Web Evidence Acquisition: An ISO 27037 Forensic Guide
Na maioria das disputas digitais de hoje, a prova decisiva está em uma página web. Difamação em redes sociais, anúncios de produtos falsificados em um marketplace, concorrência desleal, contratos assinados on-line, condutas públicas em grupos de mensagens: tudo isso vive em endereços que mudam, somem ou são discretamente editados em poucas horas. A aquisição forense de prova web é o processo técnico e jurídico que transforma esse conteúdo instável em algo que você pode efetivamente levar a um juiz.
Uma captura de tela crua, aquela que se obtém com a tecla PrintScreen, não se sustenta sozinha em juízo. A imagem pode ser alterada em segundos, não carrega metadados verificáveis e nada a liga criptograficamente ao servidor que a produziu. A ISO/IEC 27037 é o referencial internacional para adquirir evidência digital de forma defensável, mas traduzi-la para a web exige um letramento técnico que poucas equipes jurídicas e poucos consultores forenses de fato têm.
Então, como conduzir uma aquisição forense de prova web capaz de se sustentar? Você captura o DOM renderizado, um arquivo MHTML, o certificado SSL/TLS, o IP do servidor e os metadados do ambiente dentro de um fluxo alinhado à ISO 27037, tudo selado com hash SHA-256 e carimbo do tempo eletrônico qualificado, sob uma cadeia de custódia digital auditável. Este guia percorre o que capturar, por que isso pesa em juízo e como executar cada etapa com o rigor que a norma exige. Os requisitos probatórios estão detalhados no nosso guia sobre certificação de página web com valor jurídico.
Por que uma captura de tela não basta como prova
Diferente de uma captura de tela, a captura forense registra o estado completo da página no momento da observação, e não apenas a sua aparência. A captura de tela é uma imagem que o sistema operacional produz: sem metadados técnicos sobre o servidor de origem, sem data e hora verificáveis por terceiro, sem hash criptográfico que ligue os pixels ao conteúdo efetivamente entregue. Em juízo, a parte contrária pode impugnar a exatidão dessa reprodução, e o peso probatório costuma desabar rápido. Como já observou a Seção de Litígios da American Bar Association, capturas de tela raramente são a forma ideal de evidência digital, porque descartam os metadados, os registros de tempo e o vínculo com a origem em que qualquer argumento de autenticidade se apoia.
Não é um problema acadêmico. No Brasil, o art. 422, §1º, do Código de Processo Civil diz que as fotografias digitais e as imagens extraídas da rede mundial de computadores fazem prova das imagens que reproduzem, mas, uma vez impugnadas, exigem a respectiva autenticação eletrônica ou, quando ela não é possível, perícia. O art. 225 do Código Civil segue a mesma lógica para as reproduções eletrônicas de fatos e de coisas, e o art. 411 do CPC reconhece a autoria identificada por meio legal de certificação, inclusive eletrônico. Traduzindo: uma imagem solta vive enquanto ninguém a contesta. Basta uma impugnação para que o caminho vire perícia, tempo e custo. Uma aquisição forense bem-feita entrega desde o começo a autenticação eletrônica que o art. 422 cobra.
Uma captura de tela crua não oferece nada disso. Não demonstra que aquele pixel estava no site no ar às 14h37 de determinado dia, não demonstra que o domínio que serviu a página era o que a parte afirma, não demonstra que a imagem não foi retocada antes de ser juntada aos autos. Para que uma impugnação genérica não baste, é preciso trabalhar na própria metodologia de aquisição. É aí que entra a ISO 27037, e é aí que a questão mais ampla da admissibilidade da evidência digital começa a se resolver. Vale ter em mente o pano de fundo do art. 371 do CPC: o juiz aprecia a prova e indica na decisão as razões do seu convencimento, ou seja, a livre apreciação motivada continua sendo dele. O que a metodologia faz é entregar a essa apreciação um material verificável em vez de uma alegação.
