Quando vale a pena ativar o modo forense?

Quando, na captura forense de uma página web, não importa só o que a página mostrava, mas também como o navegador a recebeu: qual servidor respondeu, quais redirecionamentos houve, quais scripts, imagens e arquivos foram carregados e qual certificado TLS o site apresentou. Uma captura normal do ProofSnap documenta a página como você a vê; o modo forense acrescenta a gravação de rede de um novo carregamento da mesma página.

O que é um arquivo WARC e como abrir?

Um arquivo WARC é um arquivo no formato ISO 28500, um padrão criado para o arquivamento da web. O arquivo capture.warc de um pacote do ProofSnap contém as respostas recebidas corretamente durante o recarregamento, dentro dos limites de tamanho, com cabeçalhos e conteúdo, cada uma junto com a requisição que a gerou, além dos eventuais redirecionamentos intermediários. Abra-o no ReplayWeb.page ou em outro leitor de WARC para reproduzir o carregamento arquivado.

O que é um arquivo HAR e como abrir?

Um arquivo HAR (HTTP Archive) é um registro em JSON das requisições e respostas de um navegador. O arquivo network.har de um pacote do ProofSnap lista até 300 requisições feitas durante o recarregamento, com cabeçalhos e códigos de status, sem o conteúdo, que fica na pasta resources/. Para ver o arquivo no Chrome, abra as ferramentas do desenvolvedor, vá ao painel Rede e use a opção de importar HAR.

Como gerar um arquivo HAR?

Com o ProofSnap, o arquivo network.har é gerado automaticamente quando o modo forense está ativo, e o hash dele fica registrado no manifesto assinado, como o de qualquer arquivo do pacote. Sem o ProofSnap, você pode exportar um arquivo HAR pelas ferramentas do desenvolvedor do Chrome: abra o painel Rede, recarregue a página e use a opção de exportar HAR. Um arquivo exportado assim não é assinado, e o hash dele não aparece em nenhum manifesto.

Qual a diferença entre os arquivos WARC, HAR e MHTML?

O arquivo page.mhtml de um pacote do ProofSnap é uma cópia em um único arquivo da página exibida, criada durante a captura normal. O arquivo capture.warc do modo forense guarda as respostas de rede recebidas durante o recarregamento, com cabeçalhos e conteúdo, para que possam ser reproduzidas. O arquivo network.har lista as mesmas requisições com cabeçalhos e códigos de status, sem o conteúdo: é só um registro das requisições.

O print mostra a página antes ou depois do recarregamento?

Antes. Print, HTML, texto e metadados são capturados primeiro, da página como você a abriu. O recarregamento para o arquivo de rede é o último passo da captura: por isso, ele nunca muda o que o print mostra.

Posso usar o modo forense junto com um vídeo da captura?

Sim. Ligue a opção antes de iniciar a gravação, porque a opção fica bloqueada enquanto um vídeo é gravado. O recarregamento acontece antes do fim da gravação: o vídeo mostra, então, a página recarregando. Nos modos Manual e Sessão, o arquivo de rede se refere à aba em que você clicou em Iniciar gravação.

O que fazer se as quatro linhas não aparecerem depois da captura?

Significa que não foi possível criar o arquivo de rede, por exemplo porque o depurador não conseguiu se conectar à aba ou porque alguém clicou em Cancelar na barra de depuração. A captura em si está completa e pode ser verificada: o modo forense só acrescenta arquivos e nunca impede a criação do pacote. Repita a captura com a opção ligada. Se durante o recarregamento nenhuma resposta tiver chegado por HTTPS, falta só a linha do TLS, porque não houve detalhes de certificado para registrar.

O arquivo certificate_details.json traz a cadeia de certificados?

Não. Ele descreve só o certificado do servidor de onde chegou a primeira resposta HTTPS do recarregamento: emissor, titular, validade, nomes de domínio e conformidade com a Certificate Transparency, além da versão do TLS e do conjunto de cifras. Se nenhuma resposta do recarregamento tiver trazido os detalhes do certificado, o arquivo não aparece.

Guia passo a passo

Modo forense: arquivar o tráfego de rede da página

Em novembro de 2026, o modo forense do ProofSnap é uma opção do painel lateral nos planos Professional, Enterprise e Company. Depois da captura normal, ele conecta o depurador do Chrome, recarrega a página e acrescenta um arquivo WARC, um registro HAR, os recursos carregados, cada um com hash SHA-256, e os detalhes do certificado TLS.

