En un juicio, la pregunta no suele ser si una captura de pantalla dice lo que dice. La pregunta es otra: ¿cómo sabemos que esto es exactamente lo que estaba publicado, que nadie lo ha modificado desde entonces y que quien lo aporta no lo ha fabricado? La respuesta técnica a esa pregunta es la cadena de custodia.
Como perito judicial informático, buena parte de mi trabajo no consiste en encontrar la prueba, sino en demostrar que la prueba que se presenta es íntegra y auténtica. Esta guía explica cómo se hace, con qué herramientas y qué diferencia hay entre un acta notarial y un informe pericial. Si buscas algo más básico sobre cómo guardar pruebas tú mismo, empieza por cómo conservar pruebas de acoso o difamación.
Qué es la cadena de custodia
Es el registro documentado de todo lo que le ocurre a una evidencia desde que se obtiene hasta que se presenta ante el juez: quién la obtuvo, cuándo, cómo, con qué herramientas, dónde se ha guardado, quién ha tenido acceso y qué operaciones se han hecho sobre ella. Su objetivo es que cualquier tercero pueda verificar que la evidencia no ha sido alterada.
En España no hay un único artículo que regule la cadena de custodia digital de forma completa. Los tribunales la valoran a partir de las reglas generales de la prueba: en el proceso civil, los artículos 299 y siguientes de la Ley de Enjuiciamiento Civil, con especial atención a los medios de reproducción de la palabra, la imagen y el sonido y a los instrumentos que permiten archivar datos (artículos 382 a 384); en el penal, la Ley de Enjuiciamiento Criminal, incluidos los artículos 588 bis y siguientes sobre medidas de investigación tecnológica. En la práctica forense se siguen además normas técnicas reconocidas, como la ISO/IEC 27037, sobre identificación, recogida, adquisición y preservación de evidencia digital, o la UNE 71506, sobre metodología de análisis forense.
El Tribunal Supremo, en su conocida sentencia 300/2015 sobre conversaciones de redes sociales, advirtió de que la posibilidad de manipular archivos digitales obliga a tomar con cautela este tipo de pruebas cuando se impugnan, y que en ese caso puede ser necesaria una pericial que identifique el origen y garantice la integridad. Ese es el núcleo del problema.
Las cuatro fases de una evidencia digital
1. Identificación
Saber qué hay que preservar: una publicación, un perfil completo, una conversación, un correo con sus cabeceras, un fichero alojado en una nube. Un error aquí es irreparable: si solo guardas el texto de un comentario y no el perfil que lo publicó, luego no podrás vincularlo a nadie.
2. Adquisición
Obtener una copia fiel. Según el caso, puede ser una captura forense de una web, una descarga de los datos de una cuenta, una copia bit a bit de un dispositivo o la exportación de un buzón de correo con sus metadatos. La regla de oro es intervenir lo mínimo sobre el original y documentar cada paso.
3. Preservación
Garantizar que la copia no cambia. Aquí entran el hash, el sellado de tiempo, el almacenamiento en soportes protegidos contra escritura y el registro de accesos.
4. Análisis y presentación
Estudiar la evidencia sobre copias de trabajo, nunca sobre la copia maestra, y presentar conclusiones que un tercero pueda reproducir.
El hash: la huella digital de un fichero
Una función hash criptográfica toma un fichero de cualquier tamaño y produce una cadena de longitud fija. En el caso de SHA-256, 256 bits, que se suelen representar como 64 caracteres hexadecimales. Tiene tres propiedades que la hacen útil como prueba:
- Es determinista: el mismo fichero produce siempre el mismo hash.
- Es muy sensible: cambiar un solo bit del fichero produce un hash completamente distinto.
- Es resistente a colisiones: con los conocimientos actuales, no es viable fabricar dos ficheros distintos con el mismo hash SHA-256.
En la práctica, al adquirir una evidencia se calcula su hash y se anota en el acta de adquisición. Cualquier persona puede después recalcular el hash del fichero que se aporta al juzgado y comprobar que coincide. Si coincide, el fichero es idéntico bit a bit al que se adquirió.
Por qué no MD5 ni SHA-1
Durante años se usaron MD5 y SHA-1. Hoy ambos tienen colisiones prácticas conocidas, es decir, se han fabricado ficheros distintos con el mismo hash. Siguen sirviendo para detectar errores de copia, pero en un informe pericial actual lo razonable es usar SHA-256 o superior, a veces junto a otro algoritmo para tener doble verificación.
