Il n'y a pas deux situations de récupération de données identiques. Souvent, il est possible de récupérer complètement les fichiers perdus sur un disque, y compris les noms de fichiers et la structure des dossiers d'origine. D'autres fois, les fichiers et les données peuvent être récupérés, mais les noms de fichiers, les dates/heures et les chemins d'accès aux dossiers sont perdus. Et dans certains cas, aucun fichier intact ne peut être retrouvé. Cela soulève une question commune à nos utilisateurs : pourquoi ?

Pour aider à contextualiser la réponse à cette question, il est utile d'acquérir une compréhension de base de la manière dont les fichiers sont stockés sur le disque et de la façon dont ils peuvent être récupérés. Alors que la récupération professionnelle de données nécessite généralement des années d'expérience et une connaissance approfondie des nuances techniques des systèmes de fichiers et de la physique des disques, l'apprentissage des bases peut vous aider à fixer des attentes raisonnables pour votre logiciel de récupération de données.

Dans cet article, nous allons examiner de très près le fonctionnement de la récupération des fichiers. Nous vous montrerons également comment appliquer ces connaissances à quelques scénarios courants afin d'estimer vos chances de réussite de la récupération de fichiers.

Un article important pour la récupération de fichiers sur les appareils SSD : Récupération de fichiers spécifiques pour les appareils SSD.

Pour comprendre comment les fichiers peuvent être récupérés à partir d'un disque, il est utile de comprendre comment les fichiers sont stockés sur les disques durs avant qu'ils ne soient perdus.

La plupart des systèmes d'exploitation modernes divisent (ou "partitionnent") l'ensemble du disque dur physique en une ou plusieurs parties indépendantes ("partitions"). Dans les familles de systèmes d'exploitation basés sur DOS/Windows, ces partitions sont appelées "disques logiques". Les disques logiques se voient attribuer des lettres de lecteur et des étiquettes descriptives facultatives. Par exemple, C : (Système) ou D : (Données). Chaque partition a son propre type de système de fichiers, indépendant des autres partitions du même disque physique. Par exemple, un disque dur physique pour un système Windows peut contenir deux disques logiques : un NTFS et un autre FAT32. Les informations sur les partitions du disque sont stockées au début du disque dur. C'est ce qu'on appelle généralement une "table de partition" ou "carte de partition".

Une structure de partition typique est présentée à la figure 1.

Figure 1 : Structure du disque dur
Cliquez sur l'image pour l'agrandir

La partie des données de service du disque dur et des informations sur la structure de la partition illustrée dans la figure 1 est connue sous le nom de "méta-données". Il s'agit d'informations sur les données du disque (par opposition aux données elles-mêmes). De même, chaque partition ou disque logique est divisé en deux parties : l'une stocke des informations sur le disque (structure des dossiers, système de fichiers, etc.) et l'autre stocke les données qui composent ces fichiers. Cette division des données à partir des méta-données permet une meilleure gestion de l'espace disque, une recherche de fichiers plus rapide et une fiabilité accrue.

La figure 2 montre une structure de disque logique typique.

Figure 2 : Structure de disque logique
Cliquez sur l'image pour l'agrandir

Les informations sur le service de disque présentées dans la figure 2 contiennent des informations spécifiques sur la taille de la partition, le type de système de fichiers, etc. Ces informations sont nécessaires pour que l'ordinateur puisse trouver correctement les données nécessaires sur la partition.

Le info sur les fichiers et les dossiers contient des enregistrements de fichiers qui stockent les noms de fichiers, les tailles, les dates/heures et d'autres informations techniques. Ces informations comprennent également les emplacements physiques exacts (adresses) des données des fichiers sur le disque. Ces informations sont généralement sauvegardées sur le disque lui-même, au cas où la première copie serait corrompue.

Les différents systèmes de fichiers ont différentes formes de stockage de ces informations. Par exemple, le système de fichiers FAT stocke ces informations dans une table d'allocation de fichiers (FAT), tandis que le système de fichiers NTFS les stocke dans une table de fichiers maîtres (MFT).

