C.E.R.T.O.
C.E.R.T.O.
Cattura una pagina web esattamente come appare in quel momento — con tutto ciò che la compone — e la sigilla prima che possa cambiare o sparire.
Il modulo Pagine web di C.E.R.T.O. esegue l'acquisizione forense di siti e pagine web: cattura una pagina nello stato esatto in cui si presenta — testo, immagini, codice, risorse e traffico di rete — e la sigilla come prova digitale prima che possa cambiare o sparire. È lo strumento pensato per CTU, CTP, periti, avvocati e forze dell'ordine che devono cristallizzare un contenuto online — un post diffamatorio, una violazione di copyright, una pagina di e-commerce, una recensione — con piena catena di custodia e validità tecnica.
Una procedura ripetibile e documentata: dalla sincronizzazione del tempo alla sigillatura crittografica, ogni passaggio lascia una traccia verificabile dentro il fascicolo.
Sincronizzazione NTP multi-sorgente (Google/Cloudflare/pool) con offset e roundtrip documentati: la finestra di cattura è ancorata.
Browser forense integrato con oggetto e scope dichiarati (dominio, dominio+sottodomini o navigazione libera); ogni pagina nello scope diventa un reperto.
Intercettazione passiva del traffico via Chrome DevTools Protocol (dominio Network, niente request-interception) — nessuna alterazione della pagina.
Per ogni pagina: screenshot del viewport, screenshot a pagina intera (scroll-and-stitch) e snapshot del DOM dopo l'esecuzione del JavaScript.
Confezionamento WACZ/WARC (ISO 28500) auto-contenuto: la navigazione si ripercorre offline, byte per byte, con ReplayWeb.page.
Motore di completezza session-aware: confronta risorse viste e catturate, recupera quelle mancanti e dichiara le irrecuperabili.
HAR W3C completo, DNS, WHOIS, traceroute e catene di certificati X.509 (leaf + intermedi + root) di ogni host contattato.
Hash quadruplo MD5 + SHA-1 + SHA-256 + SHA-512 (FIPS 180-4) di ogni file, inventariato in file-hashes.json.
manifest.json firmato Ed25519 (RFC 8032) legato al dispositivo + doppia marca RFC 3161 (ancora interna sul manifest, sigillo esterno sul tag-manifest).
Tutto è confezionato in un fascicolo BagIt 1.0 (RFC 8493) con descrizione CASE/UCO e verificatori verify.sh / verify.bat.
Una singola acquisizione produce decine di artefatti coordinati, ciascuno con un ruolo forense preciso. Sono organizzati in cartelle dai nomi parlanti dentro data/.
Lo schermo visibile durante la navigazione (un fotogramma per pagina), in JPEG con filigrana C.E.R.T.O., versione, ID acquisizione, URL e timestamp impressi.
pages/NNN_…/screenshots/
La pagina intera ricomposta con scroll-and-stitch, oltre la piega, con sfondo appiattito su bianco per fedeltà cromatica. Generato post-hoc per ogni pagina.
pages/NNN_…/screenshots-fullpage/
Il DOM serializzato dopo l'esecuzione del JavaScript (post-hydration), come effettivamente reso dal browser — non il solo sorgente statico.
pages/NNN_…/html-snapshots/
Web Archive Collection Zipped (ISO 28500): WARC + indici, auto-contenuto. Riproduce l'intera navigazione offline con ReplayWeb.page — è il media sigillato.
evidence/ReplayWebPage.wacz
Registrazione video (WebM) del browser forense durante l'acquisizione, con audio di sistema: la prova dinamica di ciò che l'operatore ha visto e fatto.
evidence/video/
HTTP Archive W3C: registrazione completa di richieste/risposte, header reali, timing e payload. Più requests/responses/resources in JSON e statistiche.
network/network.har
Risoluzione DNS, interrogazione del registro WHOIS (titolare e dati di registrazione del dominio) e mappa degli hop di rete dal client all'host.
network/dns-lookup.txt · whois.txt · traceroute.txt
Le catene X.509 complete (leaf + intermedi + root, in PEM e leggibili) di ogni host contattato durante l'acquisizione, con i dettagli del certificato.
tls/certificates/
Tutti i cookie attivi con metadati (HttpOnly, Secure, SameSite, scadenza) e lo snapshot di session storage / local storage al momento della cattura.
network/cookies-detailed.json · evidence/javascript-state/
Registrazione di clic, scroll, input e tasti durante la navigazione (catena di custodia delle azioni dell'operatore).
evidence/interactions/user-interactions.json
La site-structure completa: ogni risorsa (CSS, JS, font, immagini) salvata e organizzata per host, con i metadati di provenienza di ciascuna.
resources/site-structure/
Un rapporto che dichiara, in modo onesto, quante risorse sono state viste, catturate, recuperate via sessione e quante restano irrecuperabili, con la percentuale.
network/completeness-report.json
Il rapporto in PDF e TXT (operatore, scope, IP, NTP, SSL, inventario, dichiarazioni forensi) con la propria marca temporale RFC 3161 (report.tsr).
reports/report.pdf · report.txt · report.tsr
L'elenco di ogni file con la quaterna di hash crittografici, base della verifica di integrità ripetibile da chiunque, anche offline.
hashes/file-hashes.json
Su un post, la diffamazione o la minaccia spesso non è nel contenuto: è nei commenti sotto.
