TL;DR
| 核心要点 | 说明 |
|---|---|
| 转发邮件≠原始邮件 | 法院认定转发EML文件"非原始邮件"，内容真实性不认可 |
| 法院审查三关 | 真实性、关联性、合法性，《证据新规》第93、94条为核心依据 |
| 30分钟保全清单 | 导出EML→复制邮件头→计算哈希值→时间戳存证，成本10-20元 |
| 公证不是唯一选择 | 《互联网法院规定》第11条确认哈希值+时间戳效力，大量判例支持 |
一封邮件决定一场官司的胜负
你有一封对方同意延期付款的邮件，信心满满提交法庭。对方律师问："这是原始邮件吗？请登录邮箱演示？"你愣住——那封邮件是从Outlook转发到个人邮箱保存的，原始邮件已从公司服务器删除。
败诉。一封转发邮件，价值一百万的教训。
上海一中院明确：EML文件是归档转化后的格式，"显非原始邮件"，不能确认真实性。江苏高院更进一步：转发邮件即使经公证，也只认可形式真实性，EML文件可编辑修改，内容真实性不认可。
法院对邮件证据审查核心是"三道门槛"——真实性、关联性、合法性。你的邮件是否还在服务器上？导出时是否保留了邮件头？有没有做技术存证？这些细节决定邮件是铁证还是废纸。
法院的三大审查要求
真实性（核心难点）：《证据新规》第93条要求从三个层面判断：载体是否原始、数据是否完整、内容是否真实。第94条规定六种可推定真实的情形，包括正常业务活动形成、中立第三方提供、经公证的（法院应当确认）。
关联性：确认收发主体是案件当事人。建议在合同中约定联系邮箱。
合法性：非法侵入系统、私自拦截获取的邮件不得作为定案依据（《民诉法司法解释》第106条）。
转发邮件是最大的证据雷区
转发邮件脱离原始服务器，变成"孤儿邮件"——任何人都可以编辑正文、替换附件、修改时间，不留痕迹。河南省获嘉县检察院实验证实：转发邮件可人为制作，无需真实转发流程即可复刻页面效果。
破坏证据效力的操作：转发邮件、另存为HTML/PDF、截图保存、使用POP3下载（邮件从服务器删除）、修改后保存。最佳做法：使用IMAP协议保持邮件在服务器端，保存原始EML格式。
邮件头与DKIM验证
邮件头中的Received链记录每台中转服务器的IP和时间戳，从下往上读可重建传输路径。DKIM（域名密钥识别邮件）是邮件的数字签名——内容被修改则验证失败。《电子邮件鉴定技术规范》（SF/T 0156—2023）已将其纳入鉴定标准流程。
30分钟保全清单
- 锁定范围（2分钟）：确认邮件未被删除
- 复制邮件头（5分钟）：登录网页邮箱，点击"显示原文"，保存为txt
- 导出EML（3分钟）：另存为原始EML格式，勿转发保存
- 计算哈希值（5分钟）：
sha256sum（Mac/Linux）或Get-FileHash（Windows）——哈希值是文件的"数字指纹"，任何修改都会改变它 - 时间戳存证（5分钟）：tsa.cn上传EML，获取由国家授时中心签发的时间戳证书
- 公证（关键证据推荐）：公证处保全，效力最强（《证据新规》第94条）
- 制作证据目录（3分钟）：统一命名
YYYY-MM-DD_发件人_主题.eml等 - 备份（2分钟）：复制到另一个硬盘或U盘
低成本方案：哈希值+时间戳
对于预算有限的企业，哈希值+时间戳每次仅10-20元。法律依据：最高法《互联网法院规定》第11条。大量判例支持：郎酒案（1.9亿，78份时间戳证书）、华盖诉途牛案、成都中院2024案。
注意：时间戳仅证明形式真实性（数据未被篡改），不证明实质真实性（内容本身是否真实）。建议配合操作录屏、设备清洁性检查记录等补强材料。
从现在开始
邮件证据保全的最佳时机是收到邮件的瞬间。转发不是保存，EML导出+哈希值+时间戳才是。今天不保全，明天可能就删了。当庭登录演示是最有力的验证方式——前提是邮件还在服务器上。
懂得保全证据的人，才有资格赢。现在开始，从收件箱里最重要的一封邮件做起。
