Marcas de tiempo y hasta dónde llegan

El campo TimeDateStamp guarda un número: los segundos transcurridos desde el 1 de enero de 1970 a las 00:00 UTC. Las herramientas de lectura lo traducen a una fecha. Quien lo escribe es el compilador o el enlazador al generar el archivo, y es una copia de datos que cualquiera puede modificar después sin romper el programa. Además, algunas configuraciones de compilación lo sustituyen a propósito por un valor que no es una hora (por ejemplo, para que dos compilaciones del mismo código den el mismo archivo).

Por eso la fecha es una afirmación del archivo sobre sí mismo. Sirve como pista y para ordenar muestras, pero nunca como prueba de cuándo se hizo ni de quién lo hizo. Si otra fuente independiente la respalda (cuándo se vio por primera vez, cuándo se publicó el servicio que la usa), la hipótesis se fortalece; sola, es una nota al margen.

La primera comprobación es la más sencilla: la fecha de compilación no puede ser posterior al momento en que el archivo llegó. Si una muestra recibida en octubre de 2026 dice haberse compilado en 2027, o el campo se puso a mano o es un valor que no representa una hora. En cualquiera de los dos casos, ese campo no sirve para fechar esa muestra, y conviene dejarlo escrito así.

Pasa por las cuatro muestras: convierte (la herramienta ya lo hizo) y compara con la hora de recepción de recepciones.csv.

Cuando la fecha es plausible, el intervalo entre la marca y la recepción se anota: dice cuánto tiempo pudo pasar entre «compilado» y «visto por nosotros». Un intervalo de horas es compatible con un archivo hecho para esta ocasión; uno de meses, con un archivo que circuló antes o con una fecha que no es real. Ninguna de las dos lecturas es una conclusión; son las dos hipótesis que el intervalo deja abiertas.

Calcula los días completos entre la fecha del campo de M-2204 y la fecha en que la pasarela lo recibió (cuenta solo las fechas, sin horas).

Un campo en cero equivale al 1 de enero de 1970. Ningún programa se compiló entonces: significa que el campo no se llenó con una hora (o se limpió). Lo correcto es no usar esa fecha para nada y anotar que el dato no existe. Convertir un cero en «compilado en 1970» y de ahí deducir antigüedad o procedencia es un error que se ve más de lo que debería.

Revisa la lista y localiza la muestra con ese valor.

La muestra M-2208 declara una compilación del día anterior a su llegada, de noche. Eso es compatible con un archivo hecho para circular esa semana, y también con un campo puesto a ese valor. No decide nada. La anotación útil dice el valor, dice que es declarado, dice con qué se contrasta y deja abierta la conclusión.