils ne commencent pas par en faire une copie bit à bit pour opérer sur la copie ; ils travaillent directement sur votre support.

Voici le scénario que nous voyons arriver au laboratoire, encore et encore. Un client supprime des données importantes, puis télécharge un logiciel de récupération. Première erreur : il l'installe sur le disque même qu'il veut sauver. Or installer un programme, c'est écrire des fichiers dans l'espace libre, c'est-à-dire précisément là où dorment les données supprimées. Le premier logiciel ne le convainc pas ? Il en essaie un deuxième, puis un troisième, chacun s'installant au même endroit et recouvrant un peu plus les données. Pendant ce temps, Windows lance une mise à jour en arrière-plan, qui écrit elle aussi dans cet espace.

Vient la seconde erreur, plus fatale encore. Un logiciel finit par retrouver des fichiers ; soulagé, le client les restaure sur ce même disque. Le programme lit alors les données et les réécrit là où il y a de la place : dans l'espace libre, donc sur les données qu'il est en train de sauver. Il détruit ce qu'il vient de trouver. Résultat le plus fréquent : la perte définitive de ce qui aurait pu être récupéré.

Cela ne veut pas dire que ces logiciels sont mauvais. Ils peuvent rendre service. Tout est dans la manière : a-t-on figé le support ? A-t-on fait une copie de sécurité avant ? Restaure-t-on vers un autre disque que celui à récupérer ? C'est la manipulation qui compte, pas l'outil. Un ciseau à bois se vend à tout le monde ; il ne fait pas de tout le monde un sculpteur.

Ce qu'un laboratoire fait à votre place

Notre démarche commence là où celle des logiciels grand public échoue : par la protection du support. La première étape est une copie bit à bit du disque, réalisée en lecture seule ; le support est physiquement bloqué en écriture par nos outils (un bloqueur d'écriture matériel), de sorte qu'aucun système ne peut y inscrire quoi que ce soit. Nous obtenons ainsi une copie parfaite de tous les secteurs, et nous ne travaillons ensuite que sur cette copie. Vos données originales, elles, ne bougent plus.

Sur cette copie, nous lançons des scans multiples pour reconstituer l'arborescence à partir des index effacés : retrouver le sommaire, en somme, pour rendre à chaque fichier son nom et son dossier. Quand les index sont trop abîmés pour cela, nous travaillons directement sur les fichiers eux-mêmes, par une technique appelée carving : la récupération de fichiers à partir de leur signature binaire, sans passer par l'index. Nous cherchons dans les données brutes les octets caractéristiques par lesquels commence chaque type de fichier, un JPG, un PDF, et ainsi de suite. Cette méthode récupère des fichiers qui n'ont plus aucun index, au prix d'une limite : on perd le nom d'origine et l'emplacement dans l'arborescence.

Nous allons souvent plus loin. Pour des photos récupérées sans nom, nous exploitons les données EXIF intégrées à chaque image pour leur redonner des noms compréhensibles, avec date et informations de prise de vue. Et pour des formats plus rares, comme le DICOM utilisé pour l'imagerie médicale, il nous est arrivé de développer nos propres logiciels de détection afin d'extraire ces fichiers que les outils standard ignorent.

Questions fréquentes

Un fichier supprimé est-il vraiment effacé ?

Non. Sur un disque dur, supprimer un fichier (même en vidant la corbeille) ne retire que son entrée dans l'index : la donnée reste physiquement présente sur les plateaux tant qu'aucune nouvelle donnée n'a été écrite par-dessus. C'est ce qui rend la récupération possible.

Que faire immédiatement après avoir supprimé ou formaté par erreur ?

Cessez d'utiliser le support sur-le-champ : n'enregistrez rien, n'installez rien, et si possible éteignez l'appareil. Chaque écriture, y compris les mises à jour et l'antivirus qui tournent en arrière-plan, peut recouvrir les données à récupérer. N'installez pas de logiciel de récupération sur le disque concerné.

Peut-on récupérer des données après un formatage ?

Souvent, oui, surtout après un formatage rapide, qui ne recrée que la table d'allocation en laissant les données et l'ancienne table en place. Un formatage complet, qui remet chaque secteur à zéro, rend en revanche la récupération très compromise. Le repartitionnement suit le même principe que le formatage rapide.

Peut-on récupérer un fichier supprimé sur un SSD ?

C'est beaucoup plus incertain que sur un disque dur. Le mécanisme TRIM des SSD efface réellement les blocs marqués libres, souvent en quelques minutes. Il faut donc arrêter d'utiliser le SSD immédiatement ; passé un court délai, les données supprimées peuvent être définitivement perdues.

Les logiciels de récupération de données sont-ils fiables ?

Ils peuvent aider, mais leur défaut commun est de travailler directement sur le disque à récupérer, sans le figer. Installer le logiciel, scanner, puis restaurer les fichiers sur le même disque écrit dans l'espace libre où se trouvent justement les données à sauver, et les détruit. Si vous en utilisez un, installez-le et restaurez vers un autre disque.

Qu'est-ce que le carving en récupération de données ?

Le carving est une technique qui récupère les fichiers à partir de leur signature binaire, sans l'index. On identifie dans les données brutes les octets qui marquent le début d'un JPG, d'un PDF, etc. Elle permet de sauver des fichiers dont l'index est détruit, mais fait perdre le nom d'origine et l'emplacement dans les dossiers.