Emplacements des fichiers d'historique de Microsoft Edge

Edge moderne, c'est Chromium sous une coque Microsoft : son agencement sur disque reflète celui de Chrome. Seul le répertoire éditeur diffère, plus quelques fichiers spécifiques à Edge (Collections, la base de synchronisation mobile). Tout ce que vous savez sur l'analyse de Chrome s'applique ici.

Racine de profil par système d'exploitation

Windows

C:\Users\<user>\AppData\Local\Microsoft\Edge\User Data\<profile>

macOS

/Users/<user>/Library/Application Support/Microsoft Edge/<profile>

Linux

/home/<user>/.config/microsoft-edge/<profile>

<profile> vaut Default, Profile 1, Profile 2, etc. Les utilisateurs Edge for Business peuvent aussi voir un répertoire Profile <GUID> pour les identités gérées.

Rôle de chaque fichier

Identique au schéma de Chrome, octet par octet :

Donnée	Fichier	Format
Visites / recherches / téléchargements	`History`	SQLite
Cookies	`Network/Cookies`	SQLite
Historique de formulaires	`Web Data`	SQLite
Identifiants	`Login Data`	SQLite
Favicons	`Favicons`	SQLite
Sites les plus visités	`Top Sites`	SQLite
Favoris	`Bookmarks`	JSON
Local / Session Storage, IndexedDB	dossiers LevelDB	LevelDB
Collections	`Collections/collectionsSQLite`	SQLite

Collections est propre à Edge et vaut le détour. Il stocke les URL et pages découpées qu'un utilisateur a activement enregistrées ; un signal d'intention bien plus fort que la navigation occasionnelle.

Edge legacy (EdgeHTML) est un artefact différent

Avant 2020, Edge sur Windows 10 utilisait EdgeHTML et stockait l'historique dans WebCacheV01.dat, une base ESE sous C:\Users\<user>\AppData\Local\Microsoft\Windows\WebCache\. Si vous enquêtez sur un poste jamais mis à jour au-delà de 2020, vous avez affaire à ce format, pas au format Chromium. Le moteur ESE est le même que celui derrière SRUM.

Horodatages et WAL

Edge utilise l'époque WebKit de Chromium : microsecondes depuis le 01-01-1601 UTC. La mise en garde WAL de Chrome s'applique : récupérez History-wal et History-shm, ou acceptez que les derniers commits soient perdus.

Notes d'acquisition

Les postes joints à un domaine ont souvent plusieurs profils gérés. Énumérez le répertoire User Data plutôt que de supposer Default.
MSEdgeWebView2.exe d'Edge (utilisé par Teams, Outlook, etc.) possède son propre profil intégré sous \Microsoft\EdgeWebView\User Data\. À examiner si vous soupçonnez une activité à l'intérieur d'une application hôte.