Un matiz importante: el hash prueba que un fichero no ha cambiado desde que se calculó. No prueba cuándo se calculó, ni que el contenido sea auténtico en origen. Para lo primero hace falta un sellado de tiempo; para lo segundo, un método de adquisición fiable.
El sellado de tiempo
Un sello de tiempo electrónico vincula un hash a una fecha y hora concretas, de forma que se pueda demostrar que ese dato existía en ese momento. El procedimiento técnico más extendido sigue el protocolo descrito en la RFC 3161: se envía el hash (no el fichero) a una autoridad de sellado de tiempo, que devuelve un token firmado con la fecha, la hora y el hash.
El Reglamento (UE) 910/2014, conocido como eIDAS y actualizado por el Reglamento (UE) 2024/1183, distingue entre sellos de tiempo electrónicos y sellos de tiempo electrónicos cualificados. Según su artículo 41, a un sello cualificado se le reconoce la presunción de exactitud de la fecha y la hora que indica y de integridad de los datos a los que se vincula. Además, un sello cualificado emitido en un Estado miembro se reconoce en todos los demás. En España, la Ley 6/2020, reguladora de determinados aspectos de los servicios electrónicos de confianza, completa ese marco.
Que el sello sea cualificado no es un detalle: invierte la carga de la discusión. Quien quiera negar la fecha tendrá que demostrar que es falsa, en lugar de tener tú que demostrar que es cierta.
Cómo se ve en la práctica
Supongamos que alguien publica una serie de mensajes difamatorios en un perfil público. Una adquisición bien hecha podría seguir este esquema:
- Se prepara un entorno limpio y documentado: equipo, sistema operativo, navegador y versión, zona horaria y sincronización del reloj con una fuente fiable.
- Se graba en vídeo toda la navegación, desde la apertura del navegador hasta el perfil y cada publicación, mostrando la URL completa.
- Se guardan las páginas en formatos que conservan el código y los recursos, no solo imágenes, y se registran las respuestas del servidor.
- Se exportan los metadatos accesibles: identificador del perfil, identificador de cada publicación, fechas que muestra la plataforma.
- Se calcula el hash SHA-256 de cada fichero obtenido y se genera un índice de ficheros con sus hashes.
- Se sella el índice con un sello de tiempo cualificado.
- Se guarda una copia maestra en un soporte no reescribible o con control de accesos y se trabaja sobre copias.
- Se redacta un acta de adquisición con todo lo anterior.
Explicamos la parte específica de capturar webs y perfiles, incluido el formato WARC, en cómo certificar una web o un perfil como prueba.
Acta notarial o informe pericial
Ambos son útiles y no son excluyentes. La diferencia está en lo que cada uno puede afirmar.
| Acta notarial | Informe pericial informático | |
|---|---|---|
| Qué acredita | Que el notario vio un contenido en una pantalla en una fecha y hora | Cómo se obtuvo, que es íntegro y, si se analiza, su origen y coherencia técnica |
| Fe pública | Sí, sobre lo que el notario percibe | No; es prueba que el juez valora según la sana crítica |
| Análisis técnico | No entra en metadatos, cabeceras ni manipulaciones | Sí: metadatos, hashes, cabeceras, registros, comparación con otras fuentes |
| Contenido borrado | No puede constatar lo que ya no está | Puede intentar recuperarlo de dispositivos o fuentes alternativas |
| Defensa en juicio | El acta habla por sí misma | El perito ratifica y responde a preguntas de las partes y del juez |
| Mejor para | Constatar rápido un contenido visible, sin controversia técnica previsible | Casos en que se espera impugnación, contenido técnico complejo o necesidad de atribuir autoría |
Un acta notarial bien hecha es una excelente prueba de que algo estaba publicado. Pero si la otra parte alega que el contenido fue manipulado, que el perfil no es suyo o que la conversación está incompleta, el notario no puede entrar a valorarlo. Ahí es donde una pericial marca la diferencia. Lo resumimos en perito informático o notario.
En casos importantes solemos combinar ambas: un acta notarial que constata el contenido y una pericial que garantiza su integridad y analiza su origen.
