保存域名和URL证据

保留出处，而不仅仅是截图

有用的证据记录应明确原始证物、收集人、收集方法、数据来源和UTC时间。保留原始响应以及人类可读的解释。屏幕截图可以记录外观，但它不能取代邮件头、DNS应答或响应证物。

公共注册记录会发生变化。稍后的查询可能与事件发生时可用的数据不同。明确记录观察时间，并避免暗示当前的DNS响应描述了历史情况。

完整性和处理

计算已保留文件的加密哈希值，并将哈希值保存在受控的证据日志中。哈希值有助于检测人工制品的更改；它不能证明原始内容的准确性，也不能证明收集者遵循了适当的程序。

维护一份保管链记录，描述所有权、转移、访问和目的。根据调查情况应用适当的访问控制、保留规则和数据最小化措施。法律可采纳性取决于司法管辖区和具体情况，而不仅仅是报告格式。

事实、推断与局限性

明确区分原始观察、分析解释和未解答的问题。避免仅根据注册商、共享托管地址或隐私代理来命名运营者。确保每个实质性结论都可追溯到支持证据。

• 保存原始证据和原始查询响应。
• 记录来源、方法、UTC收集时间以及收集者。
• 散列（Hash）保存文件并记录处理事件。
• 将事实、假设和不可用字段分开标注。
• 说明数据收集限制，并在需要时寻求法律指导。