Content Credentials C2PA explicados: o que são e como verificar

À medida que imagens geradas por IA ficam mais difíceis de distinguir de fotografias, a indústria de tecnologia apostou em uma resposta comum para a pergunta “de onde veio isto?”. Ela se chama C2PA, e talvez você já tenha visto o pequeno ícone “CR” de Content Credentials em alguma imagem.

Este guia explica o que é o C2PA, o que ele contém, quem o adiciona, como verificar se um arquivo o possui — e o que ele não consegue fazer.

O que é C2PA

C2PA significa Coalition for Content Provenance and Authenticity (Coalizão para Procedência e Autenticidade de Conteúdo), um grupo do setor fundado em 2021 por empresas como Adobe, Microsoft, Intel e BBC, ao qual depois se juntaram Google, OpenAI, Meta, Sony, Samsung e muitas outras. A coalizão publica um padrão técnico aberto para registrar a procedência de mídias digitais — como um conteúdo foi criado e alterado.

Content Credentials (credenciais de conteúdo) é o nome voltado ao público para os dados C2PA, promovido pela Content Authenticity Initiative (CAI), liderada pela Adobe.

O que há em um manifesto C2PA

Os dados C2PA ficam guardados como um manifesto dentro do arquivo. Um manifesto normalmente contém:

• Gerador da declaração (claim generator) — o app ou aparelho que criou o registro, por exemplo um modelo de câmera, um app de edição ou um serviço de imagens com IA.
• Ações — o que foi feito com o conteúdo: criado, aberto, editado, cortado, inserido e se foi usada uma ferramenta de IA generativa.
• Tipo de origem digital — por exemplo, que o conteúdo foi criado por um algoritmo treinado (IA).
• Ingredientes — versões anteriores ou outros arquivos combinados neste, cada um com seu próprio histórico.
• Hash — uma impressão digital dos dados da imagem, para detectar qualquer alteração após a assinatura.
• Assinatura — uma assinatura criptográfica com o certificado de quem assinou, provando qual organização ou aparelho fez a declaração e que o manifesto não foi alterado.

Em arquivos JPEG, o manifesto fica em segmentos APP11 usando um formato contêiner chamado JUMBF. Arquivos PNG o guardam em um bloco caBX, e WebP em um bloco C2PA.

Quem adiciona C2PA às imagens

Geradores de imagens com IA

Vários grandes serviços de IA anexam Content Credentials às imagens que produzem, incluindo as ferramentas de imagem da OpenAI e o Adobe Firefly. Outros registram o uso de IA por campos IPTC ou marcas d’água invisíveis — o Google, por exemplo, usa marcas SynthID além dos metadados.

Câmeras e celulares

• O Google Pixel 10 (2025) assina as fotos com Content Credentials por padrão no momento da captura.
• O Samsung Galaxy S25 adiciona credenciais às imagens criadas ou editadas com seus recursos de IA generativa.
• Fabricantes como Leica, Nikon, Canon, Sony, Fujifilm e Panasonic lançaram câmeras compatíveis com C2PA, voltadas principalmente a fotojornalistas.

Softwares de edição

Adobe Photoshop e Lightroom podem anexar Content Credentials, e usar recursos generativos pode registrar que houve IA envolvida.

Quais plataformas exibem

• O LinkedIn mostra um ícone de Content Credentials nas imagens que as possuem; ao clicar, aparece um resumo.
• O TikTok usou Content Credentials para ajudar a etiquetar conteúdo gerado por IA.
• A Meta (Instagram, Facebook, Threads) lê sinais C2PA e IPTC como parte da etiqueta “Informações de IA” — veja por que o Instagram mostra “Informações de IA” em fotos reais.
• Algumas redações e bancos de imagens o usam para verificar fotos.

Como verificar se uma imagem tem C2PA

1. Abra a imagem no visualizador de metadados do TraceWipe.
2. Se houver C2PA, o topo do relatório mostra “C2PA Content Credentials” na caixa de rastros de IA, e o grupo Blocos de dados incorporados lista o bloco JUMBF/C2PA e seu tamanho.
3. Quando legível, o visualizador também mostra o texto do gerador da declaração (por exemplo, o nome do serviço de IA).

Para verificar criptograficamente um manifesto — conferir a assinatura e o certificado de quem assinou —, use a ferramenta oficial Verify da CAI em contentcredentials.org/verify.

Os limites do C2PA

O C2PA é útil, mas não é um detector de IA e, na prática, não é à prova de adulteração:

• Registra o que foi declarado, não o que é verdade. Um manifesto informa o que a ferramenta que assinou relatou. Não analisa os pixels.
• É fácil de remover. Como outros metadados, o manifesto pode ser apagado ao salvar de novo, tirar uma captura de tela ou usar um removedor de metadados. Muitos processos de upload também o removem. Por isso o setor trabalha em credenciais “duráveis”, que combinam manifestos com marcas d’água e impressões digitais.
• A ausência de credenciais não prova nada. A maioria das imagens em circulação não tem dados C2PA, então a ausência não significa que uma imagem seja real ou falsa.
• A adoção ainda é inicial. Relatórios do setor de 2026 estimam que só uma pequena parte das imagens jornalísticas publicadas tem dados C2PA.
• Pode etiquetar demais. Um pequeno retoque com IA pode gerar o mesmo sinal de “IA foi usada” que uma imagem totalmente gerada.

Manter ou remover o C2PA?

Mantenha quando a procedência ajuda você: você é fotógrafo e quer provar a autenticidade de uma imagem, uma redação que documenta edições ou um criador que quer ser transparente sobre o uso de IA.

Remova quando ele expõe mais do que você pretende ou distorce uma foto genuína — por exemplo, uma foto real sinalizada por causa de um pequeno retoque com IA. Os manifestos também podem incluir detalhes do aparelho, do software e das etapas de edição. O removedor de metadados do TraceWipe apaga os blocos C2PA junto com EXIF, XMP e IPTC, sem recomprimir imagens JPEG, PNG ou WebP.

Se uma imagem é em grande parte gerada por IA, informe isso ao compartilhar — regras das plataformas e leis como o AI Act da UE exigem cada vez mais.

Perguntas frequentes

C2PA é a mesma coisa que marca d’água?

Não. C2PA são metadados anexados ao arquivo. Uma marca d’água (visível ou invisível, como o SynthID) faz parte dos pixels da imagem. Remover metadados não remove uma marca d’água.

Remover o C2PA danifica a imagem?

Não. O manifesto é um bloco separado no arquivo. Removê-lo corretamente deixa os dados da imagem intactos.

O C2PA pode ser falsificado?

A assinatura torna muito difícil alterar um manifesto assinado sem deixar rastro, mas um manifesto só é tão confiável quanto o certificado que o assinou — e removê-lo por completo é fácil.