Por Radim Motycka, fundador e engenheiro principal do ProofSnap, que projetou a gravação forense de rede descrita neste guia · Atualizado em 2 de novembro de 2026

Planos

Professional, Enterprise, Company

Arquivos a mais

WARC, HAR, recursos, detalhes do TLS

Tempo a mais

Um recarregamento da página

Quais planos incluem o modo forense

O modo forense está incluído nas assinaturas Professional, Enterprise e Company (compare na visão geral de preços do ProofSnap). As capturas sem modo forense continuam completas: o modo forense só acrescenta arquivos ao pacote.

Plano

Modo forense

Observação

Professional

Incluído

Incluído também no teste de 7 dias do Professional.

Enterprise

Incluído

Incluído também no teste de 7 dias do Enterprise.

Company

Incluído

Para cada membro da equipe.

Essential

Não incluído

A opção aparece, mas fica cinza e não pode ser selecionada, com o link Faça upgrade para ativar.

SnapPack sem assinatura

Não incluído

Nem o eIDAS SnapPack nem o Video SnapPack o liberam.

O que o modo forense acrescenta ao pacote

O modo forense do ProofSnap arquiva até 300 requisições da página recarregada, no máximo 15 MB por resposta e 200 MB no total, e atribui a cada recurso arquivado em resources/ um hash SHA-256 próprio, registrado em resources.json. Ele acrescenta ao pacote de provas estes arquivos:

Arquivo

Conteúdo

Abrir com

capture.warcArquivo de rede (WARC)

As respostas recebidas corretamente durante o recarregamento, dentro dos limites de 300 requisições, 15 MB por resposta e 200 MB no total, com cabeçalhos, conteúdo e a requisição correspondente, além dos redirecionamentos intermediários

ReplayWeb.page ou outro leitor de WARC

network.harRegistro de rede (HAR)

Requisições e respostas com cabeçalhos e códigos de status, sem o conteúdo

Ferramentas do desenvolvedor do Chrome, painel Rede, importação de HAR

resources/Só no ZIP

O conteúdo de cada resposta em um arquivo separado

O programa adequado ao tipo de arquivo

resources.jsonSub-recursos arquivados

Índice de resources/: URL, status, tipo, tamanho, SHA-256

Qualquer editor de texto

certificate_details.jsonDetalhes do certificado TLS

Versão do TLS, conjunto de cifras, emissor do certificado, titular, validade, nomes de domínio

Qualquer editor de texto

Antes de começar

O ProofSnap está instalado e você entrou com uma conta do plano Professional, Enterprise ou Company.
A página está aberta na aba ativa do jeito que você quer capturá-la.
Você sabe como funciona uma captura normal. Se não souber, comece pelo guia Capturar uma página web como prova.

Etapa 1

Encontre o modo forense no painel lateral

Abra a página que você quer capturar e clique no ícone do ProofSnap para abrir o painel lateral. As opções de captura ficam embaixo do botão azul Capturar página. Com a gravação de vídeo desligada, o modo forense fica logo abaixo de Gravar vídeo da captura; com a gravação de vídeo ligada, aparecem entre os dois as opções de vídeo e a opção Recarregar a página antes da captura.

1Modo forense: arquivo de rede (WARC + HAR + recursos + TLS). Vem desligado por padrão e volta a ficar desligado toda vez que você abre o painel lateral: ele só fica ativo na captura para a qual você o ligou.

Etapa 2

Ative o modo forense

Clique na opção para que ela fique azul. Ligue a opção antes de clicar no botão de captura: durante uma captura ou uma gravação de vídeo, a opção fica bloqueada.

1Ligado. A próxima captura acrescenta o arquivo de rede ao pacote.
2O pequeno ícone “i”. Passe o mouse sobre ele: a dica mostra o que o modo acrescenta e avisa que o navegador vai exibir uma barra de depuração.
3Faça upgrade para ativar. No plano Essential, com um SnapPack sem assinatura ou durante um teste do Essential, a opção fica cinza e esse link abre a página de planos.

Em cima: plano Professional; a dica aparece quando você passa o mouse sobre o pequeno ícone “i”. Embaixo: plano Essential.

