Récupération après Shift+Suppr : pourquoi la réponse dépend de votre type de disque

La boîte de dialogue annonce que le fichier va être définitivement supprimé, vous cliquez sur oui, et il disparaît de la vue. Cette formulation est trompeuse dans les deux sens : rien n'a été effacé à cet instant, et pourtant le fichier peut être irrécupérable. Laquelle de ces deux situations est la vôtre dépend presque entièrement d'une seule chose, et ce n'est pas le logiciel que vous allez acheter ensuite.

Ce que fait réellement Shift+Suppr

Appuyer sur Shift pendant la suppression contourne la corbeille. Toute la différence est là. Il n'y a pas de routine d'effacement séparée, pas de passe de réécriture, pas d'effacement sécurisé.

Sur un volume NTFS, la suppression d'un fichier est enregistrée dans la Master File Table. La documentation de Microsoft est claire sur le mécanisme : lorsque des fichiers sont supprimés, leurs entrées MFT sont marquées comme libres et peuvent être réutilisées. La suppression est effectuée comme une modification de la MFT, et non comme une opération sur tous les secteurs du fichier.

Relisez cette seconde phrase, car elle constitue toute la base de la récupération de fichiers. Les clusters qui contiennent votre document sont intacts. Ce qui a changé, c'est la comptabilité qui indiquait que ces clusters étaient occupés. Les logiciels de récupération fonctionnent en lisant ce qui est encore physiquement présent et en reconstruisant le fichier à partir de là.

La règle qui en découle : arrêter d'écrire

Si les données ne survivent que jusqu'à ce que quelque chose les écrase, alors chaque écriture sur ce disque est une occasion de détruire ce que vous essayez de sauver.

C'est pourquoi le conseil standard est d'arrêter immédiatement d'utiliser le disque, et pourquoi c'est plus urgent qu'il n'y paraît. Windows écrit en permanence de lui-même : fichiers temporaires, cache du navigateur, journaux, préparation des mises à jour. Rien de tout cela ne vous demande la permission, et tout cela consomme de l'espace libre, c'est-à-dire précisément l'endroit où réside désormais votre fichier supprimé.

La perte auto-infligée la plus courante découle de là. Quelqu'un supprime un fichier, cherche des outils de récupération, en télécharge un, et l'installe sur ce même disque, écrivant potentiellement droit sur les clusters qu'il voulait récupérer. Si le fichier supprimé se trouvait sur votre disque système, lancez la récupération depuis une autre machine ou depuis un disque externe.

Ce que la plupart des guides omettent : TRIM

Tout ce qui précède décrit correctement un disque dur mécanique. Les disques SSD ont changé la donne, et c'est là que le conseil honnête diverge du conseil écrit pour vendre une licence.

Un SSD ne peut pas réécrire un bloc comme le fait un disque dur. C'est de la mémoire flash, effacée par blocs, et il a besoin de savoir à l'avance quels blocs ne sont plus utilisés afin de les préparer. C'est à cela que sert la commande TRIM, définie dans la spécification T13 et prise en charge par Windows depuis Windows 7.

La conséquence pour la récupération est directe : NTFS envoie TRIM lors d'opérations ordinaires, dont deletefile. Lorsque vous faites Shift+Suppr sur un SSD avec TRIM actif, le système de fichiers ne se contente pas de mettre à jour sa propre comptabilité, il indique aussi au disque que ces blocs sont libres. Le ramasse-miettes du disque les récupère ensuite selon son propre calendrier.

Une fois que cela s'est produit, le contenu n'attend plus dans l'espace libre qu'on vienne le retrouver. Il a disparu au niveau matériel, et aucun outil de récupération ne peut l'atteindre, car il n'y a plus rien à lire. Notre guide sur la récupération de données SSD et TRIM approfondit ce mécanisme.

Vérifiez le type de disque avant de dépenser quoi que ce soit

Cette seule question décide si la récupération est un espoir raisonnable ou un achat que vous regretterez.

Windows vous le dit directement. Ouvrez l'outil Optimiser les lecteurs et regardez la colonne du type de média, qui indique chaque volume soit comme disque SSD, soit comme disque dur. Faites-le en premier.

• Disque dur, et vous avez arrêté d'écrire rapidement : une analyse a une vraie chance. Continuez.
• Disque SSD avec TRIM actif : n'attendez rien, et soyez agréablement surpris si un outil trouve quelque chose. Tout produit qui promet le contraire vend une certitude qu'il n'a pas.

Les cas où la récupération fonctionne encore sur un SSD

Le tableau n'est pas complètement fermé, et il vaut mieux connaître les exceptions que de supposer l'un ou l'autre extrême.

TRIM doit effectivement atteindre le disque. Ce n'est pas toujours le cas : certains boîtiers USB externes ne transmettent pas la commande, certaines configurations anciennes ont TRIM désactivé, et certains systèmes de fichiers ou montages ne l'émettent pas. Il existe aussi une fenêtre entre la suppression et l'exécution effective du ramasse-miettes du disque, ce qui explique pourquoi agir en quelques minutes n'est pas de la superstition.

Rien de tout cela n'est un élément sur lequel compter. C'est une raison d'essayer vite, pas une raison d'espérer réussir.

Le résumé honnête

Shift+Suppr n'efface pas votre fichier. Sur NTFS, il libère l'entrée de la Master File Table et laisse les données en place, ce qui explique que la récupération soit possible, et pourquoi vous devez cesser d'écrire sur ce disque sur-le-champ.

Ensuite, c'est le type de disque qui décide de l'issue. Sur un disque dur, une analyse rapide a une vraie chance. Sur un SSD, Windows a déjà envoyé TRIM dans le cadre de la suppression, et les blocs sont très probablement déjà récupérés. Vérifiez le type de média dans Optimiser les lecteurs avant d'acheter quoi que ce soit, et méfiez-vous de tout outil qui garantit la récupération depuis un SSD avec TRIM actif.

La description de la suppression NTFS, incluant les entrées MFT marquées libres et réutilisables, la suppression comme modification de la MFT plutôt que comme opération sur les secteurs du fichier, et l'envoi par NTFS de la commande TRIM lors d'opérations ordinaires telles que deletefile, provient de la documentation de Microsoft, vérifiée au moment de la rédaction. Le comportement varie selon le firmware du disque, le boîtier et la configuration ; vérifiez sur votre propre matériel. Les liens commerciaux portent l'attribut rel="sponsored nofollow" ; une commission d'affiliation peut s'appliquer sans coût supplémentaire pour vous.