Kiedy warto włączyć tryb kryminalistyczny?

Wtedy, gdy przy kryminalistycznym zabezpieczaniu strony internetowej liczy się nie tylko to, co strona pokazywała, ale też to, jak przeglądarka ją otrzymała: który serwer odpowiedział, jakie były przekierowania, jakie skrypty, obrazy i pliki zostały wczytane i jaki certyfikat TLS przedstawił serwis. Zwykły zrzut ProofSnap dokumentuje stronę tak, jak ją widzisz; tryb kryminalistyczny dodaje zapis ruchu sieciowego przy ponownym wczytaniu tej samej strony.

Czym jest plik WARC i jak go otworzyć?

Plik WARC to plik w formacie ISO 28500, standardzie stworzonym do archiwizacji stron internetowych. Plik capture.warc w pakiecie ProofSnap zawiera odpowiedzi poprawnie odebrane w trakcie przeładowania, w granicach limitów rozmiaru, z nagłówkami i treścią, każdą razem z żądaniem, które ją wywołało, a także ewentualne pośrednie przekierowania. Otwórz go w ReplayWeb.page albo w innym czytniku WARC, żeby odtworzyć zarchiwizowane wczytanie strony.

Czym jest plik HAR i jak go otworzyć?

Plik HAR (HTTP Archive), po angielsku często po prostu „HAR file”, to zapis żądań i odpowiedzi przeglądarki w formacie JSON. Plik network.har w pakiecie ProofSnap wymienia do 300 żądań wysłanych w trakcie przeładowania, z nagłówkami i kodami stanu, bez treści, która trafia do folderu resources/. Żeby obejrzeć plik w Chrome, otwórz narzędzia dla programistów, przejdź do panelu Sieć i użyj opcji importu HAR.

Jak wygenerować plik HAR?

W ProofSnap plik network.har powstaje automatycznie, gdy tryb kryminalistyczny jest włączony, a jego skrót jest zapisany w podpisanym manifeście, jak skrót każdego pliku pakietu. Bez ProofSnap możesz wyeksportować plik HAR w narzędziach dla programistów w Chrome: otwórz panel Sieć, przeładuj stronę i użyj opcji eksportu HAR. Tak wyeksportowany plik nie jest podpisany, a jego skrót nie figuruje w żadnym manifeście.

Czym różnią się pliki WARC, HAR i MHTML?

Plik page.mhtml w pakiecie ProofSnap to jednoplikowa kopia wyświetlonej strony, tworzona podczas zwykłego zrzutu. Plik capture.warc z trybu kryminalistycznego przechowuje odpowiedzi sieciowe odebrane w trakcie przeładowania, z nagłówkami i treścią, tak żeby dało się je odtworzyć. Plik network.har wymienia te same żądania z nagłówkami i kodami stanu, bez treści: to tylko rejestr żądań.

Czy zrzut ekranu pokazuje stronę przed przeładowaniem, czy po nim?

Przed. Zrzut ekranu, kod HTML, tekst i metadane są zabezpieczane najpierw, ze strony w takiej postaci, w jakiej była otwarta. Przeładowanie na potrzeby archiwum sieciowego jest ostatnim etapem zabezpieczania, dlatego nigdy nie zmienia tego, co pokazuje zrzut.

Czy mogę używać trybu kryminalistycznego razem z nagraniem wideo?

Tak. Włącz opcję przed rozpoczęciem nagrania, bo w trakcie nagrywania wideo opcja jest zablokowana. Przeładowanie następuje przed końcem nagrania, więc wideo pokazuje przeładowującą się stronę. W trybach Ręczny i Sesja archiwum sieciowe dotyczy karty, w której kliknięto Rozpocznij nagrywanie.

Co zrobić, jeśli po zrzucie nie pojawiły się cztery wiersze?

