DATA / 01
Le contenu
Texte, image, vidéo, fichier ou autre élément effectivement observé au moment de la collecte.
CONTENT / DATA
Cyber Lab · Collecte · Intégrité · Contexte
Conserver avant d'interpréter.
Collecte technique, contexte, intégrité, horodatage, empreintes numériques et précautions à prendre avant d'interpréter une information.
Une information trouvée en ligne ou dans un fichier n'est pas automatiquement une preuve. Avant toute interprétation, il est utile de comprendre d'où elle provient, comment elle a été collectée et ce qui permet de vérifier qu'elle n'a pas changé.
DIGITAL ELEMENT / COLLECTION
● PRESERVED
COLLECTED FILE
publication_capture_001.png
SHA-256:
8e9c7f2d1a4b6c8e...d214b81a
SOURCE
source documented
OK
TIMESTAMP
collection time recorded
OK
CONTEXT
URL + page information
OK
HASH
SHA-256 calculated
OK
INTERPRETATION
separate analysis required
REVIEW
COLLECTION CHAIN
SOURCE → COLLECTION → CONTEXT → HASH → STORAGE → VERIFICATION
SOURCE → COLLECTION → CONTEXT → HASH → STORAGE → VERIFICATION
Vocabulaire
Une information numérique n'est pas automatiquement une preuve.
Une page Web, une photographie, une vidéo, un document, une métadonnée ou un journal technique peuvent contenir des informations utiles.
Lorsqu'une information est collectée, il est préférable de commencer par la décrire comme une donnée, un fichier, une trace ou un élément numérique.
Sa valeur dépend ensuite de nombreux facteurs : origine, contexte, méthode de collecte, intégrité, possibilité de vérification et interprétation.
DIGITAL ELEMENT / LIFECYCLE
SOURCE
Où l'information a-t-elle été
observée ou obtenue ?
COLLECTE
Comment l'élément a-t-il été
enregistré ou conservé ?
CONTEXTE
Quelles informations accompagnaient
l'élément au moment de l'observation ?
INTÉGRITÉ
Peut-on contrôler que le fichier
conservé n'a pas changé ?
INTERPRÉTATION
Que permet réellement d'affirmer
l'information collectée ?
Collecte technique
Conserver davantage que le contenu visible.
Une collecte utile cherche à préserver l'information elle-même mais également les éléments nécessaires pour comprendre son origine et son contexte.
DATA / 02
La source
URL, page, service, fichier ou environnement depuis lequel l'information a été obtenue.
SOURCE / ORIGIN
DATA / 03
Le contexte
Texte environnant, titre, compte affiché, date visible et autres informations accompagnant l'élément.
CONTEXT / PAGE
DATA / 04
La date de collecte
Documenter le moment auquel l'information a été observée ou enregistrée permet de reconstruire une chronologie.
TIME / COLLECTION
DATA / 05
Les propriétés techniques
Format, taille, dimensions, métadonnées ou autres caractéristiques peuvent compléter la collecte.
FILE / META
DATA / 06
L'empreinte numérique
Une empreinte cryptographique peut permettre de comparer ultérieurement le fichier conservé avec celui qui avait été collecté.
SHA-256 / INTEGRITY
Méthode
De l'observation à la conservation.
L'objectif est de séparer la collecte technique de l'analyse afin d'éviter qu'une hypothèse formulée trop tôt ne modifie la manière d'observer les données.
01 / OBSERVE
Observer
Identifier précisément ce qui est présent sans commencer par lui attribuer une signification.
02 / CONTEXT
Contextualiser
Conserver les informations permettant de retrouver et comprendre la source.
03 / COLLECT
Collecter
Enregistrer l'élément avec une méthode adaptée à sa nature et au contexte.
04 / PRESERVE
Conserver
Préserver les fichiers et informations utiles en limitant les transformations.
05 / VERIFY
Vérifier
Contrôler l'intégrité et seulement ensuite analyser la signification des éléments conservés.
Intégrité
Une empreinte permet de détecter une modification du fichier.
Une fonction de hachage comme SHA-256 calcule une empreinte à partir du contenu d'un fichier.
Deux fichiers strictement identiques produisent la même empreinte SHA-256. Une modification du contenu conduit, avec une très forte probabilité, à une empreinte différente.
Cela permet notamment de vérifier qu'un fichier conservé est identique à celui pour lequel l'empreinte avait été calculée.
L'empreinte ne démontre toutefois ni l'origine du fichier, ni son auteur, ni la véracité de son contenu.
SHA-256 / COMPARISON
● MATCH
original.png
54f31d92b7c842fa83a9c2d6e2f0b65a...
preserved-copy.png
54f31d92b7c842fa83a9c2d6e2f0b65a...
RESULT → IDENTICAL HASH
Files compared: identical content
Files compared: identical content
Contexte
Une capture isolée peut perdre une partie de son sens.
Conserver uniquement une zone très limitée d'une page peut supprimer des informations nécessaires pour comprendre ce qui était réellement affiché.
