Credentials C:\Users\<utilisateur>\AppData\Roaming\Microsoft\Credentials

Blobs chiffrés par DPAPI du Gestionnaire d'identification (mots de passe réseau, partages) pour l'utilisateur ; inutilisables sans les clés de Protect.

Mis à jour le 12 novembre 2026 Par AltF4 Formation

À quoi ça sert

Les identifiants que Windows et certaines applications enregistrent pour l’utilisateur (accès réseau, partages, entrées du Gestionnaire d’identification) sont rangés ici sous forme de blobs chiffrés. La DPAPI (Data Protection API) les protège : seule la session de l’utilisateur, avec ses clés maîtresses du dossier voisin Protect, sait les déchiffrer.

Ce qu’il contient

Des fichiers cachés, sans extension, au nom hexadécimal. Leur format est interne à Windows et leur contenu n’est pas lisible directement. Un dossier du même nom existe aussi sous %LOCALAPPDATA%\Microsoft\Credentials.

Risques et bonnes pratiques

Supprimer ces fichiers fait perdre des identifiants enregistrés. Pour en retirer un seul, utilisez le Gestionnaire d’identification ou cmdkey /delete.
Un fichier copié ne sert à rien sans les clés maîtresses de Protect, mais il devient exploitable si l’on a aussi ces clés et le mot de passe de l’utilisateur. Sauvegardez donc le profil entier, jamais ce dossier seul, et protégez la sauvegarde.
Sur les postes sensibles, limitez l’enregistrement d’identifiants par stratégie de groupe et activez Credential Guard quand le matériel le permet.
Un accès à ces dossiers par un processus inhabituel est un indice d’extraction d’identifiants : EDR et audit peuvent le surveiller.

Commandes utiles

# Cibles enregistrées (noms uniquement, jamais les mots de passe)
cmdkey /list

# Fichiers présents (cachés)
Get-ChildItem "$env:APPDATA\Microsoft\Credentials" -Force | Select-Object Name, Length, LastWriteTime

# Retirer un identifiant précis, par l'outil prévu
# cmdkey /delete:serveur01

Signaler une erreur