Oznacza to, że nie udało się utworzyć archiwum sieciowego, na przykład dlatego, że debuger nie zdołał połączyć się z kartą albo ktoś kliknął Anuluj na pasku debugowania. Sam zrzut jest kompletny i można go zweryfikować: tryb kryminalistyczny tylko dodaje pliki i nigdy nie blokuje utworzenia pakietu. Powtórz zrzut z włączoną opcją. Jeśli w trakcie przeładowania żadna odpowiedź nie przyszła przez HTTPS, brakuje tylko wiersza TLS, bo nie było szczegółów certyfikatu do zapisania.

Czy plik certificate_details.json zawiera łańcuch certyfikatów?

Nie. Opisuje tylko certyfikat serwera, z którego przyszła pierwsza odpowiedź HTTPS w trakcie przeładowania: wystawcę, podmiot, okres ważności, nazwy domen i zgodność z Certificate Transparency, a do tego wersję TLS i zestaw szyfrów. Jeśli żadna odpowiedź w trakcie przeładowania nie zawierała szczegółów certyfikatu, pliku nie ma.

Poradnik krok po kroku

Tryb kryminalistyczny: archiwum ruchu sieciowego strony

W listopadzie 2026 tryb kryminalistyczny ProofSnap to opcja panelu bocznego w planach Professional, Enterprise i Company. Po zwykłym zrzucie podłącza debuger Chrome, przeładowuje stronę i dodaje do pakietu archiwum WARC, dziennik HAR, pobrane zasoby, każdy ze skrótem SHA-256, oraz szczegóły certyfikatu TLS.

Autor: Radim Motycka, założyciel i główny inżynier ProofSnap, który zaprojektował opisany w tym poradniku kryminalistyczny zapis ruchu sieciowego · Zaktualizowano 3 listopada 2026 r.

Plany

Professional, Enterprise, Company

Dodatkowe pliki

WARC, HAR, zasoby, szczegóły TLS

Dodatkowy czas

Jedno przeładowanie strony

Które plany obejmują tryb kryminalistyczny

Tryb kryminalistyczny jest zawarty w subskrypcjach Professional, Enterprise i Company (porównaj plany w cenniku ProofSnap). Zrzuty bez trybu kryminalistycznego pozostają kompletne: tryb kryminalistyczny tylko dodaje pliki do pakietu.

Plan

Tryb kryminalistyczny

Uwagi

Professional

W cenie

Także w 7-dniowym okresie próbnym planu Professional.

Enterprise

W cenie

Także w 7-dniowym okresie próbnym planu Enterprise.

Company

W cenie

Dla każdego członka zespołu.

Essential

Brak

Opcja jest widoczna, ale szara i nie da się jej zaznaczyć; obok jest link Ulepsz, aby włączyć.

SnapPack bez subskrypcji

Brak

Nie odblokowuje go ani eIDAS SnapPack, ani Video SnapPack.

Co tryb kryminalistyczny dodaje do pakietu

Tryb kryminalistyczny ProofSnap archiwizuje do 300 żądań przeładowanej strony, maksymalnie 15 MB na odpowiedź i 200 MB łącznie, a każdemu zasobowi zapisanemu w folderze resources/ nadaje własny skrót SHA-256, zapisany w pliku resources.json. Do pakietu dowodowego dodaje te pliki:

Plik

Zawartość

Czym otworzyć

capture.warcArchiwum sieciowe (WARC)

Odpowiedzi poprawnie odebrane w trakcie przeładowania, w granicach 300 żądań, 15 MB na odpowiedź i 200 MB łącznie, z nagłówkami, treścią i odpowiadającym im żądaniem, a także pośrednie przekierowania

ReplayWeb.page albo inny czytnik WARC

network.harDziennik sieciowy (HAR)

Żądania i odpowiedzi z nagłówkami i kodami stanu, bez treści

Narzędzia dla programistów w Chrome, panel Sieć, import pliku HAR

resources/Tylko w archiwum ZIP

Treść każdej odpowiedzi w osobnym pliku

Program odpowiedni dla danego typu pliku

resources.jsonZarchiwizowane podzasoby

Spis zawartości resources/: adres URL, stan, typ, rozmiar, SHA-256

Dowolny edytor tekstu

certificate_details.jsonSzczegóły certyfikatu TLS

Wersja TLS, zestaw szyfrów, wystawca certyfikatu, podmiot, okres ważności, nazwy domen

Dowolny edytor tekstu

Zanim zaczniesz

ProofSnap jest zainstalowany, a Ty korzystasz z konta z planem Professional, Enterprise albo Company.
Strona jest otwarta w aktywnej karcie w takiej postaci, w jakiej chcesz ją zabezpieczyć.
Wiesz, jak działa zwykły zrzut. Jeśli nie, zacznij od poradnika Zrzut całej strony jako dowód.

