Acquisizione forense di pagine web con valore legale

Perché serve un'acquisizione forense di una pagina web

Una pagina web può essere modificata o rimossa in qualsiasi momento. Uno screenshot o una stampa PDF non hanno alcun valore probatorio perché non garantiscono che il contenuto non sia stato alterato. L'acquisizione forense risolve questo problema documentando la pagina in modo completo, verificabile e ripetibile, nel rispetto degli standard internazionali.

Con C.E.R.T.O. ogni acquisizione include:

• Hash crittografici multipli (MD5, SHA-1, SHA-256, SHA-512) calcolati su ogni componente del fascicolo
• Marca temporale RFC 3161 che certifica la data e l'ora di esistenza del contenuto
• Archivio WACZ nel formato standard ISO 28500 per la riproduzione fedele offline della pagina
• Video registrazione della sessione di navigazione con audio (H.264, 30 FPS)
• Report forense dettagliato con metadati tecnici, catena di custodia e inventario completo dei file
• Script di verifica (.sh e .bat) per la verifica autonoma dell'integrità del fascicolo

Due strumenti, un unico standard forense

L'acquisizione di pagine web è disponibile attraverso due strumenti complementari, entrambi basati sui medesimi standard forensi:

Entrambi gli strumenti generano un fascicolo forense identico nella struttura: archivio WACZ firmato, report con hash crittografici, marca temporale RFC 3161 e archiviazione sicura per 5 anni sul server di AcquisizioniForensi.it.

Acquisizione forense da social network e pagine dinamiche

C.E.R.T.O. 3.1 introduce il supporto nativo per l'acquisizione forense di contenuti dinamici: feed con scroll infinito, post di social network, video incorporati e contenuti generati da chiamate API asincrone — categorie di contenuto che un semplice screenshot non può documentare in modo probatoriamente valido.

Rilevamento automatico dello scroll infinito

Il modulo di acquisizione rileva automaticamente se la pagina utilizza lo scroll infinito (pattern comune in Facebook, Instagram, X/Twitter, LinkedIn, TikTok Web, feed di notizie). In questo caso:

• Scorre progressivamente la pagina registrando ogni sezione con screenshot e cattura del DOM
• Distingue le pagine a contenuto finito (fino a 50 scroll) da quelle con scroll genuinamente infinito (limitate a 15 scroll per evitare la raccolta incontrollata di dati)
• Acquisisce ogni stato intermedio del DOM confrontando il contenuto prima e dopo ogni scroll
• Registra l'intera sessione in video, documentando visivamente la sequenza dei contenuti apparsi a schermo

Intercettazione API, XHR e WebSocket

I social network e le applicazioni web moderne non caricano il contenuto nell'HTML della pagina: lo recuperano tramite chiamate API asincrone (XHR, fetch, WebSocket). C.E.R.T.O. 3.1 intercetta e archivia queste chiamate:

Persistenza di sessione e autenticazione

Per acquisire contenuti visibili solo a utenti autenticati (profili privati, gruppi, contenuti premium), C.E.R.T.O. Desktop permette di salvare e ripristinare le sessioni del browser forense. I cookie di autenticazione vengono preservati, filtrati per dominio e inclusi nel fascicolo forense — documentando il contesto esatto in cui i contenuti erano visibili.

Download forense di video e contenuti multimediali

C.E.R.T.O. 3.1 include un motore di estrazione video integrato che supporta i principali social network e piattaforme video. I video vengono scaricati nella massima qualità disponibile, con audio sincronizzato, e inclusi nel fascicolo forense con hash crittografici e marca temporale.

Ogni video scaricato viene salvato in formato MP4 (H.264 + AAC), incluso nel fascicolo forense e sottoposto agli stessi controlli di integrità — hash SHA-512, marca temporale RFC 3161 — degli altri componenti dell'acquisizione.

Le fasi dell'acquisizione automatica

Il processo di acquisizione è suddiviso in fasi completamente automatiche, monitorate in tempo reale nell'interfaccia:

1. Preparazione — Verifica credenziali, inizializzazione ambiente isolato, sincronizzazione NTP, avvio registrazione video
2. Caricamento pagina — Navigazione controllata con intercettazione di tutte le richieste di rete, attesa completamento risorse statiche e dinamiche (AJAX/fetch)
3. Stabilizzazione — Verifica inattività di rete, stabilità DOM, caricamento font e immagini; cattura stato DOM iniziale
4. Scroll e cattura contenuti dinamici — Rilevamento tipo di scroll (finito o infinito), cattura progressiva, screenshot per sezione, intercettazione API e WebSocket attivi durante lo scroll
5. Download video — Estrazione forense di video incorporati con audio sincronizzato
6. Cattura dati forensi — Screenshot viewport e full-page, HTML finale, cookie, JavaScript state (localStorage, sessionStorage), certificati SSL, DOM diff
7. Analisi risorse — Download e catalogazione di tutti i file intercettati con header HTTP e metadati
8. Generazione WACZ — Creazione archivio nel formato standard con indice CDX, integrazione cookie e API responses per il replay offline
9. Upload al server — Trasmissione cifrata HTTPS con monitoraggio velocità e progresso
10. Elaborazione server e completamento — Hash multipli, watermark, report forense, marca temporale RFC 3161, archiviazione 5 anni, generazione codice breve, notifica email/PEC

Cosa viene acquisito e certificato

Ogni acquisizione produce un fascicolo completo che include:

Archivio WACZ nel formato standard ISO 28500

C.E.R.T.O. utilizza il formato WACZ (Web Archive Collection Zipped), lo standard internazionale per l'archiviazione forense di pagine web basato su WARC (ISO 28500). A differenza di soluzioni proprietarie o formati limitati come MHTML o PDF, il formato WACZ garantisce:

• Riproduzione fedele — La pagina può essere rivista esattamente come appariva al momento della cattura, inclusi contenuti dinamici, CSS, JavaScript, risorse multimediali e, nella versione 3.1, le risposte API e i cookie di autenticazione necessari per il replay
• Integrità crittografica — Firma digitale JWS (RFC 7515) che impedisce qualsiasi alterazione post-acquisizione
• Indicizzazione — Indice CDX per la ricerca e il replay efficiente di ogni risorsa
• Interoperabilità — Compatibile con ReplayWeb.page e altri strumenti di replay conformi allo standard
• Standard aperto — Formato open source sviluppato dal progetto Webrecorder (IIPC), non vincolato a vendor specifici

Marca temporale e valore legale

Ogni acquisizione riceve una marca temporale conforme al protocollo RFC 3161, che certifica la data e l'ora di esistenza del contenuto acquisito. La marca temporale è applicata al report forense che contiene tutti gli hash crittografici del fascicolo, creando una catena di certificazione completa.

Sono disponibili due livelli di certificazione temporale:

• FreeTSA — Marca temporale non qualificata, inclusa in ogni acquisizione, ideale per documentazione interna e uso preventivo
• InfoCert eIDAS — Marca temporale qualificata con pieno valore legale nell'Unione Europea ai sensi del Regolamento (UE) n. 910/2014, disponibile come opzione aggiuntiva

Casi d'uso professionali