Quand vaut-il la peine d'activer le mode forensique ?

Quand la question ne porte pas seulement sur ce que la page affichait, mais sur la façon dont le navigateur l'a reçue : quel serveur a répondu, quelles redirections ont eu lieu, quels scripts, images et fichiers ont été chargés, et quel certificat TLS le site a présenté. Une capture ProofSnap normale documente la page telle que vous la voyez ; le mode forensique y ajoute l'enregistrement réseau d'un nouveau chargement de la même page.

Qu'est-ce qu'un fichier WARC et comment l'ouvrir ?

Un fichier WARC est une archive web au format ISO 28500, conçu pour les institutions d'archivage du web. Le fichier capture.warc d'un paquet ProofSnap contient chaque réponse aboutie du rechargement avec ses en-têtes et son corps, ainsi que la requête qui l'a produite et les éventuelles étapes de redirection. Ouvrez-le dans ReplayWeb.page ou un autre outil de relecture WARC pour parcourir le chargement archivé.

Qu'est-ce qu'un fichier HAR et comment l'ouvrir ?

Un fichier HAR (HTTP Archive) est un journal JSON des requêtes et réponses effectuées par un navigateur. Le fichier network.har d'un paquet ProofSnap répertorie jusqu'à 300 requêtes du rechargement, avec leurs en-têtes et codes d'état, sans les corps, qui se trouvent dans le dossier resources/. Pour l'afficher dans Chrome, ouvrez les outils de développement, allez dans le panneau Réseau et choisissez Importer un fichier HAR.

Quelle différence entre les fichiers WARC, HAR et MHTML ?

Le fichier page.mhtml d'un paquet ProofSnap est une copie de la page affichée, en un seul fichier, faite pendant la capture normale. Le fichier capture.warc du mode forensique conserve les réponses réseau du rechargement, avec leurs en-têtes et leurs corps, pour pouvoir les rejouer. Le fichier network.har liste les mêmes requêtes avec en-têtes et codes d'état, sans les corps : c'est un journal, pas une archive.

La capture d'écran montre-t-elle la page avant ou après le rechargement ?

Avant. La capture d'écran, le HTML, le texte et les métadonnées sont enregistrés en premier, sur la page exactement telle que vous l'aviez ouverte. Le rechargement destiné à l'archive réseau est la dernière étape de la capture : il ne modifie donc jamais ce que montre la capture d'écran.

Puis-je utiliser le mode forensique avec une vidéo de capture ?

Oui. Activez-le avant de lancer l'enregistrement, car l'interrupteur est verrouillé pendant qu'une vidéo s'enregistre. Le rechargement a lieu avant la fin de l'enregistrement : la vidéo montre donc la page qui se recharge. En modes Manuel et Session, l'archive couvre l'onglet dans lequel vous avez cliqué sur Démarrer l'enregistrement.

Et si les quatre lignes n'apparaissent pas après la capture ?

Dans ce cas, l'archive réseau n'a pas pu être créée, par exemple parce que le débogueur n'a pas pu se connecter à l'onglet ou parce que quelqu'un a cliqué sur Annuler dans la barre de débogage. La capture elle-même est complète et vérifiable : le mode forensique ne fait qu'ajouter des fichiers et n'empêche jamais la création du paquet. Relancez la capture avec l'interrupteur activé. Si aucune réponse du rechargement n'est arrivée en HTTPS, seule la ligne TLS manque, car aucun certificat n'a été présenté.

Guide étape par étape

Mode forensique : archiver le trafic réseau de la page

En 2026, le mode forensique de ProofSnap est un interrupteur du panneau latéral, inclus dans les offres Professional, Enterprise et Company. Après la capture normale, il connecte le débogueur de Chrome, recharge la page et ajoute une archive WARC, un journal réseau HAR, chaque ressource chargée avec son empreinte SHA-256 et les détails du certificat TLS du site.

