¿Cómo se demuestra que una evidencia digital no ha sido alterada?

Mediante hashes criptográficos (SHA-256) calculados en el momento de la adquisición y recalculados después. Si coinciden, lo que queda acreditado es que la copia analizada es idéntica a lo que se adquirió. Conviene no ir más lejos: el hash no dice si el contenido era auténtico en origen. Si alguien lo manipuló antes de la adquisición, la copia reproduce esa manipulación y el hash cuadra igual. Descartar la manipulación previa es otro análisis distinto.

¿Qué pasa si no se puede demostrar la integridad de una evidencia?

La parte contraria la impugnará y el tribunal le dará menor valor probatorio. Conviene precisar que no se «declara inadmisible»: el art. 348 LEC somete los dictámenes periciales a las reglas de la sana crítica, de modo que la consecuencia se juega en la valoración, no en la admisión. La expulsión del proceso corresponde a otro supuesto, el del art. 11.1 LOPJ, que priva de efecto a las pruebas obtenidas violentando derechos fundamentales: eso es licitud, no integridad.

¿Es suficiente con hacer una captura de pantalla para preservar la integridad?

Una captura sola es frágil: se falsifica con facilidad, no conserva metadatos y no ofrece una referencia contra la que comprobar integridad. Pero conviene no convertirlo en requisito universal: la STS 116/2025 admite que el contenido de unos mensajes pueda valorarse sin pericial cuando otros medios descartan la manipulación. La extracción forense con cadena de custodia documentada es lo que mejor resiste una impugnación, no una condición de admisión.

Integridad de la Evidencia Digital - Requisitos y Verificación

¿Qué es la Integridad de la Evidencia Digital?

La integridad de la evidencia digital es la garantía de que los datos no han sido alterados, modificados, corrompidos o manipulados desde el momento de su recolección hasta su presentación ante el tribunal. Es uno de los tres pilares de la prueba digital, junto con la autenticidad y la licitud — y conviene distinguir los planos sin convertirlo en regla cerrada: la licitud puede impedir que la prueba surta efecto (art. 11.1 LOPJ), mientras que integridad y autenticidad se juegan sobre todo en la valoración por sana crítica (art. 348 LEC). La admisión, por su parte, la gobierna el art. 283 LEC —pertinencia y utilidad—, que es un tercer filtro.

Requisito Esencial

Sin integridad demostrable, cualquier evidencia digital queda expuesta a la impugnación. Lo que ocurra después no está tasado: el art. 348 LEC somete la prueba a la sana crítica, de modo que el tribunal puede restarle peso, o no, según el conjunto probatorio. No hay una consecuencia automática, ni en un sentido ni en el otro.

La integridad responde a una pregunta fundamental: ¿Es esta evidencia exactamente igual a como estaba en el momento de su recolección?

Los Tres Pilares de la Prueba Digital

Pilar	Pregunta	Cómo se Garantiza
Autenticidad	¿Es lo que dice ser?	Análisis de origen y metadatos
Integridad	¿Ha sido alterada?	Hashes criptográficos
Licitud	¿Se obtuvo legalmente?	Autorizaciones y procedimiento

Cómo se Garantiza la Integridad

Adquisición forense: Crear una imagen bit a bit del dispositivo original usando bloqueadores de escritura.
Cálculo de hash inmediato: Generar SHA-256 del dispositivo/archivo en el momento de la adquisición.
Documentación en cadena de custodia: Registrar el hash en acta firmada con fecha y hora.
Almacenamiento seguro: Preservar la evidencia original sellada y trabajar solo con copias.
Verificación periódica: Recalcular hashes antes y después de cada análisis.
Inclusión en informe: Documentar todos los hashes y verificaciones en el informe pericial.

Mecanismos Técnicos

Hashes Criptográficos

El hash es el mecanismo principal para verificar integridad:

VERIFICACIÓN DE INTEGRIDAD

Archivo: evidencia_whatsapp.db
Fecha adquisición: 03/01/2025 10:30h

Hash SHA-256 original:
a3f2b8c9d4e5f6a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6e7f8a9b0c1d2e3f4a5

Hash SHA-256 actual:
a3f2b8c9d4e5f6a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6e7f8a9b0c1d2e3f4a5

Estado: ✓ INTEGRIDAD VERIFICADA

Bloqueadores de Escritura

Dispositivos hardware o configuraciones software que bloquean las escrituras hacia el medio original. Conviene no decir «impiden cualquier escritura»: SWGDE somete estas herramientas a prueba, precisamente porque su comportamiento hay que verificarlo por modelo, versión e interfaz. Los bloqueadores de escritura hardware son la opción preferente porque la protección es física: el puente sencillamente no transmite órdenes de escritura, con independencia de lo que intente el sistema operativo.

