Как посмотреть историю и последние действия на компьютере

WiFiGId снова приветствует вас! Бывают случаи, когда нужно посмотреть последние действия на компьютере. Например, когда открывали какой-то документ и забыли его расположение, или забыли классный сайт, который недавно посещали. А может быть, появились подозрения, что кто-то пользовался вашим компьютером без разрешения. В этой статье попробую показать актуальные рабочие возможности по воспроизведению последних действий.

ВАЖНО! Ни один способ ниже не показывает «полную запись всего, что делали на ПК». Windows хранит разные следы в разных местах: вход в систему – в журналах, открытые файлы – в недавних документах, сайты – в браузере, загрузки – в папке «Загрузки». Если человек чистил историю, работал в приватном режиме или использовал другую учетную запись, часть следов может отсутствовать.

Также сразу скажу про этику и законность. Смотреть историю действий можно на своем компьютере или на рабочем ПК, если у вас есть права администратора и понятные правила внутри организации. Тайно следить за другим человеком через скрытые программы, веб-камеру, кейлоггеры и подобные штуки – плохая идея. Это может нарушать личные границы, законы и правила безопасности. В этой статье я показываю обычные системные способы, которые нужны для восстановления своих действий, поиска файлов и базовой проверки входов в систему.

Способ 1 – Журнал событий

Журнал событий – это официальная утилита Windows. Она фиксирует далеко не все, но моменты с включением, выключением, перезагрузкой, сбоями и входом пользователя здесь поймать можно. Если вам нужно понять, включался ли компьютер без вас, это один из самых полезных вариантов. Более подробно про сам инструмент можно почитать тут – как открыть журнал событий Windows.

Делаем по шагам.

1. Запускаем «Выполнить» ( + R) и исполняем команду eventvwr (а можете через поиск Windows попробовать найти утилиту «Просмотр событий»).

2. Переходим слева в «Журналы Windows» – «Система». Справа выбираем «Фильтр текущего журнала» и устанавливаем там нужную нам дату (я ставлю «Последние 24 часа»). В поле кодов событий можно указать конкретные номера, если вы ищете включение, выключение или перезагрузку.

3. Пробегаемся глазом по журналу и в столбце «Источник» ищем события, связанные с «Kernel-Power», «Power-Troubleshooter», «EventLog», «User32» и «Winlogon».

Например, на скриншоте выше в 22:38 я отловил какой-то вход в систему. На практике это может быть реальный вход пользователя, пробуждение после сна, перезагрузка после обновления или системное событие. Поэтому я советую смотреть не одну строку, а цепочку событий вокруг нужного времени: что было за пару минут до события и что было сразу после него. Так проще понять, это человек сел за компьютер или Windows просто проснулась из-за обновления.

Для включения, выключения и перезагрузки удобно искать такие события:

• 6005 – служба журнала событий запущена, часто это признак запуска Windows.
• 6006 – служба журнала событий остановлена, часто это нормальное выключение системы.
• 6008 – предыдущее завершение работы было неожиданным, например отключили питание или произошел сбой.
• 41 Kernel-Power – система перезагрузилась без корректного завершения работы.
• 1074 – выключение или перезагрузка были инициированы программой, пользователем или обновлением.

Если хотите именно посмотреть, когда компьютер включался, у нас есть отдельная инструкция – как посмотреть, когда включался компьютер.

Подсказка. Если вы ищете входы пользователя, откройте не только «Система», но и «Журналы Windows» – «Безопасность». Там могут быть события входа и выхода, но они зависят от настроек аудита Windows. Для входа часто смотрят код 4624, для выхода – 4634. Обычному пользователю чаще хватает системного журнала, но при серьезной проверке «Безопасность» тоже стоит открыть.

Если не хочется кликать по фильтрам вручную, можно использовать PowerShell. Нажмите правой кнопкой по «Пуск», откройте «Терминал» или «Windows PowerShell» и выполните команду:

Get-WinEvent -FilterHashtable @{LogName=”System”; Id=41,1074,6005,6006,6008} -MaxEvents 30 | Select-Object TimeCreated, Id, ProviderName, Message

Команда покажет последние события запуска, выключения и аварийных перезагрузок. Это удобно, если журнал большой и глазами искать долго. Но не забывайте: сама запись в журнале еще не доказывает, что за компьютером сидел человек. Windows могла перезагрузиться после обновления, проснуться по таймеру обслуживания или включиться из-за настроек питания.

Способ 2 – Недавние документы

Продолжаем расследование истории компьютера. Теперь предлагаю посмотреть последние документы, с которыми работали на компьютере.

1. Снова открываем «Выполнить» ( + R) с командой shell:recent.
2. Откроется окно «Недавние документы», где представлен список измененных или недавно открывавшихся файлов. Его можно упорядочить по дате.