Par Radim Motycka, fondateur et ingénieur principal de ProofSnap, qui a conçu la capture réseau forensique décrite dans ce guide · Dernière mise à jour : 16 octobre 2026

Offres

Professional, Enterprise, Company

Ajoute

WARC, HAR, ressources, détails TLS

Durée supplémentaire

Un rechargement de la page

Quelles offres incluent le mode forensique

Le mode forensique est inclus dans les abonnements Professional, Enterprise et Company (comparez-les dans le guide « Choisir une offre »). Les captures faites sans lui restent complètes : le mode forensique ne fait qu'ajouter des fichiers au paquet.

Offre

Mode forensique

Remarque

Professional

Inclus

Également inclus dans l'essai Professional de 7 jours.

Enterprise

Inclus

Également inclus dans l'essai Enterprise de 7 jours.

Company

Inclus

Pour chaque membre de l'équipe.

Essential

Non inclus

L'interrupteur est visible mais grisé, avec un lien Mettez à niveau pour activer.

SnapPacks sans abonnement

Non inclus

Les eIDAS SnapPack et Video SnapPack ne le débloquent pas non plus.

Ce que le mode forensique ajoute au paquet

Le mode forensique de ProofSnap archive jusqu'à 300 requêtes de la page rechargée, dans la limite de 15 Mo par réponse et de 200 Mo au total, et attribue à chaque ressource enregistrée sa propre empreinte SHA-256 dans resources.json. Voici les fichiers qu'il ajoute au paquet de preuves :

Fichier

Contenu

S'ouvre avec

capture.warcArchive réseau (WARC)

Chaque réponse aboutie du rechargement avec ses en-têtes, son corps et la requête correspondante, ainsi que les étapes de redirection

ReplayWeb.page ou un autre outil de relecture WARC

network.harJournal réseau (HAR)

Requêtes et réponses avec en-têtes et codes d'état, sans les corps

Outils de développement Chrome, panneau Réseau, Importer un fichier HAR

resources/Dans le ZIP uniquement

Chaque corps de réponse dans son propre fichier

Le logiciel associé à ce type de fichier

resources.jsonSous-ressources archivées

Index de resources/ : URL, état, type, taille, SHA-256

N'importe quel éditeur de texte

certificate_details.jsonDétails du certificat TLS

Version TLS, suite de chiffrement, émetteur du certificat, sujet, validité, noms de domaine

N'importe quel éditeur de texte

Avant de commencer

ProofSnap est installé et vous êtes connecté à un compte disposant d'une offre Professional, Enterprise ou Company.
La page est ouverte dans l'onglet actif, telle que vous voulez la capturer.
Vous savez comment fonctionne une capture normale. Sinon, commencez par le guide « Capturer une page web comme preuve ».

Étape 1

Trouver le mode forensique dans le panneau latéral

Ouvrez la page à capturer et cliquez sur l'icône ProofSnap pour ouvrir le panneau latéral. Les options de capture se trouvent sous le bouton bleu Capturer la page. Si l'enregistrement vidéo est désactivé, le mode forensique est l'interrupteur situé juste sous Enregistrer la vidéo de capture ; si l'enregistrement est activé, les options vidéo et Recharger la page avant la capture s'intercalent entre les deux.

1Mode forensique : archive réseau (WARC + HAR + ressources + TLS). Il est désactivé par défaut et se désactive à nouveau à chaque ouverture du panneau latéral : il ne s'exécute donc que lorsque vous l'activez pour une capture.

Étape 2

Activer le mode forensique

Cliquez sur l'interrupteur pour qu'il devienne bleu. Réglez-le avant de cliquer sur le bouton de capture : l'interrupteur est verrouillé pendant une capture ou un enregistrement vidéo.

1Activé. La prochaine capture ajoute l'archive réseau au paquet.
2La petite icône « i ». Survolez-la pour voir ce que le mode ajoute, avec une note indiquant que le navigateur affichera une barre de débogage.
3Mettez à niveau pour activer. Avec l'offre Essential, avec un SnapPack sans abonnement ou pendant un essai Essential, l'interrupteur est grisé et ce lien ouvre la page des offres.

En haut : offre Professional ; l'infobulle apparaît lorsque vous survolez la petite icône « i ». En bas : offre Essential.

