Credenciales de contenido C2PA: qué son y cómo comprobarlas

A medida que las imágenes generadas con IA son más difíciles de distinguir de las fotografías, la industria tecnológica ha apostado por una respuesta común a la pregunta «¿de dónde viene esto?». Se llama C2PA, y puede que ya hayas visto su pequeño icono «CR» de credenciales de contenido en alguna imagen.

Esta guía explica qué es C2PA, qué contiene, quién lo añade, cómo comprobar si un archivo lo lleva y qué no puede hacer.

Qué es C2PA

C2PA son las siglas de Coalition for Content Provenance and Authenticity (Coalición para la procedencia y autenticidad del contenido), un grupo del sector fundado en 2021 por empresas como Adobe, Microsoft, Intel y la BBC, al que se han unido después Google, OpenAI, Meta, Sony, Samsung y muchas otras. La coalición publica un estándar técnico abierto para registrar la procedencia de los medios digitales: cómo se creó y modificó un contenido.

Content Credentials (credenciales de contenido) es el nombre de cara al público de los datos C2PA, impulsado por la Content Authenticity Initiative (CAI) que lidera Adobe.

Qué contiene un manifiesto C2PA

Los datos C2PA se guardan como un manifiesto dentro del archivo. Un manifiesto suele contener:

• Generador de la declaración (claim generator): la app o el dispositivo que creó el registro, por ejemplo un modelo de cámara, una app de edición o un servicio de imágenes con IA.
• Acciones: qué se hizo con el contenido —creado, abierto, editado, recortado, colocado— y si se usó una herramienta de IA generativa.
• Tipo de origen digital: por ejemplo, que el contenido lo creó un algoritmo entrenado (IA).
• Ingredientes: versiones anteriores u otros archivos que se combinaron en este, cada uno con su propio historial.
• Hash: una huella de los datos de imagen, para detectar cualquier cambio posterior a la firma.
• Firma: una firma criptográfica con el certificado del firmante, que demuestra qué organización o dispositivo hizo la declaración y que el manifiesto no se ha alterado.

En los JPEG, el manifiesto se guarda en segmentos APP11 con un formato contenedor llamado JUMBF. Los PNG lo guardan en un fragmento caBX, y los WebP en un fragmento C2PA.

Quién añade C2PA a las imágenes

Generadores de imágenes con IA

Varios servicios de IA importantes adjuntan credenciales de contenido a las imágenes que producen, entre ellos las herramientas de imagen de OpenAI y Adobe Firefly. Otros registran el uso de IA mediante campos IPTC o marcas de agua invisibles; Google, por ejemplo, usa marcas SynthID además de los metadatos.

Cámaras y móviles

• Google Pixel 10 (2025) firma por defecto las fotos con credenciales de contenido al hacerlas.
• Samsung Galaxy S25 añade credenciales a las imágenes creadas o editadas con sus funciones de IA generativa.
• Fabricantes como Leica, Nikon, Canon, Sony, Fujifilm y Panasonic han lanzado cámaras compatibles con C2PA, sobre todo para fotoperiodistas.

Software de edición

Adobe Photoshop y Lightroom pueden adjuntar credenciales de contenido, y usar funciones generativas puede dejar constancia de que intervino la IA.

Qué plataformas lo muestran

• LinkedIn muestra un icono de credenciales de contenido en las imágenes que las llevan; al hacer clic aparece un resumen.
• TikTok ha usado las credenciales de contenido para ayudar a etiquetar contenido generado con IA.
• Meta (Instagram, Facebook, Threads) lee señales C2PA e IPTC como parte de su etiqueta «Información de IA»; mira por qué Instagram muestra «Información de IA» en fotos reales.
• Algunas redacciones y bancos de imágenes lo usan para verificar fotos.

Cómo comprobar si una imagen tiene C2PA

1. Abre la imagen en el visor de metadatos de TraceWipe.
2. Si hay C2PA, la parte superior del informe muestra «C2PA Content Credentials» en el recuadro de huellas de IA, y el grupo Bloques de datos incrustados lista el bloque JUMBF/C2PA y su tamaño.
3. Cuando es legible, el visor también muestra el texto del generador de la declaración (por ejemplo, el nombre del servicio de IA).

Para verificar criptográficamente un manifiesto —comprobar la firma y el certificado del firmante— usa la herramienta oficial Verify de la CAI en contentcredentials.org/verify.

Los límites de C2PA

C2PA es útil, pero no es un detector de IA y, en la práctica, no es a prueba de manipulaciones:

• Registra lo que se declaró, no lo que es verdad. Un manifiesto dice lo que comunicó la herramienta que firmó. No analiza los píxeles.
• Es fácil de eliminar. Como otros metadatos, el manifiesto se puede quitar al volver a guardar, al hacer una captura o con un eliminador de metadatos. Muchos procesos de subida también lo eliminan. Por eso el sector trabaja en credenciales «duraderas» que combinan manifiestos con marcas de agua y huellas.
• Que no haya credenciales no demuestra nada. La mayoría de las imágenes en circulación no tienen datos C2PA, así que su ausencia no significa que una imagen sea real o falsa.
• La adopción aún es temprana. Informes del sector de 2026 estiman que solo una pequeña parte de las imágenes informativas publicadas lleva datos C2PA.
• Puede etiquetar de más. Un pequeño retoque asistido por IA puede producir la misma señal de «se usó IA» que una imagen generada por completo.

¿Conviene conservar o eliminar C2PA?

Consérvalo cuando la procedencia te ayude: eres fotógrafo y quieres demostrar que una imagen es auténtica, una redacción que documenta sus ediciones o un creador que quiere ser transparente con el uso de IA.

Elimínalo cuando revele más de lo que quieres o tergiverse una foto auténtica; por ejemplo, una foto real marcada por un pequeño retoque con IA. Los manifiestos también pueden incluir detalles del dispositivo, el software y los pasos de edición. El eliminador de metadatos de TraceWipe borra los bloques C2PA junto con EXIF, XMP e IPTC, sin recomprimir JPEG, PNG ni WebP.

Si una imagen está generada en gran parte con IA, indícalo al compartirla: las normas de las plataformas y leyes como la Ley de IA de la UE lo exigen cada vez más.

Preguntas frecuentes

¿C2PA es lo mismo que una marca de agua?

No. C2PA son metadatos adjuntos al archivo. Una marca de agua (visible o invisible, como SynthID) forma parte de los píxeles de la imagen. Eliminar los metadatos no elimina una marca de agua.

¿Eliminar C2PA daña la imagen?

No. El manifiesto es un bloque separado del archivo. Quitarlo correctamente deja intactos los datos de imagen.

¿Se puede falsificar C2PA?

La firma hace muy difícil modificar sin que se note un manifiesto firmado, pero un manifiesto solo es tan fiable como el certificado que lo firmó, y eliminarlo por completo es fácil.