Qué rompe una cadena de custodia
Estos son los fallos que más veo al revisar pruebas aportadas por otras partes:
- Capturas sin URL ni fecha, recortadas o editadas para que «se vean mejor».
- Ficheros reenviados por WhatsApp o correo antes de calcular su hash. Muchas aplicaciones recomprimen las imágenes y eliminan los metadatos, así que el fichero ya no es el original.
- Abrir y guardar un documento con un editor, lo que modifica sus metadatos y su hash.
- Trabajar sobre el original en lugar de sobre una copia.
- No documentar quién ha tenido acceso a la evidencia entre su obtención y el juicio.
- Herramientas no documentadas: extensiones de navegador desconocidas o aplicaciones sin trazabilidad.
- Relojes mal sincronizados, que generan discrepancias de horas y dan pie a la impugnación.
Ninguno de estos fallos convierte la prueba en inválida de forma automática, pero cada uno es una puerta abierta para que la otra parte siembre dudas, y el juez valora la prueba en conjunto.
Evidencias en dispositivos: el caso más delicado
Cuando la evidencia está en un móvil o un ordenador, la adquisición requiere más cuidado. En dispositivos de almacenamiento se usan bloqueadores de escritura y copias bit a bit con verificación por hash. En móviles, la extracción depende del modelo, del sistema y del cifrado, y no siempre es posible una copia completa. En esos casos hay que documentar con precisión qué tipo de extracción se ha hecho y qué limitaciones tiene.
En el ámbito penal, el acceso a dispositivos de un investigado está sujeto a autorización judicial y a las garantías de los artículos 588 sexies a) y siguientes de la LECrim. Un particular no puede acceder al móvil o a las cuentas de otra persona para obtener pruebas: además de anular la prueba, puede constituir un delito de descubrimiento y revelación de secretos del artículo 197 del Código Penal. Lo que sí puede hacer cualquiera es preservar con garantías lo que tiene legítimamente en su propio dispositivo o lo que está publicado de forma abierta.
Cuándo conviene contar con un perito desde el principio
- Cuando prevés que la otra parte va a negar la autoría o la autenticidad.
- Cuando el contenido puede desaparecer en cualquier momento.
- Cuando necesitas vincular varias cuentas o publicaciones a una misma persona.
- Cuando hay que analizar correos, metadatos de ficheros, vídeos o audios.
- Cuando el asunto tiene relevancia económica o reputacional alta y no te puedes permitir una prueba débil.
Preguntas frecuentes
¿Puedo calcular yo mismo el hash de mis pruebas?
Sí, y es una buena práctica. Los sistemas operativos actuales incluyen comandos para calcular SHA-256. Pero el hash por sí solo no acredita la fecha ni el método de obtención. Si el asunto va a juicio, conviene que la adquisición la haga o la revise un perito.
¿Un sello de tiempo prueba que el contenido es auténtico?
No. Prueba que un conjunto de datos existía en una fecha y no ha cambiado desde entonces. La autenticidad del contenido en origen se acredita por el método de adquisición y, si hace falta, por el análisis pericial.
¿Vale una captura de pantalla sin más?
Puede valer si la otra parte no la discute. Si la impugna, una captura sin URL, fecha ni contexto tiene poca fuerza, y ya puede ser tarde para obtener algo mejor si el contenido se ha borrado.
¿El notario puede certificar un WhatsApp o un perfil de Instagram?
Puede levantar acta de lo que ve en la pantalla de un dispositivo o en una web. No analiza metadatos ni manipulaciones, y no puede recuperar contenido borrado.
¿Cuánto tiempo hay que conservar las evidencias?
Al menos hasta que termine el procedimiento y prescriban las posibles acciones. Es preferible conservarlas con su hash, su sello de tiempo y su acta de adquisición durante varios años.
Una prueba bien custodiada desde el primer día
En reputación online, la prueba es lo que convierte una queja en una solicitud que se atiende o en una demanda que prospera. Hacemos adquisiciones forenses, informes periciales y ratificación en juicio a través de nuestro servicio de peritaje informático, y cuando el caso lo requiere coordinamos la vía judicial con abogados especializados en acciones legales.
Si tienes contenido que puede desaparecer, no esperes. Cuéntanos tu caso en el diagnóstico gratuito: te diremos qué conviene preservar, cómo hacerlo y si necesitas un perito o no.
