Artikel

Content Credentials en C2PA begrijpen

Misschien heb je op een foto een klein badge gezien dat beweert dat die Content Credentials bevat, of gelezen dat een camera of bewerkingsapp zijn uitvoer nu met C2PA ondertekent. Hier volgt een duidelijke uitleg van wat die informatie is, wat ze je kan vertellen, en de drie grenzen die je in gedachten moet houden voordat je ze als bewijs van wat dan ook behandelt.

Geschreven door Bastien Sulyan · Gepubliceerd op 20 juni 2026

Wat Content Credentials en C2PA zijn

C2PA staat voor de Coalition for Content Provenance and Authenticity, een brancheorganisatie die een open specificatie publiceert om herkomstgegevens, waaraan je geknoei kunt herkennen, aan een mediabestand toe te voegen. Content Credentials is de naam waaronder die gegevens aan de gebruiker worden getoond wanneer ze door camera's, telefoons en bewerkingssoftware worden weggeschreven. In de praktijk is het een klein ondertekend record dat in het afbeeldings-, video- of audiobestand is ingebed. Dat record kan zaken vermelden zoals welk apparaat of welke toepassing het bestand maakte, wanneer het is gemaakt, en welke bewerkingshandelingen onderweg zijn toegepast, zoals een uitsnede of een kleuraanpassing. Een cryptografische handtekening omsluit het record, zodat elke latere wijziging aan de beschermde inhoud het zegel verbreekt. Het doel is herkomst, een gedocumenteerde keten van waar een bestand vandaan komt, en niet een oordeel over de vraag of de inhoud waar is.

Keten van een C2PA-manifest: mediabestand, manifest met assertions, cryptografische handtekening, gevolgd door validatie tegen het certificaat van de uitgever

Wat onze lezer ermee doet

De C2PA-lezer op deze site leest het Content Credentials-manifest in wanneer er een aanwezig is en toont je de beweringen die het bevat, in je browser, zonder dat er iets wordt geüpload. Het bestand dat je erin sleept, wordt lokaal ontleed, dus de foto of het document verlaat je apparaat nooit. Wanneer er een manifest wordt gevonden, zie je de uitgever, de vastgelegde handelingen, en of de handtekening klopt ten opzichte van het ingebedde certificaat. Dit is beschrijvend, geen oordeel: het hulpmiddel rapporteert de signalen die werkelijk in het bestand staan. Het past van nature bij de EXIF-lezer, die metadata over camera en locatie blootlegt, en bij de Office-metadataviewer voor documenten, zodat je verschillende lagen van herkomst naast elkaar kunt inspecteren zonder een server het origineel toe te vertrouwen.

Drie grenzen die de moeite waard zijn om helder te benoemen

Ten eerste kan een lezer Content Credentials alleen tonen wanneer die aanwezig zijn. De meeste bestanden die vandaag in omloop zijn, bevatten er helemaal geen, omdat het apparaat of de software die ze maakte er nooit iets in heeft weggeschreven. Ten tweede bewijst de afwezigheid van Content Credentials niets over echtheid. Een bestand zonder manifest is niet vals, en het is evenmin echt; het heeft simpelweg geen herkomstrecord om te lezen, wat de normale toestand is voor de overgrote meerderheid van media. Een ontbrekend manifest behandelen als een teken van manipulatie zou een vergissing zijn. Ten derde garandeert een geldige handtekening niet dat er niets is gemanipuleerd. De handtekening bevestigt dat de inhoud overeenkomt met het ondertekende record en dat het record afkomstig is van de vermelde uitgever. Ze waarborgt niet dat het tafereel voor de camera echt was, dat er buiten de C2PA-keten geen bewerking heeft plaatsgevonden, of dat de oorspronkelijke opname eerlijk was. Herkomst en waarheid zijn verschillende vragen.

De drie beperkingen van Content Credentials: afwezigheid bewijst niets, een geldige handtekening authenticeert de ondertekenaar en niet de scène, en credentials kunnen bij het opnieuw coderen verwijderd worden

Herkomst verantwoord lezen

De nuttige manier om Content Credentials te benaderen is als één stukje context tussen meerdere, en niet als één enkel ja-of-nee-antwoord. Wanneer een manifest aanwezig is en de handtekening ervan klopt, leer je iets concreets over hoe het bestand is geproduceerd en bewerkt. Wanneer het ontbreekt, heb je alleen geleerd dat er geen record is, en val je terug op hetzelfde oordeel dat je op elk bestand zonder label zou toepassen. We bieden bewust geen enkele AI-detectiefunctie aan, omdat geen enkel hulpmiddel betrouwbaar kan bepalen of inhoud is gegenereerd of gewijzigd, en een stellige bewering in welke richting dan ook oneerlijk zou zijn. Wil je metadata verwijderen die je niet van plan was te delen voordat je publiceert, dan behandelen de gids over het verwijderen van EXIF- en GPS-gegevens uit foto's en de gids over het verwijderen van metadata uit Word-documenten de praktische stappen, alles draaiend op je eigen apparaat.