ISOLATED CONTENT
Élément isolé
+
Contenu visible conservé
−
URL éventuellement absente
−
Page d'origine non visible
−
Chronologie difficile à comprendre
−
Informations environnantes perdues
CONTENT + CONTEXT
Élément contextualisé
+
Contenu visible
+
URL ou source documentée
+
Date de collecte conservée
+
Environnement de publication visible
+
Fichier et empreinte éventuellement conservés
Temps
Une chronologie peut contenir plusieurs dates différentes.
Il faut distinguer la date associée au contenu, celle affichée par une plateforme, les dates techniques d'un fichier et le moment auquel la collecte a été réalisée.
Une date de collecte indique principalement qu'un élément a été observé ou enregistré à ce moment-là.
Elle ne permet pas automatiquement de déterminer quand le contenu a été créé, ni quand l'événement représenté s'est produit.
T1 / FILE
Date technique du fichier
Signification dépendant de la propriété examinée.
T2 / PLATFORM
Date affichée par le service
Information produite ou présentée par la plateforme.
T3 / OBSERVATION
Moment de l'observation
Instant auquel l'information a été consultée.
T4 / COLLECTION
Moment de la collecte
Instant auquel l'élément a été enregistré.
T5 / VERIFY
Vérification ultérieure
Contrôle de l'intégrité et comparaison avec les données conservées.
Raisonnement
Séparer quatre niveaux évite de conclure trop vite.
Une démarche technique rigoureuse distingue ce qui a été observé de ce qui est supposé, vérifié ou finalement interprété.
01 / OBSERVATION
Fait observé
Ce qui est effectivement visible, mesurable ou présent dans les données collectées.
02 / HYPOTHESIS
Hypothèse
Une explication possible formulée à partir des observations disponibles.
03 / VERIFICATION
Vérification
Recherche d'informations complémentaires susceptibles de confirmer ou de contredire l'hypothèse.
04 / INTERPRETATION
Interprétation
Conclusion formulée en tenant compte des éléments disponibles et de leurs limites.
Précautions
Ce qu'un élément technique ne démontre pas automatiquement.
Une information peut être exacte sur le plan technique tout en étant insuffisante pour établir l'interprétation qui lui est attribuée.
Une capture d'écran ne démontre pas tout
Elle montre un affichage à un moment donné mais peut manquer d'informations sur la source, le fonctionnement de la page ou son contexte.
Un hash ne prouve pas l'origine
Il permet de comparer l'intégrité d'un fichier, pas d'identifier automatiquement son auteur ou sa source.
Une date ne suffit pas à établir une chronologie
Il faut comprendre ce que représente précisément chaque horodatage avant de comparer plusieurs dates.
Une métadonnée peut avoir été modifiée
Sa présence constitue une information à examiner, pas une garantie automatique d'authenticité.
Une correspondance n'établit pas nécessairement une identité
Même pseudonyme, même image ou donnée similaire peuvent constituer une piste nécessitant d'autres vérifications.
La conservation technique et la valeur juridique sont distinctes
Préserver correctement un fichier constitue une démarche technique. Son utilisation et sa valeur dans une procédure relèvent d'une appréciation distincte.
Point essentiel
Collecter n'est pas authentifier. Conserver n'est pas interpréter.
Une méthode technique peut aider à conserver un fichier, documenter sa provenance, enregistrer le contexte disponible et contrôler ultérieurement son intégrité.
Elle ne transforme pas automatiquement l'information collectée en preuve de l'identité d'une personne, de l'auteur d'un contenu, de la date réelle d'un événement ou de la véracité de ce qui est représenté.
Lorsqu'un élément est destiné à une procédure ou à un contentieux, les exigences juridiques et probatoires applicables doivent être appréciées séparément de la seule conservation technique.
Tutoriels
Approfondir la conservation des éléments numériques.
Les autres rubriques du Cyber Lab permettent d'examiner séparément les fichiers, métadonnées, médias, pages Web et méthodes techniques associées.
Comment calculer l'empreinte SHA-256 d'un fichier ?
Comprendre simplement le hachage et son utilisation pour vérifier l'intégrité d'un fichier.
Lire le tutoriel →Comprendre les métadonnées
Examiner les propriétés techniques, dates et informations pouvant être associées à un fichier.
Explorer →Images et vidéos
Distinguer contenu visible, fichier multimédia, caractéristiques techniques et contexte de publication.
Explorer →Comprendre ce que reçoit le navigateur
Code source, ressources, requêtes réseau et mécanismes permettant d'afficher une page.
Explorer →Comprendre les traces numériques
Identifier les informations laissées par les fichiers, services et différents usages numériques.
Explorer →Automatiser une collecte technique
Comprendre comment scripts et programmes peuvent faciliter des opérations répétitives et documentées.
Explorer →
Cyber Lab
Source. Contexte. Intégrité. Vérification. Puis interprétation.
La conservation technique est plus utile lorsqu'elle permet de revenir ultérieurement à l'information, à son origine et aux conditions dans lesquelles elle a été collectée.