Slack‑eksport teknisk: formater, planer og Discovery API

Forside › Google Workspace-forensik · Gennemgået oktober 2026 · Af John Nielsen

En standardeksport fra Slack er en zip-fil med JSON-filer: en fil pr. kanal pr. dag med beskederne og nogle få filer med oplysninger om brugere og kanaler. Hvilke samtaler der kommer med, afhænger af abonnementet og af, hvem der laver eksporten. De mest omfattende muligheder, herunder redigeringshistorik, slettede beskeder under bevaring og løbende indsamling, findes kun via Discovery API på de største abonnementer. Uanset vej indeholder eksporten typisk ikke selve filerne, men links til dem, som skal hentes særskilt, mens de stadig virker.

Hvad abonnementet betyder for en virksomhed, er beskrevet på bevissikring-digitalt.dk i Slack-abonnementet afgør, hvad I kan eksportere, og den grundlæggende gennemgang findes på hubben i Bevissikring af Slack. Her ser vi på formaterne.

Eksporttyperne

• Standardeksport · Offentlige kanaler
• Udvidet eksport af alle samtaler · Også private kanaler og direkte beskeder, på højere abonnementer og efter godkendelse
• Discovery API · Alle samtaler, redigeringer og slettede beskeder under bevaring, via godkendte værktøjer
• Brugerens egen visning · Skærmbilleder og kopier uden metadata

Planernes navne, historikgrænser og eksportbetingelser ændres jævnligt af Slack. På tidspunktet for gennemgangen (oktober 2026) giver gratisplanen kun adgang til de seneste 90 dages historik, eksport af private kanaler og direkte beskeder kræver en ansøgning til Slack eller et højere abonnement og et gyldigt grundlag, og Discovery API er forbeholdt Slacks Enterprise-planer. Kontrollér dem for den konkrete arbejdsplads, og notér plan og ejer på sikringstidspunktet.

Strukturen i en standardeksport

Zip-filen indeholder typisk:

• users.json med brugernes id, navn, visningsnavn, e-mail og status.
• channels.json med offentlige kanaler, deres id, navn, opretter, oprettelsestid og medlemmer. Ved udvidet eksport tilføjes filer for private kanaler, direkte beskeder og gruppebeskeder.
• integration_logs.json med installation og fjernelse af apps og integrationer.
• En mappe pr. kanal med en JSON-fil pr. dag, hvor der er aktivitet.

Hver besked er et JSON-objekt med felter som type, undertype, user (brugerens id), text, ts (tidsstempel), og ved svar i tråde thread_ts og eventuelt antal svar. Reaktioner, vedhæftede filer og redigeringsmarkering kan optræde som indlejrede felter.

Tidsstemplet ts

Feltet ts er beskedens tidspunkt i Unix-tid med decimaler, fx et tal med seks cifre efter kommaet. Det fungerer samtidig som beskedens id inden for kanalen. To beskeder i samme kanal har ikke samme ts. Tidspunktet er i UTC.

Svar i en tråd har deres egen ts og en thread_ts, der peger på trådens første besked. Rekonstruktion af en samtale kræver derfor, at beskederne sorteres på ts og grupperes på thread_ts. En tråd kan strække sig over flere dage og dermed flere filer.

Konverteringen fra Unix-tid til læsbar tid skal ske med et dokumenteret værktøj, og den anvendte tidszone skal angives. Se Tidslinjeanalyse.

Redigerede og slettede beskeder

En standardeksport indeholder den aktuelle tekst. En redigeret besked kan have et felt, der viser, at den er redigeret, af hvem og hvornår, men ikke den tidligere tekst. En slettet besked er normalt fraværende. Om tidligere versioner og slettede beskeder kan findes, afhænger af opbevaringsindstillingerne og af, om der er brugt bevaring (legal hold) via Discovery API eller i administrationen. Discovery API kan give adgang til redigeringshistorik og slettede beskeder, men kun i det omfang opbevaringsindstillingerne har bevaret dem.

Filer

Delte filer optræder som objekter med navn, type, størrelse, ejer og adresser til download. I mange eksporter er adresserne private og kræver gyldig adgang eller indeholder et token. Filerne skal derfor hentes særskilt, af en konto eller app med de nødvendige rettigheder, og hashes ved download. Er en fil slettet i Slack, eller er opbevaringen udløbet, virker linket ikke. Notér for hver fil, om den blev hentet, og hvis ikke, hvorfor. Behandl de hentede filer som selvstændige beviser med egen hashværdi, og knyt dem til den besked, de blev delt i, via filens id. En fil kan være delt i flere kanaler og skal i så fald kun hentes én gang, men knyttes til alle delingerne.

