DossierRisque : Prudence

WMI C:\Windows\System32\LogFiles\WMI

Fichiers de trace ETW (.etl) écrits par les sessions AutoLogger de Windows (traces de démarrage, diagnostic) ; binaires.

Mis à jour le 12 novembre 2026 Par AltF4 Formation

À quoi ça sert

LogFiles\WMI reçoit les fichiers de trace .etl du traçage d’événements pour Windows (ETW) produits par les sessions AutoLogger : des sessions de trace déclarées dans le Registre, qui démarrent très tôt au démarrage et écrivent dans un .etl. Malgré le nom du dossier, ce ne sont pas des journaux du service WMI, qui écrit dans C:\Windows\System32\wbem\Logs.

Ce qu’il contient

Des fichiers .etl binaires, en général un par session AutoLogger, par exemple EventLog-Application.etl.
Un sous-dossier RtBackup.
Les sessions sont déclarées sous HKLM\SYSTEM\CurrentControlSet\Control\WMI\Autologger.

Risques et bonnes pratiques

Un .etl en cours d’écriture est verrouillé. Copiez-le ou arrêtez la session avant de le lire.
Ces traces contiennent des données de diagnostic internes : protégez les copies.
Ne supprimez pas les fichiers à chaud et ne désactivez pas un AutoLogger sans savoir ce qu’il trace : Windows recrée les fichiers, mais vous perdez des traces utiles au support.
Pour gagner de la place, désactivez l’AutoLogger inutile dans le Registre (valeur Start à 0) plutôt que de supprimer son fichier.

Commandes utiles

# Fichiers de trace et leur taille
Get-ChildItem -Force "$env:windir\System32\LogFiles\WMI" -Recurse -ErrorAction SilentlyContinue | Select-Object FullName, Length, LastWriteTime

# Sessions de trace actives
logman query -ets

# AutoLoggers déclarés dans le Registre
Get-ChildItem "HKLM:\SYSTEM\CurrentControlSet\Control\WMI\Autologger" | Select-Object PSChildName

# Convertir une trace copiée en XML lisible
tracerpt "$env:TEMP\trace.etl" -o "$env:TEMP\trace.xml" -of XML

Signaler une erreur