Qué pasa de verdad al borrar un archivo

Cuando se borra un archivo, el sistema de archivos casi nunca borra su contenido. Hace dos cosas baratas: marca la entrada del directorio como libre y declara disponibles los clústeres que ocupaba. Los datos siguen escritos en el soporte hasta que otro archivo reciba esos clústeres y los sobrescriba.

Por eso la pregunta útil no es «¿se borró?» sino «¿se sobrescribió?». Mientras el espacio esté libre y sin escrituras posteriores, el contenido es recuperable; cada archivo nuevo que se guarda en ese volumen es una oportunidad de perderlo.

En FAT, la entrada borrada conserva el tamaño y el primer clúster, pero pierde el primer carácter del nombre (las herramientas lo muestran como un guion bajo). Lo que no conserva es la cadena de clústeres: el volumen la pone a cero al borrar. Por eso una herramienta solo puede suponer que el archivo era contiguo y contar desde el primer clúster tantos como indique el tamaño.

Abre el listado y el mapa de clústeres. Un archivo es recuperable por completo solo si todos sus clústeres siguen libres y sin escrituras posteriores.

Un archivo puede estar a medias: parte de sus clústeres reasignados y parte libres. Lo que se recupera es entonces un archivo con la mitad correcta y la otra mitad con el contenido de otro. Medirlo importa porque decide cómo se informa: «recuperado íntegro» y «recuperado parcialmente» son afirmaciones muy distintas.

Mira el mapa del contrato borrado: cuenta los clústeres de su rango que ya pertenecen a otro archivo.

Recuperar escribe datos. Si lo recuperado se guarda en el mismo soporte del que sale, puede ocupar justo los clústeres libres que contenían otros archivos borrados, y destruir lo que aún era recuperable. Por eso lo recuperado se escribe siempre en otro soporte, distinto del original y de la copia de trabajo, y se trata como evidencia nueva con su propia huella.