Apple Reference Image: porque uma foto assinada ainda não é uma prova

Atualizado em 12 de setembro de 2026

A Apple apresentou a Apple Reference Image a 9 de setembro de 2026, com o iPhone 18 Pro e o iPhone 18 Pro Max, e descreveu-a como parte de uma abordagem à autenticidade das imagens que considera “vital for photojournalists, photographers, and everyday viewers”. A escolha das palavras diz muito. A empresa não pensa apenas em quem fotografa, mas também em quem recebe fotografias sem meios para as avaliar, que é hoje a posição de quase toda a gente, do perito que abre um processo de sinistro ao advogado a quem um cliente envia uma imagem.

A complicação aparece assim que se olha para o que a assinatura cobre. O sensor assina os dados no instante da captação e o Private Cloud Compute transforma-os naquilo a que a Apple chama uma imagem de referência inalterável, o que resolve um problema concreto, que é saber se o ficheiro foi mexido depois de nascer. Fica de fora o problema anterior, saber se o que estava diante da objetiva era real, e ficam de fora os que vêm depois: quando foi captada a imagem, por quem, e por que mãos passou até chegar a quem tem de decidir.

A pergunta é simples de formular e desconfortável de responder. Uma fotografia assinada pelo sensor chega a quem a recebe? Não chega, e isso não é uma crítica à Apple Reference Image, mas uma descrição do que ela faz e do que nunca se propôs fazer. É um sinal novo e forte na origem, e quem trabalha em autenticidade de dados tem motivos para o receber bem. Mas transformar uma imagem num elemento que um terceiro possa conferir por si continua a exigir uma metodologia forense com cadeia de custódia documentada.

O que faz a Apple Reference Image e o que traz de novo

A Apple Reference Image é uma funcionalidade de autenticação fotográfica que faz o sensor da câmara principal assinar cada pixel no momento em que o capta. Quando se fotografa no novo modo Reference, a câmara guarda dados de sensor assinados que o Private Cloud Compute desenvolve numa imagem de referência, visível na aplicação Fotografias ao lado da imagem principal.

A Apple Reference Image foi anunciada a 9 de setembro de 2026 e chegou às lojas a 18 de setembro, apenas no iPhone 18 Pro e no iPhone 18 Pro Max, apenas na câmara principal e apenas se o utilizador a ativar, porque é uma funcionalidade opt-in. A Apple descreve o resultado como “like having a digital negative”: a imagem de referência aparece ao lado da fotografia para se compararem visualmente os dois ficheiros e perceber se houve edições. O comunicado da empresa é preciso quanto ao alcance, e essa precisão importa, porque a imagem de referência confirma “what the sensor saw at the moment of capture”, ou seja, o que o sensor viu, não o que aconteceu. A partir do iOS 27, do iPadOS 27 e do macOS 27 existem interfaces de programação para que aplicações de terceiros mostrem estas imagens. Nada disto tem que ver com a classe `ReferenceImage` do ARKit, que serve para reconhecer marcadores em realidade aumentada.

A assinatura no sensor e o negativo digital

O ponto técnico que interessa é onde a assinatura acontece. Não incide sobre o ficheiro já gravado, como quando se assina um documento, mas sobre os dados que saem do sensor. Entre o sensor e o ficheiro que se vê no telefone há um caminho longo de processamento, com fusão de exposições e redução de ruído, e é esse caminho que a assinatura na origem permite auditar. A metáfora do negativo é boa, incluindo nos seus limites. Um negativo em película nunca provou que a cena fosse verdadeira, provou que aquele fotograma tinha sido exposto naquela máquina. Garante a fidelidade da cópia, não a honestidade da cena, e continua a ser possível fotografar uma encenação. Guarde esta ideia, porque é a chave de tudo o que se segue para quem trabalha com proveniência digital.

