Introduction¶

Ce que vous allez apprendre¶

• Ce qu'est la base de registre et pourquoi elle existe
• Le vocabulaire essentiel (ruche, cle, valeur, donnee)
• Comment le registre est organise physiquement sur le disque
• L'arborescence generale et ses 5 branches principales

La base de registre en 30 secondes¶

Ouvrez un terminal et tapez ceci :

reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion" /v ProductName

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion
    ProductName    REG_SZ    Windows 11 Pro

Vous venez de lire une valeur dans la base de registre. Ce que vous avez fait, c'est demander a Windows : "quel est le nom de ton systeme d'exploitation ?".

Qu'est-ce que la base de registre ?¶

Quand vous tapez reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run", vous obtenez la liste des programmes lances automatiquement au demarrage de Windows. Quand vous tapez reg query "HKCU\Control Panel\Desktop" /v Wallpaper, vous obtenez le chemin de votre fond d'ecran. Ces deux informations -- et des millions d'autres -- sont stockees au meme endroit : la base de registre.

La base de registre Windows (Windows Registry) est une base de donnees hierarchique centralisee. Elle stocke les parametres de configuration du systeme, des pilotes, des applications et des profils utilisateurs.

Elle a ete introduite avec Windows 3.1 en 1992 sous une forme basique. C'est avec Windows 95 et Windows NT 4.0 qu'elle a pris sa forme actuelle.

Pourquoi existe-t-elle ?¶

Avant le registre, la configuration de Windows reposait sur des fichiers texte disperses :

Les problemes des fichiers .ini¶

Ce que le registre apporte¶

Pourquoi un format binaire ?¶

Le registre utilise un format binaire natif, et non un format texte comme XML, JSON ou .ini. Ce choix n'est pas arbitraire : il répond à trois contraintes d'ingénierie que Windows doit satisfaire en permanence.

1. Performance¶

Les ruches sont conçues pour être mappées directement en mémoire (memory-mapped files). Le Configuration Manager peut ainsi naviguer dans des structures déjà alignées, avec des offsets fixes et des cellules typées.

Avec un format texte, chaque lecture imposerait une étape supplémentaire :

• lire la chaîne brute
• parser sa structure
• convertir les types (DWORD, QWORD, binaire, multi-string)
• reconstruire un objet exploitable en mémoire

Sur une machine qui lit le registre au démarrage, à l'ouverture de session, au chargement des services et à chaque appel d'API, cette latence serait partout. Le format binaire supprime ce coût de parsing à chaque accès.

2. Atomicité¶

Le registre doit pouvoir modifier une cellule précise à un offset précis, puis journaliser l'opération pour garantir la cohérence. Un format binaire se prête bien à cette logique : Windows sait exactement où se trouve une valeur, quelle est sa taille, et quelle partie doit être remplacée.

Dans un fichier texte, même une petite modification peut forcer :

• la réécriture complète du document
• le décalage de toutes les données suivantes
• la régénération des structures de syntaxe

Autrement dit, le binaire permet des mises à jour in-place beaucoup plus prédictibles. Le texte, lui, favorise plutôt une logique de réécriture globale.

3. Efficacité en taille¶

Le registre stocke des millions de petites données de configuration. Dans ce contexte, chaque octet compte.

Un DWORD contenant 00000001 occupe 4 octets en binaire. En texte brut, la valeur "1" n'occupe qu'un octet, mais ce chiffre seul n'a aucun contexte. Dans une structure XML ou JSON réelle, il faut ajouter :

• le nom du champ
• les séparateurs
• la syntaxe de structure
• parfois des métadonnées de type

Sur des données de configuration, le surcoût d'un format texte structuré est souvent de 10 à 30 fois la taille utile. Pour un système qui charge plusieurs ruches au boot et garde une grande partie du registre en mémoire, cette différence est loin d'être théorique.

Comparaison rapide¶

L'arborescence : 5 branches principales¶

La base de registre est organisee comme un systeme de fichiers avec des dossiers et sous-dossiers :

graph TD
    R["Ordinateur"] --> A["HKEY_CLASSES_ROOT<br/><small>Associations de fichiers</small>"]
    R --> B["HKEY_CURRENT_USER<br/><small>Preferences utilisateur</small>"]
    R --> C["HKEY_LOCAL_MACHINE<br/><small>Configuration machine</small>"]
    R --> D["HKEY_USERS<br/><small>Tous les profils charges</small>"]
    R --> E["HKEY_CURRENT_CONFIG<br/><small>Profil materiel actif</small>"]

Chaque branche principale est appelee ruche (hive). Les ruches contiennent des cles (les dossiers), qui contiennent des sous-cles et des valeurs (les donnees).

Historique complet¶

La base de registre n'est pas apparue d'un coup. Elle a evolue sur trois decennies, chaque version de Windows ajoutant de nouvelles capacites.

Windows 3.1 : le prototype¶

Le fichier REG.DAT, situe dans le repertoire Windows, ne pesait que quelques kilo-octets. Il servait uniquement a enregistrer les associations OLE et les serveurs COM. Aucune configuration systeme n'y etait stockee -- les fichiers WIN.INI et SYSTEM.INI restaient maitres.

