Articolo

Capire le Content Credentials e lo standard C2PA

Forse hai notato un piccolo distintivo su una foto che dichiara la presenza di Content Credentials, oppure hai letto che una fotocamera o un'app di editing ora firma i propri file con C2PA. Ecco una spiegazione semplice di cosa sono queste informazioni, cosa possono dirti e i tre limiti da tenere a mente prima di considerarle una prova di qualcosa.

Scritto da Bastien Sulyan · Pubblicato il 20 giugno 2026

Cosa sono le Content Credentials e lo standard C2PA

C2PA è l'acronimo di Coalition for Content Provenance and Authenticity, un gruppo industriale che pubblica una specifica aperta per allegare a un file multimediale dati di provenienza a prova di manomissione. Content Credentials è il nome rivolto agli utenti per quei dati quando vengono scritti da fotocamere, telefoni e software di editing. In pratica si tratta di un piccolo registro firmato incorporato dentro il file di immagine, video o audio. Il registro può elencare elementi come quale dispositivo o applicazione ha prodotto il file, quando è stato creato e quali modifiche sono state applicate lungo il percorso, come un ritaglio o una regolazione del colore. Una firma crittografica avvolge il registro in modo che qualsiasi cambiamento successivo al contenuto protetto rompa il sigillo. L'obiettivo è la provenienza, una catena documentata di dove proviene un file, e non un verdetto sul fatto che il contenuto sia vero.

Catena di un manifest C2PA: file multimediale, manifest con asserzioni, firma crittografica, poi validazione rispetto al certificato dell'emittente

Cosa ne fa il nostro lettore

Il lettore C2PA su questo sito legge il manifesto delle Content Credentials quando è presente e ti mostra le dichiarazioni che contiene, nel tuo browser, senza caricare nulla. Il file che trascini viene analizzato in locale, quindi la foto o il documento non lascia mai il tuo dispositivo. Quando viene trovato un manifesto, vedi l'emittente, le azioni registrate e se la firma viene convalidata rispetto al certificato incorporato. Si tratta di una descrizione, non di un giudizio: lo strumento riporta i segnali realmente presenti nel file. Si abbina naturalmente al lettore EXIF, che mostra i metadati di fotocamera e posizione, e al visualizzatore di metadati Office per i documenti, così puoi esaminare diversi strati di provenienza fianco a fianco senza affidare l'originale a un server.

Tre limiti che vale la pena dire chiaramente

Primo, un lettore può mostrare le Content Credentials soltanto quando sono presenti. La maggior parte dei file in circolazione oggi non ne ha affatto, perché il dispositivo o il software che li ha creati non ne ha mai scritte. Secondo, l'assenza di Content Credentials non dimostra nulla sull'autenticità. Un file privo di manifesto non è falso, e non è nemmeno autentico; semplicemente non ha alcun registro di provenienza da leggere, che è la condizione normale per la grande maggioranza dei file multimediali. Interpretare un manifesto mancante come segno di manipolazione sarebbe un errore. Terzo, una firma valida non garantisce che nulla sia stato manipolato. La firma conferma che il contenuto corrisponde al registro firmato e che il registro proviene dall'emittente indicato. Non certifica che la scena davanti alla fotocamera fosse reale, che non sia avvenuta una modifica al di fuori della catena C2PA, o che lo scatto originale fosse onesto. Provenienza e verità sono domande diverse.

I tre limiti delle Content Credentials: l'assenza non prova nulla, una firma valida autentica il firmatario e non la scena, e le credenziali possono essere rimosse con una ri-codifica

Leggere la provenienza con responsabilità

Il modo utile di trattare le Content Credentials è considerarle un elemento di contesto tra diversi, non una singola risposta sì o no. Quando un manifesto è presente e la sua firma viene convalidata, apprendi qualcosa di concreto su come il file è stato prodotto e modificato. Quando è assente, hai appreso soltanto che non c'è alcun registro, e ti affidi allo stesso giudizio che applicheresti a qualsiasi file privo di etichetta. Deliberatamente non offriamo alcuna funzione di rilevamento dell'IA, perché nessuno strumento può decidere in modo affidabile se un contenuto sia stato generato o alterato, e un'affermazione sicura in un senso o nell'altro sarebbe disonesta. Se vuoi rimuovere metadati che non intendevi condividere prima della pubblicazione, la guida sulla rimozione dei dati EXIF e GPS dalle foto e la guida sulla rimozione dei metadati dai documenti Word coprono i passaggi pratici, il tutto eseguito in locale sul tuo dispositivo.