Segundo a Seção de Litígios da American Bar Association (2022), "capturas de tela raramente são a forma ideal de evidência digital", porque lhes faltam os metadados em que a análise de autenticidade se apoia. No direito brasileiro, a moldura de análise da prova eletrônica combina o art. 369 do CPC, que admite os meios legítimos de prova, o art. 411 sobre a autenticidade do documento, o art. 422, §1º, sobre as imagens extraídas da internet e a sua autenticação eletrônica, e a Lei 11.419/2006, que rege o processo judicial eletrônico. Uma aquisição forense alinhada à ISO/IEC 27037 é desenhada para responder a esses pontos em um único pacote. Mais contexto no nosso guia sobre a admissibilidade da captura de tela como prova.
O que a ISO 27037 exige na aquisição de evidência digital
A ISO/IEC 27037:2012 define quatro processos operacionais para lidar com potencial evidência digital: identificação, coleta, aquisição e preservação. Aplicada à prova web, a norma pede que cada endereço seja tratado como uma cena probatória própria, com controles técnicos e procedimentais documentados. Publicada pela ISO e pela IEC em 2012, é citada há mais de uma década na literatura forense europeia e norte-americana, e o módulo do UNODC sobre evidência digital a aponta como o padrão internacional mais referenciado quando se discute a admissibilidade da prova eletrônica. Tribunais e peritos se apoiam nela porque vale igualmente para dispositivos físicos e para conteúdo web ao vivo.
O texto, disponível na página oficial da ISO, apresenta duas figuras técnicas que vale conhecer pelo nome. O DEFR, o primeiro respondedor de evidência digital, é o operador autorizado e treinado que age primeiro na cena, muitas vezes sob pressão de tempo, para identificar, coletar e preservar o material potencialmente probatório. O DES, o especialista em evidência digital, é o profissional sênior, com competência avançada em sistemas operacionais, redes e forense de aplicações, que assume as fases mais complexas de aquisição e de análise. Os dois precisam seguir procedimentos documentados e conseguir justificar cada escolha técnica que fazem.
Os princípios centrais, repetidos ao longo das seções 5.3 e 5.4 da norma, são quatro: auditabilidade, com toda ação rastreável e verificável por um terceiro independente; repetibilidade, quando os mesmos procedimentos sobre os mesmos dados nas mesmas condições levam ao mesmo resultado; reprodutibilidade, quando outro examinador, com ferramentas diferentes, chega às mesmas conclusões; e justificabilidade, que obriga a defender tecnicamente cada escolha. São obrigações, não opções. Se uma delas cai, a parte contrária ganha um caminho limpo para atacar a prova.
A ISO/IEC 27037:2012, no parágrafo 5.3, orienta o primeiro respondedor a minimizar o manuseio dos dados originais, documentar cada passo e preservar a cadeia de custódia, de modo que um terceiro competente consiga reproduzir as conclusões de forma independente. A mesma lógica vale para a aquisição de prova web, em que o "original" vive em um servidor remoto e não pode ser fisicamente apreendido. É por isso que a forense web exige mais documentação, e não menos, do que a cópia de um disco rígido.
Na web, a norma pede mais rigor, não menos. O dado está em um sistema de terceiro, o ambiente está vivo, não há nada para desligar. Cada escolha do DEFR ou do DES, qual ferramenta, qual endereço, qual fonte de tempo, qual registro de rede, precisa sobreviver a uma revisão forense adversarial. Bem executada, a ISO 27037 trata cada endereço como uma cena digital, com controles análogos aos aplicados a um disco apreendido, adaptados à realidade de um ambiente em rede. A disciplina da certificação forense de dados se apoia exatamente nessa base.
O que capturar de uma página web para produzir prova com valor jurídico
Uma página web moderna não é um documento. É o produto em tempo real da interação entre cliente, servidor, CDN, DNS, autoridades de certificação digital, execução de JavaScript e estado do usuário. Adquirir prova web significa trazer todas essas camadas para um conjunto verificável, e não salvar uma imagem.
