Artigo

Entendendo as Content Credentials e o padrão C2PA

Talvez você tenha visto um pequeno selo em uma foto afirmando que ela carrega Content Credentials, ou tenha lido que uma câmera ou um aplicativo de edição agora assina seus arquivos com C2PA. Aqui está uma explicação simples sobre o que é essa informação, o que ela pode lhe dizer e os três limites que você deve ter em mente antes de tratá-la como prova de qualquer coisa.

Escrito por Bastien Sulyan · Publicado em 20 de junho de 2026

O que são as Content Credentials e o padrão C2PA

C2PA é a sigla de Coalition for Content Provenance and Authenticity, um grupo do setor que publica uma especificação aberta para anexar a um arquivo de mídia dados de procedência à prova de adulteração. Content Credentials é o nome voltado ao usuário para esses dados quando são gravados por câmeras, telefones e softwares de edição. Na prática, trata-se de um pequeno registro assinado embutido dentro do arquivo de imagem, vídeo ou áudio. O registro pode listar coisas como qual dispositivo ou aplicativo produziu o arquivo, quando ele foi criado e quais ações de edição foram aplicadas ao longo do caminho, como um recorte ou um ajuste de cor. Uma assinatura criptográfica envolve o registro de modo que qualquer alteração posterior no conteúdo protegido rompe o lacre. O objetivo é a procedência, uma cadeia documentada de onde um arquivo veio, e não um veredito sobre se o conteúdo é verdadeiro.

Cadeia de um manifesto C2PA: arquivo de mídia, manifesto com asserções, assinatura criptográfica e depois validação em relação ao certificado do emissor

O que o nosso leitor faz com elas

O leitor C2PA deste site lê o manifesto das Content Credentials quando há um presente e mostra a você as declarações que ele contém, no seu navegador, sem enviar nada. O arquivo que você solta é analisado localmente, então a foto ou o documento nunca sai do seu dispositivo. Quando um manifesto é encontrado, você vê o emissor, as ações registradas e se a assinatura é validada em relação ao certificado embutido. Isso é descritivo, não um julgamento: a ferramenta relata os sinais que realmente estão no arquivo. Ela combina naturalmente com o leitor EXIF, que revela os metadados de câmera e localização, e com o visualizador de metadados do Office para documentos, de modo que você pode inspecionar várias camadas de procedência lado a lado sem confiar o original a um servidor.

Três limites que vale dizer com clareza

Primeiro, um leitor só pode mostrar as Content Credentials quando elas estão presentes. A maioria dos arquivos em circulação hoje não carrega nenhuma, porque o dispositivo ou software que os criou nunca gravou nada. Segundo, a ausência de Content Credentials não prova nada sobre a autenticidade. Um arquivo sem manifesto não é falso, e também não é genuíno; ele simplesmente não tem nenhum registro de procedência para ler, o que é o estado normal da grande maioria das mídias. Tratar um manifesto ausente como sinal de manipulação seria um erro. Terceiro, uma assinatura válida não garante que nada foi manipulado. A assinatura confirma que o conteúdo corresponde ao registro assinado e que o registro veio do emissor indicado. Ela não certifica que a cena diante da câmera era real, que uma edição fora da cadeia C2PA não aconteceu, ou que a captura original foi honesta. Procedência e verdade são perguntas diferentes.

Os três limites das Content Credentials: a ausência não prova nada, uma assinatura válida autentica quem assinou e não a cena, e as credenciais podem ser removidas ao recodificar

Ler a procedência com responsabilidade

A maneira útil de tratar as Content Credentials é como uma peça de contexto entre várias, não como uma única resposta de sim ou não. Quando um manifesto está presente e sua assinatura é validada, você aprende algo concreto sobre como o arquivo foi produzido e editado. Quando ele está ausente, você aprendeu apenas que não há registro, e recorre ao mesmo julgamento que aplicaria a qualquer arquivo sem rótulo. Deliberadamente não oferecemos nenhum recurso de detecção de IA, porque nenhuma ferramenta pode decidir de forma confiável se um conteúdo foi gerado ou alterado, e uma afirmação categórica em qualquer sentido seria desonesta. Se você quiser remover metadados que não pretendia compartilhar antes de publicar, o guia sobre remover dados EXIF e GPS de fotos e o guia sobre remover metadados de documentos do Word cobrem os passos práticos, tudo isso rodando localmente no seu próprio dispositivo.

