При анализе переписки одной распечатки или скопированного текста может быть недостаточно для ответа на вопросы о происхождении письма, пути его передачи и вложениях. Желательно подготовить файлы писем в формате, предоставляемом почтовой программой, сохранить полные заголовки и указать, из какой учётной записи они получены. Объём экспорта следует соотнести с делом: одно письмо, конкретная цепочка или согласованный период.

Сохраните письмо как файл

В Gmail на компьютере производитель предоставляет команду «Скачать письмо», сохраняющую электронное письмо в файл EML. Это удобный способ передать письмо вместе с его структурой. Документация Google также описывает отправку писем как вложений; обычная вставка текста в новое письмо представляет материал в иной форме. До передачи файлов согласуйте способ их доставки на исследование. [1]

Если вы используете другую программу, укажите её название и версию. Уточните подходящий способ экспорта, вместо того чтобы вручную менять расширение файла или копировать текст в редактор. Сохраните письмо в почтовом ящике и работайте с подготовленной копией. Список файлов может содержать ваши порядковые номера, но не должен заменять описание происхождения каждого файла.

Добавьте полные заголовки

Технические заголовки содержат больше сведений, чем видимые поля «От», «Кому» и «Тема». Google указывает, что в Gmail полный заголовок можно открыть через меню письма командой «Показать оригинал». Это позволяет просмотреть информацию для анализа пути письма. Снимок верхней части окна обычно показывает лишь выбранное представление этих данных. [2]

В Outlook порядок действий зависит от версии. Документация Microsoft описывает сведения о сообщении в новом Outlook и веб-версии, а также поле «Заголовки Интернета» в свойствах сообщения, открытого в отдельном окне классического Outlook для Windows. Пользуйтесь инструкцией для вашей программы; отсутствие определённого пункта меню ещё не означает отсутствия заголовков. [3]

Время, идентификаторы и аутентификация требуют интерпретации

Стандарт RFC 5322 различает, в частности, поле Date, идентификатор Message-ID, связи ответов и поля отслеживания передачи. Date обозначает время подготовки сообщения к отправке по данным его создателя, а не автоматически время доставки получателю. Различия часовых поясов и последовательные этапы передачи необходимо рассматривать в контексте всех заголовков. [4]

Подпись DKIM может предоставить сведения об ответственности подписывающего домена и целостности охваченных подписью данных. RFC 6376 прямо отделяет идентичность подписывающей стороны от заявленного автора. Успешная проверка сама по себе не указывает на человека, написавшего письмо, и не подтверждает, что адресат его прочитал. Отображаемый почтовой программой адрес отправителя также не разрешает эти вопросы. [5]

Подготовьте цепочку переписки и вложения в согласованном объёме

Поясните, какой вопрос требует ответа: содержание договорённостей, различия между вложениями, последовательность событий или происхождение конкретного электронного письма? Укажите письма, непосредственно связанные с проблемой, и поясните, представляет ли материал полную переписку или лишь сохранившийся фрагмент. Для описания предмета заказа не требуется отправлять весь почтовый ящик.

  • Сохраните имеющиеся исходные файлы писем и их полные заголовки.
  • Приложите вложения в полученном виде, не сохраняя их повторно в редакторе.
  • Укажите учётную запись и папку, из которых выполнен экспорт.
  • Отметьте материалы, полученные от других лиц, и известные даты передачи.
  • Опишите предшествовавшие пересылку, печать или преобразование материала.
  • Подготовьте краткую хронологию и список вопросов для анализа.

В описании отделяйте факт наличия сообщения от выводов о его авторе. Пароли учётной записи при первом обращении не нужны. Способ предоставления материала, объём данных и возможный доступ к учётной записи следует согласовать заранее.

Гипотетический пример

Компания получила два электронных письма с похожими темами, но разными номерами счетов в приложенных счетах на оплату. Вместо одних распечаток она готовит оба письма в виде файлов, сохраняет вложения и описывает, когда заметили различие. Такой комплект позволяет отдельно поставить вопросы о содержимом файлов, заголовках и ходе переписки. Он ещё не устанавливает, кто внёс изменение и достаточно ли имеющегося материала для такого вывода.

Источники

Первичные документы; дата обращения: 23.10.2026.

Цифровая криминалистика — направления исследований →