Uma captura forense alinhada à ISO 27037 inclui pelo menos seis elementos técnicos distintos. Cada um fecha uma linha de ataque que ficaria aberta, e nenhum substitui o outro. A tabela abaixo explica por quê.
| Elemento | O que demonstra | Por que não pode faltar |
|---|---|---|
| DOM renderizado | O que o usuário viu depois da execução do JavaScript | O conteúdo dinâmico (SPAs, feeds, janelas modais, avisos de cookies) não está no HTML de origem |
| Arquivo MHTML | A página completa, com CSS, imagens, fontes e scripts em um arquivo único | Permite reabrir a página fora de linha anos depois, mesmo que o site tenha saído do ar |
| Certificado SSL/TLS | Que naquele instante o domínio apresentou aquela chave pública assinada | Protege a prova contra alegações de MITM ou de falsificação de domínio |
| IP do servidor e DNS | Que o domínio resolveu para um host específico em uma geografia específica | Permite cruzar registradores, ASNs e jurisdição |
| Hash SHA-256 | Que o conjunto não foi modificado entre a aquisição e a juntada aos autos | A pedra angular da integridade: dois hashes idênticos, nenhuma adulteração |
| Carimbo do tempo qualificado | Data e hora oponíveis a terceiros, com a presunção legal do eIDAS | Ancora a prova no tempo e documenta a cronologia da captura |
O DOM renderizado, ou seja, o que o usuário realmente viu
Segundo o documento SWGDE Best Practices for Acquiring Online Content 21-F-001 v1.1 (2024), capturar o DOM renderizado é a etapa técnica que separa uma aquisição rigorosa de uma coleta amadora. O DOM (Document Object Model) é a representação em memória da página depois que o navegador interpretou o HTML e executou o JavaScript. Ele corresponde ao que o usuário efetivamente vê, e não ao que o servidor enviou no início. O DOM Living Standard o define como a representação da página em execução, distinta do seu código-fonte.
A distância entre os dois pode ser enorme. Em uma aplicação React, Angular ou Vue, o HTML inicial pode chegar quase vazio, e quase tudo que é textual e visual surge dinamicamente dentro do DOM depois da renderização. A página de um marketplace que exibe um produto falsificado, um aviso de cookies com o consentimento registrado, um feed social que carrega publicações conforme se rola a tela: tudo isso só existe dentro do DOM. Quem salva o HTML cru salva uma página morta, diferente daquilo que o usuário viu e, portanto, não representativa do fato histórico que se quer demonstrar.
Tecnicamente, o DOM é capturado serializando o outerHTML do elemento raiz depois que a renderização termina, dentro de um ambiente de navegação controlado. Um hash SHA-256 é calculado imediatamente sobre o resultado, e esse hash passa a ser a impressão digital criptográfica daquele estado específico da página. O SWGDE 21-F-001 também observa que as APIs, quando existem, são o método de aquisição preferível, porque capturam tanto o conteúdo visível quanto metadados técnicos que a interface não entregaria. Ferramentas que aguardam o fim do ciclo de renderização antes de serializar o estado atendem ao requisito de fidelidade da ISO 27037.
O arquivo MHTML, uma cópia que se basta
MHTML é um formato que empacota o HTML junto de cada recurso dependente, com CSS, imagens, JavaScript, fontes e mídia, em um arquivo único. Os navegadores baseados em Chromium o suportam de forma nativa, e ele segue sendo a maneira mais limpa de preservar uma página como uma entidade autossuficiente, que um especialista consegue reabrir fora de linha anos depois.
Por que isso importa? Porque o site no ar muda o tempo todo. Imagens são removidas, o CSS é reescrito, as CDNs entregam recursos diferentes, domínios trocam de dono. Sem um arquivo autossuficiente, até uma captura perfeita do DOM fica parcialmente ilegível com o passar do tempo: o contexto visual e os recursos que lhe davam sentido simplesmente somem. O MHTML é a forma técnica moderna daquilo que a literatura chama de preservação forense de sítios, aplicada especificamente ao conteúdo dinâmico. A doutrina que acompanha o tema está no nosso artigo sobre a certificação de página web e o seu valor jurídico.
