Usunięty plik w Windows 11 może nadal istnieć jako wcześniejsza kopia, miniatura albo wpis z nazwą i ścieżką — ale każda z tych warstw daje inny rezultat. To ważne, bo program pokazujący nazwę pliku nie musi być w stanie przywrócić jego zawartości.
Windows 11 nie zawsze zapomina plik od razu
Po opróżnieniu Kosza plik może pozostać w kopii zapasowej, Historii plików, Poprzednich wersjach albo w lokalnym obszarze danych, którego jeszcze nie nadpisano. Windows może też zachować ślady pomocnicze: podgląd obrazu, nazwę dokumentu lub jego wcześniejszą lokalizację.
W jednym opisanym przypadku na komputerze z Windows 11 przywrócono usunięty plik z mechanizmu Poprzednich wersji. W tym samym systemie znaleziono także rozpoznawalne miniatury starszych zdjęć, zrzutów ekranu i stron dokumentów. Podczas porządkowania pozostałości systemu i aplikacji odzyskano około 20 GB miejsca. To wynik pojedynczego komputera, a nie typowa wartość dla każdego systemu.
Cztery różne warstwy usunięcia
Słowo „usunięty” opisuje w Windows kilka różnych sytuacji. Zanim uruchomisz skaner, warto ustalić, czego właściwie szukasz.
| Warstwa | Co może zachować | Do czego się przydaje |
| Kosz, kopia zapasowa, Historia plików lub Poprzednie wersje | Cały wcześniejszy plik albo wcześniejszy stan folderu | Najbezpieczniejsza próba przywrócenia zawartości |
| Wolne miejsce na dysku | Fragmenty usuniętego pliku, jeśli nie zostały nadpisane | Odzyskiwanie danych z lokalnego nośnika |
| Pamięć miniatur thumbcache_*.db | Wygenerowany podgląd zdjęcia, zrzutu ekranu lub strony dokumentu | Sprawdzenie, jaki obraz mógł pozostać po usunięciu |
| Listy szybkiego dostępu i Ostatnie elementy | Nazwę pliku oraz ścieżkę | Ustalenie, co znajdowało się na komputerze i gdzie |
Miniatura nie jest oryginalnym zdjęciem, a nazwa w Liście szybkiego dostępu nie zawiera treści dokumentu. Z kolei kopia z Poprzednich wersji może pozwolić na odzyskanie pełnego pliku, jeśli odpowiedni punkt wciąż istnieje. Migawki powiązane z usługą Volume Shadow Copy Service nie są ciągłym zapisem każdej zmiany — muszą obejmować potrzebny moment.
Co sprawdzić jako pierwsze
Najpierw szukaj istniejącej kopii, dopiero potem próbuj odtwarzać dane z wolnego miejsca. Taka kolejność ogranicza ryzyko i zwykle jest prostsza.
- Otwórz Kosz. Jeśli plik tam jest, użyj polecenia przywracania.
- Sprawdź kopie i Historię plików. Zajrzyj również do Poprzednich wersji folderu oraz kopii zapasowych.
- Sprawdź Kosz usługi chmurowej. OneDrive ma własny Kosz, niezależny od lokalnego Kosza Windows.
- Przestań korzystać z dysku źródłowego. Nie instaluj na nim programu do odzyskiwania, nie pobieraj plików i nie zapisuj na nim wyników skanowania. Nowe zapisy mogą nadpisać obszar zajmowany wcześniej przez usunięte dane.
- Dopiero wtedy uruchom narzędzie odzyskiwania. Wyniki zapisuj na innym dysku.
Windows File Recovery: zakres i właściwe użycie
Windows File Recovery to dostępne w Microsoft Store narzędzie Microsoftu działające w wierszu poleceń. Obsługuje lokalne dyski wewnętrzne, dyski zewnętrzne i urządzenia USB. Nie służy do odzyskiwania danych z pamięci chmurowej ani udziałów sieciowych.
Najważniejsza zasada jest prosta: dysk źródłowy i docelowy muszą być różne. Przy odzyskiwaniu z dysku systemowego Microsoft zaleca użycie innego dysku. Narzędzie tworzy na nośniku docelowym folder w rodzaju Recovery_<data i godzina>.
Podstawowa składnia wygląda tak:
winfr dysk-źródłowy: dysk-docelowy: [/tryb] [/przełączniki]
W praktyce przykładowe polecenie dla folderu Dokumenty może wyglądać tak:
winfr C: E: /regular /n \\Users\\<nazwa_użytkownika>\\Documents\\
Aby ograniczyć wyszukiwanie do wybranych rozszerzeń, można użyć filtrów, na przykład:
winfr C: E: /regular /n *.pdf /n *.docx
Tryb Regular jest przeznaczony przede wszystkim do niedawno usuniętych plików na sprawnym dysku NTFS. Extensive należy rozważyć przy starszych usunięciach, sformatowanych lub uszkodzonych dyskach oraz nośnikach FAT i exFAT. Żaden z tych trybów nie przywróci danych, które zostały już nadpisane albo usunięte przez działanie nośnika.
Dlaczego SSD może pokazywać nazwę, ale nie plik?
TRIM to mechanizm używany przez SSD do oznaczania bloków zawierających usunięte dane. W demonstracji obejmującej dysk SSD i zewnętrzny nośnik USB narzędzie DMDE znajdowało nazwy plików na obu nośnikach. Na SSD klastry powiązane z usuniętymi plikami były jednak wyzerowane po działaniu TRIM, podczas gdy na testowanym nośniku USB widoczne były również sygnatury danych.
Dlatego lista wyników skanowania nie jest równoznaczna z odzyskaniem pliku. System plików może zachować metadane — na przykład nazwę i ścieżkę — gdy właściwa zawartość nie jest już dostępna. Im dłużej używany jest dysk, tym więcej nowych zapisów może zastąpić stare dane. W przypadku SSD dodatkowym czynnikiem jest właśnie TRIM.
Co naprawdę odzyska program?
Windows File Recovery, Recuva i podobne narzędzia mogą znaleźć różne ślady, ale ich ekran wyników wymaga ostrożnej interpretacji. Możliwe rezultaty obejmują:
- pełny plik z kopii lub nieuszkodzonego obszaru,
- częściowo odzyskaną zawartość,
- miniaturę bez oryginalnego zdjęcia,
- nazwę i ścieżkę bez treści,
- plik, którego dane zostały już nadpisane albo wyzerowane.
Wysoka wartość danych zmienia priorytety. Po przypadkowym usunięciu ważnych plików najlepiej nie wykonywać kolejnych zapisów na źródłowym nośniku. Przy dysku po reinstalacji systemu praktyczna procedura obejmuje podłączenie go do innego komputera, utworzenie obrazu nośnika, skanowanie obrazu i zapisywanie odzyskanych plików na osobnym dysku. Dzięki temu kolejne próby nie pracują bezpośrednio na oryginale.
Pozostawione miniatury i wpisy w historii mogą mieć również znaczenie dla prywatności. Usunięcie dokumentu może usunąć jego główną kopię, ale niekoniecznie każdy podgląd, wpis z nazwą czy wcześniejszą wersję folderu. TRIM może zniszczyć zawartość pliku na SSD, lecz sama obecność nazwy w wynikach skanowania nie oznacza, że dokument da się otworzyć.
