Forside › Analyse og fortolkning · Gennemgået oktober 2026 · Af John Nielsen
Et skærmbillede eller en PDF af en webside viser, hvordan siden så ud i én browser. En WARC-fil gemmer derimod det, serveren faktisk sendte: hver forespørgsel og hvert svar med HTTP-headere, adresse, tidspunkt og indhold. Det gør det muligt at afspille siden igen, at efterprøve hver enkelt ressource og at vise, hvilken server der leverede den. Sammen med hashværdier, et uafhængigt tidsstempel og en logført opsætning er det den mest robuste måde at sikre en webside på i en civil sag.
Den enkle fremgangsmåde for almindelige brugere står på hubben i Sådan gemmer du en webside som dokumentation. Bevisværdien af offentlige arkiver er beskrevet i Wayback Machine i retten. Her gennemgås formatet og metoden.
Formatet
WARC (Web ARChive) er standardiseret i ISO 28500 og bruges af nationale webarkiver og Internet Archive. En WARC-fil er en række poster efter hinanden, ofte komprimeret enkeltvis. Hver post har en header med faste felter og et indhold.
- warcinfo · Oplysninger om indsamlingen: program, version, indstillinger
- request · Den præcise HTTP-forespørgsel, der blev sendt
- response · Serverens fulde svar med statuskode, headere og indhold
- resource · Indhold hentet uden HTTP, fx et genereret skærmbillede
- metadata · Ekstra oplysninger, fx links fundet på siden
- revisit · Henvisning til tidligere hentet, identisk indhold
Vigtige headerfelter er WARC-Record-ID (entydigt id), WARC-Date (tidspunkt for indsamlingen i UTC), WARC-Target-URI (adressen), WARC-IP-Address (serverens IP-adresse) og WARC-Payload-Digest (hashværdi af indholdet). Hashværdien i posterne er ofte SHA-1 i base32-kodning og tjener til deduplikering. Til bevisformål beregnes en særskilt SHA-256 af hele filen.
En nyere pakning, WACZ, samler WARC-filer, indeks, sideliste og en manifestfil med hashværdier i et ZIP-arkiv, og et tilhørende forslag til specifikation beskriver, hvordan pakken kan signeres. Signaturen dækker manifestets hashværdi og kan enten laves med en anonym nøgle eller knyttes til et domænes certifikat og tidsstemples efter RFC 3161. Forslaget har status af arbejdsudkast, så værktøjernes understøttelse bør kontrolleres.
To måder at indsamle på
- Crawlere henter adresser direkte via HTTP og følger links. De er gode til mange sider og til statisk indhold, men får ikke altid indhold, der først indlæses af JavaScript.
- Browserbaseret indsamling åbner siden i en rigtig browser og optager al trafik, mens siden indlæses og eventuelt rulles eller klikkes igennem. Den fanger dynamisk indhold bedre og kan samtidig lave skærmbilleder.
Til sikring af enkelte sider, opslag og webshops er den browserbaserede metode oftest den rigtige. Til hele websteder kan en crawler være nødvendig. Begge kan kombineres.
Opsætning og logføring
Det, serveren sender, afhænger af, hvem der spørger. Opsætningen skal derfor logføres:
- Tid: indsamlingsmaskinens ur synkroniseret mod en pålidelig tidskilde, og afvigelsen noteret.
- Netværk: offentlig IP-adresse, land og eventuel VPN. Indhold kan variere efter geografi.
- Navneopslag: hvilke IP-adresser domænet pegede på. WARC-posterne viser serverens IP, men et særskilt DNS-opslag dokumenterer opslaget.
- Browser og brugeragent, sprog og skærmstørrelse, fordi sider tilpasses enheden.
- Login og cookies: om indsamlingen er sket som anonym bruger eller logget ind. Indhold bag login er personaliseret og kan indeholde andres persondata.
- Samtykkebanner: hvilket valg der er truffet, fordi det kan ændre indholdet.
En kort skærmoptagelse af hele forløbet er et nyttigt supplement. Den viser, hvad der blev gjort, og i hvilken rækkefølge.
Fremgangsmåde ved en enkelt side
En sikring af en enkelt side eller et opslag kan følge disse trin:
- Kontrollér og notér indsamlingsmaskinens tid mod en pålidelig tidskilde.
- Notér offentlig IP-adresse, browser, version og sprog, og lav et DNS-opslag på domænet.
- Start skærmoptagelsen og den browserbaserede indsamling.
- Åbn adressen, håndtér samtykkebanneret, og rul siden helt igennem, så forsinket indhold indlæses. Åbn kommentarer, billeder i fuld størrelse og andre elementer, der er relevante for sagen.
- Tag skærmbilleder undervejs af de vigtigste visninger.