A comunidade internacional de arquivamento web usa um segundo formato ao lado do MHTML: o WARC (ISO 28500:2017), adotado pela Biblioteca do Congresso, pela British Library, pelo Internet Archive e por outras instituições de preservação. Para aquisições forenses pontuais, destinadas a um processo, o MHTML costuma bastar e é mais fácil de manusear. Para arquivamento estruturado e de grande volume, o WARC é a escolha preferível. Os dois formatos são abertos e documentados, e permitem que um especialista independente verifique a prova sem depender de ferramenta proprietária.
Certificados SSL/TLS, a identidade do servidor
O certificado SSL/TLS do lado do servidor é o documento X.509 que o servidor apresenta durante o aperto de mão criptográfico. Ele liga o conteúdo capturado à identidade verificada do domínio que o entregou. O mecanismo é simples: o navegador recebe um certificado assinado por uma autoridade de certificação digital reconhecida, valida a cadeia de confiança até a raiz e só então aceita o conteúdo como originário do domínio declarado. Em uma aquisição de prova web, capturar esse certificado junto da sua impressão digital SHA-256 congela a demonstração criptográfica de que, naquele instante e naquele endereço, o conteúdo foi de fato entregue pelo servidor legítimo. O formato do certificado é definido pela RFC 5280, sobre a infraestrutura de chaves públicas X.509, e pelas políticas dos principais repositórios de confiança (Mozilla CA Program, Apple Root Program, Microsoft Trusted Root Program), reconhecidos nos sistemas jurídicos ocidentais. Sem o certificado, a origem é uma alegação verbal; com ele, a origem vira um fato criptográfico.
Se o certificado não é capturado, a defesa pode sustentar que a página foi servida por um intermediário não autorizado (MITM), por um servidor clonado com DNS sequestrado ou por um ambiente de desenvolvimento montado para a ocasião. É um dos vetores de ataque técnico mais incômodos, porque desloca a discussão do conteúdo para a origem dele.
Na prática, guarda-se a impressão digital SHA-256 do certificado, a cadeia de confiança inteira até a raiz e, sempre que possível, a resposta de verificação OCSP ou CRL capturada no momento da aquisição. É um elemento que transforma uma prova contestável em uma prova robusta, porque acrescenta uma camada de atribuição que ninguém consegue reproduzir sem controlar o domínio.
IP do servidor e resolução DNS, a origem técnica
A resolução DNS no momento da aquisição, com registros A, AAAA, CNAME e NS e, quando relevante, uma consulta WHOIS, demonstra que naquele instante o domínio apontava para um endereço IP específico e, portanto, para uma máquina específica. Vira um dado crítico quando o domínio é depois transferido, bloqueado ou limpo.
Não é preciosismo. No combate à falsificação, em investigações de phishing ou em campanhas coordenadas de difamação, a jurisdição do servidor, o provedor de hospedagem e o ASN de origem costumam ser decisivos para identificar responsáveis e para escolher a estratégia processual. Capturar DNS e IP no momento da aquisição significa congelar informação que pode sumir em uma semana.
Metadados da aquisição forense: tempo, hash e dispositivo
A última peça diz respeito ao próprio ambiente de captura. Uma aquisição forense reprodutível precisa permitir que um especialista independente saiba, depois, qual navegador, qual versão, quais extensões, qual fuso horário, qual área visível, qual user-agent e qual configuração de rede estavam em jogo. Some-se a isso um registro de tempo local sincronizado por NTP, um hash SHA-256 do pacote completo e um carimbo do tempo qualificado aplicado por cima.
O Regulamento (UE) 910/2014 (artigo 41 do eIDAS) é o instrumento jurídico europeu que transforma uma referência de tempo autodeclarada em presunção legal. O carimbo do tempo eletrônico qualificado goza de presunção de exatidão da data e da hora que indica e de integridade dos dados a que está vinculado, com reconhecimento em todos os Estados membros da União Europeia. O artigo 42 detalha os requisitos técnicos: fonte ligada ao UTC, vínculo que evidencia qualquer adulteração e assinatura ou selo de um prestador qualificado de serviços de confiança. Sem isso, a cronologia da captura fica contestável; com isso, o momento da aquisição vira um fato oponível a terceiros.
