Cómo elegir un software de captura forense web: los criterios que cuentan y cómo verificarlos

Los criterios que cuentan al elegir un software de captura forense web

Cada criterio se comprueba antes de comprar, con una prueba concreta y un informe de ejemplo, no con la ficha comercial.

Un software de captura forense web tiene que demostrar cómo adquirió el contenido, que cualquier alteración posterior se puede detectar y que un tercero puede comprobarlo sin pedir permiso al proveedor. Los criterios de esta tabla cubren esas preguntas, y cada uno tiene una verificación que puedes hacer tú mismo o pedir a tu perito.

Entorno controlado y sesión limpia

Un navegador con historial, cookies y extensiones instaladas no es un entorno neutro: puede mostrar una versión personalizada de la página, rellenar campos por su cuenta o arrastrar una sesión abierta hace semanas. Para una prueba que puede acabar en un juzgado importa saber desde qué estado partió la adquisición y qué identidad vio el sitio web.

Cómo verificarlo. Pide al proveedor un informe real de una adquisición. Debe decir si los datos de navegación se borraron al empezar, qué identidad se presentó al sitio, qué cookies había y si el sistema comprobó que no se trabajaba dentro de una máquina virtual ni con un depurador activo. Si el informe no dice nada de esto, no podrás comprobar que el entorno estaba controlado.

Cadena de custodia completa: adquisición, verificación, informe y sello

La cadena de custodia digital es la secuencia documentada que une el momento de la adquisición con la prueba que llega al juez. Funciona solo si está completa: adquisición en un entorno controlado, verificación de la integridad, informe técnico y, al final, el sello. Si falta un eslabón, la otra parte puede atacar justo ese hueco. En la guía sobre cadena de custodia digital y prueba electrónica encontrarás el concepto desarrollado paso a paso.

Cómo verificarlo. Pregunta qué une los pasos entre sí. Una respuesta sólida describe una cadena de huellas (hash) en la que cada eslabón incluye el anterior, el paso realizado, la hora y la huella de los datos, con las fórmulas incluidas en el paquete para que cualquiera pueda recalcularla con una herramienta SHA-256 corriente. Una respuesta débil se limita a decir que el archivo “queda guardado” o “queda fechado”.

Pruebas de red y de contexto

Lo que ves en el navegador es el resultado de ejecutar código: la página renderizada puede incluir textos cargados después, contenidos ocultos o elementos que el servidor no envió en su respuesta original. Una captura forense seria conserva ambas versiones y explica las diferencias, porque en una disputa la pregunta “¿esto lo publicó el sitio o lo añadió algo después?” llega pronto.

Cómo verificarlo. Abre un paquete de ejemplo y busca: la imagen original de la página, la fuente renderizada, la fuente enviada por el servidor, un archivo web completo (por ejemplo MHTML), los certificados TLS del sitio y, cuando el caso lo pida, el registro del tráfico de red (HAR o PCAP). Comprueba también si el informe señala el texto que aparece en la página renderizada pero falta en la respuesta del servidor, y el texto oculto.

Verificabilidad independiente, sin el proveedor

Una certificación es verificable de forma independiente cuando cualquiera puede comprobar su integridad y su sello sin el proveedor. El validador DSS de la Comisión Europea es un servicio de la Comisión, no de TrueScreen: una aplicación de demostración de Digital Signature Services, una biblioteca de código abierto para crear y validar firmas y sellos electrónicos. La propia Comisión indica que es una demostración y recomienda no subir documentos con información sensible. Sirve como contraprueba técnica independiente; no sustituye a una pericial ni a la valoración del tribunal. TrueScreen entrega un paquete autónomo, con el XML sellado, las huellas (hash) y el informe técnico, que permite comprobar la integridad sin TrueScreen.

Si el XML sellado se modifica después de descargarlo, la validación del sello deja de ser correcta.

Cómo verificarlo. Pide un archivo sellado de ejemplo y súbelo tú al validador DSS, sin intermediarios. Revisa la indicación de la validación y la cualificación del sello.

ISO/IEC 27037: se sigue, no se certifica

La ISO/IEC 27037:2012 es la norma internacional que da pautas para cuatro actividades sobre la evidencia digital: identificación, recogida, adquisición y preservación. Es una guía de buenas prácticas y no prevé certificación: un método la sigue, no “se certifica” en ella. TrueScreen sigue la ISO/IEC 27037 en la adquisición de páginas web y redes sociales y documenta en el informe técnico cada paso de esa adquisición.

Cómo verificarlo. Pide que te expliquen cómo cubre el software cada una de las cuatro fases de la ISO/IEC 27037 y en qué parte del informe queda reflejada cada una. Si la respuesta es un logotipo o un “certificado ISO 27037”, pide que te expliquen a qué se refiere: la norma es una guía, no un esquema de certificación de organizaciones.