Étape 3

Capturer comme d'habitude et laisser la page se recharger

Cliquez sur Capturer la page. ProofSnap réalise d'abord la capture normale de la page telle que vous la voyez : capture d'écran, HTML, texte et métadonnées. Puis, en dernière étape de la capture, il connecte le débogueur du navigateur, recharge l'onglet avec le cache désactivé et enregistre chaque requête et chaque réponse pendant ce nouveau chargement. Une fois le chargement terminé et le réseau inactif pendant un court instant, il déconnecte le débogueur et construit le paquet.

1La barre de débogage de Chrome. Chrome affiche une barre indiquant que ProofSnap a démarré le débogage du navigateur. C'est normal, et la barre disparaît à la fin de la capture. Ne cliquez pas sur Annuler : cela arrêterait l'enregistrement réseau et l'archive serait absente ou incomplète. Le reste du paquet est tout de même créé.
2Capture en cours... Ne touchez pas à l'onglet tant que le bouton n'est pas redevenu bleu. ProofSnap attend jusqu'à 45 secondes la fin du rechargement de la page.

Étape 4

Repérer les nouvelles lignes du tableau de téléchargement

Une fois la capture terminée, le tableau de téléchargement affiche quatre lignes supplémentaires, ou trois lorsqu'aucune réponse du rechargement n'est arrivée en HTTPS et qu'il n'y a donc aucun certificat à décrire. Chaque icône bleue permet de télécharger le fichier correspondant ; Download zip file enregistre le paquet complet avec tous ces fichiers.

1Archive réseau (WARC). capture.warc : les réponses du rechargement avec leurs en-têtes et leurs corps, chacune associée à la requête qui l'a produite.
2Journal réseau (HAR). network.har : les mêmes requêtes et réponses sous forme de liste, avec en-têtes et codes d'état mais sans les corps.
3Sous-ressources archivées. resources.json : l'index du dossier resources/ du ZIP, une entrée par requête.
4Détails du certificat TLS. certificate_details.json : la connexion HTTPS et le certificat présenté par le site. Voir l'étape 6.

Tableau de téléchargement après une capture forensique avec l'offre Professional, sans horodatage eIDAS ni vidéo. Les quatre lignes mises en évidence n'apparaissent qu'avec le mode forensique.

Fichier	Description	Action
evidence.pdf	Document de preuve
provenance_certificate.pdf	Certificat de provenance
screenshot.jpeg	Capture d'écran
page.html	Contenu HTML
page.mhtml	Archive de page MHTML
domtextcontent.txt	Contenu textuel
metadata.json	Métadonnées
forensic_log.json	Journal forensique (ISO 27037)
chain_of_custody.json	Chaîne de Traçabilité
manifest.json	Liste des fichiers et hashes
manifest.sig	Signature du manifeste
publickey.pem	Clé publique
manifest.json.ots	OpenTimestamps
1capture.warc	Archive réseau (WARC)
2network.har	Journal réseau (HAR)
3resources.json	Sous-ressources archivées
4certificate_details.json	Détails du certificat TLS
forensic_log_summary.txt	Résumé du journal forensique

Étape 5

Savoir à quoi sert chaque fichier

Tous les fichiers forensiques se trouvent à la racine du ZIP, à côté du reste du paquet. Chacun d'eux, y compris chaque fichier de resources/, est haché et répertorié dans manifest.json : la signature et les horodatages les couvrent donc, et le Vérificateur les contrôle comme n'importe quel autre fichier. Pour les autres fichiers, consultez les guides « Vérifier un paquet de preuves » et « Lire un paquet de preuves ».

