证书事件关联
指纹引用、SAN与观察截图的最小证据组
定义可复核但不保存敏感会话资料的证据集合。 本文给出可复核步骤、状态边界、脱敏记录方法与复核路径。
证书事件不需要公开完整技术转储，也不能只靠一枚锁形图标。可复核的最小证据组应同时回答四件事：当时查看的是哪个主机、浏览器展示了哪些名称范围、证书材料在什么时间取得、是否出现连接警告。指纹只保存能够区分事件的摘要引用，SAN只摘录与当前主机比较所需部分，截图经过裁剪并保留地址与时间上下文。任一引用都要能回到同一实验，而不是从多个页面拼表。
最小不等于随意删减。缺少当前主机，证书无法关联；缺少观察时间，字段没有适用窗口；缺少原始画面，文本转录难以复查。任一核心项不齐，证据组状态为UNKNOWN，并列出待补材料。本文给出字段清单、脱敏方式、完整度分级和反例，确保精简后的记录仍能支持有限观察，同时不暴露会话与个人信息。最小组还需要证明字段之间来自同一采集窗口；六个看似齐全的值若从不同日期拼接，质量反而低于一张上下文完整的截图。审核人员因此检查事件号、动作顺序和主机前后值，发现拼接痕迹就拆回独立材料，不以表格满格作为合格依据。证据组宁可少而真实，不能齐全却失去来路。
六个字段组成最小证据组
第一项是完整主机原文，第二项是证书事件号，第三项为指纹摘要引用，第四项是与当前主机有关的SAN条目，第五项记录有效期和浏览器提示，第六项是带时区的观察时刻。每项都指向同一次实验。签发对象文字可作为补充，但不能取代名称范围；页面标题和品牌图形不进入证书证据。
字段表还保留采集者角色、浏览器主版本和截图编号，方便审计但不公开设备唯一标识。若浏览器界面不显示指纹，事件可以使用证书面板截图的受控引用，指纹字段写未提供。不能从第三方文字抄一个值来补齐，也不能把整个证书文件放进公共目录。
- 主机和证书来自同次实验
- SAN只保留相关条目
- 观察时间包含时区
- 不可见字段写未提供
指纹引用用于区分而非建立信任
公开记录可以显示散列值的短摘要，例如首尾各若干字符，并在受控证据库保存完整值。摘要长度应足以区分本台账事件，却不能被描述成安全评分。两次摘要不同提示材料可能变化，需要回看完整证据；摘要相同只说明所见字段一致，不证明当前连接、运营主体或未来状态。
录入时计算方式和算法名称写入元数据，避免不同格式产生假差异。冒号、大小写和空格先标准化，原始显示仍保留在截图。若算法或完整值无法确认，摘要引用为UNKNOWN。编辑不得手工编造一个占位散列来通过校验，演练数据与正式事件存储必须彻底隔离。
- 摘要只承担事件区分
- 算法和格式有记录
- 原始显示保留在证据中
- 不使用占位散列补空
SAN摘录保持上下文和范围
SAN记录至少包含条目类型、与当前主机的逐标签比较结果及列表是否完整展开。公共页面不需要展示所有无关名称，可写相关条目一项、其余若干项已隐藏。若存在通配符，保留通配符原位并解释只覆盖相应层级。国际化名称同时保存显示形态和编码形态，避免视觉相似造成误判。
浏览器只给简化信息时，不能声称未列出的名称不存在。列表完整性标为部分可见，覆盖结果依据可见字段给出有限观察；若当前主机需要依赖未展开部分才能判断，则直接写UNKNOWN；SAN覆盖不是主体证明，文章和卡片都应避免使用认证、合法或唯一等词。
- 相关条目保留原始层级
- 列表完整度明确标示
- 通配符不跨层解释
- 覆盖结果不转成身份判断
截图要证明上下文而不泄露会话
证据截图应包含地址栏主机、连接信息标题、关键证书字段和系统可见时间，必要时用两张连续画面覆盖。裁剪前先复制原件到受控存储，公开版本遮盖标签页、账户头像、通知、查询参数和其他无关主机。遮盖使用不可逆像素处理，不能只放可移除的图层。
文件名使用事件号与截图序号，不包含真实姓名、邮箱或完整主机。元数据中可能存在设备型号和位置，应在生成公开副本时清除，并记录清除工具版本。若裁剪导致当前主机或时间不再可读，这张图不能作为最小组核心证据，只能当辅助画面，状态随之降级。
- 截图保留主机和时间
- 公开副本清除个人线索
- 遮盖不可逆
- 裁剪不破坏核心字段
完整度分级不等同通过失败
证据组可标完整、部分、冲突或UNKNOWN。完整表示六个核心字段均可复核；部分表示仍能支持某个窄问题，例如只记录浏览器告警，却不能判断SAN覆盖；冲突表示两个材料对同一字段给出不同值；最后一种用于关键上下文缺失。分级描述材料质量，不评价目标页面。
评分数值容易被误读成安全等级，因此这里不计算百分比。展示时直接列缺失字段和可支持结论，例如可确认观察时刻、无法确认当前主机。后续补证创建新版本并引用旧组，不能悄悄把部分改成完整。若补证与旧材料冲突，两组继续并存，等待独立复核。
- 完整度只描述材料
- 不生成安全百分比
- 缺失项直接列明
- 补证形成新版本
反例帮助识别看似完整的空壳
反例一只有锁形图标和页面名称，没有证书字段；它不能建立事件。反例二抄录了SAN与日期，却没有截图、主机和采集时间，只能作为线索。反例三拥有完整技术转储，但混入Cookie和账号信息，必须隔离并重新制作最小副本。反例四用合成指纹填空，即使格式正确也属于无证据字段。
合成演练可以使用主机甲、事件C七和虚构日期来验证表单，但保存位置必须标训练，导出程序排除全部演练记录。审核抽样时若发现相同占位值出现在多个正式事件，立即停止批次并检查生成流程。格式一致不是证据真实，只有来源、动作与时间能够把字段连成一次观察。
- 锁图标不能替代字段
- 转录材料需要原始上下文
- 含秘密的转储不得公开
- 训练值不能流入正式记录
发布审核与安全停止条件
发布前由另一名复核者从截图重新读取主机、SAN和日期，比较表格值并确认指纹摘要来源。随后检查脱敏副本、元数据清理和受控存储权限。任何核心字段读不清或关系无法重现，就将该项改为UNKNOWN，禁止用相邻事件复制值。审计结果只陈述这组证据能支持的窄观察。
若采集时出现证书名称不匹配、信任警告、强制文件、账号索取或关闭保护要求，操作停在警告前，不为补齐证据继续。停止事件保存提示类型、主机摘要、时间和退出方式，其余敏感内容不收集。最小证据组服务于独立核验台账，不提供站外入口，也不承诺连接安全或持续有效。
- 第二人从原图重读字段
- 脱敏过程能够审计
- 告警出现即停止采集
- 结论不超过证据范围
