browserforensics
← Retour à tous les articles

Où les navigateurs stockent leurs artefacts

2026-05-18 · 3 min

L'essentiel des données utilisateur des navigateurs est en SQLite. Bonne nouvelle : vous pouvez ouvrir les bases en lecture seule et les interroger sans toucher au navigateur en cours d'exécution. Favoris, sessions et préférences se trouvent généralement dans des fichiers JSON ou plist associés, et l'état des applications web (LocalStorage, IndexedDB) dans des dossiers LevelDB. Savoir quel fichier contient quoi fait gagner du temps lorsque l'on parcourt un dossier de profil sous pression.

Famille Chromium (Chrome, Edge, Brave, Vivaldi, Opera)

À l'intérieur du dossier de profil (Default, Profile 1, …) :

  • History - urls, visits, downloads, downloads_url_chains, keyword_search_terms.
  • Cookies - déplacé dans Network/Cookies dans les versions récentes. Les valeurs sont du chiffré AES-GCM, dont la clé est protégée par DPAPI sur Windows et le Keychain sur macOS.
  • Web Data - autofill, autofill_profiles, moyens de paiement.
  • Login Data - logins. Nom d'utilisateur en clair, mot de passe chiffré.
  • Top Sites, Favicons - SQLite.
  • Bookmarks, Preferences, Secure Preferences - JSON.
  • Local Storage/leveldb/, Session Storage/, IndexedDB/<origin>.indexeddb.leveldb/ - magasins clé-valeur LevelDB. Voir Local Storage et IndexedDB.

Les horodatages dans ces fichiers SQLite sont en microsecondes depuis le 01-01-1601 UTC, à la seule exception d'autofill qui utilise des secondes Unix.

Firefox

Le profil réside dans un dossier au nom aléatoire (xxxxxxxx.default-release).

  • places.sqlite - historique (moz_places, moz_historyvisits), favoris (moz_bookmarks), annotations de téléchargements.
  • cookies.sqlite - moz_cookies. Valeurs en clair.
  • formhistory.sqlite, favicons.sqlite, webappsstore.sqlite.
  • logins.json plus key4.db - identifiants, chiffrés avec la clé maîtresse du profil (souvent vide, souvent récupérable).
  • sessionstore.jsonlz4, recovery.jsonlz4 - JSON encapsulé en LZ4 Mozilla des onglets ouverts et récemment fermés.

Les horodatages Firefox sont en microsecondes depuis l'époque Unix. moz_cookies.expiry fait exception : des secondes simples.

Safari

Réparti entre ~/Library/Safari et le conteneur com.apple.Safari.

  • History.db - history_items, history_visits.
  • Bookmarks.plist, Downloads.plist, LastSession.plist, RecentlyClosedTabs.plist - plists binaires.
  • Cookies.binarycookies - format de cookies propre à Apple. Valeurs en clair.
  • favicons.db, Touch Icons Cache.db - SQLite.

Safari utilise le Mac absolute time : secondes (souvent fractionnaires) depuis le 01-01-2001 UTC.

Que récupérer et dans quel ordre

Pour une acquisition de profil, copiez l'intégralité du dossier de profil et ses fichiers complémentaires SQLite -wal / -shm. Les commits récents se trouvent dans le WAL ; les ignorer, c'est perdre les dernières minutes d'activité, qui sont souvent précisément ce qui importe. L'article sur la récupération du WAL couvre la mécanique.

Recoupez les cookies et l'historique avec la MFT pour les horodatages au niveau fichier, le journal USN pour l'historique des suppressions et renommages, et EVTX (Microsoft-Windows-Application-Experience, PowerShell 4104) pour tout nettoyage scripté exécuté contre le profil.

Pour aller plus loin