Предварительно можно определить, является ли файл базой SQLite, есть ли рядом WAL, SHM или журнал отката, охватывают ли копии нужный период и потребуется ли исследование приложения или устройства. Для оценки достаточно описания события, списка файлов с путями и размерами, версии приложения, ОС и указания, открывалась ли база после спорного действия.
Наличие свободных областей или WAL ещё не означает, что нужная запись сохранилась и может быть однозначно собрана. После контрольной точки, VACUUM, secure_delete или перезаписи следы могут отсутствовать. Предварительная оценка показывает, какие версии ещё можно проверить и где искать резервные, облачные или системные копии. Если единственный файл уже открывали, специалист отдельно учитывает, как это могло изменить его содержимое.