В этой папке обычно лежат не сами файлы, а ярлыки на них. То есть если вы видите там документ, это еще не значит, что документ физически находится в этой папке. Нажмите по файлу правой кнопкой мыши и откройте «Расположение файла», если такой пункт доступен. Так можно быстро найти забытый документ, таблицу, архив, картинку или презентацию. Если исходный файл уже удалили или перенесли, ярлык может не открыться.

А еще такая функция есть и у отдельных программ: например, при открытии Word, Excel, PowerPoint, Photoshop, VLC или других программ на главной странице часто будет список последних открытых файлов. Можно пробежаться по своему списку и посмотреть, что использовалось. Если хотите глянуть историю последних фильмов – открываем программу, с помощью которой вы их смотрите, и ищете нужный пункт. У меня в VLC такое имеется.

В Windows 10 и Windows 11 есть еще «Быстрый доступ» или «Главная» в Проводнике. Откройте Проводник через + E и посмотрите блоки с недавними файлами и часто используемыми папками. В Windows 11 этот раздел может называться «Главная», а в Windows 10 чаще встречается «Быстрый доступ». Там часто видно то, что пользователь открывал недавно, даже если он не помнит путь к файлу.

Если недавние файлы не показываются, возможно, функция отключена в параметрах Проводника. Откройте Проводник, нажмите на три точки или вкладку «Вид», перейдите в «Параметры» и проверьте настройки конфиденциальности. Там обычно есть пункты показа недавно использованных файлов и часто используемых папок. Если они выключены, Windows может не вести такой список или не показывать его в привычном месте.

Способ 3 – История браузера

Сейчас если кто-то использует компьютер, он как правило побежит смотреть что-то в интернете. Так что если хотите узнать наверняка, открываем свой браузер и смотрим историю посещений. Показываю на примере Google Chrome, в других все делается по аналогии.

1. Переходим в меню и выбираем «История» (горячие клавиши Ctrl + H).

2. Наблюдаем полную картину посещений. Актуально, если вы ее не чистите вручную.

Эта же комбинация Ctrl + H работает в Google Chrome, Microsoft Edge, Яндекс Браузере, Opera и многих других браузерах. В Firefox история тоже открывается похожим способом, но меню может выглядеть немного иначе. Если вы используете Яндекс Браузер, отдельная инструкция есть здесь – как посмотреть историю браузера Яндекс.

Для справки. Если вы привязывали свой аккаунт Google к браузеру, то можете кликнуть по своей аватарке, перейти в настройки аккаунта Google, а уже там открыть «Данные и конфиденциальность» – «История приложений и веб-поиска». Способ подходит далеко не всем, потому что синхронизация и сохранение истории могут быть отключены. Но если функция работала, часть действий можно увидеть не только в локальной истории браузера.

Тут есть несколько ограничений. Если сайт открывали в режиме инкогнито, в обычной истории он не появится. Если историю почистили вручную, список тоже будет пустым или неполным. Если человек пользовался другим браузером, нужно открывать историю именно в нем. Например, вы проверили Chrome, а человек сидел в Edge или Opera – тогда в Chrome ничего интересного не будет.

Если история уже удалена, восстановить ее не всегда возможно. Иногда помогают синхронизация аккаунта, кеш, точки восстановления, DNS-кеш или сторонние программы восстановления, но гарантии нет. Если нужно разобраться глубже, посмотрите отдельный материал – как восстановить историю браузера.

Способ 4 – Корзина и Загрузки

Этот чеклист не был бы полным, если бы я не упомянул про эти чудесные папки. Все, что удалялось обычным способом, может попадать в Корзину, а все, что загружалось через браузер, обычно сохраняется в «Загрузках». Поэтому стоит посетить два этих места, быть может, там остались какие-то сторонние следы. Если вы почему-то не знаете, как попасть в эти папки, оставляю команды для той же утилиты «Выполнить».

shell:downloads – Загрузки
shell:RecycleBinFolder – Корзина

Важно понимать, что не все удаленные файлы попадают в Корзину. Если файл удаляли через Shift + Delete, с внешнего накопителя, из некоторых программ или из сетевой папки, он может удалиться мимо Корзины. Также Корзину могли очистить вручную. Если не можете найти сам значок Корзины на рабочем столе, вот отдельная инструкция – где находится Корзина в Windows.

В папке «Загрузки» смотрите не только названия файлов, но и дату изменения. Часто там остаются установщики программ, документы, картинки, архивы, PDF-файлы и файлы, скачанные из мессенджеров или почты. Можно переключить вид папки на «Таблица» и отсортировать файлы по столбцу «Дата изменения». Если папка «Загрузки» у вас перенесена в другое место, поможет отдельный разбор – как изменить папку загрузки в Windows.

