Aller au contenuAller à l'arborescence
Arborescence Windows
  1. C:
  2. Users
  3. <utilisateur>
  4. AppData
  5. Roaming
  6. Microsoft
  7. Protect
DossierRisque : Ne pas toucher
  • Caché

Protect C:\Users\<utilisateur>\AppData\Roaming\Microsoft\Protect

Clés maîtresses DPAPI de l'utilisateur (sous-dossier nommé d'après son SID) : sans elles, identifiants enregistrés et secrets chiffrés sont perdus.

Mis à jour le Par AltF4 Formation

À quoi ça sert

Protect range les clés maîtresses DPAPI (Data Protection API) de l’utilisateur. La DPAPI chiffre pour l’utilisateur des données telles que les identifiants enregistrés, des clés de certificats ou des secrets d’applications. Les clés maîtresses sont elles-mêmes protégées par les informations d’ouverture de session.

Ce qu’il contient

Un sous-dossier nommé d’après le SID de l’utilisateur, avec des fichiers cachés dont le nom est un GUID (les clés maîtresses) et un fichier qui désigne la clé préférée en cours. Windows crée de nouvelles clés périodiquement et garde les anciennes pour déchiffrer les données plus anciennes. Pour un compte de domaine, une sauvegarde de ces clés peut être récupérée auprès d’un contrôleur de domaine.

Risques et bonnes pratiques

  • Sans la clé maîtresse correspondante, les identifiants enregistrés et les autres données protégées deviennent illisibles, sans récupération possible en local. Ne supprimez, ne déplacez et ne modifiez pas ces fichiers.
  • Même partielle, une copie de ces fichiers est une donnée très sensible : gardez-la hors des tickets, des archives et des partages.
  • Incluez le profil complet dans les sauvegardes, et protégez-les (chiffrement, accès restreint).
  • Un mot de passe réinitialisé par un administrateur, hors du changement normal, peut empêcher de déchiffrer les données DPAPI locales : prévenez l’utilisateur.
  • Pour les comptes de domaine, la sauvegarde des clés sur les contrôleurs de domaine permet la récupération.

Commandes utiles

Fenêtre de terminal
# SID de l'utilisateur courant (nom du sous-dossier)
whoami /user


# Présence des sous-dossiers (cachés, lecture seule)
Get-ChildItem "$env:APPDATA\Microsoft\Protect" -Force | Select-Object Name, LastWriteTime


# Nombre de fichiers de clés pour l'utilisateur courant
(Get-ChildItem "$env:APPDATA\Microsoft\Protect\$([Security.Principal.WindowsIdentity]::GetCurrent().User.Value)" -Force -File).Count

Signaler une erreur