Windows 11 Timeline : ActivitiesCache.db encore utile ?

En bref. Microsoft a retiré la vue Timeline dans Windows 11 ; les paramètres d'historique des activités demeurent, et Microsoft décrit toujours cet historique comme stocké localement. Des chercheurs en sécurité décrivent ActivitiesCache.db sous Windows 11 comme n'étant plus activement maintenu mais toujours présent. Son niveau de remplissage varie, et aucune déclaration publique de référence ne dit précisément ce que Windows 11 y écrit encore. Collectez-la quand même, analysez-la, et rapportez ce que vous trouvez, pas ce que vous attendiez.

« Windows 11 a tué Timeline » est vrai pour l'interface et trop fort pour les preuves. Les analystes qui ignorent la base sur les images Windows 11 parient qu'elle est vide. Parfois ils gagnent leur pari. Cet article pose ce qui est documenté, ce qui ne l'est pas, et comment vérifier en cinq minutes.

Ce que dit Microsoft

Trois déclarations de Microsoft cadrent la question :

Mises bout à bout : la visionneuse a disparu, le volet cloud a disparu, et l'historique local existe toujours en tant que concept, avec son propre paramètre (« Stocker mon historique d'activités sur cet appareil »). Aucune de ces pages n'indique quels types d'activité Windows 11 écrit dans ActivitiesCache.db, ni s'il en écrit du tout sur une build donnée.

Ce que disent les chercheurs

La synthèse de Kaspersky sur les artefacts de Windows 11, publiée en 2025, mentionne la suppression de l'artefact Timeline et précise que, bien qu'elle ne soit plus activement maintenue, sa base subsiste pour l'instant sous %userprofile%\AppData\Local\ConnectedDevicesPlatform (Securelist). L'article ne publie pas de détail, build par build, de ce que la base reçoit encore.

L'essentiel des recherches publiques détaillées sur cette base (kacos2000, Group-IB, inversecos) a été mené sous Windows 10 (kacos2000, Group-IB, inversecos). Les témoignages de forums et de blogs sur Windows 11 vont de « vide » à « seulement des entrées système ». Nous n'avons trouvé aucun test public reproductible qui tranche la question pour l'ensemble des versions de Windows 11 : nous n'en revendiquons donc aucun.

Pourquoi un disque Windows 11 peut encore contenir une Timeline riche

Même si une build actuelle de Windows 11 écrit peu, plusieurs situations laissent des lignes utiles sur un disque Windows 11 :

• Mise à niveau sur place depuis Windows 10. Le dossier ConnectedDevicesPlatform de chaque utilisateur se trouve dans le profil. Que Windows le nettoie après une mise à niveau, et quand, n'est pas documenté ; en pratique, cherchez des lignes antérieures à la mise à niveau.
• L'expiration se fait ligne par ligne. Chaque ligne porte un ExpirationTime (30 jours après la dernière modification dans les tests de kacos2000) : une image prise peu après une mise à niveau peut encore contenir des lignes de l'époque Windows 10 (kacos2000).
• Clichés instantanés et sauvegardes. Des instantanés plus anciens du profil peuvent contenir une base plus ancienne.
• Presse-papiers et types d'activité système. Les types d'activité liés aux paramètres et au presse-papiers sont distincts de la vue Timeline retirée ; ne supposez pas que leur comportement a changé de la même façon.

Comment vérifier une image Windows 11

1. Collectez Users\*\AppData\Local\ConnectedDevicesPlatform\ avec le WAL (guide d'acquisition).
2. Déposez le dossier dans le Windows Timeline Parser. La base de chaque compte est associée à son WAL.
3. Regardez les compteurs : total des activités, lignes Uniquement dans le WAL, éléments du Presse-papiers, Suppressions.
4. Triez par heure de début. Notez le StartTime et le LastModifiedTime les plus récents, et comparez-les à la date de l'image.
5. Filtrez par type. Si vous ne voyez que des types autres que 5 et 6, la base n'enregistre pas l'usage des applications et des fichiers sur ce système.
6. Vérifiez HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion dans la ruche SOFTWARE (le parseur de registre la lit) pour la build et la date d'installation, afin de les rapprocher d'un éventuel trou dans la Timeline.

Rapportez le résultat factuellement : « ActivitiesCache.db pour l'utilisateur X contient N activités entre D1 et D2, de types ..., les plus récentes provenant du WAL. » Cette phrase se défend que N vaille 0 ou 5 000.

Que faire quand Timeline est maigre

Sur les PC Copilot+ où Recall est activé, Kaspersky décrit un magasin distinct sous %AppData%\Local\CoreAIPlatform.00\UKP\ (Securelist). Recall est une fonctionnalité différente, avec son propre format ; ce n'est pas une nouvelle version d'ActivitiesCache.db, et ce site ne l'analyse pas.

La position honnête

FAQ

Windows 11 dispose-t-il de Timeline ?

Pas en tant que fonctionnalité utilisateur. Microsoft indique que l'expérience Timeline a été retirée de Windows 11 et reste présente dans Windows 10. Les paramètres d'historique des activités existent toujours.

Faut-il collecter ActivitiesCache.db sous Windows 11 ?

Oui. La collecte ne coûte presque rien, et son contenu varie selon le système, l'historique de mise à niveau et les paramètres. Analysez-la et laissez les données répondre au lieu de supposer qu'elle est vide.

Articles liés

• Guide complet de l'analyse forensique de Windows Timeline
• Windows Timeline vs SRUM vs Prefetch vs Jump Lists
• Limites et anti-forensique de Windows Timeline