Artykuł

Zrozumieć Content Credentials i standard C2PA

Być może widziałeś na zdjęciu małą odznakę informującą, że nosi ono Content Credentials, albo czytałeś, że aparat lub aplikacja do edycji podpisuje teraz swoje pliki standardem C2PA. Oto prosty opis tego, czym jest ta informacja, co może ci powiedzieć i jakie trzy ograniczenia warto mieć na uwadze, zanim potraktujesz ją jako dowód czegokolwiek.

Napisał Bastien Sulyan · Opublikowano 20 czerwca 2026

Czym są Content Credentials i standard C2PA

C2PA to skrót od Coalition for Content Provenance and Authenticity, branżowej grupy, która publikuje otwartą specyfikację dołączania do pliku multimedialnego danych o pochodzeniu odpornych na manipulacje. Content Credentials to skierowana do użytkownika nazwa tych danych, gdy zapisują je aparaty, telefony i oprogramowanie do edycji. W praktyce jest to mały podpisany zapis osadzony wewnątrz pliku obrazu, wideo lub dźwięku. Zapis może wymieniać takie rzeczy jak to, które urządzenie lub aplikacja wytworzyła plik, kiedy został utworzony i jakie działania edycyjne zastosowano po drodze, na przykład przycięcie lub korekcję kolorów. Podpis kryptograficzny otacza zapis tak, że każda późniejsza zmiana chronionej treści łamie pieczęć. Celem jest pochodzenie, udokumentowany łańcuch tego, skąd plik pochodzi, a nie werdykt o tym, czy treść jest prawdziwa.

Łańcuch manifestu C2PA: plik multimedialny, manifest z asercjami, podpis kryptograficzny, a następnie walidacja względem certyfikatu wystawcy

Co robi z nimi nasz czytnik

Czytnik C2PA na tej stronie odczytuje manifest Content Credentials, gdy jest obecny, i pokazuje ci zawarte w nim deklaracje, w twojej przeglądarce, bez przesyłania czegokolwiek. Plik, który upuszczasz, jest analizowany lokalnie, więc zdjęcie ani dokument nigdy nie opuszcza twojego urządzenia. Gdy manifest zostanie znaleziony, widzisz wystawcę, zapisane działania oraz to, czy podpis jest poprawny względem osadzonego certyfikatu. To opis, a nie ocena: narzędzie zgłasza sygnały, które faktycznie są w pliku. Łączy się naturalnie z czytnikiem EXIF, który ujawnia metadane aparatu i lokalizacji, oraz z przeglądarką metadanych Office dla dokumentów, dzięki czemu możesz zbadać kilka warstw pochodzenia obok siebie, nie powierzając oryginału serwerowi.

Trzy ograniczenia, które warto wyrazić wprost

Po pierwsze, czytnik może pokazać Content Credentials tylko wtedy, gdy są obecne. Większość plików będących dziś w obiegu nie nosi ich wcale, ponieważ urządzenie lub oprogramowanie, które je stworzyło, nigdy żadnych nie zapisało. Po drugie, brak Content Credentials niczego nie dowodzi w kwestii autentyczności. Plik bez manifestu nie jest fałszywy i nie jest też prawdziwy; po prostu nie ma żadnego zapisu pochodzenia do odczytania, co jest normalnym stanem dla zdecydowanej większości mediów. Potraktowanie brakującego manifestu jako oznaki manipulacji byłoby błędem. Po trzecie, ważny podpis nie gwarantuje, że niczym nie manipulowano. Podpis potwierdza, że treść odpowiada podpisanemu zapisowi i że zapis pochodzi od wskazanego wystawcy. Nie poświadcza, że scena przed obiektywem była prawdziwa, że nie doszło do edycji poza łańcuchem C2PA, ani że pierwotne ujęcie było uczciwe. Pochodzenie i prawda to różne pytania.

Trzy ograniczenia Content Credentials: brak niczego nie dowodzi, ważny podpis uwierzytelnia podpisującego, a nie scenę, a poświadczenia mogą zostać usunięte przy ponownym kodowaniu

Odpowiedzialne czytanie pochodzenia

Sensownym sposobem traktowania Content Credentials jest postrzeganie ich jako jednego z wielu elementów kontekstu, a nie jako pojedynczej odpowiedzi tak lub nie. Gdy manifest jest obecny, a jego podpis jest poprawny, dowiadujesz się czegoś konkretnego o tym, jak plik został wytworzony i zredagowany. Gdy go brak, dowiedziałeś się jedynie, że nie ma zapisu, i wracasz do tej samej oceny, którą zastosowałbyś do dowolnego nieoznaczonego pliku. Celowo nie oferujemy żadnej funkcji wykrywania sztucznej inteligencji, ponieważ żadne narzędzie nie potrafi wiarygodnie rozstrzygnąć, czy treść została wygenerowana lub zmieniona, a pewne twierdzenie w którąkolwiek stronę byłoby nieuczciwe. Jeśli przed publikacją chcesz usunąć metadane, których nie zamierzałeś udostępniać, przewodnik o usuwaniu danych EXIF i GPS ze zdjęć oraz przewodnik o usuwaniu metadanych z dokumentów Word omawiają praktyczne kroki, a wszystko to działa lokalnie na twoim własnym urządzeniu.

