NTUSER.DAT décrypté : la moitié du Registre qui vit dans votre profil

Le Registre a deux moitiés, et l'une vous suit partout

La moitié machine vit dans C:\Windows\System32\config — les ruches SYSTEM, SOFTWARE, SAM et SECURITY dont sont faits HKEY_LOCAL_MACHINE et ses frères. La moitié utilisateur, c'est NTUSER.DAT, un fichier par compte, au cœur même du dossier de profil. À la connexion, le noyau la monte dans l'arbre du Registre comme HKEY_CURRENT_USER ; à la déconnexion, si rien ne la retient chargée, elle se décharge proprement et tout ce que vous avez changé durant la session est consigné dans ce fichier.

Les deux acolytes NTUSER.DAT.LOG1 et NTUSER.DAT.LOG2 sont les journaux de transactions de la ruche : ils captent les écritures en vol pour qu'une coupure de courant en pleine sauvegarde ne la corrompe pas. Avec le fichier lui-même, ils forment l'essentiel de ce qu'est un « profil Windows » — un dossier de données plus un morceau privé de Registre que le système vous recoud dessus à chaque connexion. C'est aussi pourquoi les profils « cassent » de façons dont un dossier de documents serait incapable.

Ce qu'il y a vraiment dedans

Pour un utilisateur, rien de tout cela ne ressemble au « Registre » : c'est de l'état personnel, et presque tout sont des réglages que vous voulez garder. Une ruche saine pèse de 3 à 30 Mo. Quand une application mal élevée se met à écrire des mégaoctets de clés à chaque session, le fichier grossit et les connexions ralentissent, car la ruche entière se charge en mémoire à l'ouverture de session.

• HKCU\Software — les réglages de toutes vos applications, de loin le plus gros morceau de la ruche
• HKCU\Environment — votre PATH et vos variables personnels : c'est là qu'écrit setx quand vous omettez le commutateur /M
• Le démarrage par utilisateur : les clés Run et RunOnce sous HKCU\Software\Microsoft\Windows\CurrentVersion\Run lancent vos utilitaires de la zone de notification à chaque connexion
• Les associations de fichiers fixées à la main — les entrées UserChoice sous Explorer\FileExts que crée « Ouvrir avec »
• La mémoire de l'Explorateur lui-même : disposition de la barre des tâches, épingles des Accès rapides, historique de la boîte Exécuter, chemins saisis
• Les lecteurs réseau mappés marqués « rétablir à la connexion » — ils vivent sous HKCU\Network

Pourquoi personne ne peut la « nettoyer »

Le fichier est verrouillé en exclusivité de la connexion à la déconnexion : vous ne pouvez pas copier, ouvrir ni modifier votre propre NTUSER.DAT pendant la session, et aucun nettoyeur ne le peut non plus. Les outils qui promettent de la « compacter » travaillent hors ligne, ou exportent le Registre puis le réimportent — avec perte de données et sans gain mesurable sur une ruche moderne et indexée. Une ruche gonflée est un symptôme : ce qu'il faut soigner, c'est l'application qui y écrit son désordre, pas aspirer le fichier.

La panne que tout le monde finit par rencontrer : si la ruche ne peut pas se charger à la connexion — corruption, ou un autre processus qui la retient — Windows vous ouvre une session sur un profil temporaire avec un avertissement, et le bureau a l'air remis à neuf d'usine. La solution n'est jamais de supprimer NTUSER.DAT, car cela rend la remise à zéro permanente. La solution, c'est de relâcher ce qui tient la ruche chargée, ou de la réparer hors ligne depuis un autre compte administrateur avec la commande « Charger la ruche » de l'Éditeur du Registre.

Questions et réponses

À lire ensuite