Les Content Credentials C2PA expliqués : ce qu’ils sont et comment les vérifier

À mesure qu’il devient difficile de distinguer les images générées par IA des photographies, l’industrie technologique s’est rassemblée autour d’une réponse commune à la question « d’où vient cette image ? ». Elle s’appelle C2PA, et vous avez peut-être déjà vu sa petite icône « CR » de Content Credentials sur une image.

Ce guide explique ce qu’est C2PA, ce qu’il contient, qui l’ajoute, comment vérifier si un fichier en possède — et ce qu’il ne peut pas faire.

Qu’est-ce que C2PA

C2PA signifie Coalition for Content Provenance and Authenticity, un groupe industriel fondé en 2021 par des entreprises dont Adobe, Microsoft, Intel et la BBC, et rejoint depuis par Google, OpenAI, Meta, Sony, Samsung et bien d’autres. La coalition publie un standard technique ouvert pour enregistrer la provenance des médias numériques — comment un contenu a été créé et modifié.

Content Credentials est le nom grand public des données C2PA, promu par la Content Authenticity Initiative (CAI) pilotée par Adobe.

Ce que contient un manifeste C2PA

Les données C2PA sont stockées sous forme de manifeste dans le fichier. Un manifeste contient généralement :

Générateur de la déclaration (claim generator) — l’appli ou l’appareil qui a créé l’enregistrement, par exemple un modèle d’appareil photo, une appli de retouche ou un service d’images IA.
Actions — ce qui a été fait au contenu : créé, ouvert, modifié, recadré, placé, et si un outil d’IA générative a été utilisé.
Type de source numérique — par exemple, que le contenu a été créé par un algorithme entraîné (IA).
Ingrédients — versions antérieures ou autres fichiers combinés dans celui-ci, chacun avec son propre historique.
Hachage — une empreinte des données d’image, pour détecter toute modification après la signature.
Signature — une signature cryptographique issue du certificat du signataire, prouvant quelle organisation ou quel appareil a fait la déclaration et que le manifeste n’a pas été altéré.

Dans les JPEG, le manifeste se trouve dans des segments APP11 utilisant un format conteneur appelé JUMBF. Les PNG le stockent dans un bloc caBX, et les WebP dans un bloc C2PA.

Qui ajoute C2PA aux images

Les générateurs d’images IA

Plusieurs grands services d’IA joignent des Content Credentials aux images qu’ils produisent, dont les outils d’image d’OpenAI et Adobe Firefly. D’autres consignent l’usage de l’IA via des champs IPTC ou des filigranes invisibles — Google, par exemple, utilise des filigranes SynthID en plus des métadonnées.

Appareils photo et téléphones

Le Google Pixel 10 (2025) signe par défaut les photos avec des Content Credentials à la prise de vue.
Le Samsung Galaxy S25 ajoute des credentials aux images créées ou modifiées avec ses fonctions d’IA générative.
Des fabricants comme Leica, Nikon, Canon, Sony, Fujifilm et Panasonic ont lancé des appareils compatibles C2PA, surtout destinés aux photojournalistes.

Logiciels de retouche

Adobe Photoshop et Lightroom peuvent joindre des Content Credentials, et l’utilisation des fonctions génératives peut consigner l’intervention de l’IA.

Quelles plateformes l’affichent

LinkedIn affiche une icône Content Credentials sur les images qui en possèdent ; un clic en affiche un résumé.
TikTok a utilisé les Content Credentials pour aider à étiqueter les contenus générés par IA.
Meta (Instagram, Facebook, Threads) lit les signaux C2PA et IPTC dans le cadre de son étiquette « Infos IA » — voir pourquoi Instagram affiche « Infos IA » sur de vraies photos.
Certaines rédactions et banques d’images l’utilisent pour vérifier des images.

Comment vérifier si une image contient du C2PA

Ouvrez l’image dans la visionneuse de métadonnées TraceWipe.
Si du C2PA est présent, le haut du rapport affiche « C2PA Content Credentials » dans l’encadré des traces d’IA, et le groupe Blocs de données intégrés liste le bloc JUMBF/C2PA et sa taille.
Quand c’est lisible, la visionneuse montre aussi le texte du générateur de la déclaration (par exemple le nom du service d’IA).

Pour vérifier cryptographiquement un manifeste — contrôler la signature et le certificat du signataire —, utilisez l’outil officiel Verify de la CAI sur contentcredentials.org/verify.

Vérifiez les Content Credentials d’un fichier

Privé, dans le navigateur et gratuit.

Ouvrir la visionneuse de métadonnées →

Les limites de C2PA

C2PA est utile, mais ce n’est pas un détecteur d’IA et, en pratique, il n’est pas infalsifiable :

Il enregistre ce qui a été déclaré, pas ce qui est vrai. Un manifeste dit ce que l’outil signataire a rapporté. Il n’analyse pas les pixels.
Il est facile à supprimer. Comme d’autres métadonnées, le manifeste peut être retiré par un nouvel enregistrement, une capture d’écran ou un suppresseur de métadonnées. Beaucoup de chaînes de mise en ligne le suppriment aussi. C’est pourquoi le secteur travaille sur des credentials « durables » combinant manifestes, filigranes et empreintes.
L’absence de credentials ne prouve rien. La plupart des images en circulation n’ont aucune donnée C2PA ; leur absence ne signifie donc pas qu’une image est vraie ou fausse.
L’adoption est encore jeune. Des rapports sectoriels de 2026 estiment que seule une petite part des images d’actualité publiées contient des données C2PA.
Il peut sur-étiqueter. Une minuscule retouche assistée par IA peut produire le même signal « IA utilisée » qu’une image entièrement générée.

Faut-il garder ou supprimer C2PA ?

Gardez-le quand la provenance vous sert : vous êtes photographe et voulez prouver l’authenticité d’une image, une rédaction qui documente ses retouches ou un créateur qui veut être transparent sur l’usage de l’IA.

Supprimez-le quand il en révèle plus que voulu ou déforme la réalité d’une vraie photo — par exemple une vraie photo signalée à cause d’une petite retouche IA. Les manifestes peuvent aussi contenir des détails sur l’appareil, le logiciel et les étapes de retouche. Le suppresseur de métadonnées TraceWipe efface les blocs C2PA avec l’EXIF, le XMP et l’IPTC, sans recompresser les images JPEG, PNG ou WebP.

Si une image est en grande partie générée par IA, indiquez-le en la partageant — les règles des plateformes et des lois comme l’AI Act européen l’exigent de plus en plus.

Questions fréquentes

C2PA est-il la même chose qu’un filigrane ?

Non. C2PA, ce sont des métadonnées attachées au fichier. Un filigrane (visible ou invisible, comme SynthID) fait partie des pixels de l’image. Supprimer les métadonnées ne supprime pas un filigrane.

Supprimer C2PA endommage-t-il l’image ?

Non. Le manifeste est un bloc distinct dans le fichier. Le retirer correctement laisse les données d’image intactes.

C2PA peut-il être falsifié ?

La signature rend très difficile toute modification discrète d’un manifeste signé, mais un manifeste ne vaut que ce que vaut le certificat qui l’a signé, et le supprimer entièrement est facile.