Un rapport d’investigation numérique n’a de valeur que si son lecteur comprend ce que chaque terme engage. Voici ceux qui structurent le document.
- Chronologie probatoire
- La remise en séquence datée de chaque état observé. Elle ne raconte pas une histoire : elle aligne des dates rattachées à des sources vérifiables, ce qui permet d'apprécier une antériorité ou une rupture.
- Chaîne de conservation
- La traçabilité continue d'une pièce depuis sa collecte : qui l'a collectée, quand, depuis quelle source, sous quelle forme, et comment son intégrité peut être contrôlée ensuite. Une pièce sans chaîne de conservation est discutable ; une pièce qui en porte une se vérifie.
- Empreinte SHA-256
- Une signature numérique calculée sur le contenu exact d'un fichier. Le moindre octet modifié change l'empreinte : un tiers peut donc contrôler, des mois plus tard, que le fichier produit est identique à celui qui a été collecté.
- Provenance et intégrité
- Deux questions distinctes. La provenance dit d'où vient l'élément — URL, archive, document transmis. L'intégrité dit qu'il n'a pas été altéré depuis. Le rapport documente les deux séparément.
- Corrélation d'indices
- Le rapprochement d'observations indépendantes qui pointent dans la même direction. Une similarité isolée s'explique souvent ; plusieurs similarités rares synchronisées s'expliquent beaucoup moins facilement.
- Versions archivées
- Les états antérieurs d'une page conservés par des services d'archivage publics. Correctement restitués et datés, ils constituent souvent la seule trace d'un contenu retiré depuis.
- Métadonnées publiques
- Les informations accompagnant un contenu sans être visibles à la lecture : balises, données structurées, attributs de fichiers, dates déclarées. Elles sont souvent plus discriminantes que le texte affiché.
- En-têtes HTTP, DNS et WHOIS publics
- Les informations techniques qu'un serveur ou un annuaire expose de lui-même : type de serveur, dates de réponse, enregistrements de domaine, coordonnées de registrar lorsqu'elles ne sont pas masquées. Elles éclairent l'infrastructure exposée sans jamais y accéder.
- Similarités textuelles, visuelles, structurelles, fonctionnelles et comportementales
- Cinq registres de comparaison distincts. Les traiter séparément évite l'erreur classique consistant à conclure d'une impression globale ; les recouper est ce qui donne sa force au faisceau.
- Infrastructure exposée publiquement
- Ce qu'un serveur, un domaine ou une plateforme rend accessible à quiconque en fait la demande. NEMESIS documente cette exposition ; il n'accède à aucun système privé, aucun compte et aucune base fermée.
- Attribution prudente
- La distinction explicite entre fait certain, indice convergent et hypothèse à confirmer. Un rapport qui attribue trop fermement s'effondre à la première contradiction ; un rapport qui gradue résiste.
- Préservation des éléments volatils
- Le gel immédiat de ce qui peut disparaître : pages, publications, offres, profils. C'est l'acte le plus urgent d'un dossier numérique, et le seul qui ne se rattrape jamais.
- Préparation des réquisitions et demandes de conservation
- L'identification précise des éléments non publics à obtenir — journaux de connexion, données d'abonné, fichiers internes — et des destinataires à qui les demander. Le rapport fournit les références exactes qui rendent ces demandes recevables.