O ganho verdadeiro: um controlo deslocado para montante, ao dispor de todo o setor

O mérito da Apple é grande e convém dizê-lo sem reservas. Durante anos, a resposta dominante à manipulação de imagens foi tentar apanhá-la depois, e esse caminho tem um problema estrutural, porque quanto melhores ficam os geradores, pior funciona a deteção. Uma análise comparativa de detetores publicada pela AI Angst descreve exatidões entre 94% e 97% em laboratório que caem abaixo de 50% em condições reais, e abaixo de 5% quando as imagens são recomprimidas ou passam por uma plataforma social. A Apple escolheu o contrário, garantir na origem em vez de perseguir o falso, e escolheu bem.

Há ainda uma leitura que interessa a quem não trabalha na Apple. Um sinal criado na origem fica disponível para qualquer pessoa que verifique conteúdos ao longo do ciclo de vida do dado. Quantos mais fabricantes assinarem no momento da captação, mais depressa se normaliza a ideia de que uma imagem sem garantia de origem é uma imagem sobre a qual não se sabe nada. A Apple juntou-se, à sua maneira, a um movimento que já tinha a Leica, a Nikon, a Canon e a Sony do lado do C2PA.

A recaptura diante do sensor continua possível

A assinatura atesta o que o sensor viu, não que a cena diante dele fosse real. Quem fotografa, edita e volta a captar o resultado a partir de outro aparelho obtém uma imagem de referência perfeitamente válida de um conteúdo alterado. A funcionalidade comporta-se exatamente como foi desenhada, e é esse o problema.

Uma imagem de referência válida não prova que a cena existiu. O procedimento é banal: capta-se ou gera-se uma imagem, altera-se com qualquer ferramenta, mostra-se o resultado num monitor e volta a captar-se esse monitor com o iPhone 18 Pro em modo Reference. O sensor regista com fidelidade o que tem à frente, incluindo uma reprodução, e assina-o. A assinatura continua legítima porque a captação foi genuína, e aqueles píxeis chegaram mesmo daquele sensor naquele instante. O que ela não atesta é a história do conteúdo antes desse instante. O site TrendingTopics formulou o limite com clareza ao escrever que uma imagem de referência só prova o que o sensor captou e não verifica se a própria cena era real, acrescentando que fotografar num monitor uma imagem gerada por IA produz uma referência assinada perfeitamente válida.

O ciclo fotografar, editar e voltar a captar

O risco deste ciclo é mais subtil do que uma simples lacuna. Uma funcionalidade criada para aumentar a confiança pode acabar por emprestar credibilidade a um conteúdo alterado, porque o rótulo de autenticidade aplica-se à captação e o leitor atribui-o ao conteúdo. Quem recebe a imagem lê na marca uma garantia sobre os factos representados, que é exatamente aquilo que a marca não diz.

Porque um sensor não distingue uma cena da sua reprodução

Um sensor de imagem mede luz. Não tem noção do que está a olhar e trata uma paisagem e a reprodução dessa paisagem da mesma maneira, porque ambas chegam à matriz como um padrão de fotões. É uma característica física, não uma falha de engenharia da Apple. Há sinais que distinguem uma recaptura, e nenhum deles vive na assinatura, mas sim na imagem, em padrões de interferência entre a grelha de píxeis do painel e a do sensor, brilho não natural, temperatura de cor típica de retroiluminação. Verificar a assinatura e verificar o conteúdo são operações distintas, e passar a primeira nada diz sobre a segunda. Para responder à pergunta que interessa a quem recebe a fotografia é preciso verificar a autenticidade da imagem com meios que olhem para o conteúdo.

O screenshot: um sinal que só vale pela positiva

Quem altera uma fotografia e capta o screenshot do resultado obtém um ficheiro que não tem qualquer imagem de referência associada. Não fica exposto por isso, porque se limita a parecer-se com tudo o resto que circula. E é aqui que este problema se junta ao da adoção, porque enquanto a esmagadora maioria das imagens nascer sem assinatura, a ausência de assinatura não é indício de falsidade e não diz nada a quem recebe. A regra que daqui resulta é curta, e se recebe fotografias por ofício vale a pena fixá-la: a presença de uma imagem de referência é um elemento a favor, a ausência não é um elemento contra.

