Каждый цифровой кадр несет невидимый след — метаданные EXIF, где зашифрованы дата, время, настройки камеры и даже координаты. Доступ к этой информации позволяет восстановить хронологию событий, подтвердить подлинность снимка или найти потерянные фото в хаотичной галерее. Понимание структуры EXIF — базовый навык для фотографа, журналиста и обычного пользователя.
Однако метаданные не вечны: мессенджеры стрипают их при отправке, облачные сервисы перезаписывают даты синхронизации, а редакторы могут подменить значения. В статье разберём все надежные способы извлечения времени съёмки — от системных средств до профессиональных форензических инструментов.
Что такое EXIF и где хранится время съёмки
EXIF (Exchangeable Image File Format) — стандарт метаданных, встраиваемый в JPEG, TIFF, HEIC и RAW-файлы. Ключевые теги для хронологии: DateTimeOriginal (момент нажатия затвора), DateTimeDigitized (цифровизация) и DateTime (последнее изменение файла). В RAW-форматах (CR3, NEF, ARW) структура сложнее, но базовые теги сохраняются.
Важно отличать время съёмки от времени создания файла в файловой системе. Последнее меняется при копировании, загрузке в облако или редактировании, тогда как DateTimeOriginal остаётся неизменным до намеренного вмешательства. Исключение — скриншоты и скачанные изображения: у них EXIF часто пуст или содержит дату скачивания.
⚠️ Внимание: если фото прошло через WhatsApp, Telegram (без галочки «Файл») или Instagram, оригинальные EXIF безвозвратно удалены. Время можно установить только косвенно — по названию файла или дате в чате.
Просмотр метаданных в Windows без сторонних программ
В «Проводнике» достаточно включить панель деталей: вкладка Вид → Панель деталей. Клик по файлу покажет «Дата съёмки», «Камера», «ISO» и др. Для пакетного просмотра удобнее «Свойства → Подробности» — там виден полный список тегов, включая GPS и Software (редактор, если был).
Командная строка даёт больше контроля. Утилита exiftool (нужно скачать отдельно) выводит всё:
exiftool -DateTimeOriginal -DateTimeDigitized -CreateDate IMG_1234.jpgGet-Item IMG_1234.jpg | Select-Object -ExpandProperty CreationTime☑️ Быстрая проверка EXIF в Windows
macOS: «Просмотр», Finder и терминал
В «Поиске» (Finder) включите Вид → Показать панель предварительного просмотра (⌥⌘P). Метаданные отобразятся справа. Приложение «Просмотр» (Preview) даёт глубже: Инструменты → Инспектор → вкладка i → EXIF. Там видны все теги, в том числе DateTimeOriginal с точностью до секунды.
Терминал macOS имеет встроенную утилиту mdls (Spotlight metadata):
mdls -name kMDItemContentCreationDate -name kMDItemFSCreationDate IMG_1234.HEICexiftool через brew install exiftool — работает идентично Windows-версии.
Android и iOS: системные галереи и файлы
На Android (Google Фото, Samsung Gallery, MIUI Gallery) откройте фото → меню «Инфо» или «Свойства». Поле называется «Дата съёмки» или «Время». В «Файлах Google» или «Мой файл» (Samsung) долгое нажатие → «Свойства» покажет то же. Если EXIF стерт — будет только дата изменения файла.
На iOS в «Фото» свайп вверх или кнопка «i» выдают «Дата и время». В «Файлах» (приложение Files) долгое нажатие → «Инфо» → «Показать больше». HEIC-файлы с iPhone сохраняют EXIF при передаче через AirDrop и кабель, но теряют его при отправке в мессенджерах без опции «Документ».
Онлайн-сервисы и десктопные программы для глубокого анализа
Когда нужно извлечь метаданные от десятков файлов или прочитать нестандартные теги (MakerNotes производителей), удобны специализированные инструменты. ExifTool (кроссплатформенный, CLI) — золотой стандарт. ExifToolGUI и jExifToolGUI дают графическую оболочку. XnView MP и IrfanView (с плагинами) показывают EXIF в браузере файлов и позволяют пакетно экспортировать в CSV.
Онлайн: exif.tools, metapicz.com, exifdata.com — загружаете фото, получаете таблицу тегов. Работают в браузере, не загружают файлы на сервер (обработка локально через JS). Для конфиденциальных снимков лучше офлайн-инструменты.
| Инструмент | Платформа | Пакетная обработка | Экспорт CSV/JSON | Чтение MakerNotes |
|---|---|---|---|---|
| ExifTool | Win/macOS/Linux | Да | Да | Полное |
| XnView MP | Win/macOS/Linux | Да | Через плагин | Частичное |
| IrfanView + Plugins | Windows | Да | Нет | Базовое |
| exif.tools (web) | Браузер | Нет | Нет | Базовое |
| Photos Exif Editor | macOS/Win | Да | Нет | Среднее |
Для массовой проверки сотен фото запустите: exiftool -r -DateTimeOriginal -csv /путь/к/папке > timestamps.csv — получите таблицу «файл;дата» для Excel.
Когда EXIF нет, повреждён или подделан: косвенные методы
Если метаданные уничтожены, остаются косвенные признаки. Имя файла часто содержит дату: IMG_20231225_143000.jpg (формат камеры), Screenshot_20260101-120000.png (скриншот), VID_20230715_100000.mp4 (видео). Папки DCIM на SD-картах структурируются по датам: 100ANDRO/IMG_20231225....