O processo de aquisição forense, passo a passo
Uma aquisição de prova web alinhada à ISO 27037 percorre três fases lógicas: preparar o ambiente, adquirir sob cadeia de custódia digital e selar com hash criptográfico e carimbo do tempo qualificado. Seguir a sequência é o que separa uma operação defensável de uma coleta amadora, destinada a desmoronar na primeira impugnação.
O que vem a seguir traduz a norma em passos operacionais pensados para advogados, consultores forenses e profissionais de forense digital, com referência ao NIST SP 800-86 e às diretrizes do SWGDE já citadas. A abordagem conversa de perto com o conjunto mais amplo de padrões de preservação de prova, ISO 27037, SWGDE e NIST, que a TrueScreen desenvolve no seu conteúdo de referência.
Preparação do ambiente: navegador isolado e perfil limpo
Antes de capturar qualquer coisa é preciso um ambiente controlado. Um navegador comercial usado todo dia carrega cookies, extensões, sessões abertas, cache, participação em testes A/B, geolocalização e mais: entradas que mudam o que o servidor decide devolver. Uma aquisição feita em um navegador sujo não é reprodutível por um especialista independente, que receberia uma página diferente a partir do mesmo endereço.
A preparação correta exige um navegador forense dedicado ou uma sessão isolada, perfil limpo, nenhuma extensão, relógio do sistema sincronizado com uma fonte NTP confiável, idioma e fuso horário declarados no registro e qualquer VPN ou túnel documentado de forma explícita. Tudo isso entra no relatório técnico como parte do registro de preparação.
O ACPO Good Practice Guide for Digital Evidence (versão 5), citado na literatura internacional ao lado da ISO 27037, enuncia quatro princípios que se aplicam aqui: nenhuma alteração do dado original, competência do operador, trilha de auditoria verificável e responsabilidade de quem investiga. Um ambiente limpo é a precondição para que os quatro se sustentem.
Aquisição sob cadeia de custódia digital
A fase central captura em paralelo o DOM renderizado, o arquivo MHTML, uma imagem da página inteira, o certificado SSL/TLS com a sua cadeia de confiança, os cabeçalhos HTTP, a resolução DNS, o IP do servidor e o tráfego de rede ao vivo. Cada elemento cai em um registro estruturado, assinado e datado. Durante a captura ao vivo, o tráfego de rede precisa ser gravado por um analisador de pacotes ou por um proxy forense: o SWGDE 21-F-001 exige isso de forma explícita, para demonstrar a ausência de redirecionamentos inesperados, injeções ou alterações em trânsito.
A cadeia de custódia digital é o fio que sustenta a operação inteira. Ela responde às perguntas certas: quem adquiriu o material, quando, com qual ferramenta, com qual hash, onde foi guardado e quem teve acesso depois. Um registro incompleto basta para romper a trilha de auditoria e, com ela, a repetibilidade que a norma exige. Cabe aqui uma distinção importante: essa é a cadeia de custódia digital da evidência capturada pela plataforma, que não integra nem substitui a cadeia de custódia pericial oficial prevista nos arts. 158-A a 158-F do Código de Processo Penal, com perito oficial e central de custódia. Feita a ressalva, a cadeia de custódia digital não é um apêndice burocrático: é a espinha dorsal da admissibilidade.
A Convenção de Budapeste sobre o Crime Cibernético (Conselho da Europa, ETS 185), em vigor para o Brasil desde 1º de março de 2023 e promulgada pelo Decreto 11.491/2023, exige nos artigos 16, 17 e 19 que os Estados assegurem a preservação expedita e a busca e apreensão legítima de dados informáticos armazenados, com exigência explícita de que o processo de preservação proteja a integridade. O artigo 32 trata do acesso transfronteiriço a dados publicamente disponíveis, base sobre a qual se apoia boa parte das capturas de páginas hospedadas fora do país. Uma cadeia de custódia bem registrada é o que transforma esses artigos em prática.
