邮件归档要满足什么条件，才能在事后当作可信证据使用？

这是最需要先澄清的一点：

• 备份的目标是恢复。它允许覆盖、允许滚动删除旧版本、通常按整卷组织，不保证单封邮件的可检索性与不可篡改性。
• 归档的目标是留存与举证。它要求单封可定位、内容不可改、时间可证、过程可审计。

「我们有备份，所以满足归档要求」是错误的。备份介质上的数据可被覆盖、其写入时间无独立证明、且管理员通常有完全控制权——这三点都直接削弱证据价值。

归档对象必须是 RFC 5322 Internet Message Format 意义上的完整原始报文，包含：全部头字段（含 Received 轨迹、Message-ID、认证结果头）、完整 MIME 结构、附件的原始编码。

严禁的做法：只归档解析后的正文与附件、剥离头字段、重新编码、把附件单独存放而不保留原始封装。这些操作一旦发生，就无法证明「归档件与投递件是同一封」，证据链在此断裂。

判定方法：从归档中导出一封邮件，其字节内容应能与投递时的报文逐字节一致。

归档存储应满足「一次写入、多次读取」的语义：写入后在留存期内不可修改、不可删除，管理员亦不例外。

可操作要求：

• 归档写入路径与运维管理路径在权限上分离，运维账号无删除权。
• 删除操作（若确需）必须经多人审批并全程留痕，且不能静默执行。
• 存储侧的保留策略由独立角色设定，业务管理员无权缩短留存期。

核心判据：「单一管理员能否独自、无痕地改掉一封归档邮件」——若答案是能，则该归档不具备证据价值。

要证明「这封邮件在某时刻之前就已存在且未被改动」，需要两样东西：

• 可信时间戳：RFC 3161 Internet X.509 PKI Time-Stamp Protocol (TSP) 定义了由时间戳服务对数据摘要签发时间戳的协议。对归档件（或归档批次）申请时间戳，可独立证明其存在时间，不依赖归档系统自身的时钟与记录。
• 完整性校验链：对每封邮件计算摘要并入库；对批次做汇总摘要；对汇总值签名或加盖时间戳。这样任何单点改动都会在校验时暴露。

常见缺口：只记录了哈希值，但哈希值本身存在同一个可被管理员修改的数据库里——那么改数据的同时改哈希即可，校验链形同虚设。校验值必须有独立于归档系统的锚点（时间戳签名或异地留存）。

举证是有时限的，「数据在但捞不出来」等于无效。要求：

• 检索维度：时间范围、收发件人、主题、Message-ID、附件名与内容关键词。
• 导出形式：保留原始报文格式，并附带完整性校验值与检索条件说明，使导出结果可被第三方独立复核。
• 过程审计：谁在什么时候、以什么条件检索了什么、导出了什么，全部记录。归档系统本身是高敏系统，对它的访问必须比普通系统审计得更严。

日志管理的通用方法可参考 NIST SP 800-92 Guide to Computer Security Log Management。

留存期设置需同时满足两个方向的约束：

• 下限：法定与行业要求的最短留存期（相关条文可在国家法律法规数据库检索）。留存期起算点应为邮件原始时间，不得因系统迁移而重置。
• 上限：超出必要期限的留存本身构成风险与合规负担，到期应当销毁。

销毁同样要留证：销毁应按策略自动执行，记录销毁对象范围、时间、执行依据与审批，并保留销毁记录本身（销毁记录的留存期通常长于被销毁数据）。「到期了但一直没删」和「提前删掉了」是同等性质的问题。

此外需设置法务保留（诉讼保全）机制：一旦特定范围数据进入争议或调查程序，应能立即冻结其自动销毁，并记录冻结与解冻操作。