De cryptografische architectuur van C2PA-manifesten

De beveiliging van het Content Credentials-raamwerk berust op standaard Public Key Infrastructure (PKI) en goed ingeburgerde hashalgoritmen. Wanneer een compatibele applicatie een C2PA-manifest genereert, berekent het een cryptografische hash van de onderliggende mediadata, doorgaans met SHA-256 of SHA-384. Die hash wordt opgeslagen in de assertion store in het manifest. Het manifest wordt vervolgens digitaal ondertekend met een X.509-certificaat: de uitgevende partij ondertekent de manifest-hash met hun privésleutel. Validatie voert twee onafhankelijke controles uit: het verifieert de handtekening aan de hand van de publieke sleutel van de uitgevende partij, waarmee wordt bevestigd dat het manifest is aangemaakt door de geclaimde entiteit en niet is gewijzigd, en het hasht de mediadata opnieuw om te bevestigen dat deze overeenkomt met de vastgelegde hash. Één gewijzigde pixel verandert de mediahash volledig, waardoor het cryptografische zegel wordt verbroken en een ongeldig validatieresultaat wordt geproduceerd.

JUMBF-structuren en het insluiten van metadata

C2PA-data wordt in bestanden ingebed via het JPEG Universal Metadata Box Format (JUMBF), gestandaardiseerd onder ISO/IEC 19566-5. JUMBF maakt het mogelijk hiërarchische datastructuren in mediabestanden te injecteren zonder dat dit van invloed is op oudere parsers. In een JPEG-bestand bevindt de JUMBF-box zich in een APP11-applicatiemarkeringsegment. In MP4-video- of audiobestanden neemt het een specifieke uuid-box in binnen de ISO Base Media File Format-structuur. De in deze container opgeslagen manifest store bevat het actieve manifest en eventuele historische manifesten die de herkomstchain vormen. Omdat JUMBF geciteerde data ondersteunt, kan een manifest miniaturen van het bestand bij eerdere bewerkingsstadia bevatten, waarmee reviewers vastgelegde wijzigingen zoals uitsnijdingen of kleurcorrecties kunnen inspecteren. Een browsergebaseerde lezer extraheert deze JUMBF-boxes, parseert de CBOR-gecodeerde manifestdata en voert cryptografische validatie volledig uit via lokale WebCrypto API's, zodat het bestand nooit een validatieserver hoeft te bereiken.

Tools in dit artikel

Veelgestelde vragen

Als een foto geen Content Credentials heeft, betekent dat dan dat hij vervalst of bewerkt is?

Nee. De afwezigheid van een manifest vertelt je alleen dat er geen herkomstrecord is weggeschreven, wat de normale situatie is voor bijna elk bestand in omloop. Het is geen bewijs van bewerking, en het is geen bewijs van echtheid. Je kunt uit een ontbrekend manifest niets afleiden behalve het feit dat er niets te lezen valt.

Als de C2PA-handtekening geldig is, kan ik er dan op vertrouwen dat de afbeelding echt en onveranderd is?

Een geldige handtekening bevestigt dat de inhoud overeenkomt met het ondertekende record en dat het record afkomstig is van de vermelde uitgever. Ze bewijst niet dat het tafereel echt was of dat er geen manipulatie buiten de C2PA-keten heeft plaatsgevonden. Iemand kan een foto ensceneren en die toch correct ondertekenen, en bewerkingen met hulpmiddelen die niet aan de standaard deelnemen, laten geen spoor na in het manifest. Lees een geldige handtekening als bevestigde herkomst, niet als bevestigde waarheid.

Wordt mijn bestand ergens geüpload als ik Content Credentials lees?

Nee. De C2PA-lezer ontleedt het bestand volledig in je browser, dus de afbeelding, video of het document blijft op je apparaat. Je kunt dit bevestigen door de ontwikkelaarshulpmiddelen van je browser te openen en het tabblad Netwerk in de gaten te houden terwijl je een bestand laadt: er wordt geen uploadverzoek gedaan.