Selagem com hash criptográfico e carimbo do tempo qualificado
A última fase fecha o material probatório. Aplica-se um hash SHA-256 sobre o pacote completo, com cada arquivo individual e um manifesto que os lista junto dos respectivos hashes, um selo eletrônico qualificado e um carimbo do tempo eletrônico qualificado. A partir daí a aquisição passa a ter data e integridade verificáveis por terceiros ao longo do tempo.
O mecanismo do Regulamento (UE) 910/2014 tem duas pernas. O selo eletrônico qualificado goza de presunção de integridade do dado e de correção da origem (artigo 35). O carimbo do tempo eletrônico qualificado goza de presunção de exatidão da data e da hora indicadas e de integridade dos dados a que está vinculado (artigo 41). Os dois efeitos combinados produzem um material ao mesmo tempo criptográfico e jurídico, reconhecido automaticamente em todos os Estados membros da União Europeia. O Regulamento (UE) 2024/1183, em vigor desde 20 de maio de 2024 (texto do eIDAS 2.0), mantém o regime dos selos e dos carimbos e acrescenta os serviços qualificados de arquivamento eletrônico, úteis para a preservação de aquisições forenses no longo prazo.
Fora do Brasil a lógica se repete. Nos Estados Unidos, a Federal Rule of Evidence 902(14) considera autoautenticável a cópia digital acompanhada da certificação de uma pessoa qualificada que ateste o processo de identificação digital, tipicamente a comparação de hashes, dispensando o depoimento em audiência. Uma aquisição web selada com hash SHA-256 e certificação formal se encaixa nessa categoria e segue por um caminho abreviado. A combinação da ISO 27037 com hashes aprovados pelo NIST constrói uma ponte probatória reconhecida na maioria dos sistemas de tradição anglo-saxã e romano-germânica, o que interessa sempre que o litígio atravessa fronteiras. Para quem quer a mecânica norte-americana em detalhe, o guia dedicado à FRE 901 percorre os fundamentos de autenticação.
No Brasil, o pacote probatório se apoia em normas que conversam entre si. O art. 369 do Código de Processo Civil admite todos os meios legais e moralmente legítimos de prova. O art. 411 trata da autenticidade do documento e reconhece a autoria identificada por meio legal de certificação, inclusive eletrônico. O art. 422, §1º, diz que fotografias digitais e imagens extraídas da rede mundial de computadores fazem prova das imagens que reproduzem, mas, uma vez impugnadas, exigem autenticação eletrônica ou perícia. Os arts. 439 a 441 tratam do documento eletrônico e a Lei 11.419/2006 rege o processo judicial eletrônico. O efeito prático é processual: quem chega com a autenticação eletrônica pronta evita o desvio da perícia e a discussão sobre a integridade do arquivo.
Como a TrueScreen aplica a ISO 27037 à aquisição web
A TrueScreen é a plataforma de autenticidade de dados que automatiza os requisitos da ISO/IEC 27037 na aquisição de prova web, da captura à preservação de longo prazo, em um fluxo único e verificável. A metodologia forense cobre os quatro processos da norma, com identificação, coleta, aquisição e preservação, e acrescenta uma camada de certificação com selo eletrônico qualificado e carimbo do tempo eletrônico qualificado nos termos do eIDAS. A ISO 27037 não prescreve essa camada, mas ela pesa quando o material precisa circular entre jurisdições. Diferente das ferramentas genéricas, a esteira inteira é construída em torno dos quatro princípios da norma: auditabilidade, repetibilidade, reprodutibilidade e justificabilidade. Cada sessão parte de um ambiente limpo; cada elemento, do DOM ao MHTML, do SSL/TLS ao IP, ao DNS e ao tráfego de rede, é capturado em paralelo e selado na origem com hash SHA-256 e carimbo do tempo qualificado; cada passo entra em um registro imutável que um especialista independente consegue reproduzir. Para equipes jurídicas, consultores forenses e profissionais de conformidade, é a diferença entre um material pronto para instruir o processo e uma captura que será impugnada na primeira oportunidade.