I commenti però non sono nella pagina. Compaiono a poco a poco mentre si scorre, si nascondono dietro un «mostra altre risposte», e la piattaforma ne tiene a schermo solo una manciata alla volta. Uno strumento che fotografa lo schermo raccoglie quello che si vede in quel momento: il resto non esiste, e non risulta nemmeno che manchi.
C.E.R.T.O. interroga la stessa sorgente dati che la piattaforma usa per costruire la pagina e conserva ogni risposta ricevuta così com'è arrivata, con la sua busta di provenienza: indirizzo interrogato, metodo, esito, momento della ricezione. Il testo dei commenti, l'autore, il numero di «mi piace» e la data non vengono letti dallo schermo — vengono dal servizio, come li dichiara il servizio.
Le risposte non arrivano insieme all'elenco: ogni commento che ne ha porta una propria continuazione, che va seguita a parte. C.E.R.T.O. le segue, e quando un elenco si esaurisce lo dichiara — con il motivo.
Commenti di post e reel. Profilo con la griglia dei contenuti, caroselli compresi. Storie, con isolamento del contenuto scelto. Elenchi di follower e seguiti.
social/instagram/ · raw-api/
Commenti. Profilo. Post del diario. Elenco amici, con identificativo e immagine di ciascuno.
social/facebook/ · raw-api/
Commenti di video e contenuti fotografici. Il video stesso, scaricato come file autonomo con la propria impronta. Profilo e contenuti pubblicati.
social/tiktok/ · evidence/video-resources/
Post con le risposte, seguite pagina dopo pagina fino in fondo. Profilo con i contenuti pubblicati, metriche e immagine.
social/x/ · raw-api/
Commenti e risposte di video e short, distinti per livello. Canale con tutte le anteprime in qualità piena. Il filmato scaricato a parte.
youtube-comments/ · raw-api/
Conversazioni private di Messenger e Instagram Direct, estratte senza doverle scorrere a schermo una per una.
social/messaging/
Ogni risposta del servizio è conservata verbatim in raw-api/ con la sua busta di provenienza. Chi contesta il dato può risalire alla fonte, non deve fidarsi della nostra tabella.
Quanti elementi la piattaforma dichiara, quanti ne sono stati raccolti, da quale canale e perché la raccolta si è fermata. Una raccolta incompleta viene detta, non nascosta.
Molte piattaforme non dichiarano una data assoluta ma una distanza dal presente («7 giorni fa»). Il valore è riportato come ricevuto: convertirlo sarebbe una nostra interpretazione, non un dato.
Centinaia di commenti e decine di autori: un elenco stampato non serve a nessuno.
Il cruscotto interactive.html incluso nel fascicolo presenta commenti e risposte in tabelle vere, dove si cerca e si ordina. Funziona offline, con un doppio clic, anche fra anni e anche su un computer che non ha C.E.R.T.O. installato.
Su un sito tradizionale la riproduzione è fedele. Su un'applicazione c'è un limite, ed è giusto spiegarlo.
L'archivio WACZ conserva le risorse con l'indirizzo con cui sono state chieste, così la pagina si rimonta com'era: struttura, fogli di stile, caratteri, immagini. Con X, Instagram, Facebook o TikTok il discorso cambia — il limite non è nostro, e nessuno strumento oggi lo supera.
Alla riproduzione il codice del sito viene rieseguito: ridisegna la pagina da capo e chiede al servizio dati che, nell'archivio, non ci sono — perché nessuno li aveva chiesti in quel momento. Il risultato è una pagina che si lamenta, non una pagina falsa.
Accanto alla cattura di rete, l'archivio contiene la pagina come l'operatore l'ha vista, senza codice eseguibile: non si riscrive da sola perché non ha nulla da eseguire. Accanto al file c'è una spiegazione bilingue di che cosa è l'una e che cosa è l'altra.
I flussi video viaggiano con indirizzi firmati e a scadenza, e il lettore pretende una risposta viva dal servizio: nessun archivio può riprodurli, nemmeno conservandone i byte. C.E.R.T.O. scarica il filmato a parte, come file autonomo con la propria impronta.
Nessuna di queste cose toglie valore alla prova. Il contenuto è nel fascicolo tre volte, per strade indipendenti: nella risposta grezza del servizio, nelle schermate raccolte durante l'estrazione, e nell'archivio della pagina. Ognuna ha la propria impronta, e le tre si confermano a vicenda. Un archivio che non si riproduce non è un archivio vuoto: contiene ciò che è passato in rete in quel momento, indirizzo per indirizzo.
Il fascicolo non richiede C.E.R.T.O. per essere validato: chiunque, anche fra anni, può verificarne l'autenticità con strumenti standard. La struttura BagIt 1.0 e il cruscotto interattivo lo rendono auto-esplicativo.
data/tsa.tsr e sigillo esterno su tagmanifest-sha256.txt.tsr. Cascata gratuita Sectigo→DigiCert→GlobalSign; InfoCert qualificata eIDAS opzionale.Acquisizione forense di pagine web, validità della prova, formato WACZ e verifica del fascicolo: le domande più comuni.
Registrati gratis e scarica C.E.R.T.O. Desktop per Windows e macOS dalla tua area riservata.