Krok 1

Znajdź tryb kryminalistyczny w panelu bocznym

Otwórz stronę, którą chcesz zabezpieczyć, i kliknij ikonę ProofSnap, żeby otworzyć panel boczny. Opcje zrzutu znajdują się pod niebieskim przyciskiem Zrób zrzut strony. Gdy nagrywanie wideo jest wyłączone, tryb kryminalistyczny jest tuż pod opcją Nagrywaj wideo przechwytywania; gdy nagrywanie wideo jest włączone, między nimi pojawiają się opcje wideo i opcja Odśwież stronę przed zapisem.

1Tryb kryminalistyczny: archiwum sieciowe (WARC + HAR + zasoby + TLS). Domyślnie jest wyłączony i wyłącza się ponownie przy każdym otwarciu panelu bocznego: działa tylko przy tym zrzucie, przy którym go włączono.

Krok 2

Włącz tryb kryminalistyczny

Kliknij opcję, żeby zrobiła się niebieska. Włącz ją, zanim klikniesz przycisk zrzutu: w trakcie zrzutu albo nagrywania wideo opcja jest zablokowana.

1Włączony. Następny zrzut doda do pakietu archiwum sieciowe.
2Mała ikona „i”. Najedź na nią kursorem: podpowiedź pokazuje, co dodaje ten tryb, i uprzedza, że przeglądarka wyświetli pasek debugowania.
3Ulepsz, aby włączyć. W planie Essential, ze SnapPackiem bez subskrypcji albo w okresie próbnym planu Essential opcja jest szara, a ten link otwiera stronę planów.

U góry: plan Professional; podpowiedź pojawia się po najechaniu kursorem na małą ikonę „i”. Na dole: plan Essential.

Krok 3

Zrób zrzut jak zwykle i pozwól przeładować stronę

Kliknij Zrób zrzut strony. Najpierw ProofSnap robi zwykły zrzut strony w takiej postaci, w jakiej ją widzisz: zrzut ekranu, kod HTML, tekst i metadane. Potem, jako ostatni etap zabezpieczania, podłącza do karty debuger przeglądarki, przeładowuje kartę z wyłączoną pamięcią podręczną i zapisuje żądania i odpowiedzi tego nowego wczytania (do 300). Gdy wczytywanie się zakończy, a ruch sieciowy na chwilę ustanie, odłącza debuger i tworzy pakiet.

1Pasek debugowania Chrome. Chrome wyświetla pasek z informacją, że „ProofSnap - Przechwytywanie dowodów” rozpoczęło debugowanie tej przeglądarki. To normalne: pasek znika po zakończeniu zrzutu. Nie klikaj Anuluj: przerwałoby to zapis ruchu sieciowego, a archiwum sieciowe nie powstałoby albo byłoby niekompletne. Reszta pakietu i tak zostanie utworzona.
2Przechwytywanie... Nie ruszaj karty, dopóki przycisk znów nie zrobi się niebieski. ProofSnap czeka do 45 sekund na pełne przeładowanie strony.

Krok 4

Znajdź nowe wiersze w tabeli pobierania

Po zrzucie tabela pobierania pokazuje cztery dodatkowe wiersze (trzy, jeśli w trakcie przeładowania żadna odpowiedź nie przyszła przez HTTPS, a więc nie było certyfikatu). Każda niebieska ikona pobiera odpowiedni plik; przycisk Pobierz plik ZIP zapisuje cały pakiet ze wszystkimi tymi plikami.

