Glossaire
Gestionnaire de notifications
Une application enregistrée auprès de la plateforme de notifications Windows : une ligne NotificationHandler avec PrimaryId, type et date de création.
Un gestionnaire de notifications (handler) est une application, ou un composant système, enregistré auprès de la plateforme de notifications Windows afin de pouvoir notifier l'utilisateur. Chaque gestionnaire correspond à une ligne de la table NotificationHandler de wpndatabase.db. Son RecordId est la clé primaire vers laquelle pointent les notifications via Notification.HandlerId, et son PrimaryId indique de quelle application il s'agit.
Les autres colonnes décrivent l'enregistrement : HandlerType (par exemple app:desktop, app:immersive ou app:system), WNSId et WNFEventName pour les identifiants du service push et de la facilité de notification, ParentId et ContainerSid, ainsi que CreatedTime / ModifiedTime. Les tables clé / valeur associées, HandlerAssets et HandlerSettings, contiennent d'autres détails par gestionnaire ; leurs clés varient selon l'application et la build de Windows.
Pourquoi c'est important dans une investigation
La table des gestionnaires liste toutes les applications qui pouvaient notifier cet utilisateur, qu'il reste ou non des notifications de leur part. Deux cas méritent l'attention. D'abord, un gestionnaire créé pendant la période étudiée : une application qui s'est enregistrée pour les notifications en pleine intrusion. Ensuite, un gestionnaire identifié par un chemin dans un emplacement accessible en écriture à l'utilisateur, comme ProgramData, Users\Public ou un dossier de profil, que le parseur signale comme application inhabituelle. Beaucoup d'applications légitimes s'y trouvent aussi : corroborez avec les artefacts d'exécution. Gardez à l'esprit que CreatedTime et ModifiedTime sont du texte au fuseau horaire non documenté, contrairement aux valeurs FILETIME en UTC des notifications.
Exemple
SELECT n.ArrivalTime, h.PrimaryId, h.HandlerType, h.CreatedTime
FROM Notification n
JOIN NotificationHandler h ON n.HandlerId = h.RecordId;
Dans l'exemple fictif du site, un gestionnaire dont le PrimaryId est C:\ProgramData\Intel\m64.exe apparaît avec un CreatedTime de 2026-09-14 10:11:58, une minute avant son unique toast.
Termes associés
La vue Applications et canaux du Windows Notification Parser liste tous les gestionnaires ; le cas d'investigation en montre un en contexte.