Lorsqu'un ordinateur a besoin de lire un fichier, il consulte d'abord les informations sur les fichiers et les dossiers et recherche l'enregistrement de ce fichier. Ensuite, il recherche l'adresse du fichier, se rend à l'endroit spécifié sur le disque, puis lit les données du fichier.

Pour les fichiers contigus, où les données sont regroupées sur le disque, ce processus est très simple. Cependant, les fichiers sur le disque peuvent être fragmentés. C'est-à-dire qu'ils peuvent occuper plusieurs zones non adjacentes du disque. Ce phénomène est plus courant que la plupart des utilisateurs ne le pensent. Après tout, lorsque vous visualisez un fichier à partir de l'explorateur ou du Finder de Windows, il est toujours représenté comme un seul fichier. Cela s'explique par le fait que le système de fichiers fait tout le travail de rassemblement des fragments en coulisses. Le info sur les fichiers et les dossiers stocke les adresses de chaque élément de données fragmenté afin qu'elles puissent être récupérées rapidement et de manière fiable lorsque l'ordinateur a besoin de lire le fichier. Ces informations et la manière dont elles sont récupérées jouent un rôle important dans la récupération des fichiers.

Lorsqu'un ordinateur veut supprimer un fichier, il ne détruit pas immédiatement ses données. Il apporte plutôt quelques modifications aux informations sur les fichiers et les dossiers pour indiquer que le fichier a été supprimé. Certains systèmes d'exploitation marquent simplement le fichier comme supprimé, en conservant toutes les méta-données sur le fichier jusqu'à ce qu'il devienne nécessaire de l'écraser avec les méta-données sur un nouveau fichier. C'est ainsi que les systèmes de fichiers Windows gèrent les suppressions. D'autres systèmes d'exploitation, comme Mac OS X, détruisent complètement l'enregistrement du fichier supprimé. Bien que les systèmes d'exploitation varient selon qu'ils conservent ou suppriment immédiatement les informations sur les fichiers et les dossiers, tous les systèmes d'exploitation laissent les données du fichier intactes jusqu'à ce qu'il soit nécessaire d'allouer de l'espace disque à un autre fichier. Si aucun fichier ne doit être écrit sur le disque, les informations sur le fichier et ses données peuvent être conservées pour toujours.

Comme indiqué ci-dessus, la partie du disque qui stocke les données de fichier contient également une copie de sauvegarde des informations sur les fichiers et les dossiers. Cette partie du disque peut également contenir des informations supplémentaires sur la structure des fichiers et des dossiers dispersés sur l'ensemble du disque.

Avant d'aborder les différentes méthodes de récupération des fichiers, il est important de noter une chose :
Si les données sur le disque sont écrasées, les anciennes données ont disparu. Aucun programme ou méthode de récupération des données disponible dans le commerce ne peut les récupérer.

C'est pourquoi il est de la plus haute importance qu'aucun nouveau fichier ne soit écrit sur un disque avant de tenter une récupération de données.

Pour les fichiers qui n'ont pas été écrasés, il existe deux méthodes de récupération des fichiers. Tous les logiciels de récupération des données utilisent l'une de ces techniques ou les deux.

C'est la première méthode qu'un programme de récupération de fichiers tente d'exécuter. En effet, il peut récupérer des fichiers avec leurs noms d'origine, leurs chemins d'accès, leurs dates/heures et leurs données (en cas de succès).

Le logiciel de récupération de fichiers commence par essayer de lire et de traiter la première copie des informations sur les fichiers et les dossiers. Dans certains cas (tels que suppression accidentelle de fichiers), c'est la seule étape qui doit être effectuée pour récupérer les fichiers dans leur intégralité.

Si la première copie des info sur les fichiers et dossiers est gravement endommagée, le logiciel recherche sur le disque la deuxième copie des info sur les fichiers et dossiers. Il tente également de glaner des informations supplémentaires sur la structure des dossiers et des fichiers qui peuvent se trouver sur la partie données du disque. Ensuite, il traite toutes ces informations pour reconstruire les dossiers et la structure des fichiers d'origine.

Si le système de fichiers du disque n'est pas gravement endommagé, il est souvent possible de récupérer la totalité de la structure des fichiers et des dossiers.

