C2PA : ce que la norme fait, et ne fait pas

Publié le 3 septembre 2026

Depuis que les images synthétiques ont cessé d’être reconnaissables à l’œil, une idée s’est imposée : puisqu’on ne peut plus détecter le faux, il faut déclarer le vrai. C’est le pari de C2PA, et il est intellectuellement solide.

Il est aussi mal compris. On présente souvent la norme comme un label d’authenticité, ce qu’elle n’est pas, et on en déduit qu’une image sans manifeste est suspecte, ce qui est faux et coûteux. Comprendre où passe exactement la ligne évite de bâtir un dossier sur une garantie qui n’existe pas.

D’où vient la norme

C2PA est née du rapprochement de deux initiatives : la Content Authenticity Initiative, lancée par Adobe avec des partenaires de la presse et de la photographie, et le Project Origin, porté par des diffuseurs et des éditeurs de logiciels préoccupés par la désinformation. Leur fusion a donné une coalition qui réunit fabricants d’appareils, éditeurs et médias, et qui publie une spécification technique ouverte.

L’objet est précis : attacher à un fichier un manifeste signé décrivant son origine et ses transformations. Qui l’a produit, avec quel appareil ou quel logiciel, quelles modifications ont suivi, et qui les a faites. Le terme commercial que vous rencontrerez le plus souvent, Content Credentials, désigne cette implémentation.

Comment fonctionne un manifeste

Un manifeste est un bloc de données inséré dans le fichier lui-même, signé cryptographiquement par celui qui l’écrit. Il contient des assertions : l’appareil de capture, la date déclarée, les opérations d’édition appliquées, éventuellement l’identité du signataire.

À chaque modification par un logiciel compatible, un nouveau manifeste s’ajoute en référençant le précédent. On obtient une chaîne : image capturée par tel appareil, recadrée par tel logiciel, exportée par tel autre. Une signature invalide ou une rupture dans la chaîne se détecte à la vérification.

Vous pouvez examiner les manifestes d’un fichier avec notre visualiseur C2PA, qui recalcule la signature directement dans le navigateur, sans envoyer l’image nulle part.

Les quatre limites qu’il faut connaître avant de s’appuyer dessus

L’absence de manifeste ne veut rien dire

C’est la limite la plus importante et la plus souvent oubliée. La quasi-totalité des images en circulation n’ont pas de manifeste, parce qu’elles ont été prises avec un appareil qui n’en produit pas, ou traitées par un logiciel qui n’en écrit pas. Un fichier nu n’est ni suspect ni rassurant : il est simplement muet.

Une politique interne qui traiterait l’absence de Content Credentials comme un signal d’alerte produirait un volume de faux positifs ingérable.

Le manifeste ne survit pas au partage

Les plateformes recompressent les images à la réception. Cette recompression détruit le manifeste, exactement comme elle efface les métadonnées EXIF. Certaines plateformes ont commencé à préserver ou à réafficher les Content Credentials, mais le comportement varie d’un service à l’autre et d’une version à l’autre.

Conséquence pratique : le manifeste est utile sur le fichier d’origine, dans un flux de travail maîtrisé. Il est rarement là quand l’image vous parvient par une conversation ou un réseau social.

Il atteste une déclaration, pas un fait

C’est la distinction la plus délicate. Le manifeste prouve qu’une entité identifiée a déclaré quelque chose et l’a signé. Il ne prouve pas que la déclaration corresponde au monde réel.

Un appareil compromis, un logiciel modifié, ou simplement une photographie authentique d’un écran affichant une image générée : dans les trois cas, la signature est valide et le contenu trompeur. C2PA déplace la confiance vers le signataire, il ne l’élimine pas. La question devient « à quel point ce signataire est-il digne de foi », qui est une question de gouvernance, pas de cryptographie.

La date déclarée n’est pas une date opposable

Le manifeste porte une date, mais elle provient du dispositif ou du logiciel qui l’écrit, pas d’une source de temps de référence indépendante. Ce n’est pas un horodatage qualifié au sens du règlement eIDAS (UE) n° 910/2014, et cette différence compte devant un juge.

Ce que cela implique pour un usage probatoire en France

L’article 1366 du code civil demande que l’écrit électronique soit établi et conservé dans des conditions de nature à en garantir l’intégrité, et que la personne dont il émane soit dûment identifiée. Un manifeste C2PA valide contribue aux deux, mais ne les épuise ni l’un ni l’autre : il vit dans le fichier, donc il disparaît avec lui.

Le droit français, lui, a nommé les instruments qui produisent la présomption. Le décret n° 2016-1673 du 5 décembre 2016, pris pour l’application de l’article 1379 du code civil, dispose que l’intégrité de la copie est attestée par une empreinte électronique rendant détectable toute modification ultérieure, et que cette condition est présumée remplie par l’usage d’un horodatage qualifié, d’un cachet électronique qualifié ou d’une signature électronique qualifiée.

C2PA n’est aucun des trois. Ce n’est pas un reproche adressé à la norme, qui n’a jamais eu cet objet : elle a été conçue pour la transparence éditoriale et la lutte contre la désinformation, pas pour le contentieux. Les deux approches se complètent au lieu de se remplacer, et notre analyse de contenu lit les manifestes présents sans jamais les traiter comme une garantie à eux seuls.

Comment s’en servir sans se tromper

Lisez le manifeste quand il existe. C’est une information gratuite et parfois décisive, en particulier sur une image de presse ou un visuel professionnel.

Ne concluez rien de son absence. Ni dans un sens ni dans l’autre. La très grande majorité des fichiers légitimes n’en portent pas.

Vérifiez qui signe. Un manifeste valide signé par une entité inconnue vaut ce que vaut cette entité. La signature garantit l’intégrité de la déclaration, pas la fiabilité du déclarant.

Pour une pièce destinée à un dossier, ajoutez ce qui manque. Une empreinte cryptographique et un horodatage qualifié, produits au moment de l’acquisition et conservés en dehors du fichier, résistent à la recompression et répondent aux exigences du code civil. C’est ce que produit la certification forensique, et ce que vous pouvez contrôler ensuite avec le vérificateur public.

Questions fréquentes