Ao lado do Forensic Browser, aplicativo para macOS e Windows que segue sendo a principal solução de aquisição no computador, a TrueScreen oferece também a extensão Web Notarization para Chrome e Edge, que permite certificar rapidamente qualquer conteúdo durante a navegação normal, e o aplicativo TrueScreen para iOS e Android, para adquirir conteúdo pelo celular: três soluções complementares conforme o dispositivo à mão, todas alimentando o mesmo fluxo de certificação forense.
O Forensic Browser é o produto de referência para a aquisição de prova web segundo a ISO 27037. Ele isola cada sessão em um ambiente limpo, sem cookies residuais, sem extensões e com relógio sincronizado por NTP, e captura em paralelo o DOM renderizado depois do JavaScript, o arquivo MHTML autossuficiente, o certificado SSL/TLS do servidor com a sua cadeia de confiança, o IP resolvido e o tráfego de rede completo. Cada aquisição recebe hash SHA-256 e carimbo do tempo qualificado eIDAS aplicados na origem, e não depois, quando os arquivos já poderiam ter ficado expostos a manipulação.
A linha de produtos da TrueScreen relevante para a aquisição web inclui o Forensic Browser, navegador proprietário para páginas e conteúdo dinâmico, pensado para sessões forenses completas em ambiente isolado; o portal web, interface de navegador para captura de páginas, gravação de tela, gestão das evidências e trilha de auditoria; a extensão para Chrome, que embute a captura forense no navegador que o operador já usa, para aquisições rápidas; o aplicativo para iOS e Android, para uso em campo; e a API e o SDK, primitivas de certificação para embutir a aquisição de prova web em fluxos corporativos, do monitoramento contínuo de marketplaces à vigilância de redes sociais, das esteiras de conformidade à proveniência de conteúdo gerado por IA.
No que diz respeito à defensabilidade em juízo, a TrueScreen se encaixa diretamente nos quatro princípios da ISO 27037. A auditabilidade vem do registro imutável do portal web, que guarda quem adquiriu o quê, quando, com quais parâmetros e em qual ambiente. A repetibilidade vem do ambiente controlado e do perfil limpo do Forensic Browser. A reprodutibilidade se apoia na documentação completa de metadados, cabeçalhos HTTP, DNS e ambiente de execução. A justificabilidade está nos relatórios técnicos em PDF/A assinados que acompanham cada aquisição.
Um exemplo concreto. Um escritório especializado em direito autoral precisa capturar quarenta anúncios de marketplace que oferecem produtos falsificados antes que o vendedor os retire do ar. Usando a TrueScreen pela API, o escritório obtém em minutos quarenta aquisições forenses completas, com DOM, MHTML, certificado SSL, IP do servidor, DNS, hash e carimbo do tempo qualificado, cada uma com o seu relatório técnico assinado. No dia seguinte o vendedor derruba os anúncios, mas o registro forense continua admissível e pronto para instruir o processo. A mesma dinâmica vale para difamação em redes sociais, concorrência desleal, prova digital em processo penal e comunicações reguladas sujeitas a dever de guarda. A lógica está dentro do perímetro mais amplo da proveniência digital, que permite tratar uma página web como um ativo verificável ao longo de todo o seu ciclo de vida, e não apenas no instante da captura.
Erros comuns a evitar na aquisição forense web
As aquisições forenses de páginas web que desmoronam em juízo quase sempre desmoronam pelos mesmos motivos. Reconhecê-los de antemão é o que permite construir um processo defensável e reduzir o risco de uma impugnação capaz de apagar o material dos autos.
A lista abaixo reúne os dez erros que mais aparecem em aquisições de prova web que chegam ao litígio com fragilidades técnicas, cruzados com as boas práticas do SWGDE e do NIST.
