EVTX (journal d'événements Windows) : fichier .evtx
stableFormat des journaux d'événements Windows depuis Vista, structuré en blocs XML binaires plutôt qu'en enregistrements plats comme l'ancien EVT.
Le EVTX remplace l’ancien EVT depuis Windows Vista comme format natif des journaux d’événements du système (Application, Sécurité, Système, ainsi que les journaux applicatifs propres à chaque logiciel). Son en-tête débute par la signature ASCII “ElfFile” suivie d’un octet nul (45 6C 66 46 69 6C 65 00), un sigle pour “Event Log File”, sans lien avec le format exécutable ELF d’Unix malgré l’homonymie.
Le fichier organise ses enregistrements en “chunks” de 64 Kio, chacun contenant plusieurs événements sérialisés selon une variante binaire compacte du XML, plutôt qu’un flux plat d’enregistrements comme l’ancien EVT. Cette structure permet une recherche et une troncature plus efficaces sur de gros journaux, au prix d’un format illisible sans outil dédié : ouvrir un EVTX dans un simple éditeur de texte n’affiche que des fragments binaires.
Les descriptions lisibles des événements (le texte du message affiché dans l’Observateur d’événements) ne sont généralement pas stockées dans le fichier EVTX lui-même : elles sont résolues au moment de l’affichage à partir de ressources de chaînes contenues dans des DLL ou EXE installés sur la machine d’origine, ce qui explique pourquoi un même journal peut s’afficher différemment (ou de façon moins lisible) sur une machine où ces composants sont absents.
Le format reste la référence pour l’analyse forensique et la détection d’incidents sous Windows, largement interrogé via PowerShell (Get-WinEvent) ou des bibliothèques d’analyse tierces (libevtx notamment) plutôt que via l’Observateur d’événements seul lors d’investigations à grande échelle.
Signature binaire
| Hexadécimal | Offset |
|---|---|
45 6C 66 46 69 6C 65 00 | 0 |
Vérifier qu'un fichier porte bien cette signature →
Questions fréquentes
Comment ouvrir un fichier .evtx ?
Observateur d'événements Windows, Get-WinEvent (PowerShell) permettent d'ouvrir gratuitement un fichier .evtx. Voir la liste complète des logiciels compatibles ci-contre.
Quel est le type MIME du format EVTX (journal d'événements Windows) ?
Le type MIME du format EVTX (journal d'événements Windows) est application/octet-stream.
Le format EVTX (journal d'événements Windows) (.evtx) est-il encore utilisé aujourd'hui ?
Oui, le format EVTX (journal d'événements Windows) est stable et toujours largement utilisé, sans signe de déclin.
Peut-on ouvrir un fichier .evtx sur mobile, sans installer d'application ?
Aucun outil web n'est référencé sur cette fiche pour ce format : l'ouverture nécessite un logiciel de bureau (voir la liste « Avec quoi l'ouvrir » ci-contre).
Pourquoi un même événement Windows peut-il apparaître formaté très différemment selon l'outil qui l'affiche ?
Un enregistrement EVTX stocke ses données au format XML binaire compact, avec des chaînes de description tirées de fichiers de ressources (.dll/.exe) installés séparément sur le système qui a produit le journal. Ouvrir le même fichier sur une machine où ces ressources sont absentes ou d'une version différente peut afficher un message brut moins lisible plutôt que la description mise en forme habituelle.
Le format EVTX est-il vraiment un XML classique lisible tel quel dans un éditeur de texte ?
Non : malgré son nom, EVTX encode le XML sous une forme binaire compacte organisée en "chunks" de 64 Kio, pas en texte brut : ouvrir le fichier dans un éditeur de texte affiche des données largement illisibles. Seul un outil qui comprend cette structure (Observateur d'événements, Get-WinEvent, bibliothèques forensiques comme libevtx) peut restituer le XML lisible sous-jacent.
EVT, EVTX, ETL, DMP : quel fichier de diagnostic Windows consulter →
Un fichier ne s'ouvre pas : les causes possibles →
Comment savoir si un fichier est corrompu →
Sources
Dernière mise à jour :