Résumé exécutif
Un courriel “supprimé” n’est pas toujours perdu. En pratique forensique, il faut distinguer quatre réalités: message encore visible, message supprimé mais récupérable, message partiellement reconstructible, message probablement irrécupérable. La différence tient à la combinaison entre format de stockage (PST/OST/MBOX), politiques de rétention, état des journaux d’audit et délai d’intervention. [5] [6] [7] [8] [9] [10]
La pire erreur est de répondre par oui/non sans qualifier le niveau de certitude. Une réponse défendable en litige ressemble plutôt à: “voici ce qui est récupérable maintenant, ce qui l’est conditionnellement, et ce qui ne l’est plus selon les artefacts disponibles.” [11]
Ce qui est généralement récupérable
- Messages supprimés récemment lorsque la rétention et l’audit sont actifs.
- Traces d’accès et de consultation via audits mailbox/tenant.
- Métadonnées de routage (en-têtes, Authentication-Results, IDs) permettant une reconstruction partielle robuste.
- Copies résiduelles dans exports, archives et postes secondaires (selon politiques locales).
Dans un dossier contesté, ces éléments suffisent souvent à reconstruire la chronologie des actions même lorsque le corps original n’est plus complètement accessible. [2] [3] [5] [6] [7]
Ce qui devient vite incertain
L’incertitude augmente fortement quand l’intervention est tardive, que les politiques de rétention ne sont pas documentées, ou que les journaux sont incomplets. Les exports d’audit peuvent aussi être agrégés/décalés temporellement, ce qui impose de distinguer temps de l’événement et temps d’ingestion. [5] [8] [11]
Autre point critique: un en-tête isolé ne prouve pas à lui seul la fraude ou l’authenticité. Il faut corréler SMTP envelope, RFC5322 headers, résultats SPF/DKIM/DMARC et contexte de relais (forwarding/listes/passerelles). [1] [2] [3] [4]
Ce qui n’est souvent plus récupérable
- Messages effacés après expiration de rétention sans copie de conformité.
- Contenus non journalisés dans des périodes de logging insuffisant.
- Données effacées sur conteneurs locaux sans image forensique préalable.
- Éléments dont l’existence n’est soutenue par aucune source indépendante.
Dire “non récupérable” doit rester une conclusion méthodique (sources vérifiées, périmètre clair, limites documentées), pas une impression. [11]
Méthode en 6 étapes pour un dossier civil
1) Geler le périmètre
Identifier immédiatement les comptes, boîtes, périodes et systèmes impliqués; déclencher hold quand pertinent.
2) Capturer l’audit en priorité
Exporter recherches Purview/audit mailbox avant toute opération de nettoyage. Les audits orientent ensuite le reste de l’acquisition. [5] [6] [7] [8]
3) Extraire les artefacts de message
Conserver message brut, en-têtes complets, Message-ID, chaîne Received et Authentication-Results. [1] [2] [3]
4) Examiner les conteneurs
PST/OST/MBOX: documenter l’outil, la version et les limites de parsing; éviter les manipulations non tracées. [9] [10]
5) Construire la timeline
Fusionner événements d’accès, suppression, délégation, export et transfert dans un référentiel UTC avec source explicite.
6) Rédiger avec niveaux de confiance
Séparer faits observés, inférences et zones non observables. Cette structure résiste mieux en contre-expertise. [11]
Checklist avocat: questions à poser à l’expert
- Quelle est la fenêtre temporelle effectivement couverte par les journaux?
- Quelles sources indépendantes corroborent la suppression alléguée?
- Quelles parties de la boîte sont prouvées récupérables vs hypothétiques?
- Le message brut et ses en-têtes sont-ils conservés en version source?
- Quelles limites techniques réduisent le degré de certitude?
Position défendable: un courriel supprimé peut rester prouvable sans être totalement récupérable, à condition de documenter proprement la chaîne de collecte et la corrélation des traces.
Incertitudes et limites
Les capacités de récupération varient selon la configuration tenant, les licences, les règles internes et les délais d’intervention. Ce guide ne remplace pas une analyse experte de l’environnement réel; il fournit un cadre pour structurer une réponse probatoire crédible. [5] [6] [8] [11]
Références
- RFC 5321 — SMTP — https://www.rfc-editor.org/rfc/rfc5321.html
- RFC 5322 — Internet Message Format — https://www.rfc-editor.org/rfc/rfc5322.html
- RFC 8601 — Authentication-Results — https://www.rfc-editor.org/rfc/rfc8601.html
- RFC 7489 — DMARC — https://www.rfc-editor.org/rfc/rfc7489.html
- Microsoft Purview — Search the audit log — https://learn.microsoft.com/en-us/purview/audit-search
- Microsoft Purview — Manage mailbox auditing — https://learn.microsoft.com/en-us/purview/audit-mailboxes
- MailItemsAccessed investigation — https://learn.microsoft.com/en-us/purview/audit-log-investigate-accounts
- Office 365 Management Activity API — https://learn.microsoft.com/en-us/office/office-365-management-api/office-365-management-activity-api-reference
- MS-PST format (Open Specifications) — https://learn.microsoft.com/en-us/openspecs/office_file_formats/ms-pst/ad1e6f1a-575d-47e7-be9c-9433247d496c
- RFC 4155 — application/mbox — https://datatracker.ietf.org/doc/html/rfc4155
- NIST SP 800-86 — https://csrc.nist.gov/pubs/sp/800/86/final
