Trazabilidad de evidencia digital

Cadena de custodia de una conversación de WhatsApp

Publicado el 20 de septiembre de 2026 · Autor y revisión técnica: Luis Pulgar Gamero, perito informático especializado · GeoNotary S.L.

La cadena de custodia es el registro que permite explicar qué material se obtuvo, cuándo, mediante qué procedimiento, quién lo trató y cómo se comprobó que no cambió. No convierte automáticamente un chat en auténtico, pero hace trazable el recorrido de la evidencia desde la adquisición.

Las cinco etapas que deben quedar documentadas

1. Identificación. Dispositivo, cuenta, conversación, intervalo relevante y material asociado.
2. Adquisición. Fecha y hora, herramienta, versión, pasos ejecutados y condiciones observadas.
3. Fijación. Inventario de archivos y cálculo de huellas criptográficas para identificar cada copia examinada.
4. Conservación y análisis. Registro de accesos, copias de trabajo y separación respecto del material preservado.
5. Entrega. Correspondencia entre anexos, huellas, informe firmado y material recibido por el destinatario.

Qué demuestra una huella SHA-256

SHA-256 produce un identificador asociado al contenido exacto de un archivo. Si cambia un solo byte, la huella resultante cambia. Comparar la huella calculada durante la adquisición con la obtenida después permite detectar alteraciones posteriores del archivo.

La huella no demuestra por sí sola que el contenido fuera verdadero antes de calcularla, quién escribió los mensajes ni si faltaban partes de la conversación. Por eso debe vincularse al método de obtención, al soporte examinado y a las restantes comprobaciones.

Sellado de tiempo, firma y cadena de custodia

Errores que debilitan la trazabilidad

• Conservar únicamente capturas recortadas y eliminar el material original.
• No registrar qué dispositivo, cuenta o versión de la aplicación se examinó.
• Calcular huellas después de editar, renombrar de forma destructiva o recomprimir archivos.
• Mezclar copias de trabajo con el material preservado sin diferenciarlas.
• No explicar exclusiones, mensajes ausentes, adjuntos no disponibles o fallos durante la adquisición.

Cómo lo documenta WhatsPericialApp

La aplicación guía la adquisición desde el dispositivo, registra el procedimiento y calcula huellas sobre el material incorporado. El informe relaciona conversación, adjuntos y resultados técnicos, explica las limitaciones y se entrega firmado en PDF. Las señales de App Attest o Play Integrity complementan el conjunto, pero no sustituyen la revisión pericial ni acreditan por sí solas toda la historia previa del dispositivo.

Para preparar el material, consulta cómo certificar una conversación. Si existe controversia sobre capturas, revisa qué aspectos pueden impugnarse.

Preguntas frecuentes

¿Hay que entregar físicamente el teléfono?

Depende del método y del objeto del informe. En WhatsPericialApp la adquisición se guía desde el propio dispositivo; el informe debe indicar qué acceso se tuvo y qué quedó fuera del examen.

¿Renombrar un archivo rompe la cadena de custodia?

El nombre puede cambiar sin alterar el contenido, pero toda transformación debe documentarse. La huella permite distinguir si cambió el contenido binario.

¿Un sello de tiempo demuestra que el mensaje se envió a esa hora?

No necesariamente. Demuestra la relación temporal definida por el servicio respecto de los datos sellados; no valida automáticamente la fecha que aparezca escrita dentro de una captura.

Fuentes primarias y técnicas

• Ley de Enjuiciamiento Civil, artículo 335: dictamen pericial.
• Ley de Enjuiciamiento Civil, artículo 382: instrumentos de reproducción.
• Reglamento (UE) 910/2014, eIDAS: servicios de confianza y sellado de tiempo.
• Apple Developer: DeviceCheck y App Attest.