12 tracce personali che Windows conserva dopo aver eliminato un file

Eliminare un file rimuove il file — e nient'altro

Quando elimini un file, NTFS si limita a segnare come libero il suo record nella Master File Table e a nascondere i dati dall'elenco della cartella; i settori conservano il vecchio contenuto finché qualcos'altro non li sovrascrive. Questo è noto. Quello che sfugge alla maggior parte è l'ecosistema intorno al file: una dozzina di componenti di Windows ha registrato per conto suo il suo nome, la sua anteprima e il fatto che veniva aperto, e a nessuno di loro è arrivata notizia dell'eliminazione.

Esplora file, Ricerca, Office e la shell tengono ognuno la propria contabilità, ottimizzata per la tua comodità più che per la tua privacy. Quindi, dopo aver eliminato un documento delicato, la domanda non è mai solo «il file è sparito?» — è «chi altro ha annotato il suo nome».

I 12 artefatti, dagli evidenti agli oscuri

Il livello visibile è quello che incontri ogni giorno. Elementi recenti e jump list conservano il percorso completo di ogni documento aperto sotto %APPDATA%\Microsoft\Windows\Recent — inclusi i file AutomaticDestinations che alimentano i menu del clic destro sulla barra delle applicazioni. La cache delle anteprime (thumbcache_*.db in %LOCALAPPDATA%\Microsoft\Windows\Explorer) tiene le anteprime di immagini e video ben dopo che gli originali sono spariti. Il Cestino stesso è una copia del file, e Shift+Delete non te lo svuota.

Più in profondità sta la contabilità. L'indice di ricerca di Windows (Windows.edb) conserva i nomi dei file per la ricerca rapida; il journal delle modifiche USN di NTFS registra ogni creazione, rinomina ed eliminazione; i file Prefetch (.pf) annotano i nomi dei programmi eseguiti e dei file toccati; Office e Adobe tengono le proprie liste di usati di recente nel registro; hiberfil.sys e pagefile.sys possono conservare copie dei documenti aperti al momento della sospensione o di un arresto anomalo, e i dump di memoria fanno lo stesso; Ripristino configurazione e Cronologia file possono custodire intere versioni precedenti; e OneDrive tiene il tuo file «eliminato» nel suo cestino cloud per 30 giorni o più.

• Elementi recenti e jump list — %APPDATA%\Microsoft\Windows\Recent, percorsi completi di ogni file aperto
• Cache delle anteprime — thumbcache_*.db sotto %LOCALAPPDATA%\Microsoft\Windows\Explorer, anteprime di immagini eliminate
• Indice di ricerca — il file Windows.edb conserva i nomi dei file indicizzati per la ricerca rapida
• Journal USN — $Extend\$UsnJrnl:$J, il log NTFS di file creati, rinominati ed eliminati
• Prefetch — %SystemRoot%\Prefetch\*.pf, nomi dei programmi eseguiti e dei file toccati
• Istantanee di memoria — hiberfil.sys, pagefile.sys e dump di arresto possono conservare copie dei documenti aperti

Come cancellare davvero la scia

Comincia dal livello visibile: svuota il Cestino, pulisci gli elementi recenti e togli la spunta a «Mostra file usati di recente» nelle Opzioni cartella, così l'elenco smette di ricostruirsi. Cache delle anteprime, indice di ricerca e Prefetch si ripuliscono tramite Pulizia disco o la pagina Archiviazione nelle Impostazioni senza rompere niente — si ricostruiscono e basta, con un piccolo costo una tantum. Il livello profondo richiede mosse deliberate: powercfg /h off rimuove hiberfil.sys, il cestino cloud di OneDrive va svuotato dal browser, e i vecchi punti di ripristino si possono sfoltire nelle impostazioni di Protezione sistema.

Niente di tutto questo è difficile, ma farlo a mano ogni volta è una seccatura — per questo in Kleaner PRO queste tracce sono raggruppate in un'unica categoria privacy, e una pulizia pre-vendita o pre-viaggio porta via un minuto invece di una sera. Non è paranoia; è sapere che «eliminato» e «non tracciabile» su Windows sono due stati diversi.

Domande e risposte

Da leggere dopo