A arquitetura criptográfica dos manifestos C2PA

A segurança do framework Content Credentials baseia-se na Infraestrutura de Chave Pública (PKI) padrão e em algoritmos de hash bem estabelecidos. Quando uma aplicação compatível gera um manifesto C2PA, ela computa um hash criptográfico dos dados de mídia subjacentes, geralmente usando SHA-256 ou SHA-384. Esse hash é armazenado no repositório de asserções dentro do manifesto. O manifesto é então assinado digitalmente usando um certificado X.509: o emissor assina o hash do manifesto com sua chave privada. A validação realiza duas verificações independentes: verifica a assinatura contra a chave pública do emissor, confirmando que o manifesto foi criado pela entidade alegada e não foi alterado, e recalcula o hash dos dados de mídia para confirmar que corresponde ao hash registrado. Um único pixel alterado muda o hash de mídia por completo, quebrando o selo criptográfico e produzindo um resultado de validação inválido.

Estruturas JUMBF e incorporação de metadados

Os dados C2PA são incorporados em arquivos usando o JPEG Universal Metadata Box Format (JUMBF), padronizado sob a ISO/IEC 19566-5. O JUMBF permite que estruturas de dados hierárquicas sejam injetadas em arquivos de mídia sem afetar os parsers legados. Em um arquivo JPEG, a caixa JUMBF fica dentro de um segmento de marcador de aplicação APP11. Em arquivos de vídeo ou áudio MP4, ela ocupa uma caixa uuid específica dentro da estrutura ISO Base Media File Format. O repositório de manifestos mantido nesse contêiner inclui o manifesto ativo e quaisquer manifestos históricos que formam a cadeia de proveniência. Como o JUMBF suporta dados referenciados, um manifesto pode incluir miniaturas do arquivo em estágios anteriores de edição, permitindo que revisores inspecionem alterações registradas como cortes ou correções de cor. Um leitor baseado em navegador extrai essas caixas JUMBF, analisa os dados do manifesto codificados em CBOR e realiza a validação criptográfica inteiramente por meio das APIs locais WebCrypto, de modo que o arquivo nunca precisa chegar a um servidor de validação.

Ferramentas neste artigo

Perguntas frequentes

Se uma foto não tem Content Credentials, isso significa que ela foi falsificada ou editada?

Não. A ausência de um manifesto lhe diz apenas que nenhum registro de procedência foi gravado, o que é a situação normal de quase todos os arquivos em circulação. Não é evidência de edição, e não é evidência de autenticidade. De um manifesto ausente você não pode deduzir nada além do fato de que não há nada para ler.

Se a assinatura C2PA é válida, posso confiar que a imagem é real e não alterada?

Uma assinatura válida confirma que o conteúdo corresponde ao registro assinado e que o registro veio do emissor indicado. Ela não prova que a cena era real nem que nenhuma manipulação aconteceu fora da cadeia C2PA. Alguém pode encenar uma fotografia e ainda assim assiná-la corretamente, e edições feitas por ferramentas que não participam do padrão não deixam rastro no manifesto. Leia uma assinatura válida como procedência confirmada, não como verdade confirmada.

Ler as Content Credentials envia o meu arquivo para algum lugar?

Não. O leitor C2PA analisa o arquivo inteiramente no seu navegador, então a imagem, o vídeo ou o documento permanece no seu dispositivo. Você pode confirmar isso abrindo as ferramentas de desenvolvedor do seu navegador e observando a aba Rede enquanto carrega um arquivo: nenhuma solicitação de envio é feita.