Windows peut conserver la trace d’une clé USB après son débranchement, mais cela ne signifie pas qu’il garde une copie de ses fichiers. Cette mémoire concerne surtout l’identification du périphérique et son installation. Je vais distinguer ces informations techniques d’un véritable historique des données consultées.
Pourquoi Windows mémorise les clés USB débranchées
Quand une clé USB est branchée, Windows la détecte avec Plug and Play, puis crée une instance de périphérique. Le système relève notamment des identifiants matériels et des propriétés utiles pour choisir le pilote et reconnaître l’unité lors d’une prochaine connexion.
Pour les supports de stockage classiques, certaines informations sont conservées dans le registre, sous HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumUSBSTOR. Après le débranchement, l’instance peut rester présente tout en étant marquée comme absente. Microsoft désigne ces éléments comme des périphériques non présents, parfois appelés « fantômes ».
Ce mécanisme évite de recommencer toute la configuration à chaque branchement. Il ne signifie pas que Windows conserve les fichiers de la clé en mémoire système, ni qu’il enregistre automatiquement chaque lecture ou transfert. La gestion des périphériques repose ici sur des métadonnées, pas sur une copie cachée du contenu.
Quelles informations restent après le débranchement
Selon le matériel, Windows peut conserver un nom lisible, des identifiants fabricant et modèle, un identifiant d’instance ou des propriétés liées à l’installation du pilote. Certains supports exposent aussi un numéro de série, mais ce n’est pas systématique. Il faut donc éviter de conclure trop vite qu’une entrée correspond sans ambiguïté à une clé précise.
Des propriétés de date peuvent également être disponibles. Elles renseignent sur l’installation ou certains événements d’arrivée et de retrait, mais ne forment pas nécessairement un journal complet de tous les branchements. Une entrée persistante dans le registre prouve surtout que Windows a reconnu le périphérique à un moment donné.
La cache mémoire et les données temporaires ne doivent pas être confondues avec ces informations d’identification. La première concerne notamment les opérations de lecture et d’écriture, tandis que les entrées Plug and Play aident le système à retrouver sa configuration matérielle.
- Une entrée USBSTOR indique qu’un périphérique de stockage correspondant a été reconnu.
- Un nom et des identifiants aident Windows à associer matériel et pilote.
- Une trace de périphérique ne révèle pas à elle seule quels fichiers ont été ouverts ou copiés.
Comment consulter l’historique des périphériques USB
Pour une vérification visuelle, ouvrez le Gestionnaire de périphériques avec Windows + X. Dans le menu Affichage, activez « Afficher les périphériques cachés » : les appareils retirés peuvent apparaître grisés.
La commande reg query « HKLMSYSTEMCurrentControlSetEnumUSBSTOR » /s permet d’interroger les sous-clés USBSTOR depuis l’invite de commandes. Dans PowerShell, Get-PnpDevice -Class DiskDrive | Format-List Status,FriendlyName,InstanceId affiche les lecteurs détectés et leurs identifiants. Ces outils montrent des informations de gestion, pas le contenu des supports.
Attention aux SSD externes et boîtiers récents. Certains utilisent UASP et peuvent apparaître avec un identifiant commençant par SCSI plutôt que USBSTOR. Une clé USBSTOR absente n’est donc pas une preuve que le PC n’a jamais accueilli de stockage externe.
Une trace USB ne prouve pas une copie de fichiers
Une entrée dans le registre ne permet pas de savoir si un document a été lu, modifié ou copié. Pour enregistrer certains accès aux supports amovibles, Windows propose un mécanisme distinct : l’audit de l’accès aux objets. Il doit être activé avant les opérations concernées.
Sur les éditions Pro, Enterprise et Education, cette stratégie se trouve dans secpol.msc, sous les stratégies d’audit avancées et l’accès aux objets. La commande auditpol /get /category:* aide à vérifier les catégories disponibles, dont le nom peut varier selon la langue du système.
Dans le journal Sécurité, les événements 4656, 4663 et 4658 peuvent apporter des indices sur les demandes d’accès et les opérations réalisées. L’événement 4663 peut notamment préciser un chemin et un processus, mais ne démontre pas à lui seul qu’une copie a abouti. Il faut corréler les événements et les chemins source et destination.
Pour comprendre les changements apportés à la gestion USB de Windows 11, consultez aussi cet article sur la refonte USB de Windows 11. L’audit répond à une question différente de l’éjection sécurisée : celle des accès consignés pendant que la surveillance est active.
Éjection sécurisée et nettoyage des anciens appareils
L’éjection sécurisée concerne surtout le retrait correct du support et la fin des écritures en cours. Les réglages de mise en cache peuvent varier selon Windows, le périphérique et sa configuration. Avant de retirer un disque externe utilisé pour enregistrer des fichiers, mieux vaut vérifier que les transferts sont terminés et suivre la procédure proposée par le système.
Pour supprimer une ancienne entrée, le Gestionnaire de périphériques permet d’afficher les éléments cachés puis de désinstaller un appareil grisé. Évitez de supprimer au hasard des clés dans le registre : elles participent au fonctionnement Plug and Play et leur retrait manuel peut entraîner une nouvelle installation ou des problèmes de détection.
Enfin, USBSTOR ne couvre pas tous les périphériques USB, notamment certains supports UASP. La trace conservée par Windows est donc utile au diagnostic, mais elle ne constitue ni une preuve de surveillance des fichiers ni un relevé exhaustif des activités. Pour préparer un support de démarrage, le guide consacré à Rufus et aux clés USB bootables traite d’un usage différent, celui de la création du support.
