Qu'est-ce que le format de fichier PCAPNG ?
Un fichier .pcapng contient des paquets de données capturés sur un réseau, enregistrés au format PCAP Next Generation (PCAPNG). Les paquets de données stockés dans un fichier .pcapng sont utilisés par des applications d'analyse de protocoles réseau, telles que Wireshark, pour surveiller et administrer le trafic réseau. Le PCAPNG remplace l'ancien format .pcap et est devenu le format d'enregistrement par défaut de Wireshark dans la version 1.8 (2012).
Le format organise les données en plusieurs blocs typés dans une structure organisée. Les principaux types de blocs incluent :
- Section Header Block (SHB) - ouvre une section de capture ; inclut le Byte-Order Magic (
1A 2B 3C 4D) pour la détection automatique de l'endianness - Interface Description Block (IDB) - enregistre le type de couche de liaison et les métadonnées d'interface pour chaque source de capture
- Enhanced Packet Block (EPB) - stocke les trames individuelles avec des horodatages précis et des drapeaux optionnels par paquet
- Name Resolution Block (NRB) - fait correspondre les adresses IP aux noms d'hôtes
- Interface Statistics Block (ISB) - contient les statistiques de capture par interface
Les informations enregistrées dans ces blocs peuvent être utilisées pour reconstruire les données capturées. Le fichier est identifié par les magic bytes 0A 0D 0D 0A à l'offset 0 ; le type MIME enregistré est application/x-pcapng.
Sécurité et sûreté
RISQUE : MEDIUMUn fichier pcapng est une donnée passive et ne peut pas s'exécuter seul, mais il est sensible : une capture peut contenir des mots de passe en texte clair, des cookies/jetons de session, des IP et noms d'hôtes internes, ainsi que l'intégralité des charges utiles du trafic non chiffré. Traitez les captures comme confidentielles - ne téléchargez PAS de captures sensibles sur des analyseurs en ligne publics, et anonymisez-les avant de les partager. Capturer du trafic sur des réseaux que vous ne possédez pas ou n'administrez pas peut être illégal. Il existe un risque technique secondaire : historiquement, des bogues d'analyseur dans les outils d'analyse (y compris les dissecteurs Wireshark) ont été exploités par des fichiers de capture malveillants, gardez donc Wireshark à jour et soyez prudent lors de l'ouverture de captures non fiables.
Détails du format
en brefNOM COMPLETPCAP Next Generation Capture File
DÉVELOPPEURWireshark / IETF OPSAWG (community standard)depuis circa 2010 (Wireshark 1.8 made it the default save format in 2012)
CATÉGORIEFichiers de données
TYPE MIMEapplication/x-pcapng
TYPECapture de paquets réseau binaire (structurée par blocs)
STANDARDOuvert · libre de droits
OCTETS MAGIQUES · SIGNATURE DE FICHIER
OFFSET
00010203
HEX
0A0D0D0A
ASCII
····
Un fichier pcapng commence par un Section Header Block : les 4 premiers octets sont le type de bloc 0A 0D 0D 0A, la longueur totale du bloc suit, et une valeur Byte-Order Magic 1A 2B 3C 4D apparaît à l'offset 8 (octets inversés si le fichier est en big-endian). Cela distingue le pcapng de l'ANCIEN format pcap classique, dont le magic est D4 C3 B2 A1 (little-endian) / A1 B2 C3 D4 (big-endian) à l'offset 0. Wireshark détecte automatiquement les deux.
Programmes qui ouvrent les fichiers PCAPNG
Windows3 apps
Wireshark
Open-source Fichier > Ouvrir le .pcapng ; Wireshark décode chaque couche de protocole et vous permet de filtrer, de suivre les flux et d'inspecter les paquets. 
CapLoader
Payant Chargeur rapide pour les captures très volumineuses ; ouvre le .pcapng pour trier les flux, puis transmet les flux individuels à Wireshark. 
NetworkMiner
Freemium Ouvrez le .pcapng pour extraire des fichiers, des images, des identifiants et des informations sur les hôtes pour l'analyse forensique/sécurité (édition gratuite disponible). 
macOS1 app
Wireshark
Open-source Fichier > Ouvrir le .pcapng ; Wireshark décode chaque couche de protocole et vous permet de filtrer, de suivre les flux et d'inspecter les paquets. 
Linux2 apps
Wireshark
Open-source Fichier > Ouvrir le .pcapng ; Wireshark décode chaque couche de protocole et vous permet de filtrer, de suivre les flux et d'inspecter les paquets. 
tcpdump
Open-source tcpdump -r fichier.pcapng affiche les paquets dans le terminal (le libpcap moderne lit le pcapng).
