Un fichier supprimé n'est pas effacé. Le système retire son entrée de l'index et déclare son emplacement disponible, mais le contenu reste écrit sur le support, intact, jusqu'à ce qu'une nouvelle écriture prenne sa place. C'est ce décalage qui rend la récupération possible, et c'est lui qui se referme à chaque usage.
Fichiers supprimés par erreur ? N'écrivez plus rien sur le support.
Ce que fait le système quand vous supprimez un fichier
Trois opérations, et une seule concerne vraiment les données.
Le système retire le nom du fichier de l'index qui répertorie le contenu du support. Le fichier disparaît de l'affichage, c'est cette étape que voit l'utilisateur.
Il marque ensuite comme disponibles les unités d'allocation, les clusters, qui contenaient le fichier. Elles deviennent utilisables pour une prochaine écriture.
Il ne fait rien de plus. Le contenu du fichier, lui, n'est ni écrasé, ni brouillé, ni déplacé(opens in new tab). Il reste exactement où il était, octet pour octet, jusqu'à ce que le système décide d'écrire autre chose à cet endroit.
Supprimer un fichier, c'est donc retirer son adresse du carnet, pas raser la maison.
La corbeille n'est qu'un dossier
Envoyer un fichier à la corbeille ne supprime rien du tout. Le fichier est simplement déplacé dans un dossier caché du support, et le système garde de côté son emplacement d'origine pour pouvoir le restaurer.
Tant qu'il est dans la corbeille, il occupe toujours la même place et il n'est pas récupérable au sens technique : il est simplement rangé ailleurs.
Vider la corbeille déclenche la vraie suppression, celle décrite plus haut. Le fichier quitte l'index et son emplacement passe en disponible. C'est à ce moment que le compte à rebours commence.
Une corbeille vidée par erreur n'est donc pas une catastrophe, à une condition : cesser d'utiliser le support tout de suite.
Maj Suppr ne supprime pas davantage
La combinaison qui contourne la corbeille donne exactement le même résultat que vider la corbeille. Elle saute l'étape intermédiaire, rien de plus.
Le fichier n'est pas plus effacé, il n'est pas écrasé, aucune surcharge n'est appliquée. La seule différence est qu'il n'y a pas eu de passage par le dossier caché.
La même remarque vaut pour la suppression depuis une invite de commandes, depuis un logiciel tiers, ou par un programme qui nettoie l'espace disque. Aucun de ces gestes n'écrit sur la zone concernée.
Où l'index note l'emplacement des fichiers
C'est cet index qui décide de ce que l'on retrouvera, et sous quelle forme.
Sur un support Windows en NTFS, l'index s'appelle la MFT. Elle enregistre pour chaque fichier son nom, sa taille, ses dates et la liste des zones qu'il occupe. Une entrée supprimée y reste souvent présente, simplement marquée comme libre, ce qui permet de retrouver le fichier avec son nom d'origine. Quand cette table est endommagée, on entre dans le cas d'un système NTFS corrompu(opens in new tab).
Sur un support en FAT ou exFAT, souvent une clé USB ou une carte mémoire, l'index est plus rudimentaire et le premier caractère du nom est remplacé au moment de la suppression. Le nom est donc partiellement perdu dès la première seconde.
Quand l'index lui même a disparu, après un formatage ou une corruption, les fichiers se retrouvent par leur signature, c'est à dire par l'en tête propre à chaque format. Ils sont alors ouvrables mais anonymes, et il faut les retrier. C'est la différence entre récupérer des fichiers et récupérer une arborescence.
Ce qui referme la fenêtre
Une seule chose détruit réellement un fichier supprimé : une nouvelle écriture au même endroit.
Le système ne prévient pas. Il choisit un emplacement disponible et y écrit, sans savoir ni se soucier de ce qui s'y trouvait. Un fichier temporaire, une mise à jour, une miniature d'image, un journal d'application suffisent.
C'est pourquoi la question n'est jamais depuis combien de temps le fichier a été supprimé, mais combien le support a servi depuis. Un support débranché le jour même et confié un an plus tard rend ses fichiers. Un support gardé en service une semaine les a souvent perdus.
Un support presque plein aggrave encore la situation, parce que le système a peu d'emplacements disponibles et réutilise très vite ceux qui viennent de se libérer.
Les gestes à faire dans l'heure sont détaillés sur la page que faire en cas de perte de données(opens in new tab).
