Acquisizione forense di pagine ad accesso riservato: portali e aree private
Le prove digitali che pesano in un contenzioso aziendale quasi mai stanno su una pagina pubblica. Stanno in un portale fornitori, in un gestionale, in una piattaforma di gara telematica, nell'home banking, sulla bacheca interna. Schermate che esistono soltanto per chi ha le credenziali per aprirle. Chi le documenta con uno screenshot si ritrova un file che nessun terzo potrà confrontare con l'originale, e in aula arrivano puntuali le obiezioni tipiche allo screenshot. L'acquisizione forense di un'area riservata ribalta l'impostazione: il valore probatorio non dipende più dalla possibilità di riaprire la pagina, ma dalla verificabilità dell'atto di cattura. È il metodo descritto nella guida sull'acquisizione forense di pagine web secondo ISO/IEC 27037, applicato al caso in cui la pagina non la può vedere nessun altro.
Questo approfondimento fa parte della guida: Acquisizione forense di pagine web secondo ISO/IEC 27037
Perché una pagina dietro credenziali è più difficile da provare
Una pagina ad accesso riservato è una risorsa che il server mostra soltanto a chi ha superato un'autenticazione, e che perciò non esiste in copie consultabili da terzi. In giudizio la differenza si sente. L'art. 2712 del Codice civile stabilisce che le riproduzioni informatiche fanno piena prova dei fatti rappresentati finché la controparte non ne disconosce la conformità. Sul versante penale la L. 48/2008 impone metodi che garantiscano l'integrità del dato acquisito. Su una pagina pubblica quel disconoscimento si può controllare, perché il giudice o il consulente riaprono l'indirizzo e confrontano. Dietro un login non lo può fare nessuno, a parte chi possiede le credenziali. Contestare, insomma, costa poco. E secondo l'ordinanza n. 1254/2025 della Cassazione civile, sezione II, quando la contestazione è chiara e circostanziata l'onere di dimostrare integrità e autenticità della riproduzione torna su chi l'ha prodotta. Che di solito ha in mano soltanto un file salvato sul proprio computer.
Il disconoscimento di conformità e la pagina che nessuno può riaprire
Contro una risorsa accessibile solo con credenziali, l'archivio pubblico non è un piano B. Nessun crawler supera la schermata di autenticazione, quindi quella pagina non è mai entrata in uno snapshot e non ci entrerà mai, per quanto si aspetti. L'assenza dall'archivio non dimostra che il contenuto non esistesse, e la presenza non è nemmeno ipotizzabile. Valgono qui, moltiplicati, i limiti della Wayback Machine come prova in giudizio, con l'aggravante che manca perfino l'oggetto da archiviare. Nemmeno stampare la schermata risolve. L'art. 23 del CAD sottopone le copie analogiche di un documento informatico allo stesso meccanismo di contestazione, salvo attestazione di un pubblico ufficiale a ciò autorizzato. Restano due strade. O si porta in giudizio un pacchetto che si verifica da sé, oppure il valore probatorio della copia forense finisce per dipendere dalla parola di chi l'ha prodotta.
Dove finiscono davvero le prove aziendali
Non è una tendenza astratta. Nella relazione annuale del 21 aprile 2026 l'ANAC ha contato 287.421 appalti per 309,7 miliardi di euro e la scomparsa quasi totale delle procedure analogiche, passate dal 21% all'1% in due anni. Offerte, chiarimenti, soccorso istruttorio ed esclusioni esistono ormai solo dentro una piattaforma autenticata. Lo stesso vale per gli ordini di un portale fornitori, per le anagrafiche di un gestionale, per gli avvisi di una bacheca aziendale.
Che cosa deve contenere l'acquisizione di una pagina in area riservata
L'acquisizione forense di una pagina ad accesso riservato deve registrare cinque elementi che una cattura pubblica non richiede: la catena di navigazione dal login, la prova che l'operatore aveva titolo per accedere, l'indirizzo di rete da cui ha operato, lo stato della sessione e la data e ora verificate del sigillo. Su una pagina pubblica basta l'indirizzo, perché chiunque lo riapre. Dietro autenticazione l'indirizzo non dice nulla, visto che la stessa URL restituisce contenuti diversi a seconda dell'utente collegato. Va quindi documentato il percorso che porta dalla schermata di login alla risorsa contestata, con l'impronta crittografica del contenuto e la marca temporale che ne fissa il momento. L'art. 20 del CAD chiede al giudice di valutare il documento informatico in relazione alle sue caratteristiche di sicurezza, integrità e immodificabilità, ed è qui che quegli elementi parlano a chi alla cattura non c'era.