Web1 app
A-Packets
Gratuit Téléchargez un .pcapng pour analyser les flux dans le navigateur - à utiliser uniquement avec des captures non sensibles (le fichier quitte votre machine). Détails techniques
spécifications approfondies| Magic bytes | 0A 0D 0D 0A à l'offset d'octet 0 (identifiant de type Section Header Block) ; le Byte-Order Magic 1A 2B 3C 4D à l'offset 8 à l'intérieur du SHB détermine l'endianness du fichier |
| Type MIME | application/x-pcapng |
| Prise en charge de l'endianness | Les fichiers little-endian et big-endian sont tous deux valides ; les lecteurs détectent l'ordre des octets à partir du champ Byte-Order Magic dans le Section Header Block |
| Architecture par blocs | Toutes les données sont stockées dans des blocs typés avec préfixe de longueur ; chaque bloc commence par un champ de type de 32 bits et un champ de longueur totale de 32 bits, ce qui rend le format auto-descriptif et extensible |
| Capture multi-interface | Un seul fichier peut contenir simultanément des paquets provenant de plusieurs interfaces réseau, chacune décrite par son propre Interface Description Block (IDB) |
| Résolution d'horodatage | Configurable par interface via les options IDB ; la précision par défaut est la microseconde (10⁻⁶ s) ; la précision à la nanoseconde (10⁻⁹ s) est également prise en charge |
| Types de blocs principaux | Section Header (SHB), Interface Description (IDB), Enhanced Packet (EPB), Simple Packet (SPB), Name Resolution (NRB), Interface Statistics (ISB), Decryption Secrets (DSB) |
| Options de bloc / Métadonnées TLV | Chaque type de bloc prend en charge des champs optionnels encodés en TLV pour les commentaires, les noms d'interface, les descriptions d'OS et les extensions personnalisées des fournisseurs |
| Encodage du type de couche de liaison | Stocké dans chaque IDB à l'aide des codes LINKTYPE de libpcap (ex: LINKTYPE_ETHERNET = 1, LINKTYPE_RAW = 101) ; différentes interfaces dans le même fichier peuvent porter différents types de liaison |
| Decryption Secrets Block (DSB) | Introduit vers 2019 ; intègre les clés de session TLS ou WireGuard (compatibles SSLKEYLOGFILE) directement dans la capture, permettant le déchiffrement dans le fichier avec Wireshark |
| Concaténation de sections | Plusieurs Section Header Blocks peuvent apparaître séquentiellement dans un fichier, permettant d'ajouter des sessions de capture distinctes sans ré-encodage |
| Longueur de capture (snaplen) | Le nombre maximum d'octets capturés par paquet est défini par interface dans l'IDB ; généralement 65535 octets ou 262144 octets dans les outils de capture modernes |
| Compression native | Non intégrée au format ; les fichiers sont couramment compressés en gzip de manière externe et référencés avec une extension .pcapng.gz pour réduire la taille de stockage |
| Publié | circa 2010 (Wireshark 1.8 made it the default save format in 2012) |
| Standard ouvert | Oui · libre de droits |
| Spécification | www.ietf.org |
Conversions PCAPNG
Possible
.PCAPNG .PCAPGUIDE
Oui, le PCAPNG se convertit en PCAP - le moyen le plus rapide est une seule commande : editcap -F pcap…
Comment convertir
.PCAPNG .CSVGUIDE
Oui - Wireshark exporte les données de paquets en CSV en quelques clics, et tshark fait de même en ligne de…
Comment convertir
.PCAPNG .JSONGUIDE
Oui - lancez tshark -r file.pcapng -T json et vous obtiendrez immédiatement une sortie JSON depuis la ligne…
Comment convertir
.PCAPNG .TXTGUIDE
Oui, vous pouvez exporter un fichier PCAPNG en texte brut - le moyen le plus rapide est une commande tshark…
Comment convertir
Q&R de la communauté
posées par les utilisateursPas encore de questions - soyez le premier à poser une question sur les fichiers PCAPNG.
Foire aux questions
Comment ouvrir un fichier PCAPNG ?
Utilisez Wireshark (gratuit pour Windows, macOS et Linux) - Fichier > Ouvrir le .pcapng et il décode chaque couche de protocole. Sur Linux/macOS, vous pouvez également le lire avec « tshark -r fichier.pcapng » ou « tcpdump -r fichier.pcapng ».
Quelle est la différence entre PCAPNG et PCAP ?
Le PCAP est l'ancien format classique libpcap ; le PCAPNG (next generation) est le nouveau format par défaut de Wireshark qui permet d'ajouter plusieurs interfaces par fichier, des horodatages à la nanoseconde et des commentaires/métadonnées par paquet. Wireshark ouvre les deux.
Comment convertir un PCAPNG en PCAP ?
Dans Wireshark, choisissez Fichier > Enregistrer sous et sélectionnez le format « pcap », ou lancez « editcap -F pcap entree.pcapng sortie.pcap ». C'est une conversion avec perte - les fonctionnalités exclusives au pcapng (interfaces supplémentaires, temps en nanosecondes, commentaires) sont supprimées.
Pourquoi mon outil demande-t-il un .pcap alors que j'ai un .pcapng ?
Les outils plus anciens ou plus simples ont été écrits pour le pcap classique. Beaucoup lisent en réalité très bien le pcapng malgré l'étiquette ; si l'un d'eux échoue vraiment, convertissez-le avec editcap ou l'option Enregistrer sous de Wireshark. Les données de capture sont les mêmes paquets dans les deux cas.
Un fichier PCAPNG peut-il contenir des mots de passe ou des données privées ?
Oui - il stocke le trafic brut, donc tous les identifiants en texte clair, les cookies ou le contenu non chiffré sont visibles dans les paquets. Traitez les captures comme confidentielles et évitez de télécharger des captures sensibles sur des outils en ligne publics.
Comment lire un PCAPNG sans installer de logiciel ?
Téléchargez-le sur un analyseur basé sur un navigateur comme A-Packets - mais uniquement pour les captures non sensibles, car le fichier quitte votre machine. Pour tout ce qui est confidentiel, installez plutôt Wireshark localement.
Références
1IETF OPSAWG - PCAP Next Generation (PCAPNG) Capture File Formatwww.ietf.org
2Wireshark Wiki - Development/PcapNgwiki.wireshark.org