Windows 95/98 : la premiere vraie architecture¶

Microsoft a scinde le registre en deux fichiers :

• SYSTEM.DAT : configuration machine
• USER.DAT : preferences utilisateur

Ces fichiers etaient au format binaire proprietaire, sans Unicode et sans controle d'acces. Windows creait automatiquement des copies de sauvegarde .DA0 a chaque demarrage reussi.

Windows NT : la fondation actuelle¶

La branche NT a introduit le registre tel qu'on le connait aujourd'hui :

• Support Unicode natif
• ACL sur chaque cle (droits de lecture, ecriture, suppression)
• Stockage des services et pilotes dans HKLM\SYSTEM
• Separation claire entre configuration machine et profils utilisateurs
• Fichiers de journalisation .LOG pour la protection anti-corruption

Windows Vista et le KTM¶

Windows Vista a introduit deux innovations majeures :

1. Virtualisation UAC : les applications non elevees qui tentent d'ecrire dans HKLM\SOFTWARE sont redirigees silencieusement vers un emplacement virtuel dans HKCU. Cela evite les erreurs d'acces sans compromettre la securite.
2. Registre transactionnel (KTM) : les developpeurs peuvent regrouper plusieurs modifications dans une transaction atomique. Si une etape echoue, tout est annule automatiquement (rollback).

# Check if RegBack folder exists and contains backups
Get-ChildItem "$env:SystemRoot\System32\config\RegBack" -ErrorAction SilentlyContinue

Le dossier RegBack s'affiche. Sur Windows 10 1803+, les fichiers peuvent faire 0 octet.

HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Configuration Manager
    EnablePeriodicBackup = 1

Contenu pratique des principales sous-ruches HKLM¶

Pour un administrateur, HKLM est la ruche la plus critique. Elle concentre la configuration machine, donc tout ce qui s'applique au système dans son ensemble, indépendamment de l'utilisateur connecté.

Ses principales sous-ruches sont les suivantes :

Deux points pratiques méritent d'être retenus :

• HKLM\HARDWARE est une sous-ruche volatile : elle n'est pas stockée telle quelle sur disque, elle est reconstruite à chaque démarrage.
• HKLM\SAM et HKLM\SECURITY exigent un accès de niveau SYSTEM. Un administrateur local classique ne peut pas les lire librement avec les outils standard.

La sous-ruche HKLM\SYSTEM est souvent la première à inspecter lors d'un diagnostic de boot, d'un problème réseau ou d'un incident sur un service Windows. Le nœud CurrentControlSet\Services contient notamment l'enregistrement des services et pilotes connus du système.

# List the first 10 services registered in the registry
Get-ChildItem "HKLM:\SYSTEM\CurrentControlSet\Services" | Select-Object -First 10 Name

Name
----
.NET CLR Data
.NET CLR Networking
.NET CLR Networking 4.0.0.0
ACPI
AFD
AarSvc
AarSvc_XXXXX
AcpiDev
AcpiPmi
ahcache

Terminologie essentielle¶

Voyons un exemple concret de cette hierarchie :

HKEY_CURRENT_USER                  ← Ruche
└── Software                       ← Cle
    └── Microsoft                  ← Sous-cle
        └── Windows                ← Sous-cle
            └── CurrentVersion     ← Sous-cle
                └── Run            ← Sous-cle
                    └── OneDrive = "C:\...\OneDrive.exe"  ← Valeur

Navigation dans ce livre¶

Ce livre compte 30 chapitres. Selon votre profil et vos objectifs, vous n'avez pas besoin de tout lire dans l'ordre. Voici des parcours de lecture adaptes.

Parcours par profil¶

Lecture sequentielle¶

Si vous preferez une lecture de bout en bout, le livre est structure en blocs progressifs :

• Chapitres 1-4 : Fondations (architecture, ruches, types de donnees)
• Chapitres 5-9 : Outils et manipulation (Regedit, reg.exe, PowerShell, sauvegarde, restauration)
• Chapitres 10-15 : Programmation et automatisation (API Win32, .NET, WMI, scripts)
• Chapitres 16-22 : Securite, forensique et audit
• Chapitres 23-27 : Scenarios avances (virtualisation, conteneurs, Active Directory)
• Chapitres 28-30 : Annexes, reference et troubleshooting

Fichiers physiques sur le disque¶

La base de registre n'est pas un fichier unique. Elle est repartie dans plusieurs fichiers :

Chaque fichier est accompagne de fichiers auxiliaires (.LOG, .LOG1, .LOG2) utilises pour les transactions et la recuperation en cas de corruption.

Verifiez par vous-meme que ces fichiers existent :

dir %SystemRoot%\System32\config\SYSTEM*

 Directory of C:\Windows\System32\config

01/15/2026  08:30 AM        16,777,216 SYSTEM
01/15/2026  08:30 AM           262,144 SYSTEM.LOG1
01/15/2026  08:30 AM           262,144 SYSTEM.LOG2

Les 5 reflexes avant de modifier le registre¶

Avant de toucher quoi que ce soit dans le registre, adoptez ces 5 reflexes. Ils vous eviteront des heures de depannage -- ou pire, une reinstallation.

# Example: export a key before modifying it
reg export "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" "$env:USERPROFILE\Desktop\run_backup.reg" /y

The operation completed successfully.