Thumbs.db (cache de miniatures Windows) — fichier Thumbs.db

Thumbs.db est un fichier caché que l’Explorateur Windows crée automatiquement dans un dossier contenant des images, pour y stocker les vignettes déjà calculées et éviter de les régénérer à chaque ouverture du dossier. Il n’apparaît pas dans les versions récentes de Windows configurées pour afficher les miniatures directement (comportement par défaut depuis Windows Vista dans de nombreux cas), mais reste courant sur les partages réseau ou les anciens systèmes.

Thumbs.db est structuré comme un fichier OLE Compound File, exactement le même conteneur générique que les anciens .doc, .xls ou .pub — sa signature D0 CF 11 E0 A1 B1 1A E1 est donc partagée avec de nombreux autres formats (voir la table des signatures binaires), et seule l’analyse des flux internes distingue réellement un Thumbs.db d’un document Office legacy.

Point de vigilance souvent négligé : un Thumbs.db peut continuer à contenir la miniature d’une photo pourtant supprimée depuis du dossier, ce qui en fait une source d’information oubliée lors d’un partage de dossier ou de la revente d’un disque dur.

Windows propose un réglage de stratégie de groupe pour désactiver totalement la création de ces fichiers de cache sur les partages réseau, une option souvent activée dans les environnements d’entreprise précisément pour limiter ce risque de fuite d’information résiduelle.

Les enquêteurs en informatique judiciaire examinent d’ailleurs systématiquement les fichiers Thumbs.db retrouvés sur un support saisi, car les vignettes qu’ils contiennent peuvent constituer l’une des seules traces visuelles restantes d’images par ailleurs effacées du système de fichiers.

Windows a progressivement centralisé une partie de ce cache de miniatures dans une base unique (thumbcache_*.db, propre au profil utilisateur) plutôt que de le disperser dans chaque dossier consulté, sans pour autant faire totalement disparaître les Thumbs.db traditionnels sur certains partages réseau ou configurations plus anciennes.