Limites du produit pour le disque Linux en Ext4
Ext4 sous Linux : démonter d'abord, imager ensuite
Comment récupérer des fichiers supprimés d'une partition Ext4 ?
Réponse courte
D'abord, démontez la partition ou montez-la au plus avec -o ro,noload, puis créez une image : tout montage en écriture rejoue le journal et modifie les structures restantes. Comme Ext4 vide à la suppression les pointeurs de blocs de l'inode, restent surtout la recherche par signatures ou l'analyse du journal sur l'image. File Recovery Hero ne lit pas les métadonnées Ext4.
Le constat
Des fichiers ont été supprimés sur un disque Linux, ou la partition ne se monte plus normalement.
Deux choses décident ici de l'issue, et toutes deux se jouent dans les premières minutes. Premièrement : démontez la partition. Un Ext4 monté en écriture rejoue son journal au montage suivant et modifie ainsi exactement la structure dont on aurait encore pu tirer quelque chose ; si le démontage est impossible, un remontage avec -o ro,noload fait l'affaire. Deuxièmement : réalisez une image non compressée, avec dd ou ddrescue, et ne travaillez plus que sur ce fichier. Ce n'est qu'ensuite que la question de l'outil a un sens — et sous Ext4 elle mène à des programmes qui connaissent ce système de fichiers, comme extundelete ou ext4magic, ou, si les métadonnées ne donnent plus rien, à une simple recherche par signatures dans l'image.
01 / Classer
C'est probablement ce qui s'est passé
Déterminez d'abord s'il y a réellement eu suppression. Une partition qui ne se monte plus n'est souvent pas une perte de données mais un superbloc endommagé : dumpe2fs en liste les copies de secours, et une tentative de montage avec un superbloc de remplacement se fait en lecture seule. S'il y a bien eu suppression, le moment compte : Ext4 vide alors les références de blocs dans l'inode, si bien que la voie du journal ne porte que s'il contient encore les anciennes références.
Ext4 est un système de fichiers journalisé, conçu pour redevenir vite cohérent après un incident, non pour garder le supprimé reconstructible. Tout accès en écriture, y compris le simple montage, peut rejouer le journal et faire évoluer les métadonnées. L'ordre « démonter, imager, puis chercher » compte donc davantage, sous Ext4, que le choix du programme.
Vérifiez le chemin, la corbeille et les sauvegardes sans écrire sur le support d'origine.
02 / Mesures immédiates
Voici comment vous protégez les données restantes
- 1
Démontez immédiatement la partition concernée ; si c'est impossible, remontez-la en lecture seule avec
-o ro,noload. - 2
Créez avec
ddouddrescueune image non compressée sur un autre disque physique. - 3
Travaillez exclusivement sur l'image et laissez le support d'origine intact.
- 4
Enregistrez chaque trouvaille sur une troisième destination, jamais dans la même partition ni dans l'image.
N'exécutez pas fsck ni e2fsck sur le support d'origine tant que vous avez besoin des données : la réparation écrit. Ne montez pas la partition en écriture, même « juste pour regarder ». N'installez aucun logiciel de récupération sur le disque même dont il faut récupérer les données.
03 / Scanner
La méthode doit correspondre à la source
Supports exFAT, NTFS et FAT16/FAT32 stables et lisibles ou images IMG, DD, RAW, BIN non compressées.
Les exports non confirmés portent l'extension .UNVERIFIED.
File Recovery Hero ne lit pas les métadonnées Ext4. La base prise en charge, ce sont des supports exFAT, NTFS et FAT16/FAT32 lisibles de manière stable ainsi que des images IMG, DD, RAW et BIN non compressées, toujours en lecture seule. Une image Ext4 peut ainsi être parcourue par signatures, mais l'arborescence, les noms de fichiers et les droits proviennent des métadonnées Ext4 et restent hors de portée. Les défauts physiques et les supports chiffrés n'en font pas partie non plus.
04 / Résultat
Comment reconnaître une restauration utilisable
Ouvrez entièrement chaque fichier récupéré et comparez sa taille à celle attendue. Les résultats d'une recherche par signatures n'ont plus ni nom ni arborescence ; une image dont l'aperçu s'affiche peut néanmoins être composée, dans sa moitié inférieure, de blocs étrangers. Contrôlez donc jusqu'à la fin du fichier.
Conservez la source jusqu'à disposer de deux copies vérifiées. Un aperçu ne suffit pas.
Sources et notes techniques
Questions fréquemment posées
Questions sur cette affaire
Peut-on récupérer ces fichiers dans ce cas ?+
Deux choses décident ici de l'issue, et toutes deux se jouent dans les premières minutes. Premièrement : démontez la partition. Un Ext4 monté en écriture rejoue son journal au montage suivant et modifie ainsi exactement la structure dont on aurait encore pu tirer quelque chose ; si le démontage est impossible, un remontage avec -o ro,noload fait l'affaire. Deuxièmement : réalisez une image non compressée, avec dd ou ddrescue, et ne travaillez plus que sur ce fichier. Ce n'est qu'ensuite que la question de l'outil a un sens — et sous Ext4 elle mène à des programmes qui connaissent ce système de fichiers, comme extundelete ou ext4magic, ou, si les métadonnées ne donnent plus rien, à une simple recherche par signatures dans l'image. Le résultat dépend de ce qui reste lisible sur la source.
Que dois-je éviter avant le scan ?+
N'exécutez pas fsck ni e2fsck sur le support d'origine tant que vous avez besoin des données : la réparation écrit.
Le logiciel écrit-il sur ma carte mémoire ?+
Non. Votre carte mémoire est uniquement lue. Rien n'y est enregistré.
Comment reconnaître un résultat complet ?+
Ouvrez entièrement chaque fichier récupéré et comparez sa taille à celle attendue.
Arrêtez ! Vos données sontloin.De retour !
Analysez d'abord gratuitement, puis décidez.