NTUSER.DAT C:\Users\<utilisateur>\NTUSER.DAT

NTUSER.DAT : ruche du Registre de l'utilisateur (HKEY_CURRENT_USER) avec ses préférences et réglages d'applications. Verrouillée pendant la session.

Mis à jour le 12 novembre 2026 Par AltF4 Formation

À quoi ça sert

NTUSER.DAT est le fichier de la ruche du Registre propre à un utilisateur. Windows la charge à l’ouverture de session sous HKEY_USERS\<SID>, et HKEY_CURRENT_USER en est l’alias pour la session en cours. La ruche Software\Classes de l’utilisateur est à part, dans AppData\Local\Microsoft\Windows\UsrClass.dat. Les ruches de la machine, elles, sont dans System32\config.

Ce qu’il contient

Les préférences de l’utilisateur : interface, associations de fichiers, imprimantes, lecteurs réseau, paramètres des applications, programmes lancés au démarrage de sa session (Run).
Des traces d’usage utiles en investigation : documents récents (RecentDocs), commandes de la boîte Exécuter (RunMRU), programmes lancés (UserAssist).
Les fichiers associés NTUSER.DAT.LOG1, NTUSER.DAT.LOG2, .TM.blf et .regtrans-ms, qui sont les journaux de transactions de la ruche.
Attributs masqué et système, et verrouillage tant que la session est ouverte. Le modèle copié aux nouveaux profils est le NTUSER.DAT du profil Default.

Risques et bonnes pratiques

Si le fichier est supprimé, renommé ou remplacé, le profil ne se charge plus et Windows ouvre un profil temporaire (événement 1511 du journal Application, source User Profiles Service). Une ruche corrompue se restaure depuis une sauvegarde ou se recrée avec un nouveau profil : ne tentez pas de réparer le fichier à la main.
Ne copiez pas le fichier à chaud. reg save HKCU ou une sauvegarde de profil qui gère le verrouillage donnent une copie cohérente.
Pour modifier le Registre d’un autre utilisateur hors session, chargez sa ruche avec reg load, puis déchargez-la sans faute avec reg unload : une ruche restée chargée garde le fichier verrouillé.
Pour modifier le profil Default, chargez C:\Users\Default\NTUSER.DAT, faites vos changements et déchargez-la avant de généraliser l’image.

Commandes utiles

# Présence du fichier et de ses journaux de transactions (masqués)
Get-ChildItem "$env:USERPROFILE\NTUSER.DAT*" -Force | Select-Object Name, Length, LastWriteTime

# Sauvegarde de la ruche de l'utilisateur connecté vers un fichier
reg save HKCU "$env:TEMP\hkcu-backup.hiv"

# Charger la ruche d'un autre utilisateur (en administrateur, session de cet utilisateur fermée) puis la décharger
reg load HKU\TempHive "C:\Users\<utilisateur>\NTUSER.DAT"
reg unload HKU\TempHive

Signaler une erreur