Le cas du SSD, où la fenêtre se referme seule
Sur un disque SSD, tout ce qui précède reste vrai, sauf le calendrier.
Une mémoire flash ne peut pas réécrire par dessus une cellule occupée, elle doit d'abord l'effacer. Pour ne pas ralentir au moment de l'écriture, le disque prend les devants : le système lui signale les emplacements libérés par une commande dédiée, et le contrôleur les efface en arrière plan, sans attendre que quoi que ce soit doive y être écrit.
Autrement dit, un fichier supprimé sur un SSD peut disparaître définitivement en quelques minutes, disque allumé, personne devant le clavier, aucune écriture en cours.
C'est la raison pour laquelle un SSD se débranche encore plus vite qu'un disque dur. Le détail est sur la page récupération de données sur disque SSD(opens in new tab).
Suppression, formatage et destruction, trois choses différentes
On les confond souvent, et les conséquences n'ont rien à voir.
La suppression retire une entrée de l'index et libère un emplacement. Le contenu reste.
Le formatage rapide remet à zéro l'index entier, donc tous les fichiers d'un coup, sans toucher aux contenus. Le cas est traité sur la page récupération de données sur disque dur formaté(opens in new tab).
La destruction, elle, réécrit réellement la surface ou détruit le support. C'est la seule opération qui efface pour de bon, et c'est justement ce qu'il faut faire avant de revendre un disque. La méthode est décrite sur la page détruire un disque dur définitivement.(opens in new tab)
Retenir la hiérarchie évite l'erreur classique : formater un disque avant de le donner ne protège rien, et supprimer des fichiers encore moins.
Ce qui reste récupérable, et sous quelle forme
Trois résultats possibles, du meilleur au moins bon.
Le fichier remonte complet, avec son nom, sa date et son dossier d'origine. C'est le cas quand l'index conserve encore son entrée, ce qui est fréquent en NTFS peu après la suppression.
Le fichier remonte complet mais anonyme, retrouvé par signature, à retrier à la main. C'est le cas quand l'index a disparu.
Le fichier remonte partiel, parce qu'une partie de ses emplacements a déjà été réutilisée. Un document ou une archive dans cet état est souvent inexploitable, une vidéo ou une image reste généralement lisible avec un défaut.
Le détail par situation est sur la page des données perdues sur un disque dur(opens in new tab), et le traitement en laboratoire d'une suppression sur la page récupération de données supprimées sur disque dur(opens in new tab).
Dans tous les cas, le travail se fait sur un clone du support, jamais sur l'original, selon les méthodes de récupération de données(opens in new tab) adaptées à son état.
Chaque écriture referme un peu la fenêtre. Agissez pendant qu'elle est ouverte.
FAQ - Fichier supprimé
Un fichier supprimé est il vraiment effacé ?
Non. Le système retire son nom de l'index et déclare son emplacement disponible, mais le contenu reste écrit sur le support. Il n'est réellement perdu que le jour où une nouvelle écriture prend sa place, et rien ne signale ce moment.
Combien de temps un fichier supprimé reste il récupérable ?
Il n'y a pas de durée. Sur un disque dur débranché, il reste récupérable indéfiniment. Sur un disque dur en service, quelques heures d'utilisation suffisent parfois à le détruire. Sur un disque SSD allumé, il peut disparaître en quelques minutes sans qu'on y touche.
J'ai vidé la corbeille par erreur, que faire ?
Cesser immédiatement d'utiliser le support, et ne rien y installer. Vider la corbeille ne fait que libérer l'emplacement des fichiers, leur contenu est encore là. Chaque minute d'utilisation supplémentaire donne au système une occasion d'écrire par dessus.
Maj Suppr efface t il définitivement un fichier ?
Non, pas plus que vider la corbeille. Cette combinaison saute simplement l'étape de la corbeille. Le fichier n'est pas écrasé, son emplacement est seulement déclaré disponible, exactement comme dans une suppression ordinaire.
Retrouve t on le nom des fichiers supprimés ?
Souvent oui sur un support Windows en NTFS, où l'entrée reste présente dans la table des fichiers un certain temps. Rarement sur une clé USB ou une carte mémoire en FAT, où le premier caractère du nom est remplacé dès la suppression.
Formater un disque avant de le donner suffit il à effacer mes fichiers ?
Non, et c'est une erreur fréquente. Un formatage rapide remet l'index à zéro sans toucher aux contenus, qui restent récupérables. Pour effacer réellement, il faut réécrire toute la surface du disque ou détruire physiquement les plateaux.