Сначала разделяют публикационную и техническую части события. Если аккаунт или система могли быть взломаны, нужно срочно сохранить журналы, уведомления, носители и другие цифровые следы, начать техническую проверку и ограничить последствия взлома. Исследование смысла текста не заменяет компьютерно-техническое исследование и меры информационной безопасности.
Состав специалистов зависит от объектов. Лингвист исследует текст, фото- или видеотехнический эксперт — изображение, фоноскопист — запись, компьютерно-технический эксперт — файлы, устройства и системные следы. При пригодных образцах возможно автороведение, а документально подтверждённые показатели изучает экономический эксперт. Каждый отвечает только за свою часть.
Сохраните публикации целиком, точное время и часовой пояс, идентификаторы аккаунтов, ранние версии файлов, цепочки репостов, журналы доступа и документы о последствиях. Заказчика, виновность, юридическую причинную связь и размер взыскания устанавливает уполномоченный орган или суд по совокупности доказательств; одного исследования спорной публикации для этого недостаточно.