pagefile.sys, hiberfil.sys, swapfile.sys
Trois fichiers énormes qui contiennent des fragments de mémoire vive — mots de passe, clés, contenus de fichiers ouverts.
Quand votre RAM se remplit, Windows écrit son contenu sur disque. Ces écritures incluent n'importe quoi : passphrases d'un instant, clés cryptographiques, brouillons d'emails, contenu d'applications en mémoire. Forensique-friendly.
| Fichier | Rôle | Taille typique |
|---|---|---|
| pagefile.sys | Mémoire virtuelle (swap) | Égale à la RAM ou plus |
| hiberfil.sys | Sauvegarde RAM avant hibernation | 75 % de la RAM |
| swapfile.sys | Swap des apps UWP modernes | ~256 Mo |
Effacement au shutdown
Windows peut zéroter le pagefile à chaque arrêt via la clé HKLM\...\Memory Management\ClearPageFileAtShutdown=1. Vether l'active. Coût : +30 s à 2 min au shutdown selon la taille du pagefile.
Désactiver hibernation
powercfg /hibernate off # Effet : # - hiberfil.sys est supprimé (récupère 6-12 Go typiquement) # - L'option "Mettre en veille prolongée" disparaît # - Le démarrage rapide (Fast Startup) est désactivé
Désactiver pagefile (déconseillé)
Supprimer entièrement le pagefile est risqué : sans swap, un usage RAM > capacité physique fait planter les apps. Préférez `ClearPageFileAtShutdown=1` + déplacer le pagefile sur un disque chiffré (VeraCrypt n'aime pas, BitLocker oui).