Visualizzatore C2PA gratuito per le Content Credentials

Il C2PA è uno standard tecnico aperto per la provenienza dei contenuti, scritto dalla Coalition for Content Provenance and Authenticity, a cui partecipano tra gli altri Adobe, BBC, Google, Intel, Microsoft, OpenAI, Sony e Truepic. Risponde a una domanda sola: da dove arriva questo file e che cosa gli è successo lungo la strada.

Quando una fotocamera, un software di editing o un modello generativo aderiscono allo standard, scrivono dentro al file un manifest. Il manifest registra chi ha prodotto il contenuto, con quale software, quali modifiche sono state applicate, quali file preesistenti sono stati riutilizzati come materiale di partenza e se è intervenuta l'AI generativa. Il manifest viene poi sigillato con un certificato, così ogni alterazione successiva del file diventa rilevabile. Il nome con cui questi dati si presentano al pubblico è Content Credentials.

Lo standard si sta diffondendo in fretta perché risponde a un bisogno concreto: distinguere su larga scala una fotografia, un'immagine ritoccata e una sintetica, senza affidarsi a impressioni. Il C2PA è anche una delle strade tecniche che il mercato sta prendendo verso gli obblighi di trasparenza introdotti dall'AI Act europeo per i contenuti generati dall'intelligenza artificiale.

Si sceglie un file, di qualunque tipo previsto dallo standard, e l'analisi avviene per intero dentro al browser: nessun caricamento, nessuna coda, nessun account. Se il manifest c'è, il visualizzatore elenca titolo e formato dichiarati, lo strumento che ha prodotto il file, la storia delle modifiche, i materiali di partenza da cui deriva, l'eventuale uso dichiarato di AI generativa, l'intestatario del certificato, l'algoritmo e la marca temporale, oltre a tutte le dichiarazioni contenute nel manifest. Ricalcola anche la firma sul manifest: un manifest che non corrisponde più al proprio sigillo viene segnalato come non valido.

• Non stabilisce se il firmatario meriti fiducia: legge il certificato contenuto nel file, non lo cerca in alcuna lista di fiducia e non ne verifica la revoca.
• Non verifica i pixel: il C2PA riguarda la storia dichiarata di un file, non se ciò che l'immagine mostra sia davvero accaduto.
• Un file senza Content Credentials non è un file sospetto. La maggior parte delle piattaforme elimina questi dati al caricamento e moltissimi dispositivi non li scrivono affatto.

Sì. Non serve un account, non c'è alcun caricamento, non ci sono limiti d'uso né filigrane sul risultato. La pagina lavora interamente nel browser, ed è anche il motivo per cui non ha costi di esercizio.

No. Il file viene letto nel browser con le API locali e non viene mai inviato a un server, né nostro né di terzi. Anche materiale riservato può quindi essere esaminato senza rischi.

Tutti i contenitori previsti dallo standard per un manifest incorporato: immagini (JPEG, PNG, WebP, GIF, TIFF e DNG, JPEG XL, SVG), video (MP4, MOV, HEIC, AVIF), audio (MP3, WAV, FLAC, Ogg), documenti (PDF e i formati basati su ZIP come EPUB, DOCX, XLSX, PPTX, ODF e OpenXPS), font OpenType e TrueType, pagine HTML, oltre ai file manifest .c2pa autonomi.

Il C2PA è lo standard tecnico, ed è anche il nome della coalizione che lo mantiene. Content Credentials è il nome che gli stessi dati assumono quando vengono mostrati a chi guarda: la piccola icona sull'immagine, il pannello che si apre cliccandola. Un file che porta le Content Credentials è un file che porta un manifest C2PA: visualizzatore C2PA e lettore di Content Credentials sono lo stesso strumento sotto due nomi.

Sì, e senza alcuna difficoltà. Il manifest vive dentro al file, quindi qualunque operazione che riscriva il file può farlo sparire: uno screenshot, un'esportazione da un altro programma, una ricompressione, il caricamento su una piattaforma che elimina i metadati. Lo standard non lo impedisce e nel file non resta traccia del passaggio. È il motivo per cui la provenienza affidata al solo file non può essere l'ultima parola quando su quel file bisogna contare.

Solo se è il file stesso a dirlo. Diversi strumenti generativi scrivono un manifest C2PA in cui dichiarano che il contenuto è stato prodotto o modificato da un modello, e il visualizzatore mostra quella dichiarazione ogni volta che è presente. Non vale il contrario: l'assenza di Content Credentials significa che nel file non è stata trovata alcuna dichiarazione, non che l'immagine sia una fotografia. Qui si legge ciò che un file dichiara di sé, non è un rilevatore di immagini generate dall'AI.

Sul fronte della ripresa, Leica, Sony, Nikon, Canon e Fujifilm hanno in commercio o hanno annunciato corpi macchina che sigillano l'immagine allo scatto, e la stessa capacità è arrivata nei chip per dispositivi mobili. Sul fronte del software, Adobe Photoshop, Lightroom e Firefly, Microsoft Designer, i modelli per immagini di OpenAI e di Google, oltre a un numero crescente di piattaforme editoriali e di archivi fotografici. Il supporto resta disomogeneo e spesso disattivato per impostazione predefinita: per questo la gran parte dei file in circolazione non porta nulla.

Perché i dati di provenienza vanno scritti al momento dello scatto o dell'esportazione e devono sopravvivere a ogni passaggio successivo. Social network e app di messaggistica di solito li eliminano quando il file viene caricato o ricompresso.

No. Dimostra che il file porta una dichiarazione rimasta intatta dal momento in cui è stata sigillata. Quanto quella dichiarazione sia accurata dipende da chi l'ha scritta: per questo l'identità dietro al certificato conta quanto il manifest.

• C2PA: storia, promesse e limiti dello standard per la provenienza digitale
• Provenienza digitale: costruire fiducia nell'era dei contenuti sintetici

• Specifica tecnica C2PA
• Content Credentials, il sito pubblico del C2PA
• Content Authenticity Initiative
• Regolamento (UE) 2024/1689, AI Act