Si le système de fichiers du disque est gravement endommagé, cette méthode de récupération ne peut pas recréer toute la structure des dossiers. Les fichiers récupérés apparaîtront alors dans des dossiers "orphelins".

La figure 3 montre ces dossiers "orphelins" dans R-Studio.

Figure 3 : Structure des fichiers et dossiers récupérés et des dossiers "orphelins
Cliquez sur l'image pour l'agrandir

Si la première méthode ne donne pas de résultats satisfaisants, une recherche de fichiers bruts est effectuée. Cette deuxième méthode de récupération des données peut récupérer des données de fichiers avec plus de succès que la première méthode, mais elle ne peut pas reconstruire les noms de fichiers originaux, les timbres date/heure ou la structure entière des dossiers et des fichiers du disque.

Une recherche de types de fichiers connus, ou récupération de fichiers bruts, fonctionne en analysant le contenu du disque pour détecter les "signatures de fichiers". Les signatures de fichiers sont des modèles courants qui signifient le début ou la fin d'un fichier. Presque tous les types de fichiers ont au moins une signature de fichier. Par exemple, tous les fichiers de type png (graphiques de réseau portable) commencent par la chaîne "‰PNG" et de nombreux fichiers MP3 commencent par la chaîne "ID3". Ces signatures de fichier peuvent être utilisées pour reconnaître qu'une donnée sur le disque appartient à un certain type de fichier et peut donc être récupérée.

Après avoir effectué une recherche de fichier brut, R-Studio et R-Undelete afficheront les fichiers éventuellement récupérables sous la forme de "Extra Found Files". Des extensions de fichier leur sont attribuées en fonction de la signature du fichier identifié et des noms de fichiers de remplacement (numéros séquentiels). Voir la figure 4 et la figure 5.

Figure 4 : Fichiers récupérés en utilisant la recherche de types de fichiers connus (fichiers extra trouvés) qui sont trouvés à l'intérieur d'un disque logique
Cliquez sur l'image pour l'agrandir


Figure 5 : Fichiers récupérés en utilisant la recherche des types de fichiers connus (fichiers extra trouvés) qui sont trouvés en dehors d'un disque logique
Cliquez sur l'image pour l'agrandir

Bien que cette méthode soit généralement la meilleure technique pour récupérer les données d'un système de fichiers fortement endommagé, il y a quelques limitations. Le premier est le fait que certains types de fichiers ont une signature de fichier «début» et «fin», certains n'ont qu'une signature de fichier «début» (et aucune signature de fichier «fin») et certains types de fichier n'ont aucune signature de fichier immédiatement reconnaissable.

Si le logiciel de récupération des données peut identifier la signature de fichier "début" et "fin", le fichier peut être facilement identifié et récupéré. Pour les fichiers qui n'ont pas de signature de fichier "fin", le logiciel peut parfois récupérer le fichier en supposant qu'il se termine au début du fichier suivant. Pour les fichiers sans signature, comme conteneurs de disque cryptés, une recherche de fichier brut ne pourra pas distinguer les données des morceaux d'espace disque non alloué.

Chacune de ces circonstances est encore compliquée par la fragmentation des fichiers. De plus, les fichiers sans signature de fin de fichier peuvent avoir de longues pistes "poubelle" après leur récupération. La figure 6 illustre pourquoi.

Figure 6 : Données de fichier sur le disque
Cliquez sur l'image pour l'agrandir

Dans la situation illustrée à la figure 6, le dossier 1 et le dossier 3 seront récupérés avec succès, tandis que le dossier 2 et le dossier 4 ne le seront pas. Le tableau 1 en explique les raisons :

En plus des complications liées aux fichiers fragmentés, une recherche de fichier brut donne parfois des "faux positifs". Par exemple, la chaîne "ID3" peut apparaître dans un fichier sans être une signature de fichier. Par exemple, le texte que vous êtes en train de lire comprend la chaîne "ID3" mais n'est pas un fichier MP3. Ainsi, une recherche de fichier brut peut identifier incorrectement une partie de ce texte comme étant le début d'un fichier MP3.