O que é preciso para detetar uma recaptura

Reconhecer uma reprodução diante do sensor exige análise multissinal e controlos sobre o ambiente de captação, e nenhuma dessas coisas cabe dentro de uma assinatura. A análise multissinal cruza indícios independentes: interferência de grelha, coerência do ruído ao longo do fotograma, resposta espetral compatível com luz refletida e não emitida, comportamento do foco. Nenhum basta sozinho, e é a convergência entre eles que produz uma conclusão defensável. O controlo sobre o ambiente costuma ser a metade mais eficaz, porque se a captação decorre dentro de um percurso controlado, muitas manobras de recaptura deixam de ser praticáveis antes de haver o que analisar. É esta a abordagem seguida pela TrueScreen, a Data Authenticity Platform.

Uma prova que não se consegue transportar

A imagem de referência vive no ambiente onde nasce. A Apple descreve a comparação como uma operação feita na aplicação Fotografias, e disponibiliza interfaces de programação para que aplicações de terceiros mostrem estas imagens. Mostrar não é verificar, e essa é toda a diferença que importa a quem tem de decidir.

O que sobrevive quando a fotografia sai do ambiente onde nasceu

A Apple não confirmou se o dado de verificação sobrevive à exportação para outras aplicações, e a descrição publicada sugere um ficheiro emparelhado localmente e não um dado incorporado na imagem exportada. Já a dúvida basta para complicar a vida a quem desenha processos. O percurso real de uma fotografia até um escritório passa por mensagens, correio eletrónico ou um portal de carregamento, e cada passagem recomprime o ficheiro e limpa metadados, como sabe quem já tentou usar metadados como elemento de prova. A garantia que interessa não é a que existe no telefone de quem tirou a fotografia, mas a que ainda existe seis meses depois, com o ficheiro anexado a um processo.

A comparação visual não é um exame técnico repetível

A verificação proposta é, literalmente, olhar para duas imagens lado a lado e decidir se são diferentes. Para o público em geral é um avanço enorme, porque hoje não existe nada. Para uso probatório é insuficiente, porque um exame técnico tem de ser repetível por um terceiro que não estava presente, com um procedimento descrito e um resultado que não dependa de quem olha. Duas pessoas competentes podem discordar sobre se uma diferença de luminância é uma edição ou uma variação de processamento, e se a comparação corre no aparelho de quem apresenta a imagem, quem contesta tem de aceitar a demonstração da outra parte.

Uma funcionalidade proprietária não é uma norma verificável por terceiros

A Apple Reference Image é uma funcionalidade proprietária ligada ao hardware da Apple e ao Private Cloud Compute, e não uma especificação aberta que qualquer pessoa possa implementar e verificar de forma independente. É uma diferença de natureza, não de qualidade, mas tem consequências para quem tem de conferir. O C2PA, por contraste, é uma norma aberta de proveniência que incorpora os metadados de origem dentro do próprio ficheiro, com governação de várias partes interessadas. Segundo o 9to5Mac, mais de 500 empresas aderiram à iniciativa C2PA, enquanto a Apple, por agora, parece seguir um caminho próprio. Do lado do C2PA estão fabricantes como a Leica, a Nikon, a Canon e a Sony, e a Google adotou-o no Pixel 10. A diferença prática é esta: uma credencial C2PA viaja dentro do ficheiro e é verificável por qualquer implementação da norma, ao passo que a imagem de referência é confirmada visualmente dentro do ecossistema que a produziu.