Etapa 3

Capture como de costume e deixe a página recarregar

Clique em Capturar página. Primeiro, o ProofSnap faz a captura normal da página como você a vê: print, HTML, texto e metadados. Depois, como último passo da captura, conecta o depurador do navegador à aba, recarrega a aba com o cache desativado e registra as requisições e respostas desse novo carregamento (até 300). Quando o carregamento termina e a rede fica ociosa por um instante, ele desconecta o depurador e cria o pacote.

1A barra de depuração do Chrome. O Chrome mostra uma barra com o aviso de que “ProofSnap - Captura de provas” começou a depurar esse navegador. É normal: a barra some no fim da captura. Não clique em Cancelar: isso interromperia a gravação de rede, e o arquivo de rede não seria criado ou ficaria incompleto. O resto do pacote é criado mesmo assim.
2Capturando... Não mexa na aba até o botão voltar a ficar azul. O ProofSnap espera até 45 segundos para a página recarregar por completo.

Etapa 4

Encontre as novas linhas na tabela de downloads

Depois da captura, a tabela de downloads mostra quatro linhas a mais (três, se durante o recarregamento nenhuma resposta tiver chegado por HTTPS e, portanto, não houver certificado). Cada ícone azul baixa o arquivo correspondente; o botão Baixar arquivo ZIP salva o pacote completo com todos esses arquivos.

1Arquivo de rede (WARC). capture.warc: as respostas recebidas durante o recarregamento, com cabeçalhos e conteúdo, cada uma ligada à requisição que a gerou.
2Registro de rede (HAR). network.har: as mesmas requisições e respostas em forma de lista, com cabeçalhos e códigos de status, mas sem o conteúdo.
3Sub-recursos arquivados. resources.json: o índice da pasta resources/ no arquivo ZIP, com uma entrada para cada uma das primeiras 300 requisições.
4Detalhes do certificado TLS. certificate_details.json: a conexão HTTPS e o certificado apresentado pelo site. Veja a etapa 6.

Tabela de downloads depois de uma captura forense no plano Professional, sem carimbo do tempo eIDAS e sem vídeo. As quatro linhas destacadas só aparecem com o modo forense.

Arquivo	Descrição	Ação
evidence.pdf	Documento de evidência
provenance_certificate.pdf	Certificado de Proveniência
screenshot.jpeg	Captura de tela
page.html	Conteúdo HTML
page.mhtml	Arquivo de página MHTML
domtextcontent.txt	Conteúdo de texto
metadata.json	Metadados
forensic_log.json	Log forense (ISO 27037)
chain_of_custody.json	Cadeia de Custódia
manifest.json	Lista de arquivos e hashes
manifest.sig	Assinatura do manifesto
publickey.pem	Chave pública
manifest.json.ots	OpenTimestamps
1capture.warc	Arquivo de rede (WARC)
2network.har	Registro de rede (HAR)
3resources.json	Sub-recursos arquivados
4certificate_details.json	Detalhes do certificado TLS
forensic_log_summary.txt	Resumo do registro forense

Etapa 5

Entenda para que serve cada arquivo

Os arquivos forenses ficam na raiz do arquivo ZIP, ao lado do resto do pacote, e os recursos na subpasta resources/. Para cada um desses arquivos, inclusive cada arquivo em resources/, o hash é calculado e registrado em manifest.json: cada arquivo fica, portanto, coberto pela assinatura e pelo carimbo do tempo, e o Verificador de Confiança o confere como qualquer outro. Para os outros arquivos, veja os guias Verificar um pacote de provas e Ler um pacote de provas.

1capture.warc. WARC é o formato padrão para o arquivamento da web (ISO 28500). A Library of Congress dos Estados Unidos o descreve assim: “O formato WARC (Web ARChive) define um método para combinar vários recursos digitais em um arquivo agregado de arquivamento, junto com as informações relacionadas” (tradução nossa, Library of Congress, descrição do formato WARC). Abra o arquivo em um leitor de WARC como o ReplayWeb.page para reproduzir o carregamento arquivado.
2network.har. HAR é o formato em que os navegadores exportam os seus registros de rede. Abra o arquivo nas ferramentas do desenvolvedor do Chrome: painel Rede, botão de importar HAR, ou arraste o arquivo para a tabela de requisições (referência do painel Rede das ferramentas do desenvolvedor do Chrome). Cada entrada com conteúdo indica o nome do respectivo arquivo em resources/.
3resources/ e resources.json. O conteúdo de cada resposta recebida durante o recarregamento, em um arquivo separado, numerado na ordem das requisições. Um número é pulado quando nenhum conteúdo foi registrado, por exemplo em um pixel de rastreamento vazio, uma requisição que falhou ou uma resposta acima dos limites de tamanho. resources.json lista até 300 requisições com URL, status, tipo e tamanho e, para as que têm conteúdo, o hash SHA-256 e o nome do arquivo.
4certificate_details.json. É um arquivo JSON simples, que pode ser aberto em qualquer editor de texto.

