Emplacements des fichiers d'historique de Safari
2026-05-19 · 2 min
Safari moderne place davantage de ses données en sandbox qu'auparavant. Le
classique ~/Library/Safari existe toujours, mais les cookies et les
préférences ont migré vers le conteneur com.apple.Safari sous
~/Library/Containers/. Si vous n'acquérez que ~/Library/Safari, vous
manquerez les cookies et une partie de la configuration.
Chemins (macOS)
/Users/<user>/Library/Safari/
/Users/<user>/Library/Containers/com.apple.Safari/Data/Library/Cookies/
/Users/<user>/Library/Containers/com.apple.Safari/Data/Library/Preferences/
/Users/<user>/Library/Containers/com.apple.Safari/Data/Library/Safari/
Pour les extractions iOS depuis une sauvegarde, l'historique Safari se
trouve sous HomeDomain/Library/Safari/.
Rôle de chaque fichier
| Fichier | Format | Contenu |
|---|---|---|
History.db | SQLite | history_items (URL + visit_count), history_visits (lignes par visite) |
History.db-wal, History.db-shm | SQLite WAL | Commits récents - récupérez-les ou vous les manquerez |
Bookmarks.plist | bplist | Arbre des favoris, liste de lecture |
Downloads.plist | bplist | Enregistrements de téléchargements (jusqu'à effacement) |
LastSession.plist | bplist | Fenêtres / onglets à la dernière fermeture |
RecentlyClosedTabs.plist | bplist | Récemment fermés |
Cookies.binarycookies | binarycookies | Format de cookies propre à Apple |
com.apple.Safari.plist | bplist | Paramètres, recherches récentes |
favicons.db | SQLite | Métadonnées de favicons + blobs d'images |
WebpageIcons.db | SQLite | Ancienne base de favicons (avant Big Sur) |
TopSites.plist | bplist | Sites épinglés/les plus visités |
history_visits.visit_time est l'horodatage par visite ;
history_items.last_visit_time reflète le maximum. Utilisez la table des
visites pour le travail de chronologie, pas l'élément agrégé.
Horodatages
Safari utilise le Mac absolute time : secondes (souvent fractionnaires) depuis le 01-01-2001 UTC. Conversion :
unix_seconds = mac_absolute + 978307200
Voir formats d'horodatage des navigateurs pour la référence complète.
Référence rapide du format Cookies
Cookies.binarycookies commence par cook, suivi d'un compteur, puis
d'offsets par page pointant vers les enregistrements de cookies. Chaque
enregistrement comporte un en-tête fixe de 56 octets (drapeaux, expiration,
création, quatre offsets de chaînes) suivi des chaînes nom, valeur, chemin,
domaine. Les deux horodatages sont en Mac absolute time au format
float64.
Notes d'acquisition
- L'accès complet au disque (Full Disk Access) est crucial. Sans lui, un outil utilisateur ne peut pas lire le conteneur de Safari. Imagez le volume ou utilisez une acquisition compatible FileVault.
- Les éléments de la
Reading Listse trouvent dansBookmarks.plistsous un UUID parent spécifique. Utile lorsqu'un suspect a sauvegardé une page pour la lire plus tard ; un signal d'intention bien plus fort qu'une visite occasionnelle. - Recoupez avec les onglets synchronisés iCloud des autres appareils si vous avez le compte iCloud dans votre périmètre.