Bien que tous les programmes de récupération des données utilisent une variante de l'une des méthodes ci-dessus, il existe un certain nombre de paramètres de recherche et de techniques de récupération des données supplémentaires qui peuvent être appliqués pour obtenir de meilleurs résultats. Les programmes de récupération de fichiers avancés, comme R-Studio, permettent aux utilisateurs de spécifier manuellement des ensembles très complexes et avancés de signatures de fichiers, y compris des signatures de fichiers personnalisées.

En pratique, ces deux méthodes de récupération de fichiers sont généralement utilisées ensemble : certains fichiers sont récupérés en utilisant une méthode, tandis que les autres sont récupérés en utilisant la seconde méthode. Les programmes avancés de récupération de fichiers comme R-Studio et R-Undelete peuvent les utiliser simultanément en appliquant la technologie de récupération de données IntelligentScan. C'est-à-dire qu'ils peuvent analyser les restes d'un système de fichiers endommagé et rechercher des types de fichiers connus au cours du même balayage de disque.

Estimation des Résultats de la Récupération des Fichiers
(Vous pouvez voir des informations plus détaillées sur les chances de réussite de la récupération dans notre article Prévision de la réussite des cas courants de récupération des données)

En utilisant les informations ci-dessus, vous pouvez faire une estimation assez précise de vos chances de récupérer le dossier. Toutefois, il est important de garder à l'esprit les facteurs suivants :

• Les dommages causés à un système de fichiers peuvent être imprévisibles. L'état de vos fichiers dépendra de ce qui a causé la perte des fichiers, de la santé du disque avant la panne ou la perte de données et de toute action entreprise avant les tentatives de récupération des données. Les estimations données dans cet article sont approximatives et ne s'appliquent qu'aux disques sur lesquels aucune nouvelle donnée n'a été écrite.
• La récupération des données ne doit pas être tentée sur des disques présentant des défaillances matérielles. Si vous pensez que le disque peut être physiquement endommagé, la meilleure chose à faire est de soumettre le cas à un professionnel de la récupération des données ayant l'expérience et l'équipement appropriés. Toute tentative de falsification d'un disque physiquement endommagé peut entraîner une nouvelle perte de données, rendant les tentatives ultérieures de récupération de données inutiles.
• Nous recommandons d'effectuer toutes les tâches de récupération des données à partir d'images des disques réels afin de préserver les données originales sur le disque. Cela vous permet d'effectuer plusieurs tentatives de récupération de données sans provoquer de modifications sur le disque ni risquer de nouvelles pertes de données. Les programmes avancés de récupération de fichiers comme R-Studio et R-Undelete peuvent créer des images de disque et analyser les données simultanément.

Si un disque est mal monté ou retiré (par exemple en raison d'une panne de courant ou d'une erreur de l'utilisateur), cela peut entraîner l'endommagement ou la perte d'une partie ou de la totalité des métadonnées du disque dur. Bien que les données de service du disque dur et les informations sur la structure des partitions soient perdues, le reste des données du disque reste intact. Dans ces cas, les programmes de récupération de fichiers peuvent analyser les informations sur les fichiers et les dossiers qui sont encore intacts sur les partitions et récupérer tous les fichiers et dossiers de celles-ci. Une recherche supplémentaire pour les types de fichiers connus est rarement nécessaire dans ces cas. C'est le meilleur scénario pour la récupération des données et c'est généralement celui qui donne les meilleurs résultats.

Cette affaire dépend fortement de la gravité des dommages subis par le système de fichiers. Rappelez-vous que le disque contient deux copies de l'information sur les fichiers et les dossiers. Si une seule copie est endommagée, un programme de récupération de fichiers peut lire les données de la copie de sauvegarde et récupérer toutes les informations et données du fichier. Si les deux copies sont gravement endommagées, les perspectives de réussite de la récupération des fichiers peuvent être très sombres. Comme dans le cas 3, une recherche supplémentaire des types de fichiers connus peut être la solution de secours.

Ces cas sont décrits plus en détail dans cet article:
Récupération de données à partir d'un disque dont le système de fichiers est endommagé.

