Référence technique
Comprendre exFAT : structure et suppression
Le système de fichiers de presque toutes les cartes d'appareils photo — et pourquoi sa structure détermine vos chances de récupération.
La réponse courte
exFAT gère les fichiers via quatre structures.
Zone d'amorçage, table d'allocation, bitmap d'allocation et entrées de répertoire. Comprendre lesquelles sont modifiées par une suppression et lesquelles ne le sont pas explique aussi pourquoi les enregistrements supprimés sont généralement encore présents, et pourquoi les longs clips vidéo sont le cas le plus difficile.
01 / Base
Où exFAT est présent, et pourquoi
exFAT signifie Extensible File Allocation Table et a été conçu pour les supports amovibles à mémoire flash. La SD Association l'impose pour les cartes SDXC et microSDXC, donc pratiquement toutes les cartes de 64 gigaoctets et plus. Appareils photo, drones, caméras d'action et enregistreurs audio écrivent donc presque toujours en exFAT.
Par rapport au FAT32 plus ancien, exFAT supprime la limite de quatre gigaoctets par fichier. C'est la raison de son adoption pour la vidéo : un seul clip 4K dépasse aisément cette limite.
Microsoft a publié officiellement la spécification. Une implémentation ne repose donc pas sur de la rétro-ingénierie mais peut s'appuyer sur des structures documentées.
02 / Structure
Les quatre structures en un coup d'œil
La dernière ligne explique pourquoi la récupération fonctionne. Le cluster heap n'est pas touché lors d'une suppression. L'enregistrement reste là où il était : le système de fichiers n'en a simplement plus connaissance.
| Structure | Rôle | Lors d'une suppression |
|---|---|---|
| Zone d'amorçage | Décrit taille de secteur, taille de cluster et l'emplacement des autres structures | Inchangée |
| Bitmap d'allocation | Note pour chaque cluster s'il est occupé ou libre | Le bit passe à libre |
| Table d'allocation (FAT) | Chaîne les clusters des fichiers fragmentés | La chaîne est libérée |
| Entrées de répertoire | Contiennent nom, horodatages, taille et premier cluster | Marquées comme supprimées |
| Cluster heap | Contient les données réelles des fichiers | Physiquement conservé |
03 / Amorçage
Ce que contient le volume boot record
exFAT place en outre une sauvegarde complète de cette zone d'amorçage au secteur 12. Si la zone principale est endommagée, la structure peut en être reconstituée. Cette redondance explique qu'un support exFAT reste souvent analysable même après un endommagement de son début.
- L'identifiant EXFAT à l'offset 3, qui permet de reconnaître le système de fichiers sans ambiguïté.
- Taille de secteur et taille de cluster, stockées chacune comme puissance de deux.
- Décalage et longueur de la table d'allocation, ainsi que le nombre de FAT.
- Le début du cluster heap et le nombre total de clusters.
- Le premier cluster du répertoire racine, point d'entrée dans l'arborescence.
- La signature d'amorçage 0x55AA à la fin du secteur.
04 / Suppression
Ce qu'une suppression fait réellement
Pour une reconstruction, cela signifie : pour un fichier stocké de façon contiguë, le premier cluster et la taille issus de l'entrée de répertoire suffisent à le lire entièrement. Pour un fichier fragmenté, la chaîne manque, puisqu'elle a été libérée dans la FAT. C'est précisément pourquoi les longs clips vidéo fragmentés constituent le cas le plus difficile.
- 1
L'entrée de répertoire est marquée comme n'étant plus utilisée. Nom, taille, horodatages et premier cluster restent d'abord lisibles.
- 2
Dans le bitmap d'allocation, les clusters concernés sont marqués comme libres.
- 3
Si le fichier était fragmenté, sa chaîne dans la FAT est libérée.
- 4
Le contenu du cluster heap reste intact jusqu'à ce que quelque chose de neuf soit écrit au même endroit.
La mémoire flash associe librement, en interne, les adresses logiques aux cellules physiques. Sur les supports qui gèrent TRIM et dont le contrôleur efface activement les zones libérées, les données peuvent avoir physiquement disparu peu après la suppression. Sur les cartes SD classiques en appareil photo, c'est plus rare que sur les SSD internes, mais pas exclu.
05 / Pratique
Ce qu'il faut en retenir pour la récupération
- Cessez immédiatement d'écrire. Le cluster heap est la seule source ; chaque nouvel enregistrement peut l'écraser partiellement.
- N'exécutez pas de réparation du système de fichiers. CHKDSK et outils similaires écrivent précisément dans les structures nécessaires à la reconstruction.
- Créez une image non compressée. Vous pourrez ensuite analyser autant de fois que voulu, avec n'importe quel outil, sans solliciter à nouveau le support.
- Vérifiez les résultats par rapport à la structure du format, et pas seulement à l'en-tête. Pour les fichiers fragmentés, c'est là que se décide l'exhaustivité.
Sources et références techniques
Questions fréquentes
Comment savoir si ma carte est en exFAT ?
Les cartes SDXC et microSDXC de 64 gigaoctets et plus sont en exFAT d'usine. Sous Windows, les propriétés du lecteur l'indiquent ; sous macOS, l'Utilitaire de disque. Pour une image, vous pouvez le vérifier avec l'outil de secteur d'amorçage de ce site.
Pourquoi les vidéos sont-elles plus difficiles à récupérer que les photos ?
Une photo est petite et généralement stockée de façon contiguë. Un long clip vidéo est bien plus volumineux et souvent fragmenté. Comme la chaîne des fichiers fragmentés est libérée dans la FAT lors de la suppression, elle doit être reconstituée : c'est la partie la plus complexe.
La zone d'amorçage de secours aide-t-elle avec des cartes endommagées ?
Elle aide lorsque la zone principale est endommagée mais que les autres structures sont intactes. Elle ne remplace ni la reconstruction des entrées de répertoire ni la réparation physique d'un support défectueux.
exFAT est-il plus ou moins sûr que d'autres systèmes de fichiers ?
exFAT est volontairement léger et ne comporte pas de journal. Un journal peut aider à rétablir le dernier état cohérent après une coupure de courant. Sans journal, une interruption d'enregistrement est donc un peu plus critique sur exFAT.
Théorie acquise, place à la pratique ?
Lisez le secteur d'amorçage de votre image directement dans le navigateur.