Qué demuestra cada elemento y qué preguntas siguen abiertas.
En conversaciones sobre prueba digital aparecen tres ideas como si fueran equivalentes: “tengo una captura”, “tengo un hash” y “tengo la evidencia”. No son lo mismo.
La captura
Documenta una visualización. Puede ser muy útil, especialmente para contenido efímero o situaciones que deben registrarse rápido. Pero conviene conservar información sobre el dispositivo, la cuenta, la fecha, la URL, el archivo original y cualquier fuente que permita corroborarla.
El hash
Es una huella matemática del contenido. Sirve para verificar que un archivo no cambió entre dos momentos. No demuestra quién lo creó, si lo que muestra es verdadero ni si fue obtenido de forma lícita.
El contexto
Es lo que permite interpretar. Una conversación sin participantes identificados, zona horaria o procedencia puede ser difícil de ubicar aunque el archivo esté intacto.
¿Qué hecho quiero demostrar y qué información necesito para conectar este artefacto con ese hecho?
Un caso para situar el problema
Al recibir una conversación exportada, un investigador calcula el hash del archivo y conserva una captura. Meses después la otra parte discute quién escribió el mensaje y si faltan fragmentos previos.
Qué permite comprender este caso
La comparación de hashes ayuda a verificar si el archivo conservado cambió. La captura muestra una representación. La atribución y el contexto requieren otras fuentes, como el dispositivo, la cuenta, el historial y la cronología.
La consecuencia práctica
La evidencia debe presentarse indicando su alcance. Probar integridad no equivale a probar autoría, veracidad del contenido ni licitud de la obtención.