Файловая система хранит Created, Modified, Accessed. На NTFS (Windows) и APFS (macOS) дата создания файла часто совпадает с моментом копирования на диск, а не съёмки. На ext4 (Android) и FAT32 (старые карты) поведение разное. Облачные логи (Google Photos, Яндекс.Диск, iCloud) фиксируют upload_time — виден в веб-интерфейсе или API.
⚠️ Внимание: дата изменения файла (Modified) обновляется при любом открытии в редакторе с сохранением, даже если пиксели не трогали. Не путайте её с датой съёмки.
Форензический анализ: восстановление и верификация
Профессиональная экспертиза использует карвинг (поиск заголовков JPEG/HEIC в образе диска) для восстановления удалённых фото с фрагментами EXIF. Инструменты: Foremost, Scalpel, PhotoRec. Если EXIF перезаписан, анализируют MakerNotes — проприетарные блоки Canon, Nikon, Sony, где часто дублируется DateTimeOriginal в зашифрованном виде.
Консистентность метрик проверяется через ExifTool -validate и спец. софт (Amped Authenticate, FourMatch). Несоответствие DateTimeOriginal и ModifyDate, отсутствие ожидаемых тегов камеры, аномалии в квантовании JPEG — признаки манипуляции. Для судебной силы нужен образ носителя (bit-for-bit copy), а не просто файл.
Что такое MakerNotes и зачем они нужны?
MakerNotes — закрытые секции EXIF, уникальные для каждого производителя. Canon хранит там номер затвора, Nikon — фокусное расстояние каждого кадра серии, Sony — данные стабилизации. Часто DateTimeOriginal дублируется туда, что позволяет восстановить время даже если основной тег стерт. Чтение требует ExifTool с актуальной базой тегов.
Если EXIF уничтожен мессенджером, единственный надежный источник — оригинальный файл на носителе камеры/телефона. Копии в чатах и облаках не подходят для экспертизы.
Практические сценарии: пошаговые алгоритмы
Сценарий 1: Найти дату фото на своём телефоне. Откройте галерею → фото → «i»/«Инфо». Если даты нет — проверьте «Файлы»/«Мой файл» → свойства. Для серии фото удобнее подключить телефон к ПК и просмотреть в XnView MP с колонкой «Date Taken».
Сценарий 2: Проверить подлинность присланного фото. Скачайте как файл (не скриншот!). Загрузите в exif.tools или откройте в ExifTool. Сравните DateTimeOriginal, Make/Model, Software. Если Software содержит «Photoshop», «Snapseed», «Adobe» — фото редактировалось. Отсутствие EXIF при утверждении «свежее фото с камеры» — повод для сомнений.
Сценарий 3: Восстановить хронологию после потери каталога. Сделайте образ диска/карты (dd / FTK Imager). Запустите PhotoRec на образе. Извлечённые файлы проверьте ExifTool-скриптом на наличие DateTimeOriginal. Сортируйте по дате — восстановите таймлайн.
При передаче фото для экспертизы архивируйте его в ZIP/7z — так метаданные файловой системы (даты создания/изменения) сохраняются при загрузке на файловые обменники и почту.
⚠️ Внимание: скриншот экрана с фото создаёт новый файл с текущей датой и пустым EXIF. Для доказательной базы нужен только оригинальный файл, полученный кабелем, кардридером или AirDrop/Quick Share.
Частые ошибки и как их избежать
Ошибка 1: верить дате в названии файла после переименования. Windows/Finder/Google Фото часто перезаписывают имя по DateTimeOriginal, но ручное переименование или батч-обработка ломают логику. Ошибка 2: путать часовой пояс. EXIF хранит локальное время без смещения (UTC offset). Если камера была в другом поясе — дата верна, но время сдвинуто. Некоторые современные телефоны пишут OffsetTimeOriginal — проверяйте его наличие.
Ошибка 3: игнорировать SubsecTimeOriginal (доли секунды). При серийной съёмке несколько кадров могут иметь одинаковую секунду, но разные миллисекунды — критично для установки порядка. Ошибка 4: использовать онлайн-сервисы для конфиденциальных кадров (документы, лица, геолокация). Метаданные могут утечь в логи сервера.
FAQ: ответы на популярные вопросы
Можно ли узнать время скриншота, если в EXIF пусто?
Да. В имени файла (Screenshot_YYYYMMDD-HHMMSS), в свойствах файла (Created/Modified), в логах галереи (Google Фото → Инфо → «Добавлено»). На iOS — в «Файлах» → Инфо → «Создано».
Почему дата съёмки отличается от даты файла на компьютере?
Дата файла — момент копирования на диск. Дата съёмки (EXIF) — момент нажатия затвора. При переносе через кабель/кардридер они могут совпасть, при загрузке из облака/почты — почти всегда разные.
Как пакетно исправить дату на сотнях фото, если часы камеры сбились?
ExifTool: exiftool "-DateTimeOriginal+=1:0:0 2:30:0" -r /папка сдвинет всё на 1 год, 2ч 30мин. Для сложных корректировок используйте Photos Exif Editor (macOS/Win) или ExifToolGUI с предпросмотром.
Сохраняет ли Telegram EXIF при отправке «как файл»?
Да, если отправить через «Файл» (скрепка → Файл), а не «Галерея». Ограничение: до 2 Гб на файл. В «Галерее» EXIF стрипается, остаётся только превью.
Есть ли единый стандарт времени в EXIF для всех камер?
Формат единый: YYYY:MM:DD HH:MM:SS (24-часовой, без часового пояса). Но производители могут добавлять SubsecTimeOriginal (доли секунды) и OffsetTimeOriginal (смещение от UTC). Читать нужно все три тега вместе.