L'architettura crittografica dei manifest C2PA

La sicurezza del framework Content Credentials si basa sulla Public Key Infrastructure (PKI) standard e su algoritmi di hashing consolidati. Quando un'applicazione conforme genera un manifest C2PA, calcola un hash crittografico dei dati multimediali sottostanti, tipicamente usando SHA-256 o SHA-384. Quell'hash viene memorizzato nell'assertion store all'interno del manifest. Il manifest viene poi firmato digitalmente usando un certificato X.509: l'emittente firma l'hash del manifest con la propria chiave privata. La validazione esegue due verifiche indipendenti: verifica la firma rispetto alla chiave pubblica dell'emittente, confermando che il manifest è stato creato dall'entità dichiarata e non è stato alterato, e ricalcola l'hash dei dati multimediali per verificare che corrisponda all'hash registrato. Un singolo pixel alterato cambia completamente l'hash del media, rompendo il sigillo crittografico e producendo un risultato di validazione non valido.

Strutture JUMBF e incorporamento dei metadati

I dati C2PA vengono incorporati nei file usando il JPEG Universal Metadata Box Format (JUMBF), standardizzato secondo ISO/IEC 19566-5. JUMBF consente di inserire strutture dati gerarchiche nei file multimediali senza influenzare i parser legacy. In un file JPEG, il box JUMBF risiede all'interno di un segmento marcatore applicazione APP11. Nei file video o audio MP4, occupa un box uuid specifico all'interno della struttura ISO Base Media File Format. Il manifest store contenuto in questo contenitore include il manifest attivo e tutti i manifest storici che formano la catena di provenienza. Poiché JUMBF supporta i dati referenziati, un manifest può includere miniature del file nelle fasi di editing precedenti, permettendo ai revisori di ispezionare le alterazioni registrate come ritagli o correzioni colore. Un lettore basato sul browser estrae questi box JUMBF, analizza i dati del manifest codificati in CBOR ed esegue la validazione crittografica interamente tramite le API WebCrypto locali, senza che il file raggiunga mai un server di validazione.

Strumenti citati in questo articolo

Domande frequenti

Se una foto non ha Content Credentials, significa che è stata falsificata o modificata?

No. L'assenza di un manifesto ti dice soltanto che non è stato scritto alcun registro di provenienza, che è la situazione normale per quasi ogni file in circolazione. Non è una prova di modifica, e non è una prova di autenticità. Da un manifesto mancante non puoi dedurre nulla oltre al fatto che non c'è nulla da leggere.

Se la firma C2PA è valida, posso fidarmi che l'immagine sia reale e non alterata?

Una firma valida conferma che il contenuto corrisponde al registro firmato e che il registro proviene dall'emittente indicato. Non dimostra che la scena fosse reale né che non sia avvenuta alcuna manipolazione al di fuori della catena C2PA. Qualcuno può mettere in scena una fotografia e firmarla comunque correttamente, e le modifiche fatte con strumenti che non partecipano allo standard non lasciano traccia nel manifesto. Leggi una firma valida come provenienza confermata, non come verità confermata.

Leggere le Content Credentials carica il mio file da qualche parte?

No. Il lettore C2PA analizza il file interamente nel tuo browser, quindi l'immagine, il video o il documento resta sul tuo dispositivo. Puoi verificarlo aprendo gli strumenti per sviluppatori del browser e osservando la scheda Rete mentre carichi un file: non viene effettuata alcuna richiesta di caricamento.