Простой пример. Вы скачали важный договор, открыли его, закрыли и забыли, где он лежит. Сначала проверяем «Загрузки», потом «Недавние документы», потом историю браузера по сайту, с которого качали файл. В большинстве бытовых случаев этого хватает, чтобы найти потерянный документ без сложных программ.

Способ 5 – Запущенные программы и история приложений

Если нужно понять, какие программы недавно работали, можно начать с простых мест. Нажмите Ctrl + Shift + Esc, чтобы открыть «Диспетчер задач». На вкладке «Процессы» видно, что запущено прямо сейчас. А на вкладке «Журнал приложений» можно посмотреть использование ресурсов некоторыми приложениями из Microsoft Store и системных компонентов.

Этот способ не покажет полную историю всех программ, но иногда помогает. Например, вы отошли от компьютера, вернулись и видите, что открыт неизвестный установщик, архиватор или браузер. Сразу проверяем «Процессы», «Автозагрузку», «Журнал приложений» и последние файлы. Если программа уже закрыта, смотрим «Просмотр событий» в разделах «Приложение» и «Система» по нужному времени.

В Windows также есть «Надежность системы». Откройте поиск Windows и введите «Просмотр журнала надежности». Там можно увидеть сбои приложений, ошибки Windows, установки обновлений, проблемы с драйверами и некоторые события по дням. Это не шпионский журнал действий, а диагностический инструмент. Но если нужно понять, что происходило на компьютере вчера или сегодня, он часто дает понятную картину без сложных фильтров.

Способ 6 – История активности и Временная шкала

В Windows 10 раньше была функция «Временная шкала», которая показывала часть последних действий: открытые документы, некоторые сайты, приложения и активность пользователя. В Windows 11 привычная Временная шкала уже не используется, поэтому многие старые инструкции из интернета могут сбивать с толку. На Windows 11 лучше смотреть недавние файлы в Проводнике, историю браузера, OneDrive, историю приложений и системные журналы.

В Windows 10 можно проверить параметры активности так:

1. Откройте «Пуск» – «Параметры».
2. Перейдите в «Конфиденциальность» – «Журнал действий» или «История действий».
3. Посмотрите, включено ли сохранение активности на устройстве.

В Windows 11 похожий раздел находится по пути «Параметры» – «Конфиденциальность и безопасность» – «Журнал действий». Но не ждите от него старой полноценной «ленты всего, что делали на компьютере». Microsoft постепенно меняла эту функцию, поэтому на разных версиях Windows поведение отличается. Для обычной проверки последних действий надежнее использовать несколько источников сразу: журнал событий, недавние файлы, браузер, загрузки и корзину.

Способ 7 – OneDrive, Office и облачные документы

Если вы используете Microsoft 365, Word, Excel, PowerPoint или OneDrive, часть недавних действий может храниться в самих приложениях и облаке. Откройте Word или Excel и посмотрите раздел «Последние». Там часто отображаются документы, которые открывались с компьютера, из OneDrive или из почты. Это удобно, если файл не лежит локально, а был открыт из облака.

В OneDrive можно открыть папку синхронизации и отсортировать файлы по дате изменения. Если документ редактировался недавно, вы быстро увидите его вверху списка. В веб-версии OneDrive и Office тоже есть разделы последних файлов. Если у вас рабочий или учебный аккаунт, администратор организации может видеть часть активности через свои инструменты, но обычному домашнему пользователю такие отчеты недоступны.

Этот способ особенно полезен, если вы работали с документами не только на одном ПК. Например, начали файл на ноутбуке, потом открыли на другом компьютере, потом забыли, где он был. В таком случае локальная папка «Недавние документы» может быть пустой, а список последних файлов в Word или OneDrive все равно покажет нужный документ.

Способ 8 – Windows Recall на новых компьютерах

На некоторых новых компьютерах с Windows 11 и поддержкой Copilot+ PC есть функция Recall. Она может сохранять снимки экрана и помогать искать то, что вы раньше видели на компьютере. Это не обычная история браузера и не журнал событий, а отдельная функция Windows. Она подходит не всем и включается только при выполнении требований устройства и настроек безопасности.

Проверить наличие можно так:

1. Откройте «Пуск» и введите «Recall» или «Возврат».
2. Если функция есть, откройте «Параметры» – «Конфиденциальность и безопасность» – «Recall и снимки».
3. Проверьте, включено ли сохранение снимков, сколько места они занимают и какие приложения исключены.

Мое мнение. Recall может быть удобен для поиска забытых действий, но это очень чувствительная функция. Она работает со снимками экрана, а значит может затрагивать переписки, документы, сайты, рабочие проекты и личные данные. Если вы не понимаете, зачем она вам нужна, лучше не включать ее просто ради интереса. Если включаете – обязательно проверьте исключения, приватные окна браузера и настройки удаления снимков.

