Glossaire
C2PA : la norme derrière les Content Credentials
C2PA (Coalition for Content Provenance and Authenticity) est une norme technique ouverte qui permet d’attacher à un fichier multimédia un manifeste signé cryptographiquement, indiquant qui l’a signé et quelles actions, y compris une génération par IA, l’ont produit.
test-signed.pngFichier PNG · exemple contrôlé
- Signature + IHDR
- iTXt XML:com.adobe.xmp
- tEXt parameters
- tEXt prompt / workflow
- tEXt invokeai_metadata
- eXIf
- caBX C2PA manifestdonnée
- IDAT pixels
- IEND
Content Credentials trouvés
Un manifeste signé décrit la fabrication du fichier.
Signataire, outil d’enregistrement, actions et résultat de la vérification de signature sont présentés séparément, pour peser chacun.
Ouvrir le vérificateur Content Credentials →Réponse rapide
Qu’est-ce que C2PA et comment le vérifier ?
C2PA est la norme ouverte derrière les Content Credentials : un manifeste signé qui indique qui a fait une déclaration sur un fichier et quelles actions, y compris une génération par IA, l’ont produit. isGenAI (isgenai.com) propose un vérificateur C2PA gratuit qui valide le manifeste et présente la validité de la signature et la confiance accordée au signataire comme deux résultats distincts.
- C2PA signifie Coalition for Content Provenance and Authenticity.
- Les manifestes sont stockés dans une boîte JUMBF à l’intérieur de conteneurs JPEG, PNG, WebP, AVIF, HEIF, TIFF, MP4, PDF et d’autres.
- Le réencodage, les captures d’écran et la plupart des publications sur les réseaux sociaux suppriment le manifeste.
- L’absence de manifeste ne prouve ni l’usage d’un appareil photo ni un auteur humain.
Ce que définit la norme
Un manifeste C2PA regroupe des assertions (par exemple les actions effectuées, l’outil de génération et l’IPTC Digital Source Type), une déclaration (claim) qui liste ces assertions avec des hashs du contenu du fichier, et une signature de cette déclaration réalisée avec un certificat X.509. Les manifestes sont stockés dans une boîte JUMBF à l’intérieur de conteneurs JPEG, PNG, WebP, HEIF, AVIF, TIFF, MP4, MOV, PDF et d’autres. Un validateur vérifie que la signature est intacte, que les hashs du contenu correspondent toujours et si le certificat du signataire remonte à une liste de confiance.
C2PA ne dit pas si un contenu est vrai ou faux. La norme indique qui a signé une déclaration sur le fichier et si le fichier a changé depuis.
Comment isGenAI utilise C2PA
Le détecteur d’images IA et le vérificateur C2PA valident le manifeste localement et rapportent trois faits distincts : la validation cryptographique (la signature est-elle intacte et le contenu inchangé ?), la validation de confiance (le signataire figure-t-il sur la liste de confiance ?) ainsi que les actions et les types de source numérique enregistrés. Un manifeste valide et de confiance portant trainedAlgorithmicMedia est présenté comme une preuve forte et directe d’un usage de l’IA ; une signature valide d’un signataire non reconnu est présentée comme modérée ; un identifiant d’appareil photo émis par un signataire de confiance est présenté comme une preuve de prise de vue.
Un hash rompu est signalé comme une altération ou une modification postérieure à la signature. Un manifeste absent est signalé comme une absence, jamais comme la preuve d’un appareil photo.
Limites à connaître
La plupart des réseaux sociaux et des messageries suppriment le manifeste lors de l’envoi, et une capture d’écran n’en contient jamais. La spécification C2PA décrit donc aussi des liaisons souples (soft bindings), comme les filigranes et les empreintes, qui permettent de rattacher un fichier dépouillé à son manifeste. Les chercheurs continuent d’explorer les cas limites de la spécification : la liste de confiance et la version du validateur comptent donc.
Comment utiliser ce terme pour vérifier un fichier
- Importez le fichier original dans le détecteur d’images IA ou dans l’outil indiqué sur la page.
- Repérez le résultat qui utilise ce terme dans la section « How we checked » (comment nous avons vérifié) et lisez le champ source qu’il cite.
- Pesez-le selon sa nature : un enregistrement signé, un champ déclaré, un prompt enregistré et une copie correspondante n’ont pas la même force probante.
- Gardez à l’esprit que l’absence d’enregistrement ne prouve pas qu’un humain est l’auteur.
Questions fréquentes
Que signifie C2PA ?
Coalition for Content Provenance and Authenticity, l’organisme qui publie la spécification des Content Credentials.
Une signature C2PA valide prouve-t-elle qu’une image a été générée par IA ?
Elle prouve que le signataire a enregistré les actions figurant dans le manifeste et que le fichier n’a pas changé. Si ces actions incluent une génération par IA avec un type de source « trained algorithmic media », isGenAI la présente comme une preuve directe forte.
Quels générateurs écrivent du C2PA ?
OpenAI, Adobe Firefly, l’API de Black Forest Labs et les modèles Google récents le documentent ; consultez les pages consacrées aux générateurs pour la déclaration de chaque éditeur.
Le C2PA peut-il être supprimé ?
Oui. Tout réencodage, toute capture d’écran ou tout outil de suppression des métadonnées l’efface. Son absence ne prouve rien.
Sources
Les définitions suivent les normes publiées citées ci-dessus ; le comportement d’isGenAI décrit est celui du vérificateur déployé en octobre 2026.