1capture.warc. WARC est le format standard des archives web (ISO 28500). La Bibliothèque du Congrès des États-Unis le décrit ainsi : « le format WARC (Web ARChive) définit une méthode pour combiner plusieurs ressources numériques en un fichier d'archive agrégé, avec les informations qui s'y rapportent » (notre traduction, Library of Congress, description du format WARC). Ouvrez-le dans un outil de relecture comme ReplayWeb.page pour parcourir le chargement archivé.
2network.har. HAR est le format dans lequel les navigateurs exportent leurs journaux réseau. Ouvrez-le dans les outils de développement de Chrome : panneau Réseau, puis Importer un fichier HAR (référence du panneau Réseau des outils de développement Chrome). Chaque entrée dotée d'un corps indique le nom de son fichier dans resources/.
3resources/ et resources.json. Chaque corps de réponse du rechargement dans son propre fichier, numéroté dans l'ordre de chargement. Un numéro est sauté lorsqu'aucun corps n'a été enregistré, par exemple pour un pixel de suivi vide ou une requête échouée. resources.json répertorie chaque requête avec son URL, son état, son type, sa taille, son empreinte SHA-256 et son nom de fichier.
4certificate_details.json. Du JSON brut : n'importe quel éditeur de texte peut l'ouvrir.

proofsnap_20261014_153012.zip

evidence.pdf
provenance_certificate.pdf
screenshot.jpeg
page.html
page.mhtml
domtextcontent.txt
metadata.json
chain_of_custody.json
forensic_log.json
forensic_log_summary.txt
1capture.warc
2network.har
3resources/
001_vote-stationnement-conseil
002_main.css
003_app.js
005_hero.jpg
006_logo.svg
...
resources.json
4certificate_details.json
manifest.json
manifest.sig
publickey.pem
manifest.json.ots
verification/
verify.sh
verify.ps1
VERIFICATION_GUIDE.txt

La même capture ouverte dans le gestionnaire de fichiers. Fichiers forensiques en gras ; les noms des ressources sont des exemples.

Étape 6

Lire les détails du certificat TLS

Une capture normale indique si la page était servie en HTTPS, mais une extension de navigateur ne peut pas lire le certificat du site. Le mode forensique, lui, le peut, car il observe le chargement par l'intermédiaire du débogueur. Le fichier certificate_details.json décrit la connexion utilisée pour la première réponse sécurisée pendant le rechargement, c'est-à-dire, en principe, la page elle-même. Sur une page servie en HTTP simple, il peut décrire le serveur d'une ressource tierce chargée en HTTPS.

1protocol, cipher, key_exchange. La version TLS, la suite de chiffrement et l'échange de clés utilisés par la connexion.
2issuer, subject. Qui a émis le certificat et à quel nom il a été délivré. Le fichier décrit le certificat du serveur, pas toute la chaîne de certification.
3valid_from, valid_to. La période de validité du certificat, en UTC.
4san_list. Tous les noms de domaine couverts par le certificat.
5certificate_transparency_compliance. Indique si Chrome a jugé le certificat conforme aux exigences de Certificate Transparency, le système public de journalisation des certificats TLS.

certificate_details.json

{

1"protocol": "TLS 1.3",

"cipher": "AES_128_GCM",

"key_exchange": "",

2"issuer": "R11",

"subject": "actu.exemple.fr",

3"valid_from": "2026-09-02T08:14:51.000Z",

"valid_to": "2026-12-01T08:14:50.000Z",

4"san_list": ["actu.exemple.fr", "*.actu.exemple.fr"],

5"certificate_transparency_compliance": "compliant",

"source": "cdp_security_details"

}

Noms de champs reproduits tels que ProofSnap les écrit ; les valeurs sont des exemples.

Questions fréquentes

Le rechargement s'exécute dans votre onglet, avec votre session de navigateur. L'archive enregistre le nouveau chargement : si le site affiche autre chose lors d'un nouveau chargement, c'est cette version que montre l'archive. ProofSnap indique dans resources.json que l'archive provient d'un nouveau chargement.

Oui. L'archive conserve jusqu'à 300 requêtes, jusqu'à 15 Mo par réponse et jusqu'à 200 Mo au total. Une réponse qui dépasse la limite reste répertoriée dans resources.json avec le résultat too_large, mais sans son corps.

Capturez la page et son trafic réseau

Installez ProofSnap et activez le mode forensique avec une offre Professional, Enterprise ou Company.

Installer ProofSnap, 7 jours d'essai

Également disponible pour Microsoft Edge

Autres guides : Capturer une page web comme preuve · Enregistrer une preuve vidéo · Choisir une offre