Quelqu'un formate le mauvais disque, ou une carte revient d'un appareil photo en se déclarant vide. Le système de fichiers, celui qui savait où commençait chaque fichier et comment il s'appelait, a disparu. Et pourtant les photos reviennent. Pas toutes, pas avec leurs noms, mais elles reviennent.
La technique qui fait cela s'appelle le carving, et comprendre ce qu'elle lit explique à la fois pourquoi elle marche et tout ce qu'elle ne peut pas vous rendre.
Ce qu'un carver lit réellement
Rien du système de fichiers. C'est tout l'intérêt.
La documentation de foremost, l'un des outils historiques du genre, le décrit comme un programme forensique destiné à récupérer des fichiers perdus à partir de leurs en-têtes, de leurs pieds et de leurs structures de données internes, en ajoutant que les en-têtes et les pieds peuvent être définis par un fichier de configuration, ou choisis parmi des types intégrés au moyen d'options en ligne de commande.
Relisez la liste : en-têtes, pieds, structures internes. Pas de répertoires, pas de table de partitions, pas de carte d'allocation. Un carver parcourt la surface brute du disque d'un bout à l'autre, et chaque fois qu'il reconnaît les quelques octets qui marquent le début d'un type de fichier connu, il se met à écrire tout ce qui suit jusqu'à en reconnaître la fin.
Un JPEG commence par une signature précise et se referme sur une autre. Un PDF aussi, un ZIP aussi, un MOV aussi. Ces motifs sont à l'intérieur du fichier, ce qui explique qu'ils survivent à la destruction de tout ce qui l'entourait.
Pourquoi le formatage ne l'arrête pas
Le manuel de PhotoRec en énonce la conséquence directement : PhotoRec ignore le système de fichiers et va chercher les données sous-jacentes, si bien qu'il fonctionne même si le système de fichiers du support est gravement endommagé ou formaté.
Cela surprend, et cela ne devrait pas. Un formatage rapide réécrit surtout la comptabilité. Il déclare les étagères vides. Les livres y sont encore tant que rien d'autre n'a pris leur place, ce qui explique que la chose la plus utile à faire après une erreur soit d'arrêter immédiatement d'utiliser le disque.
Les noms ont disparu, et ils n'ont jamais été dans le fichier
C'est la partie qui déçoit, et elle découle logiquement du mécanisme.
La documentation de PhotoRec énumère ce qui disparaît à la suppression : les métadonnées de ce fichier (nom, date et heure, taille, emplacement du premier bloc de données, etc.) sont perdues.
Chacun de ces éléments vit dans le système de fichiers. Le nom de votre photo n'a jamais été écrit à l'intérieur de la photo ; c'était une entrée dans une table qui pointait vers elle. Le carving saute cette table par construction : il peut donc affirmer avec certitude que ces octets forment un JPEG valide, et absolument rien sur la façon dont vous l'appeliez ni sur le dossier où il se trouvait.
D'où une récupération par carving qui arrive sous forme d'un tas plat de f0012345.jpg, trié par type plutôt que par sens. Le contenu est intact. L'organisation, non, et aucun outil ne peut la réinventer, parce que l'information n'existe plus nulle part sur le disque.
La fragmentation est la vraie limite
Le carving suppose qu'un fichier occupe une plage continue, en-tête d'abord, pied ensuite. Quand le système de fichiers l'avait dispersé, cette hypothèse tombe et le carver peut refermer le fichier au mauvais endroit, ce qui donne une photo qui se décode à moitié puis vire au bruit.
Les outils ripostent. La documentation de PhotoRec décrit sa méthode : lorsqu'un fichier est récupéré avec succès, PhotoRec réexamine les blocs de données précédents pour voir si une signature avait été trouvée sans que le fichier ait pu être récupéré (parce qu'il était trop petit), et il réessaie. Ainsi, certains fichiers fragmentés peuvent être récupérés avec succès.
Le mot honnête de cette phrase est certains. La fragmentation est l'endroit où le carving passe de fiable à partiel, et c'est la raison pour laquelle deux récupérations sur des disques apparemment semblables donnent des résultats très différents.
La règle qui décide si tout cela est possible
Un point opérationnel pèse plus lourd que le choix de l'outil, et la documentation de PhotoRec l'énonce comme une consigne et non comme un conseil : vous ne devez pas choisir d'écrire les fichiers récupérés sur la partition où ils étaient stockés.
La raison est mécanique. L'espace qui contient vos fichiers perdus est, du point de vue du système, libre. Tout ce que vous écrivez peut y être placé. Récupérer sur le disque source, c'est risquer qu'enregistrer chaque fichier sauvé écrase le suivant, celui que vous n'avez pas encore atteint.
Donc : récupérez vers un autre disque, à chaque fois. Et si le disque se comporte étrangement, imagez-le d'abord et travaillez sur l'image, car un balayage complet est une longue lecture de tous les secteurs, exactement la charge qu'un disque mourant supporte le plus mal.
Faire du carving sur un disque formaté sans ligne de commande
Analyse par signatures avec aperçu avant de valider. Il ne peut pas restaurer les noms ni l'arborescence, parce que cette information n'existe plus sur le disque, et il exige toujours un disque de destination distinct.
Quand le carving est la mauvaise réponse
Si la partition se monte encore et que vous parcourez l'arborescence, ce n'est pas de carving que vous avez besoin. Une restauration classique travaille depuis les métadonnées et peut donc vous rendre noms, dates et structure, ce que le carving ne peut structurellement pas faire. Le carving intervient quand cette couche a disparu, est illisible, ou vous ment.
Et si le disque claque, disparaît en cours de copie ou affiche un compteur d'erreurs qui grimpe, la priorité n'est pas la récupération. C'est l'imagerie, une fois, soigneusement, et le carving sur la copie ensuite.
En résumé
Le carving lit la surface du disque et reconnaît les fichiers à la façon dont ils commencent et se terminent, en ignorant totalement le système de fichiers. D'où sa survie au formatage, et d'où des fichiers rendus sans nom : le nom vivait dans la couche qu'il saute.
Ses deux limites sont la fragmentation, qui rend cassés les fichiers stockés en morceaux, et la règle de destination, qui ne se négocie pas. Écrivez votre récupération ailleurs, et quand le matériel va mal, faites le carving sur une image plutôt que sur le patient.
La description du carving par en-têtes, pieds et structures de données internes, ainsi que l'option de fichier de configuration, proviennent de la documentation de foremost. L'énoncé selon lequel le système de fichiers est ignoré et la récupération fonctionne sur un support gravement endommagé ou formaté, la liste des métadonnées perdues dont le nom de fichier, le comportement sur les fichiers fragmentés et la consigne de ne pas écrire les fichiers récupérés sur la partition source proviennent de la documentation de PhotoRec. Le tout a été consulté au moment de la rédaction. Les liens commerciaux portent l'attribut rel="sponsored nofollow" ; une commission d'affiliation peut s'appliquer, sans surcoût pour vous.
Guides liés
- Récupérer des fichiers après un formatage - la situation dans laquelle le carving sert le plus souvent, de bout en bout.
- Windows File Recovery - l'outil de Microsoft, qui propose un mode signature fondé sur le même principe.
Récupère tes fichiers supprimés → EaseUS
Scan gratuit · fichiers supprimés, formatés, perdus · Windows & Mac