Kryptograficzna architektura manifestów C2PA

Bezpieczeństwo frameworka Content Credentials opiera się na standardowej Infrastrukturze Klucza Publicznego (PKI) i dobrze ugruntowanych algorytmach haszowania. Gdy zgodna aplikacja generuje manifest C2PA, oblicza kryptograficzny skrót bazowych danych medialnych, zazwyczaj przy użyciu SHA-256 lub SHA-384. Ten skrót jest przechowywany w magazynie asercji wewnątrz manifestu. Manifest jest następnie podpisany cyfrowo przy użyciu certyfikatu X.509: wystawca podpisuje skrót manifestu swoim kluczem prywatnym. Walidacja wykonuje dwa niezależne sprawdzenia: weryfikuje sygnaturę względem klucza publicznego wystawcy, potwierdzając, że manifest został utworzony przez wskazany podmiot i nie został zmieniony, oraz ponownie haszuje dane medialne, aby potwierdzić zgodność z zapisanym skrótem. Zmiana jednego piksela całkowicie zmienia skrót mediów, łamiąc kryptograficzną pieczęć i dając nieprawidłowy wynik walidacji.

Struktury JUMBF i osadzanie metadanych

Dane C2PA są osadzane w plikach przy użyciu JPEG Universal Metadata Box Format (JUMBF), znormalizowanego w ISO/IEC 19566-5. JUMBF pozwala na wstrzykiwanie hierarchicznych struktur danych do plików medialnych bez wpływu na starsze parsery. W pliku JPEG pole JUMBF znajduje się wewnątrz segmentu znacznika aplikacji APP11. W plikach wideo lub audio MP4 zajmuje specyficzne pole uuid w strukturze ISO Base Media File Format. Magazyn manifestów przechowywany w tym kontenerze zawiera aktywny manifest oraz wszelkie historyczne manifesty tworzące łańcuch proweniencji. Ponieważ JUMBF obsługuje dane referencyjne, manifest może zawierać miniatury pliku na poprzednich etapach edycji, umożliwiając recenzentom inspekcję zarejestrowanych zmian, takich jak przycięcia lub korekty kolorów. Przeglądarkowy czytnik wyodrębnia te pola JUMBF, parsuje dane manifestu zakodowane w CBOR i wykonuje kryptograficzną walidację wyłącznie przez lokalne WebCrypto API, więc plik nigdy nie musi trafiać na serwer walidacji.

Narzędzia w tym artykule

Najczęściej zadawane pytania

Jeśli zdjęcie nie ma Content Credentials, czy to znaczy, że zostało sfałszowane lub zedytowane?

Nie. Brak manifestu mówi ci tylko tyle, że nie zapisano żadnego zapisu pochodzenia, co jest normalną sytuacją dla niemal każdego pliku w obiegu. Nie jest to dowód edycji ani dowód autentyczności. Z brakującego manifestu nie da się wyczytać niczego ponad fakt, że nie ma czego czytać.

Jeśli podpis C2PA jest ważny, czy mogę ufać, że obraz jest prawdziwy i niezmieniony?

Ważny podpis potwierdza, że treść odpowiada podpisanemu zapisowi i że zapis pochodzi od wskazanego wystawcy. Nie dowodzi, że scena była prawdziwa ani że nie doszło do żadnej manipulacji poza łańcuchem C2PA. Ktoś może zaaranżować fotografię i mimo to poprawnie ją podpisać, a edycje wykonane narzędziami, które nie uczestniczą w standardzie, nie zostawiają śladu w manifeście. Odczytuj ważny podpis jako potwierdzone pochodzenie, a nie jako potwierdzoną prawdę.

Czy odczytanie Content Credentials gdzieś przesyła mój plik?

Nie. Czytnik C2PA analizuje plik w całości w twojej przeglądarce, więc obraz, wideo lub dokument pozostaje na twoim urządzeniu. Możesz to potwierdzić, otwierając narzędzia deweloperskie przeglądarki i obserwując kartę Sieć podczas wczytywania pliku: żadne żądanie przesłania nie zostaje wykonane.