Sello electrónico cualificado y sello de tiempo cualificado (eIDAS)

El Reglamento (UE) 910/2014, conocido como eIDAS, define el sello electrónico cualificado en su artículo 3.27 y el sello cualificado de tiempo electrónico en el artículo 3.34. Sus efectos están en los artículos 35.2 y 41.2: el sello electrónico cualificado goza de la presunción de integridad de los datos y de corrección de su origen, y el sello de tiempo cualificado, de la presunción de exactitud de la fecha y la hora. Son presunciones previstas por el Reglamento; la otra parte puede discutir la prueba y es el tribunal quien la valora. El sello identifica a una organización; la firma, a una persona. TrueScreen aplica sello y sello de tiempo cualificados a sus certificaciones, pero no es un prestador de servicios de confianza ni una autoridad de certificación.

Cómo verificarlo. En el resultado del validador, revisa la indicación de la validación y la cualificación del sello. Si el resultado no indica expresamente un sello electrónico cualificado, no puedes apoyarte en las presunciones del Reglamento.

Inicio de sesión, contenido dinámico y vídeo

Mucho de lo que se discute en un pleito está detrás de un inicio de sesión, dentro de un hilo de comentarios plegado o en un vídeo que se reproduce en directo. Un software de captura forense web que solo saca la foto de la parte visible de la página deja fuera precisamente lo que interesa.

Cómo verificarlo. Haz una prueba antes de decidir: una página que exija iniciar sesión, un hilo con comentarios que haya que desplegar y un vídeo. Comprueba que el acceso se hizo dentro de la sesión registrada, que los comentarios aparecen desplegados, que el banner de cookies no tapa el contenido y que el vídeo queda grabado con audio. Revisa también los límites declarados por adquisición, como número de elementos, pestañas o duración.

Un informe que un tercero pueda leer

El informe técnico es lo que leen el juez, el perito contrario y, muchas veces, tu propio cliente. Tiene que explicar qué se adquirió, cuándo, desde dónde y con qué anomalías, en un lenguaje que se pueda entender sin el proveedor al lado.

Cómo verificarlo. Entrega un informe de ejemplo a tu perito y pregúntale qué echa en falta. Fíjate en que figuren la fecha de adquisición controlada, la identidad presentada al sitio, el protocolo TLS, las cookies, la IP pública del operador y las anomalías con su explicación. Pregunta también si el código y los registros del software se pueden examinar en una pericial, aunque sea bajo acuerdo de confidencialidad.

Preguntas para hacer al proveedor antes de elegir

Las preguntas al proveedor sirven para convertir cada criterio en una respuesta que puedas comprobar.

Antes de contratar un software de captura forense web, haz estas preguntas por escrito y guarda las respuestas:

• ¿La adquisición empieza con los datos de navegación borrados, y dónde lo dice el informe?
• ¿Qué une las huellas (hash) de adquisición, verificación e informe, y puedo recalcularlas yo con cualquier herramienta SHA-256?
• ¿El paquete incluye la fuente renderizada, la fuente enviada por el servidor y los certificados TLS?
• ¿Puedo grabar el tráfico de red, en qué modalidad y con qué límites de duración y tamaño?
• ¿Puedo verificar el archivo sellado en el validador DSS de la Comisión Europea sin pasar por vosotros?
• ¿Aplicáis un sello electrónico cualificado y un sello de tiempo cualificado según eIDAS, o algo distinto?
• ¿Cómo cubre vuestro método las fases de la ISO/IEC 27037, y dónde se ve en el informe?
• ¿Cómo se certifica el contenido que está detrás de un inicio de sesión, y qué pasa con los comentarios plegados, los banners de cookies y los vídeos en directo?
• ¿Se pueden examinar el código y los registros en una pericial, y con qué condiciones?
• ¿Qué no demuestra vuestra certificación?

Fíjate sobre todo en cómo responde a la última. Un proveedor serio sabe explicar los límites de su prueba; por ejemplo, que una certificación vale a partir del momento en que se hace y no demuestra cómo era la página antes.

Errores frecuentes al elegir un software de captura forense

Los errores de elección se pagan el día de la impugnación, cuando ya no se puede repetir la adquisición.

Un sello de tiempo demuestra cuándo existía un archivo, no cómo se obtuvo. Solo la secuencia completa (adquisición en entorno controlado, verificación, informe técnico, sello electrónico cualificado y sello de tiempo cualificado) conserva la cadena de custodia. Con el Forensic Browser, TrueScreen recorre toda la secuencia, desde la adquisición en entorno controlado hasta el sello, y con la Browser Extension certifica la página ya abierta con sello electrónico cualificado y sello de tiempo cualificado.