Por software, distribuciones forenses como CAINE Linux montan los discos en solo lectura por defecto, y blockdev --setro fija esa protección a nivel de dispositivo de bloque. Es efectivo cuando está bien configurado, y por eso conviene decir en el informe cuál de los dos se usó: no son intercambiables ante una impugnación.

Los fabricantes de referencia han cambiado de manos, y uno de los nombres ya designa otra empresa

La bibliografía forense repite dos marcas de bloqueadores hardware, y ambas conviene citarlas por su titular actual:

WiebeTech y CRU son hoy DIGISTOR — wiebetech.com y cru-inc.com redirigen a digistor.com.
Los puentes Tableau pasaron a Guidance Software y de ahí a OpenText. Y hay una trampa añadida: tableau.com es la empresa de análisis de datos de Salesforce, sin relación con el producto forense. Citar «Tableau» a secas en un dictamen deja una ambigüedad que no cuesta nada evitar.

No es una cuestión de marca sino de trazabilidad: se documenta la herramienta, su versión y la configuración empleada, que es lo que permite a otro perito repetir el procedimiento. El nombre comercial vigente del fabricante ayuda a localizarla, pero lo que hace reproducible una adquisición es el método documentado, no de quién sea hoy el producto.

Sellado Físico

El dispositivo original se sella con precintos numerados:

Precintos con número único
Fotografía del sellado
Registro en acta de custodia
Cualquier apertura queda evidenciada

Amenazas a la Integridad

Amenaza	Descripción	Prevención
Modificación accidental	Abrir un archivo puede actualizar su fecha de acceso: depende del sistema de ficheros y de cómo esté montado (`noatime`, `relatime`)	Usar bloqueadores de escritura y trabajar sobre copia
Manipulación intencional	Alterar contenido para favorecer una parte	Cadena de custodia estricta
Corrupción de datos	Fallos de hardware o software	Múltiples copias verificadas
Malware	Virus que modifica archivos	Análisis en entorno aislado
Sobrescritura	Nuevos datos eliminan los antiguos	Adquisición inmediata

Consecuencias de la Pérdida de Integridad

Si no se puede demostrar la integridad, lo que ocurre en la práctica es:

Impugnación por la parte contraria
Menor peso probatorio, que es la consecuencia real y la más frecuente
Contradicción en el contrainterrogatorio, donde el perito tiene que explicar por qué no puede acreditarla
En el peor caso, que el tribunal no tenga por acreditado el hecho que la evidencia pretendía probar

Falta de integridad no es inadmisibilidad, y menos aún nulidad

Es una confusión frecuente y conviene no llevarla a un informe. Un dictamen pericial no se «declara inadmisible» por no acreditar la integridad: el art. 348 LEC es tajante — «El tribunal valorará los dictámenes periciales según las reglas de la sana crítica.» Es decir, la consecuencia se juega en la valoración, no en la admisión.

Y la nulidad va por otro sitio distinto: el art. 11.1 LOPJ dispone que «no surtirán efecto las pruebas obtenidas, directa o indirectamente, violentando los derechos o libertades fundamentales». Eso es licitud, el tercer pilar — no integridad. Una evidencia obtenida lícitamente pero cuya integridad no se puede acreditar pierde fuerza; no se expulsa del proceso.

La distinción importa porque decide qué se pide y qué se puede esperar: quien confunde ambas cosas reclama la exclusión de una prueba que el tribunal simplemente va a valorar poco.

Los dos escenarios, comparados

Mensajes de mensajería aportados como prueba, y qué puede hacer cada parte en cada caso:

	Capturas de pantalla, sin más	Extracción forense documentada
Qué se aporta	Imágenes del terminal	Copia forense, hash SHA-256 en el momento de la adquisición y cadena de custodia
Si la contraria impugna genéricamente	Tras la STS 116/2025, la impugnación sin indicios concretos no basta por sí sola: el tribunal puede valorar la captura junto al resto de la prueba	Igual, y además hay con qué responder
Si la contraria señala indicios concretos	Se rebate peor, no queda indefenso: sin original verificable ni referencia de integridad hay que acudir a otros medios —reconocimiento de la parte, testifical, correlación con registros de terceros—, que es lo que la STS 754/2015 admite expresamente	Se recalcula el hash y se coteja contra el consignado en el acta
Lo que puede afirmar el perito	Que la imagen es coherente, poco más	Que el contenido analizado es idéntico al adquirido, y en qué fecha

Conviene ver también el alcance de la columna derecha, que es más estrecho de lo que parece: no dice nada sobre si el hecho quedará probado, ni sobre si la conversación era auténtica en origen. El art. 348 LEC somete el dictamen a las reglas de la sana crítica, y la valoración es del tribunal. Lo que aporta una adquisición impecable es otra cosa, y es lo único que un perito puede ofrecer: la capacidad de responder cuando la prueba se discute.