1Archiwum sieciowe (WARC). capture.warc: odpowiedzi odebrane w trakcie przeładowania, z nagłówkami i treścią, każda powiązana z żądaniem, które ją wywołało.
2Dziennik sieciowy (HAR). network.har: te same żądania i odpowiedzi w postaci listy, z nagłówkami i kodami stanu, ale bez treści.
3Zarchiwizowane podzasoby. resources.json: spis zawartości folderu resources/ w archiwum ZIP, z jednym wpisem dla każdego z pierwszych 300 żądań.
4Szczegóły certyfikatu TLS. certificate_details.json: połączenie HTTPS i certyfikat przedstawiony przez serwis. Zobacz krok 6.

Tabela pobierania po zrzucie kryminalistycznym w planie Professional, bez znacznika czasu eIDAS i bez wideo. Cztery wyróżnione wiersze pojawiają się tylko w trybie kryminalistycznym.

Plik	Opis	Akcja
evidence.pdf	Dokument dowodowy
provenance_certificate.pdf	Certyfikat Pochodzenia
screenshot.jpeg	Zrzut ekranu
page.html	Zawartość HTML
page.mhtml	Archiwum strony MHTML
domtextcontent.txt	Zawartość tekstowa
metadata.json	Metadane
forensic_log.json	Dziennik kryminalistyczny (ISO 27037)
chain_of_custody.json	Łańcuch Dowodowy
manifest.json	Lista plików i hashy
manifest.sig	Podpis manifestu
publickey.pem	Klucz publiczny
manifest.json.ots	OpenTimestamps
1capture.warc	Archiwum sieciowe (WARC)
2network.har	Dziennik sieciowy (HAR)
3resources.json	Zarchiwizowane podzasoby
4certificate_details.json	Szczegóły certyfikatu TLS
forensic_log_summary.txt	Podsumowanie dziennika kryminalistycznego

Krok 5

Zobacz, do czego służy każdy plik

Pliki kryminalistyczne znajdują się w katalogu głównym archiwum ZIP, obok reszty pakietu, a zasoby w podfolderze resources/. Dla każdego z tych plików, także dla każdego pliku w resources/, skrót jest obliczany i zapisywany w pliku manifest.json: każdy plik jest więc objęty podpisem i znacznikiem czasu, a Weryfikator dowodów sprawdza go jak każdy inny. O pozostałych plikach przeczytasz w poradnikach Weryfikacja pakietu dowodowego i Pakiet dowodowy: co zawiera.

1capture.warc. WARC to standardowy format archiwizacji stron internetowych (ISO 28500). Biblioteka Kongresu Stanów Zjednoczonych opisuje go tak: „Format WARC (Web ARChive) określa metodę łączenia wielu zasobów cyfrowych w zbiorczy plik archiwalny wraz z powiązanymi informacjami” (tłumaczenie własne, Library of Congress, opis formatu WARC). Otwórz plik w czytniku WARC, takim jak ReplayWeb.page, żeby odtworzyć zarchiwizowane wczytanie strony.
2network.har. HAR to format, w którym przeglądarki eksportują swoje dzienniki sieciowe. Otwórz plik w narzędziach dla programistów w Chrome: panel Sieć, przycisk importu HAR albo przeciągnięcie pliku na tabelę żądań (dokumentacja panelu Sieć w narzędziach dla programistów Chrome). Każdy wpis z treścią podaje nazwę odpowiedniego pliku w resources/.
3resources/ i resources.json. Treść każdej odpowiedzi odebranej w trakcie przeładowania, w osobnym pliku, ponumerowanym w kolejności żądań. Numer jest pomijany, gdy nie zapisano żadnej treści, na przykład przy pustym pikselu śledzącym, nieudanym żądaniu albo odpowiedzi przekraczającej limity rozmiaru. resources.json wymienia do 300 żądań z adresem URL, stanem, typem i rozmiarem, a dla tych z treścią także skrót SHA-256 i nazwę pliku.
4certificate_details.json. To zwykły plik JSON, który otworzysz w dowolnym edytorze tekstu.

