Autopsy est une plateforme d’investigation numérique dotée d’une interface graphique, conçue pour examiner le contenu d’un disque dur, d’une clé USB ou d’un téléphone. Elle sert de façade visuelle à The Sleuth Kit, une collection d’outils en ligne de commande créée par Brian Carrier, et regroupe autour d’elle de nombreux modules d’analyse. Le logiciel est publié sous licence Apache 2.0 et son code se trouve sur GitHub.
Il est développé par Sleuth Kit Labs, société dirigée par Brian Carrier. Son équipe a travaillé plus de quinze ans au sein de Basis Technology avant de devenir une entreprise indépendante en octobre 2023, selon le site de Sleuth Kit Labs. L’historique des versions situe la première bêta d’Autopsy 3 en août 2011 et la version 4.0, qui a introduit le travail collaboratif, en novembre 2015.
À quoi sert Autopsy
Le principe consiste à ouvrir un dossier d’enquête, puis à y ajouter des sources de données : une image disque au format brut ou EnCase (E01), un disque virtuel VMDK ou VHD, un support branché sur la machine, des fichiers isolés ou un export de l’outil d’extraction mobile XRY. Autopsy lance ensuite des modules d’ingestion qui travaillent en arrière-plan et publient leurs résultats au fur et à mesure, si bien que l’enquêteur peut commencer à lire les premières trouvailles sans attendre la fin du traitement.
Ces modules couvrent la plupart des tâches courantes d’un examen. Ils identifient le vrai type des fichiers, signalent une extension trompeuse, comparent les empreintes à des bases de fichiers connus, récupèrent l’historique et les cookies des navigateurs, analysent la base de registre de Windows, lisent les métadonnées EXIF des photos, retrouvent des fichiers effacés grâce à PhotoRec et appliquent des règles YARA, outil que présente aussi notre logithèque. D’autres extraient les artefacts Android et iOS, décodent les journaux de drones DJI ou construisent une chronologie complète des événements.
Plusieurs vues aident ensuite à exploiter la masse de résultats : une galerie d’images, une frise chronologique, une carte des positions géographiques et un outil qui représente les échanges entre interlocuteurs. Pour les équipes, un mode multi-utilisateur permet de partager un même dossier via des services réseau. La version 4.23.0 a ajouté, sous Windows uniquement, un serveur MCP que la documentation présente comme une intégration avec Claude Desktop.
Autopsy est complémentaire de Volatility, que nous présentons également : le premier s’intéresse au stockage, le second à la mémoire vive. La documentation mentionne d’ailleurs, parmi les fonctions expérimentales, un module capable de traiter une image mémoire avec Volatility.
Pour qui ?
D’après son éditeur, des dizaines de milliers d’enquêteurs de la police et d’entreprises l’utilisent dans le monde. Il convient aussi aux équipes de réponse à incident, aux auditeurs internes et aux étudiants, qui trouvent là un moyen gratuit d’apprendre la méthode sans acheter une suite commerciale.
L’outil est exigeant. La documentation recommande au moins 16 Go de mémoire vive. L’éditeur conseille aussi d’exclure les dossiers d’enquête de l’antivirus et de l’EDR, qui peuvent ralentir fortement le traitement ou mettre des résultats en quarantaine. Autopsy reste pensé d’abord pour Windows : sous Linux et macOS, plusieurs modules manquent, dont l’activité récente et l’analyse mobile. Depuis le passage à The Sleuth Kit 4.14.0, les systèmes de fichiers XFS et Btrfs ne sont plus pris en charge.
Télécharger Autopsy sans risque
La page de téléchargement du site autopsy.com renvoie vers les fichiers publiés sur GitHub par le projet sleuthkit/autopsy. La version 4.23.1 du 7 mai 2026 y est proposée sous forme d’installateur MSI 64 bits pour Windows, d’environ 1,2 Go, et d’une archive zip pour Linux et macOS, accompagnés de signatures PGP permettant de contrôler leur intégrité. Sous Linux et macOS, l’installation passe par des scripts qui demandent Java 17 et la bibliothèque Java de The Sleuth Kit. Un paquet snap publié par Sleuth Kit Labs existe aussi, mais il affichait encore la version 4.22.1 lors de notre consultation.
Autopsy lui-même est gratuit. Sleuth Kit Labs vend à côté le logiciel Cyber Triage, testable sept jours, des modules complémentaires, des formations, un support et du développement sur mesure. Comme les enquêteurs traitent des pièces qui peuvent finir devant un tribunal, l’installateur doit provenir de ces adresses officielles et sa signature mérite d’être vérifiée.
Questions fréquentes
Autopsy est-il vraiment gratuit ?
Oui. Le logiciel est distribué sous licence Apache 2.0, sans limite de durée ni de fonctions. Seuls les produits et services annexes de Sleuth Kit Labs, comme Cyber Triage, la formation ou le support, sont payants.
Quelle différence entre Autopsy et The Sleuth Kit ?
The Sleuth Kit est un ensemble d’outils en ligne de commande et une bibliothèque qui lisent les systèmes de fichiers. Autopsy s’appuie sur cette bibliothèque et y ajoute une interface graphique, des modules d’analyse, la gestion de dossiers et la production de rapports.
Autopsy fonctionne-t-il sur Mac ?
Oui, à partir de l’archive zip et de scripts d’installation qui s’appuient sur Homebrew. Certaines fonctions restent cependant réservées à Windows, et la documentation précise que les disques virtuels VHD et VMDK ne sont pas pris en charge sous macOS.