Discovery API

Discovery API er beregnet til eDiscovery- og DLP-værktøjer og bruges ikke direkte af almindelige administratorer. Den giver adgang til alle typer samtaler i organisationen, til beskedernes historik og til filer, og den kan bruges til løbende indsamling. Adgangen kræver det største abonnement og godkendelse fra Slack af det værktøj, der bruges. Indsamlingen sker via værktøjets egen app, og værktøjets log over kald og hentede elementer er en vigtig del af dokumentationen. Sammenhængen med gennemgang af chatdata er beskrevet i Chatdata i eDiscovery.

Auditlog

På Enterprise-planerne findes et API til auditlogs (Audit Logs API) for handlinger i organisationen, fx logins, eksporter, ændringer i rettigheder og download af filer. Hvilke handlinger der registreres, fremgår af Slacks liste over hændelser, som udvides løbende. Loggen er nyttig både som spor i sagen og som dokumentation for selve eksporten.

Sådan sikres en Slack-eksport

1. Dokumentér plan, ejer og opbevaringsindstillinger. Ændr opbevaring, så intet slettes under sagen, og notér ændringen.
2. Vælg eksportvej ud fra plan og behov, og beskriv valget.
3. Lav eksporten med en konto, der kun bruges til formålet, og notér tidspunkt og valgte perioder.
4. Hash zip-filen straks efter download.
5. Hent filerne fra eksportens links, og hash dem.
6. Pak ud i en arbejdskopi, og konvertér til et læsbart format med et dokumenteret værktøj.
7. Kontrollér fuldstændighed, fx antal kanaler og beskeder pr. dag, mod det, brugerfladen viser.

Fra JSON til et læsbart bilag

En dommer eller modpart kan ikke læse JSON. Eksporten skal derfor omsættes til en læsbar fremstilling, fx en tabel eller en samtalevisning med tidspunkt, afsender, kanal og tekst. Omsætningen er en bearbejdning, og den skal kunne efterprøves:

• Henvisning til kilden. Hver besked i bilaget bør have kanal, fil og ts, så den kan findes i den rå eksport.
• Fuldstændighed. Et udvalg af beskeder skal fremgå som et udvalg med angivelse af kriterierne. Udeladte beskeder i samme tråd og periode bør kunne fremlægges.
• Formatering. Slacks egen opmærkning af links, omtaler af brugere og emojis skal omsættes konsekvent. En omtale af en bruger står som id i teksten og skal slås op i users.json.
• Tidszone. Angiv tidszonen i bilagets overskrift og brug den gennemgående.

Bevar konverteringsværktøjets output sammen med den rå eksport, og beregn hashværdier for begge.

Fejlkilder i fortolkningen

• Bruger-id frem for navne. Beskeder refererer til id. Navne kan være ændret, og en slettet bruger kan mangle i users.json.
• Systembeskeder om tilmelding, emneændringer og bots ligger mellem brugerbeskederne og har deres egne undertyper.
• Delte kanaler med andre organisationer indeholder beskeder fra brugere, der ikke findes i jeres users.json.
• Opbevaring: Huller i historikken kan skyldes opbevaringsindstillinger eller gratisplanens grænse, ikke sletning.
• Lokale kopier: Slack-appen på computeren har en cache, som kan supplere, men ikke erstatte eksporten; se Electron-apps lokalt.

Hvad eksporten kan og ikke kan bevise

En dokumenteret eksport kan vise, at en konto skrev en bestemt besked i en bestemt samtale på et bestemt tidspunkt. Den kan ikke vise, hvem der betjente kontoen, og uden historik kan den ikke vise, hvad der stod før en redigering.

Dokumentation til rapporten

Angiv plan, ejer, opbevaring, eksportvej, perioder, tidspunkt, konto, hashværdier for zip og filer, konverteringsværktøj og version, tidszone og de kontroller af fuldstændighed, der er udført.

Kilder og versioner

• Slack Help Center: Export your workspace data
• Slack Help Center: A guide to Slack’s Discovery APIs
• Slack API: Audit Logs API

Senest gennemgået: oktober 2026.

Næste skridt

• Google Vault og revisionslogs i Google Workspace som bevis
• Google Takeout eller Vault-eksport: forskelle i indhold og metadata

Del af: Google Workspace-forensik

Læs også: Private Google-konti: aktivitetsdata og placeringshistorik · Electron-apps lokalt: Teams, Slack og Discord på computeren

→ Google Workspace-forensik · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT