Comment l'informatique légale retrouve messages supprimés et historique du navigateur
« Je l'ai supprimé » et « c'est parti » sont deux affirmations différentes, et l'informatique légale existe en grande partie à cause de cet écart.
Pourquoi les applications de messagerie sont particulièrement récupérables
La plupart des applications de messagerie (WhatsApp, Telegram, bases de données SMS/iMessage) stockent les conversations dans un fichier de base de données local, et « supprimer » un message dans l'application marque généralement juste cet enregistrement comme inactif dans la base de données — cela ne retire pas nécessairement immédiatement les octets sous-jacents du fichier.
Ceci est amplifié par le propre comportement de sauvegarde des applications : beaucoup d'applications de messagerie conservent des sauvegardes locales automatiques (pour leurs propres besoins de récupération après crash) que les outils forensiques peuvent lire directement, contenant parfois des messages déjà supprimés de la conversation visible en direct.
L'historique du navigateur fonctionne de façon similaire
Les navigateurs stockent l'historique dans des fichiers de base de données SQLite. Supprimer votre historique depuis l'interface du navigateur lui-même retire généralement les entrées visibles mais, comme la plupart des suppressions, ne met pas nécessairement immédiatement à zéro les données sous-jacentes — les outils forensiques de « carving » de base de données peuvent souvent récupérer des entrées depuis l'espace non alloué au sein du même fichier de base de données.
Ce qui détermine réellement la récupérabilité
| Facteur | Effet sur la récupérabilité |
|---|---|
| Temps écoulé depuis la suppression | Moins de temps = chances plus élevées (moins de risque d'écrasement) |
| Type de stockage de l'appareil | Le stockage SSD/flash avec TRIM se comporte différemment du stockage plus ancien — voir notre guide SSD/TRIM |
| Comportement de sauvegarde spécifique à l'application | Les applications avec sauvegardes locales automatiques sont plus récupérables |
| Si l'appareil a continué à être utilisé après la suppression | L'utilisation continue augmente le risque d'écrasement |
| Statut de synchronisation cloud | Si synchronisé, une copie cloud peut exister indépendamment de la suppression locale |
Où cela est réellement utilisé
L'informatique légale dans ce domaine apparaît dans des contextes comme : les litiges de garde et de droit de la famille, les enquêtes en milieu de travail, les affaires de fraude et de harcèlement, et les enquêtes criminelles — partout où le contenu d'une conversation ou session de navigation supprimée est pertinent comme preuve. La récupération technique n'est que la moitié du travail ; l'autre moitié consiste à préserver une chaîne de possession appropriée et à valider les conclusions d'une manière qui résiste à l'examen — c'est ce qui distingue un examen forensique d'une récupération de données ordinaire.
Si des messages supprimés ou un historique de navigation sont pertinents pour une affaire juridique ou professionnelle, cessez d'utiliser l'appareil normalement et obtenez un avis forensique approprié avant de tenter quoi que ce soit vous-même — des tentatives de récupération autonomes peuvent compliquer ou compromettre la valeur probante de ce qui est trouvé. Contactez-moi.
Questions fréquentes
Les messages WhatsApp ou textes supprimés peuvent-ils vraiment être récupérés ?
Souvent oui, selon l'appareil, le temps écoulé, et si l'application elle-même conserve des sauvegardes locales de base de données (beaucoup d'applications de messagerie le font, spécifiquement pour leur propre récupération après crash, ce que les outils forensiques peuvent aussi lire).
Supprimer mon historique de navigateur le retire-t-il vraiment ?
De la liste d'historique visible, oui — mais les fichiers de base de données SQLite sous-jacents conservent souvent des entrées supprimées dans l'espace non alloué au sein du même fichier, récupérables avec des outils de base de données forensiques, un peu comme les fichiers supprimés persistent sur un disque.
Est-ce quelque chose que seules les forces de l'ordre peuvent faire ?
Certains outils sont utilisés principalement par les forces de l'ordre et les examinateurs agréés, mais le principe sous-jacent — les données supprimées persistent jusqu'à être écrasées — est le même sur lequel s'appuie un logiciel de récupération classique. La partie spécialisée consiste à interpréter et valider correctement ce qui est trouvé pour un usage probatoire.