У файла могут быть две разные «биографии»
Когда человек сохраняет документ, отметки времени могут появиться не в одном месте. Файловая система — механизм, с помощью которого компьютер хранит и находит файлы, — обычно записывает, когда файл создан в этой папке и когда его содержимое менялось. Сам документ тоже может хранить внутренние сведения: например, дату последнего сохранения в редакторе. Эти отметки относятся к разным событиям и не обязаны совпадать.
Поэтому файл, который автор называет созданным неделю назад, может содержать признаки более позднего редактирования. Или, наоборот, его внутренняя дата окажется старше даты создания на компьютере: так бывает, если документ скопировали, скачали или перенесли на другое устройство. Копирование способно изменить одни отметки, сохранив другие.
Что именно фиксируют часы компьютера
Время последнего изменения обычно относится к записи содержимого, а время доступа — к чтению или открытию. Но система может не обновлять отметку доступа при каждом просмотре: это зависит от настроек и способа хранения файла. На время также влияют часы устройства и часовой пояс. Следовательно, одна дата сама по себе не доказывает, кто и когда работал с документом.
Полезнее сопоставлять несколько признаков: внутренние свойства документа, отметки файловой системы, версии в облачном сервисе и историю отправки. Если даты расходятся, это повод выяснить, что происходило с файлом — например, был ли он перенесён или пересохранён, — а не сразу объявлять чьи-то слова ложью.
Метаданные дают следы действий, но не готовый рассказ о них. Их значение становится яснее только в контексте того, где файл хранился и как с ним обращались.