- Afslut indsamlingen, og kontrollér straks ved afspilning uden netadgang, at det relevante indhold er med.
- Beregn hashværdier, saml dem i et manifest, og få manifestet tidsstemplet.
Viser kontrollen i trin 6, at noget mangler, gentages indsamlingen, og begge forsøg beholdes og beskrives. Et mislykket forsøg slettes ikke, fordi det er en del af forløbet.
Sider, der ændrer sig
Nogle sider ændrer indhold fra time til time, fx priser, lagerstatus, anmeldelser og opslag med kommentarer. Skal en udvikling dokumenteres, kan indsamlingen gentages med faste mellemrum, så hver indsamling har sin egen WARC-fil, hash og tidsstempel. Det giver en række tidsfæstede øjebliksbilleder i stedet for ét, og ændringer mellem dem kan vises med en sammenligning af de arkiverede svar.
Sociale medier og webapps er særligt vanskelige, fordi meget indhold hentes via programgrænseflader efter login og kan være begrænset af platformens vilkår. Her er WARC ofte et supplement til platformens egen dataeksport og til skærmoptagelse, ikke en erstatning for dem. Det generelle overblik over sikring af hjemmesider og sociale medier står på Bevissikring af hjemmesider og sociale medier.
Indsamles der som logget ind bruger, kommer andres navne, billeder og beskeder med i arkivet. Afgræns indsamlingen til det, sagen kræver, og beskriv afgrænsningen, så arkivet ikke indeholder mere persondata end nødvendigt. Brug en konto, som parten selv har lovlig adgang til, og aldrig en andens login.
Hash og tidsstempel
Når indsamlingen er afsluttet, beregnes SHA-256 af hver WARC-fil og af supplerende filer som skærmbilleder, logs og skærmoptagelse. Hashværdierne samles i et manifest, og manifestet tidsstemples af en uafhængig tidsstemplingstjeneste. Det viser, at filerne fandtes i den form på det tidspunkt, uafhængigt af indsamlingsmaskinens ur. Den juridiske side af tidsstempler er behandlet i Kvalificeret tidsstempel. Om algoritmerne, se Hashalgoritmer.
Afspilning og efterprøvelse
En WARC-fil åbnes med et afspilningsprogram, der genskaber siden ud fra de gemte svar uden at hente noget fra nettet. Det er afgørende, at afspilningen sker uden netadgang eller med blokering af eksterne kald, ellers kan dele af siden hentes live og blandes med det arkiverede. Modparten kan gentage afspilningen med eget værktøj, fordi formatet er åbent.
Ved efterprøvelse kontrolleres hashværdien af filen mod manifestet, og enkelte poster kan udtrækkes og sammenholdes med skærmbilleder.
Typiske fejlkilder
- Manglende ressourcer: billeder, skrifter eller scripts, der ikke blev hentet, gør afspilningen ufuldstændig. Det skal fremgå, at siden er gengivet med mangler.
- Live-indhold i afspilningen: se ovenfor.
- Tidszoner:
WARC-Dateer UTC, mens skærmbilleder og logs kan være i lokal tid. - Personaliseret indhold forveksles med det, alle brugere så.
- Revisit-poster peger på indhold i en anden fil. Mangler den, mangler indholdet.
Hvad WARC kan og ikke kan bevise
En WARC-fil med hash og tidsstempel viser, hvad en bestemt server sendte til indsamlingsmaskinen på et bestemt tidspunkt. Den viser ikke, hvad andre brugere så, hvem der har lagt indholdet på siden, eller hvornår det blev lagt der. Til det skal der bruges serverens egne logs og data, se Webserverlogs. En arkiveret kopi kan til gengæld fastholde et indsprøjtet script, før det fjernes; se Skimming på betalingssiden.
I rapporten
Beskriv værktøj og version, opsætningen punkt for punkt, de indsamlede adresser og tidsrummet. Angiv hashværdier for alle filer og tidsstemplets oplysninger. Beskriv afspilningen, og nævn eventuelle mangler. Vedlæg WARC-filerne eller giv adgang til dem, så indsamlingen kan efterprøves.
Kilder og versioner
- IIPC: WARC-formatet, version 1.1
- Webrecorder: WACZ-specifikationen
- Webrecorder: Forslag til signering af WACZ
- RFC 3161: Time-Stamp Protocol
Senest gennemgået: oktober 2026.
Næste skridt
- Metadata, der forsvinder ved upload og deling
- Falske chatbilleder: verifikation mod kildeenheden og appens database
- Audit trail i e-signaturløsninger
Del af: Analyse og fortolkning
Læs også: Teknisk vurdering af et skærmbillede · Audit trail i e-signaturløsninger
→ Teknisk undersøgelse af dokumenter og metadata · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