- Capturar apenas uma imagem da tela, sem DOM e sem o HTML pós-renderização. Sozinha, a imagem é frágil e amplamente contestável. É preciso também o DOM serializado e o pacote de recursos.
- Deixar de capturar o certificado SSL/TLS. Sem o certificado, a defesa pode sustentar que o conteúdo veio de um servidor diferente do alegado. É um vetor de ataque fácil de fechar e ainda assim frequentemente esquecido.
- Operar com o relógio do sistema fora de sincronia com o NTP. Se o registro de tempo local não está ancorado em uma fonte confiável, a cronologia da aquisição fica exposta. O carimbo do tempo qualificado ajuda, mas só sobre um ambiente corretamente sincronizado.
- Calcular o hash apenas sobre a imagem da tela, e não sobre o pacote. O conjunto forense é o pacote agregado. É preciso um hash SHA-256 de cada elemento e um hash do pacote completo, com manifesto assinado.
- Usar um navegador sujo, com cookies, cache e extensões. O ambiente influencia o que é renderizado. Sem perfil limpo, a aquisição não é reprodutível por um examinador independente.
- Não documentar a cadeia de custódia digital. Quem, quando, com qual ferramenta, onde ficou guardado: a ISO 27037 pede tudo isso. Sem registro assinado, a trilha de auditoria se rompe.
- Não registrar o tráfego de rede durante a aquisição ao vivo. O SWGDE 21-F-001 exige isso de forma explícita, para demonstrar a ausência de redirecionamentos, injeções ou alterações em trânsito.
- Confiar apenas no relógio local, sem carimbo do tempo qualificado. O relógio do computador é autodeclarado. O carimbo do tempo qualificado carrega presunção legal em toda a União Europeia, e é a linha que separa um material sólido de um material contestável.
- Adquirir páginas dinâmicas com ferramentas feitas para HTML estático. Em React, Angular, Vue, feeds de rolagem infinita e janelas modais: se a ferramenta não espera a renderização terminar, ela captura uma página morta, diferente da que o usuário viu.
- Supor que o servidor guardará a página original para sempre. Páginas mudam, somem, são redirecionadas ou retiradas do ar. A aquisição forense precisa ser feita no momento do fato. Um atraso de vinte e quatro horas já pode significar perder a única cópia utilizável.
Para quem olha adiante, para a questão de como preservar a evidência digital depois de concluída a aquisição, as práticas citadas aqui são a base. A prevenção, porém, começa na qualidade do próprio processo de captura. Para as equipes que avaliam alternativas especializadas, a comparação com o Page Vault percorre as diferenças de escopo e de metodologia.
Não é um arquivo, é um método: o que levar ao juiz
Adquirir prova web não é apertar PrintScreen. É um processo técnico e jurídico que começa na identificação do conteúdo, passa por um ambiente de captura isolado e documentado, produz um conjunto com DOM, MHTML, certificado SSL, IP do servidor, DNS e metadados, e fecha com hash SHA-256 e carimbo do tempo qualificado ao longo de uma cadeia de custódia rastreável. Sem essa esteira, até a página mais relevante corre o risco de ruir na primeira impugnação.
A ISO/IEC 27037, apoiada pelas boas práticas do SWGDE e do NIST, pelos princípios do ACPO, pelo quadro da Convenção de Budapeste e pelo regime europeu do eIDAS, oferece o protocolo operacional para uma prova web defensável. Traduzir isso na prática diária exige ferramentas construídas para aquisição forense, e não utilitários genéricos adaptados. A TrueScreen é feita exatamente para isso: fechar a cadeia da captura à preservação para cada página web que possa servir em litígio cível, penal, administrativo ou transfronteiriço.
Para escritórios de advocacia, consultores forenses, profissionais de conformidade e equipes corporativas que lidam com um volume crescente de disputas digitais, a pergunta já não é se vale a pena adquirir a prova web com método. A pergunta é se convém fazê-lo com um processo defensável ou seguir correndo o risco de a parte contrária descobrir exatamente onde atacar.