Confundir firma y sello

Es habitual llamar “firma digital” a cualquier cosa que cierre un archivo. La firma identifica a una persona que manifiesta su voluntad; el sello electrónico cualificado goza de la presunción de integridad de los datos y de corrección de su origen (art. 35.2 eIDAS). Si eliges por la palabra y no por lo que hay detrás, te arriesgas a que la otra parte señale la confusión en la pericial.

Creer en un “certificado ISO 27037”

La ISO/IEC 27037 es una guía y no prevé certificación de organizaciones. Si un “certificado ISO 27037” pesa en tu elección, conviene preguntar a qué se refiere.

Elegir una herramienta que solo archiva, solo sella o solo pone fecha

Sellar, archivar o datar un archivo, por sí solo, demuestra que no cambió, pero no que corresponda a lo que dice representar. La integridad queda probada y la autenticidad no, y el debate se desplaza a cómo se obtuvo el contenido.

Tratar una captura de pantalla como prueba

Una imagen guardada desde el propio ordenador no dice nada del entorno, de la red ni de quién pudo editarla. El artículo sobre la captura de pantalla como prueba y su admisibilidad explica dónde están los riesgos: basta un argumento sencillo para impugnarla, y entonces conviene poder respaldarla con otros elementos que acrediten su autenticidad, porque el tribunal la valorará libremente.

Dejar pasar el tiempo mientras decides

Las publicaciones se editan, se borran o se vuelven privadas, y una certificación solo vale a partir del momento en que se hace: si esperas a tener la herramienta ideal, puede que ya no quede nada que adquirir. La guía para guardar una página web como prueba explica qué hacer en las primeras horas.

¿Cómo responde TrueScreen a estos criterios?

TrueScreen responde a estos criterios con el Forensic Browser, una aplicación de escritorio para macOS y Windows que empieza cada adquisición con los datos de navegación borrados y registra la red, con la TrueScreen App, que ofrece la navegación certificada desde el teléfono, y con la Browser Extension para Chrome y Edge, que certifica la página ya abierta, también tras iniciar sesión.

La regla de elección es sencilla: Forensic Browser cuando la adquisición puede ser impugnada; Browser Extension cuando el contenido puede desaparecer y el tiempo cuenta.

Forensic Browser: cuando la adquisición puede impugnarse

El Forensic Browser es una aplicación de escritorio basada en Chromium para macOS 11 o posterior (Apple silicon e Intel) y Windows 10 o posterior de 64 bits; no tiene versión para Linux. En la adquisición dirigida (Targeted acquisition) eliges tú las páginas, también en recorridos con inicio de sesión. La grabación integral (Full recording) produce un vídeo MP4 de la sesión con audio y puntero, pensado para vídeos, directos y chats web. La adquisición automática (Automatic acquisition) parte de una lista de direcciones, de un sitemap o de un rastreo, recorre las páginas, despliega los comentarios y rechaza los banners de cookies.

La captura del tráfico de red en PCAP solo está disponible en la grabación integral, viene desactivada por defecto y admite sesiones de hasta 20 minutos y 1 GB. Cada adquisición admite hasta 120 elementos y 16 pestañas, y la adquisición automática no acepta perfiles sociales como origen. La cadena de huellas SHA-256 que calcula el Forensic Browser no es una firma, y TrueScreen no usa blockchain.

TrueScreen App: certificar desde el teléfono

La TrueScreen App permite certificar publicaciones, comentarios y reseñas con la navegación certificada, y las conversaciones con la grabación de la pantalla del teléfono. Los contenidos sociales se certifican como cualquier página web, con el Forensic Browser, con la TrueScreen App o con la Browser Extension.

Browser Extension: cuando el contenido puede desaparecer

La Browser Extension para Chrome y Edge certifica capturas de pantalla del área visible o de la página entera y el vídeo de la pestaña. Trabaja en el navegador que ya usas, con tus sesiones abiertas, sin entorno limpio ni registros de red. Es la vía rápida cuando una publicación puede borrarse en minutos: certifica el contenido en el momento en que lo encuentras.

Pongamos un caso: una empresa descubre un viernes por la tarde una campaña de reseñas falsas contra su marca. Su abogada certifica las reseñas en ese momento con la Browser Extension, para que no se pierdan, y el lunes su perito adquiere el perfil y los comentarios con el Forensic Browser, que deja el paquete completo para un posible procedimiento. Cualquiera de las partes puede comprobar después las certificaciones en la página para verificar certificaciones o en el validador DSS. TrueScreen documenta cómo y cuándo se adquirió el contenido, no que lo publicado sea verdad; no sustituye al perito, y su código y sus registros pueden examinarse en una pericial bajo acuerdo de confidencialidad.

En conclusión