proofsnap_20261014_153012.zip

evidence.pdf
provenance_certificate.pdf
screenshot.jpeg
page.html
page.mhtml
domtextcontent.txt
metadata.json
chain_of_custody.json
forensic_log.json
forensic_log_summary.txt
1capture.warc
2network.har
3resources/
001_rada-miasta-parkowanie
002_main.css
003_app.js
005_hero.jpg
006_logo.svg
...
resources.json
4certificate_details.json
manifest.json
manifest.sig
publickey.pem
manifest.json.ots
verification/
verify.sh
verify.ps1
VERIFICATION_GUIDE.txt

Ten sam pakiet otwarty w menedżerze plików. Pliki kryminalistyczne pogrubione; nazwy zasobów są tylko przykładem.

Krok 6

Odczytaj szczegóły certyfikatu TLS

Zwykły zrzut zapisuje, czy strona została dostarczona przez HTTPS, ale rozszerzenie przeglądarki nie może odczytać samego certyfikatu. Tryb kryminalistyczny może, bo obserwuje wczytywanie przez debuger. Plik certificate_details.json opisuje połączenie, którym w trakcie przeładowania przyszła pierwsza zaszyfrowana odpowiedź (HTTPS), zwykle odpowiedź samej strony. Jeśli strona jest dostarczana przez HTTP, bez szyfrowania, albo jej odpowiedź nie zawiera szczegółów zabezpieczeń, plik może opisywać serwer zasobu zewnętrznego wczytanego przez HTTPS.

1protocol, cipher, key_exchange. Wersja TLS, zestaw szyfrów i metoda wymiany kluczy dla połączenia.
2issuer, subject. Kto wystawił certyfikat i dla kogo. Plik opisuje certyfikat serwera, a nie cały łańcuch certyfikatów.
3valid_from, valid_to. Okres ważności certyfikatu, w czasie UTC.
4san_list. Wszystkie nazwy domen objęte certyfikatem.
5certificate_transparency_compliance. Czy Chrome uznał certyfikat za zgodny z wymogami Certificate Transparency (publicznych rejestrów certyfikatów TLS).

certificate_details.json

{

1"protocol": "TLS 1.3",

"cipher": "AES_128_GCM",

"key_exchange": "",

2"issuer": "R11",

"subject": "wiadomosci.przyklad.pl",

3"valid_from": "2026-09-02T08:14:51.000Z",

"valid_to": "2026-12-01T08:14:50.000Z",

4"san_list": ["wiadomosci.przyklad.pl", "*.wiadomosci.przyklad.pl"],

5"certificate_transparency_compliance": "compliant",

"source": "cdp_security_details"

}

Nazwy pól w postaci, w jakiej zapisuje je ProofSnap; wartości są tylko przykładem.

Częste pytania

Przeładowanie odbywa się w Twojej karcie, w Twojej sesji przeglądarki. Archiwum zapisuje nowe wczytanie: jeśli po przeładowaniu strona pokaże coś innego, archiwum zawiera tę wersję. ProofSnap odnotowuje w pliku resources.json, że archiwum pochodzi z przeładowania.

Tak. Archiwum sieciowe przechowuje do 300 żądań, do 15 MB na odpowiedź i do 200 MB łącznie. Żądania od 301. wzwyż nie są zapisywane. Odpowiedź przekraczająca limit nadal figuruje w pliku resources.json z oznaczeniem too_large, ale bez treści.

Zabezpiecz stronę i jej ruch sieciowy

Zainstaluj ProofSnap i włącz tryb kryminalistyczny w planie Professional, Enterprise albo Company.

Zainstaluj ProofSnap i wypróbuj go przez 7 dni

7-dniowy okres próbny wymaga karty kredytowej. Tryb kryminalistyczny jest zawarty w planach Professional, Enterprise i Company.

Dostępne także dla przeglądarki Microsoft Edge

Tryb kryminalistyczny działa w Google Chrome i Microsoft Edge na komputerze.

Inne poradniki: Zrzut całej strony jako dowód · Nagrywanie ekranu jako dowód · Weryfikacja pakietu dowodowego