Jurisprudencia Relevante

La línea del Tribunal Supremo sobre prueba digital impugnada se construye en varias resoluciones, y conviene leerlas juntas. Con una precisión sobre la autoría de la matización: no la introduce la STS 116/2025, que la atribuye expresamente a la STS 375/2018.

STS 300/2015: qué dice y qué no

La STS 300/2015, de 19 de mayo (Sala de lo Penal, ponente Marchena — ROJ STS 2047/2015 · ECLI:ES:TS:2015:2047) es la resolución de referencia sobre prueba digital impugnada. Conviene citarla por lo que resuelve: no formula la tríada autenticidad, integridad y licitud, y tampoco trata de cadena de custodia — el caso son pantallazos de una red social. La licitud es exigencia real, pero viene del art. 11.1 LOPJ, no de aquí.

Su razonamiento, en el tenor literal: «La prueba de una comunicación bidireccional mediante cualquiera de los múltiples sistemas de mensajería instantánea debe ser abordada con todas las cautelas. La posibilidad de una manipulación de los archivos digitales mediante los que se materializa ese intercambio de ideas, forma parte de la realidad de las cosas.»

Nótese lo que no dice: la sentencia no prescribe una técnica concreta. Los hashes y la cadena de custodia son la forma habitual de satisfacer el requisito de integridad, no un mandato del Supremo.

Y desde 2025 la exigencia de pericial no es automática

La STS 754/2015, de 27 de noviembre (Sala de lo Penal — ROJ STS 5421/2015 · ECLI:ES:TS:2015:5421) consolidó que, impugnada la autenticidad, la carga de acreditarla recae sobre quien invoca el contenido. Pero no hace de la pericial el único medio: admite expresamente el reconocimiento de la parte y la prueba testifical.

Y la STS 116/2025, de 13 de febrero (Sala Segunda, ponente Carmen Lamela — ROJ STS 634/2025 · ECLI:ES:TS:2025:634) recoge esa línea —cuya matización atribuye a la STS 375/2018—: no existe una presunción que obligue a rebatir toda captura mediante pericial. Esta se vuelve exigible cuando la autenticidad se impugna con indicios concretos de manipulación, no de forma genérica; y el tribunal puede formar su convicción valorando la captura junto al resto de la prueba.

Para un peritaje esto corta en las dos direcciones: no todo requiere informe, y una impugnación que no señale nada concreto no obliga a nada. Se detalla en certificación de mensajes.

Buenas Prácticas

Nunca trabajar sobre originales: Siempre usar copias forenses
Calcular hashes inmediatamente: En el momento de la adquisición
Documentar todo: Cada paso en la cadena de custodia
Documentar la herramienta y su versión: no existen «herramientas certificadas» en el sentido que suele dársele —el NIST advierte que su programa CFTT hace tool testing, no validación ni certificación, y prueba funciones de versiones concretas—. Lo que se sostiene es qué herramienta, qué versión y qué produjo
Verificar antes y después: De cada sesión de análisis
Almacenamiento seguro: Control de acceso y condiciones adecuadas

Diferencia entre Integridad y Autenticidad

Concepto	Pregunta	Ejemplo
Integridad	¿Ha sido modificado?	El archivo es idéntico al original
Autenticidad	¿Es lo que dice ser?	El mensaje realmente lo envió esa persona

Un archivo puede tener integridad (no modificado) pero no ser auténtico (fue creado como falsificación desde el principio).

Y de ahí sale el límite que todo dictamen debe declarar: el hash acredita lo primero (la integridad), no lo segundo (la autenticidad). Una copia cuyo hash coincide es idéntica a lo que se adquirió; si el contenido ya venía manipulado, la copia reproduce fielmente la manipulación y el hash cuadra igual. Descartar la manipulación previa es otro análisis —estructura interna de la base de datos, coherencia de identificadores y marcas de tiempo, huecos de numeración— con sus propios límites.

Conclusión

La integridad de la evidencia digital es lo que permite defenderla cuando se discute. Se sostiene con hashes, cadena de custodia documentada y procedimiento reproducible, y su ausencia no expulsa la prueba del proceso: le quita fuerza justo cuando más falta hace.

La distinción que conviene llevarse: acreditar la integridad no gana el caso, permite sostenerlo. Quien no puede acreditarla depende de otros medios de prueba y llega en peor posición a la primera pregunta concreta; quien puede, responde con un recálculo. El trabajo lo firma un perito informático forense, que responde de esa acreditación ante el tribunal.

Un hash coincidente responde una pregunta; conviene saber cuál

Acredita que la copia no cambió desde la adquisición, no que el contenido original fuera auténtico: son dos análisis distintos y confundirlos deshace el dictamen. Adquisición forense con SHA-256, cadena de custodia e informe con los límites del alcance declarados.

Ver el servicio de informes periciales

Última actualización: 20 de agosto de 2026
Categoría: Legal
Código: IEV-001

Integridad de la Evidencia