proofsnap_20261014_153012.zip

evidence.pdf
provenance_certificate.pdf
screenshot.jpeg
page.html
page.mhtml
domtextcontent.txt
metadata.json
chain_of_custody.json
forensic_log.json
forensic_log_summary.txt
1capture.warc
2network.har
3resources/
001_camara-municipal-estacionamento
002_main.css
003_app.js
005_hero.jpg
006_logo.svg
...
resources.json
4certificate_details.json
manifest.json
manifest.sig
publickey.pem
manifest.json.ots
verification/
verify.sh
verify.ps1
VERIFICATION_GUIDE.txt

A mesma captura aberta no gerenciador de arquivos. Arquivos forenses em negrito; os nomes dos recursos são exemplos.

Etapa 6

Leia os detalhes do certificado TLS

Uma captura normal registra se a página foi servida por HTTPS, mas uma extensão do navegador não consegue ler o certificado em si. O modo forense consegue, porque observa o carregamento pelo depurador. O arquivo certificate_details.json descreve a conexão pela qual chegou, durante o recarregamento, a primeira resposta criptografada (HTTPS), que em geral é a da própria página. Se a página for servida por HTTP, sem criptografia, ou se a resposta dela não trouxer os detalhes de segurança, o arquivo pode descrever o servidor de um recurso de terceiros carregado por HTTPS.

1protocol, cipher, key_exchange. A versão do TLS, o conjunto de cifras e a troca de chaves da conexão.
2issuer, subject. Quem emitiu o certificado e em nome de quem ele está. O arquivo descreve o certificado do servidor, não a cadeia inteira de certificados.
3valid_from, valid_to. O período de validade do certificado, em UTC.
4san_list. Todos os nomes de domínio cobertos pelo certificado.
5certificate_transparency_compliance. Se o Chrome classificou o certificado como conforme aos requisitos de Certificate Transparency (registros públicos dos certificados TLS).

certificate_details.json

{

1"protocol": "TLS 1.3",

"cipher": "AES_128_GCM",

"key_exchange": "",

2"issuer": "R11",

"subject": "noticias.exemplo.com.br",

3"valid_from": "2026-09-02T08:14:51.000Z",

"valid_to": "2026-12-01T08:14:50.000Z",

4"san_list": ["noticias.exemplo.com.br", "*.noticias.exemplo.com.br"],

5"certificate_transparency_compliance": "compliant",

"source": "cdp_security_details"

}

Nomes dos campos como o ProofSnap os grava; os valores são exemplos.

Perguntas frequentes

O recarregamento acontece na sua aba, com a sua sessão do navegador. O arquivo registra o novo carregamento: se, depois de recarregada, a página mostrar algo diferente, o arquivo contém essa versão. O ProofSnap anota em resources.json que o arquivo vem do recarregamento.

Sim. O arquivo de rede guarda até 300 requisições, até 15 MB por resposta e até 200 MB no total. As requisições a partir da 301ª não são registradas. Uma resposta acima do limite continua listada em resources.json marcada como too_large, mas sem o conteúdo.

Capture a página e o tráfego de rede dela

Instale o ProofSnap e ative o modo forense nos planos Professional, Enterprise ou Company.

Instale o ProofSnap e teste por 7 dias

O teste de 7 dias exige cartão de crédito. O modo forense está incluído no Professional, no Enterprise e no Company.

Também disponível para Microsoft Edge

Pagamento recusado? Ative as compras internacionais no app do seu banco (Itaú, Nubank, Bradesco: Cartões → Compras internacionais → Ativar). O IOF de 3,5% é cobrado pelo banco emissor. A cobrança é feita em dólar, e os valores em reais são apenas aproximados.

Outros guias: Capturar uma página web como prova · Gravar uma prova em vídeo · Verificar um pacote de provas