Способ 9 – Сторонние программы

Если способов выше вам недостаточно, можно попробовать использовать сторонние программы. Лично я не сторонник таких методов, поэтому оставляю только аккуратную справку. Не ставьте скрытые «шпионские» утилиты, кейлоггеры и программы, которые тайно пишут экран, веб-камеру или пароли. Для домашнего пользователя это почти всегда лишний риск: можно занести вирус, сломать систему или случайно собрать чужие личные данные.

Если вам нужен контроль на своем рабочем месте или в компании, используйте только легальные корпоративные решения и правила с уведомлением сотрудников. Если нужно понять, что происходило на личном компьютере после сбоя, лучше использовать «Просмотр событий», «Монитор надежности», историю браузера и недавние файлы. Если нужно защититься от постороннего входа, ставьте пароль, PIN-код, блокировку экрана и отдельные учетные записи.

Вместо скрытого слежения я бы сделал так:

• Поставил пароль или PIN-код на свою учетную запись.
• Создал отдельные учетные записи для других людей.
• Проверил входы через «Просмотр событий».
• Включил блокировку после сна и простоя.
• Отключил вход без пароля, если он был включен.

Не советую. Не устанавливайте программы, которые обещают «полностью показать все действия другого человека» и работают скрытно. Часть таких программ сама является вредоносной. Кроме того, скрытая запись клавиатуры, экрана или веб-камеры может нарушать закон и права другого пользователя.

Что проверить, если есть подозрение на чужой вход

Если вы не просто ищете забытый файл, а подозреваете, что кто-то пользовался компьютером без вас, идите по порядку:

1. Проверьте «Просмотр событий» – «Журналы Windows» – «Система» по времени включения и выхода из сна.
2. Откройте «Журналы Windows» – «Безопасность» и посмотрите события входа, если аудит включен.
3. Проверьте «Недавние документы» через команду shell:recent.
4. Откройте историю всех браузеров, которые установлены на компьютере.
5. Посмотрите «Загрузки», Корзину, рабочий стол и недавно измененные файлы.
6. Проверьте «Диспетчер задач» – «Автозагрузка» на незнакомые программы.
7. Смените пароль от учетной записи Windows и важных сервисов.

Если компьютер сам включается ночью, уходит в перезагрузку или выключается без вас, это не всегда человек. Причиной могут быть обновления, пробуждение по таймеру, Wake-on-LAN, проблемы с питанием, сбой драйвера или железа. Если ситуация похожа на самопроизвольное включение и выключение, посмотрите отдельный разбор – почему компьютер выключается и включается сам.

FAQ для новичков

Можно ли посмотреть абсолютно все действия на компьютере?
Нет. Windows не ведет единую полную видеозапись всех действий пользователя. Можно посмотреть отдельные следы: входы, включения, недавние файлы, историю браузера, загрузки, корзину, ошибки и некоторые события программ.

 

Как быстро посмотреть, включался ли компьютер без меня?
Откройте + R, введите eventvwr, перейдите в «Журналы Windows» – «Система» и смотрите события 6005, 6006, 6008, 41 и 1074. Ориентируйтесь по времени, когда вас не было за ПК.

 

Почему в истории браузера ничего нет?
Историю могли очистить, сайт могли открыть в режиме инкогнито, человек мог пользоваться другим браузером или синхронизация была выключена. Поэтому проверяйте все установленные браузеры, а не только один Chrome.

 

Команда shell:recent показывает реальные файлы?
Чаще всего она показывает ярлыки на недавно открытые файлы. Если исходный файл удалили или перенесли, ярлык может не открыться. Чтобы найти оригинал, используйте правую кнопку мыши и пункт «Расположение файла».

 

Можно ли узнать, кто именно входил в Windows?
Иногда можно, если в системе несколько учетных записей и в журнале безопасности есть события входа. Но если все пользуются одной учетной записью, Windows не сможет честно сказать, какой именно человек сидел за компьютером.

 

Стоит ли ставить программу для скрытого наблюдения?
Я не советую. Для обычного пользователя это риск для безопасности и приватности. Лучше настроить отдельные учетные записи, пароль, блокировку экрана и использовать штатные журналы Windows.

 

Как защититься, чтобы никто не пользовался компьютером без меня?
Поставьте пароль или PIN-код, включите блокировку после сна, не давайте другим людям свою учетную запись, создайте гостевую или отдельную учетку и регулярно проверяйте автозагрузку и журнал событий.

На этом все. Я показал основные способы, которые реально помогают посмотреть последние действия на компьютере без сомнительных программ. Если у вас остались вопросы или есть свои рабочие варианты – пишите в комментариях.