Si un disque est accidentellement repartitionné, la perspective est similaire au cas 1, à une exception importante près : Lorsqu'une nouvelle structure de partition est créée, de nouvelles données sont écrites sur le disque. Ces nouvelles données écraseront les informations de service du disque existant sur l'ensemble du disque physique. Cependant, le reste des données des anciennes partitions reste intact, y compris les informations sur les fichiers et les dossiers. Ainsi, les programmes de récupération de fichiers peuvent analyser le disque, trouver ces informations et récupérer les fichiers et dossiers qui n'ont pas été affectés par les données de la nouvelle partition. Une recherche supplémentaire pour les types de fichiers connus est rarement nécessaire.

Ce cas est décrit plus en détail dans cet article:
Récupération de fichiers après la réinstallation de Windows

Le reformatage est généralement plus perturbateur que le repartitionnement, selon le type d'opération de formatage du disque qui a été effectuée.

Un format complet entraîne l'écrasement de toutes les données de la partition avec un certain motif (généralement 00 ou FF). Cela rend impossible toute récupération de fichiers sur la partition.

Un format rapide entraîne l'écrasement d'une partie ou de la totalité des informations sur les fichiers et les dossiers, mais laisse les données du fichier intactes. Les programmes de récupération de fichiers peuvent analyser le disque, trouver ce qui reste du système de fichiers précédent et récupérer les fichiers et les dossiers en conséquence. Selon le(s) système(s) de fichiers avant et après le reformatage, les résultats de la récupération des données varieront largement en utilisant la première méthode. Une recherche supplémentaire pour les types de fichiers connus peut être très efficace dans ce cas, même si la première méthode ne permet pas de trouver des fichiers.

Ces cas sont décrits plus en détail dans ces articles :
Récupération de données à partir d'un disque NTFS reformaté (Windows)
Récupération de données à partir d'un disque HFS effacé (MacOSX)
Récupération de données à partir d'un disque Re- Disque formaté exFAT/FAT (Windows/MacOSX/Linux)
Récupération de données à partir d'un disque Ext2/3/4FS reformaté (Linux)

Si l'ordinateur se fige ou se bloque pendant une opération de défragmentation ou de repartitionnement du disque, les résultats peuvent être désastreux. C'est généralement le pire scénario pour la récupération de fichiers. Bien que les informations sur les fichiers et les dossiers puissent paraître saines, les méta-données peuvent pointer vers de mauvaises adresses physiques pour des fichiers qui étaient en cours de déplacement. Par exemple, les données peuvent avoir été écrites à un nouvel emplacement, mais les informations sur les fichiers et les dossiers peuvent ne pas avoir été mises à jour. Ou encore, les informations sur les fichiers et dossiers peuvent avoir été mises à jour, mais une partie ou la totalité des données du fichier n'a pas encore été déplacée. Dans ces cas, même une recherche supplémentaire pour des types de fichiers connus peut être infructueuse, car de nombreux fichiers peuvent être fragmentés.

Ce cas est décrit plus en détail dans cet article:
Récupération de données après un crash du gestionnaire de partition

Bien que cet article ne donne qu'un bref aperçu des concepts de base de la récupération de fichiers, il devrait vous aider à comprendre ce qu'il faut faire et ce qu'il faut attendre de votre scénario de récupération de données. Pour des instructions plus détaillées sur la manière d'utiliser les programmes de récupération de fichiers tels que R-Studio et R-Undelete, veuillez vous référer à leurs documents d'aide en ligne. Vous pouvez également trouver des études de cas détaillées et des tutoriels sur des cas spécifiques de récupération de fichiers dans nos articles en ligne.

Comme toujours, la meilleure façon d'estimer vos chances de récupération de fichiers est d'essayer nos programmes gratuitement. En utilisant le mode démo de R-Studio ou R-Undelete, vous pouvez effectuer le balayage complet du disque et des analyses avancées de récupération de données afin de voir quels fichiers sont récupérables. Si les fichiers que vous recherchez sont récupérables, vous pouvez vous enregistrer à la volée afin de récupérer entièrement vos fichiers et de les enregistrer sur un autre disque.