Gli elementi tecnici che fanno la differenza
La tabella isola il delta rispetto a una cattura pubblica. Hash, marca temporale e archivio servono in entrambi i casi.
| Elemento della sessione | Su una pagina pubblica | Che cosa dimostra in un'area riservata |
|---|---|---|
| Catena di navigazione dal login | L'indirizzo basta | Che la schermata è stata raggiunta dall'autenticazione, con la sequenza reale delle richieste |
| Legittimazione all'accesso | Chiunque vede la pagina | Che chi ha acquisito era abilitato a vedere quel contenuto |
| Indirizzo di rete dell'operatore | Ininfluente | Da dove è avvenuto l'accesso e se erano attivi VPN o proxy |
| Stato della sessione | Nessuna sessione | Quale utente era collegato, con quale profilo e quali cookie attivi |
| User agent del client | Marginale | Come il portale ha reso la pagina a quel client, il che spiega le differenze di resa |
Auditabilità, ripetibilità e riproducibilità applicate a una pagina non pubblica
Riproducibilità, in un'area riservata, non vuol dire che un terzo debba poter rifare l'accesso. La guida ENISA sulle prove elettroniche chiede che ogni operazione applicata a una prova digitale sia registrata e conservata, in modo che un terzo indipendente possa riesaminarla e ottenere lo stesso risultato. Applicato a una pagina dietro autenticazione, il principio si sposta dall'oggetto all'atto: il consulente tecnico non riapre il portale, riesegue la verifica sul pacchetto e controlla che le impronte crittografiche coincidano e il sigillo sia intatto. È la stessa logica delle linee guida ISO/IEC 27037 sull'identificazione, raccolta, acquisizione e conservazione delle potenziali prove digitali, il quadro metodologico che la guida sull'acquisizione forense di pagine web con metodo ISO ricostruisce per esteso. Il tracciato di sessione svolge qui il ruolo che la catena di custodia svolge sui supporti fisici, e trasferisce la ripetibilità dall'accesso al controllo.
L'acquisizione avviene con TrueScreen direttamente dal dispositivo dell'utente titolare dell'accesso, senza che le credenziali debbano essere condivise con un terzo.
Che cosa produce un'acquisizione certificata in sessione autenticata
TrueScreen, la piattaforma europea di certificazione dei dati digitali, acquisisce la pagina nella sessione autenticata dell'utente che ha titolo per accedervi e la sigilla nel momento stesso della cattura. L'operatore apre il browser forense, si autentica con le proprie credenziali legittime e naviga fino alla schermata che gli serve. Ogni passaggio entra nel tracciato di sessione con data e ora verificate su più server NTP indipendenti, e ogni schermata riceve la propria impronta crittografica. Al termine il pacchetto raccoglie immagini, DOM della pagina, archivio web, traffico di rete e certificati dei siti visitati, e viene sigillato e marcato temporalmente da un prestatore di servizi fiduciari qualificato (QTSP) ai sensi del regolamento eIDAS. Il sigillo qualificato porta con sé la presunzione di integrità del dato, e qualunque alterazione successiva diventa rilevabile. Un disconoscimento generico, a quel punto, ha molto meno presa.
Due situazioni ricorrenti
Un fornitore entra nel portale del cliente e trova le condizioni economiche di un ordine già accettato diverse da quelle viste alla conferma. Quella pagina la vede solo lui. Le imprese usano TrueScreen per cristallizzare le condizioni pubblicate in un portale fornitori prima che vengano modificate, ottenendo un pacchetto verificabile da un terzo senza rifare l'accesso. Nel fascicolo finisce il percorso dal login alla schermata dell'ordine, non una fotografia isolata.
L'altro caso ricorrente riguarda le comunicazioni interne. Una nota pubblicata sulla intranet, rilevante in un contenzioso di lavoro, sparisce dopo tre giorni. Chi l'ha letta può acquisirla in sessione autenticata finché è online e ottenere un pacchetto datato e sigillato che sopravvive alla rimozione. Il giorno dopo non c'è più niente da catturare, e una ricostruzione testimoniale regge molto meno di una schermata certificata.
