Corbeille de l'utilisateur (S-1-5-21-…) C:\$Recycle.Bin\S-1-5-21-…

Dossier de la Corbeille d'un utilisateur sur ce volume, nommé d'après son SID : fichiers $R (contenu) et $I (métadonnées). Accès réservé à son propriétaire.

Mis à jour le 12 novembre 2026 Par AltF4 Formation

À quoi ça sert

Sur un volume NTFS, $Recycle.Bin contient un sous-dossier par compte, nommé d’après son identifiant de sécurité (SID) : c’est ainsi que la Corbeille sépare les suppressions de chaque utilisateur, comme le faisait déjà l’ancien dossier RECYCLER. Les SID de la forme S-1-5-21-… désignent des comptes locaux ou de domaine ; le dernier nombre (RID) identifie le compte, par exemple 500 pour l’Administrateur intégré et 1000 ou plus pour les comptes locaux créés ensuite.

Dans l’Explorateur, la Corbeille est un dossier virtuel (FOLDERID_RecycleBinFolder). Elle présente à l’utilisateur les éléments de son sous-dossier, que l’Explorateur ne montre jamais tel quel.

Ce qu’il contient

Pour chaque fichier supprimé, deux fichiers : $R<caractères>.<extension> pour le contenu et $I<caractères>.<extension> pour les métadonnées (chemin d’origine, taille, date et heure de suppression).
Pour un dossier supprimé, un dossier $R… qui garde l’arborescence.
Uniquement ce que ce compte a supprimé sur ce volume.
Un accès réservé au propriétaire et au système : un administrateur doit s’attribuer l’accès pour lire la corbeille d’un autre compte.

Risques et bonnes pratiques

Restaurez par l’Explorateur. Si vous déplacez un fichier $R à la main, son $I ne correspond plus à rien.
Maj+Suppr et les suppressions en ligne de commande court-circuitent la Corbeille : ces fichiers-là ne s’y retrouvent pas.
Videz la Corbeille depuis l’Explorateur ou avec Clear-RecycleBin plutôt que de supprimer ces dossiers, pour garder la structure cohérente.
En analyse forensique, un $I prouve une suppression et conserve le chemin d’origine. Copiez-les avant de vider la corbeille d’une machine suspecte.
Sur un poste partagé, ce que l’utilisateur précédent a supprimé reste récupérable tant que sa corbeille n’est pas vidée.

Commandes utiles

# SID du compte courant, à retrouver sous C:\$Recycle.Bin
whoami /user

# En administrateur : lister les corbeilles par SID (accès refusé aux autres comptes sans prise de possession)
Get-ChildItem 'C:\$Recycle.Bin' -Force -ErrorAction SilentlyContinue

# Simuler le vidage de la corbeille du volume C: (retirer -WhatIf pour exécuter)
Clear-RecycleBin -DriveLetter C -WhatIf

Signaler une erreur