L’un des résultats les plus déroutants est de voir un fichier « trouvé » avec une taille crédible — qui pourtant s’ouvre corrompu, tronqué ou avec une structure interne incorrecte. Ce décalage signifie en général l’une de deux choses : écrasement partiel (certains clusters ont été réutilisés) ou mauvaise reconstruction (l’outil a enchaîné les mauvaises étendues pour un fichier sculpté).
Cet article propose un ordre de tri pratique : comment comparer des candidats, quand les empreintes aident, comment exporter par lots, et quand s’arrêter avant de se convaincre qu’« encore d’analyse » réparera une suite d’octets fondamentalement absente.
Symptômes qui pointent vers un écrasement partiel
Les écrasements partiels apparaissent souvent comme des fichiers qui s’ouvrent mais échouent aux vérifications : invites de réparation Office, ZIP avec annuaire central cassé, vidéos qui lisent puis se bloquent, bases de données qui refusent l’attachement. S’il existe plusieurs candidats de tailles proches, vous regardez peut-être une bonne chaîne et une chaîne endommagée — pas une « corruption aléatoire ».
Mauvaise reconstruction : même extension, contenu différent
Le carving trouve des en-têtes. Deux fichiers différents peuvent partager une signature de type et rester sans lien. Exploitez chaque indice : morceaux de chemin d’origine, horodatages et proximité de taille. Si vous savez que l’original faisait exactement 24 832 256 octets, utilisez la taille comme filtre fort avant d’exporter.
- Exportez 3 à 5 candidats, pas 300 — ouvrez-les tout de suite.
- Si vous disposez d’une empreinte saine partielle depuis une sauvegarde, comparez
SHA-256sur les copies exportées. - Pour les ZIP, testez l’intégrité avec votre outil d’archives avant de supposer que la charge utile est complète.
Cas particuliers photo et vidéo
Certains visionneurs tolèrent mieux les JPEG partiels que les outils bureautiques ne tolèrent le XML Office partiel. Cela peut créer une fausse confiance. Essayez un second visionneur et repérez dimensions ou métadonnées absurdes. Pour les flux RAW, privilégiez le candidat qui correspond à la plage de tailles typique de votre appareil pour cette journée de prises.
Quand s’arrêter et escalader
Si les données sous-tendent une preuve juridique, des dossiers financiers ou des informations patients, cessez d’improviser et suivez les règles forensiques de votre organisation. Si le disque se dégrade, des analyses répétées peuvent faire plus de mal que de bien. Les guides grand public visent les erreurs utilisateur courantes — pas tous les modes de panne.