Visionneuse EVTX

Ouvrez un journal d’événements Windows sur n’importe quelle machine — sans machine Windows, sans Observateur d’événements, sans installation. Déposez un fichier .evtx ci-dessous : il est analysé localement, dans cet onglet de navigateur, par une version WebAssembly du même moteur d’analyse que celui qu’utilisent les outils d’investigation numérique : d’abord le résumé (nombre d’enregistrements, plage horaire, canaux, principaux fournisseurs et ID d’événement), puis un tableau filtrable où chaque enregistrement s’ouvre sur ses champs structurés et son XML brut. Les journaux d’événements sont des preuves — ils nomment des utilisateurs, des machines, des adresses IP et des heures de connexion — donc le fichier n’est jamais téléversé, jamais journalisé et ne quitte jamais votre appareil.

Dernière mise à jour:

Déposez un fichier .evtx ici ou choisissez-en un — jusqu’à 64 MB. Les journaux exportés (clic droit sur un journal dans l’Observateur d’événements → Enregistrer tous les événements sous…) et les fichiers copiés depuis C:\Windows\System32\winevt\Logs fonctionnent tous deux. Rien n’est téléversé : l’analyse se fait sur votre appareil, dans un Web Worker, avec une progression au fil de l’eau.

L’analyse est assurée par le crate evtx (Rust, version 0.14.0), utilisé sous licence MIT ou Apache-2.0, compilé en WebAssembly avec une fine couche d’adaptation maintenue dans le dépôt de ce site. L’analyseur s’exécute entièrement dans votre navigateur.

Ce que cet outil montre — et ce qu’un .evtx ne peut pas vous dire

Un fichier .evtx stocke chaque événement sous forme de XML binaire structuré : un bloc System (ID d’événement, fournisseur, canal, niveau, horodatage, ID d’enregistrement) et les champs de données de l’événement (EventData ou UserData). C’est exactement cette structure que cette visionneuse affiche — triable, filtrable, exportable. Ce que le fichier ne contient pas, c’est le texte de message convivial affiché par l’Observateur d’événements (« Un compte n’a pas pu ouvrir de session… »). Windows compose ce texte sur la machine qui a écrit le journal, à partir des DLL de messages propres à chaque fournisseur ; des valeurs comme %%14592 dans les données sont des espaces réservés pour les chaînes de ces DLL. Tout outil qui vous montre un texte de message impeccable pour un .evtx étranger le reconstruit ou le devine — celui-ci vous montre les champs, qui sont la partie qui fait réellement foi, et le XML brut quand vous voulez voir l’enregistrement exactement tel qu’il est stocké. Le guide compagnon, lire des fichiers EVTX sans machine Windows, déroule une routine de triage avec de vrais ID d’événement.

Deux autres notes d’honnêteté. Les horodatages à l’intérieur d’un .evtx sont en UTC ; l’Observateur d’événements les affiche convertis à l’heure locale de la machine sur laquelle vous l’ouvrez, ce qui a troublé plus d’une chronologie — le tableau ici reste en UTC et le dit. Et un journal corrompu ou tronqué n’est pas « nettoyé » en silence : les blocs qui échouent à l’analyse sont listés au-dessus du tableau avec leurs décalages en octets, pour que vous sachiez exactement quelle part du fichier vous ne voyez pas. Les dommages au niveau des blocs sont normaux dans les journaux extraits d’images disque, et les enregistrements autour des dommages s’analysent toujours. Pour le travail d’investigation de fichiers voisin, l’analyseur PCAP lit les captures de paquets sous la même règle — localement, jamais téléversées.

Questions fréquentes

Puis-je ouvrir un fichier .evtx sur un Mac ou une machine Linux ?

Oui — c’est tout l’objet de cette page. L’Observateur d’événements n’existe que sous Windows, mais le format .evtx est un format binaire documenté, et l’analyseur utilisé ici (une version WebAssembly du crate Rust evtx) fonctionne dans tout navigateur moderne, sur tout système d’exploitation. Copiez le fichier depuis la machine Windows ou l’image disque, déposez-le ici et lisez-le là où vous êtes.

Pourquoi ne vois-je pas le texte des messages d’événement, comme dans l’Observateur d’événements ?

Parce qu’il n’est pas dans le fichier. Un .evtx stocke les champs structurés de chaque événement ; la phrase affichée par l’Observateur d’événements est composée sur une machine Windows à partir de la DLL de messages du fournisseur, qui ne voyage pas avec le journal. Des valeurs comme %%14592 sont des références vers les chaînes de ces DLL. Cette visionneuse vous montre tout ce que le fichier contient réellement — le bloc System, chaque champ EventData/UserData et le XML brut — au lieu d’inventer un texte de message qu’elle ne peut pas connaître.

Est-il sûr d’ouvrir ici un journal sensible ? Où va le fichier ?

Nulle part. Le fichier est lu par un Web Worker dans votre propre onglet de navigateur ; il n’y a ni point de téléversement, ni compte, ni journalisation du contenu des fichiers. Vous pouvez le vérifier comme pour les autres outils locaux de ce site : chargez la page, passez hors ligne, et l’analyse fonctionne toujours. C’est important, car les journaux d’événements nomment des utilisateurs, des machines et des adresses IP — traitez-les comme des preuves, pas comme quelque chose à coller dans des convertisseurs cloud ou des chats d’IA.

Le résumé liste des blocs qui n’ont pas pu être lus. Mon fichier est-il cassé ?

En partie, et c’est normal pour des journaux récupérés d’images disque ou de copies interrompues. Un .evtx est une suite de blocs de 64 KB ; les dommages tuent en général des blocs individuels, pas le fichier. La visionneuse signale chaque bloc illisible avec son décalage en octets et analyse tout ce qui l’entoure, pour que vous sachiez précisément ce qui manque au lieu d’obtenir un journal raccourci en silence. Un bloc entièrement rempli de zéros est de l’espace préalloué, pas un dommage, et il est ignoré sans commentaire — exactement comme Windows le traite.

Quelle taille de journal puis-je ouvrir ?

Jusqu’à 64 MB, ce qui, à la densité typique d’un journal Sécurité, représente de l’ordre de 130 000 enregistrements. L’analyse s’écoule par lots avec une progression, donc même un fichier de cette taille reste réactif ; le tableau pagine ses résultats au lieu d’afficher toutes les lignes d’un coup. Si vous devez découper un journal plus gros, exportez les sous-ensembles filtrés qui vous intéressent en JSON ou CSV et travaillez à partir d’eux.