A Apple anunciou também suporte ao SynthID numa atualização de software ainda em 2026, sinal de que a interoperabilidade está no horizonte. Na TrueScreen, o C2PA está incluído e a plataforma lê e escreve manifestos C2PA, mas a garantia forense vai além da etiquetagem de metadados.

Quanto tempo falta para se tornar uma norma difundida

A Apple Reference Image depende de um sensor novo e não de uma atualização de software, e por isso nenhum iPhone já em circulação a poderá produzir. A adoção mede-se pela renovação do parque de aparelhos, um processo de anos que está a abrandar.

É preciso um sensor novo, não uma atualização de software

A Apple Reference Image assenta no novo sensor da câmara principal, e é esse detalhe que determina tudo o resto. Uma funcionalidade que chegasse por atualização estaria em centenas de milhões de aparelhos em poucas semanas, porque a base instalada já existe; uma que exige silício novo só chega a quem compra silício novo. A isto somam-se três restrições que estreitam ainda mais o perímetro: existe apenas em dois modelos, funciona apenas na câmara principal e é opt-in.

A renovação do parque de dispositivos mede-se em anos

Os dados sobre substituição de telemóveis desmentem qualquer expectativa de adoção rápida. Segundo a SellCell, o ciclo médio passou de 2,9 anos em 2022 para 3,7 anos em 2026, 68% dos utilizadores mantêm o aparelho pelo menos três anos, e nos Estados Unidos a idade média de retirada atingiu 3,84 anos em 2025, o máximo alguma vez registado.

Dentro das vendas da Apple, os modelos Pro são só uma parte. A Counterpoint Research apurou que representaram cerca de 52% das vendas iniciais da série 17, mas no conjunto da geração 16 ficaram-se pelos 39%. Com cerca de 230 milhões de iPhones vendidos por ano, os aparelhos capazes de assinar crescem menos de 100 milhões de unidades por ano sobre um parque mundial acima de 5.000 milhões de telemóveis, ou seja dois pontos percentuais por ano, e já na hipótese otimista de que toda a gente ativa uma funcionalidade desligada por predefinição. De acordo com a StatCounter, o iOS vale 29,25% desse mercado.

Na União Europeia a captura não arranca no lançamento

Nas notas do comunicado da Apple lê-se que, na União Europeia, a captação de imagens de referência não está disponível no lançamento com os modelos iPhone 18 Pro, embora quem tenha iOS 27, iPadOS 27 e macOS 27 possa desenvolver e visualizar imagens produzidas noutro lado. Na China também não está disponível no lançamento, por requisitos regulamentares, e a MacRumors confirmou ambas as restrições no dia do anúncio. Traduzindo para quem trabalha em Portugal: um iPhone 18 Pro usado na União Europeia mostra uma imagem de referência que veio de fora, mas não gera a sua.

O contexto normativo europeu explica parte desta cautela. As obrigações de transparência do regulamento europeu da inteligência artificial aplicam-se desde 2 de agosto de 2026, com quatro meses de tolerância, até 2 de dezembro, para a marcação legível por máquina em sistemas colocados no mercado antes daquela data, por um acordo político alcançado a 6 de maio de 2026 e confirmado pelo Conselho a 13 de maio. As restantes mantêm-se sem derrogação, como detalham as obrigações de transparência do regulamento europeu da IA.

Entretanto as fotografias continuam a chegar de todo o resto

Durante muitos anos, a maior parte das fotografias que chegam a uma redação, a um departamento de sinistros ou a um escritório de advogados vai continuar a nascer em aparelhos que não as conseguem assinar: todo o Android, todos os iPhone que não sejam Pro, todas as câmaras sem esquema de proveniência, e ainda tudo o que vem da web, de conversas e de arquivos antigos. Uma seguradora que recebe milhares de participações por mês não pode construir um procedimento sobre uma funcionalidade que cobre uma fração mínima daquilo que lhe chega. Nada disto retira mérito à Apple Reference Image, mas o problema não se resolve à espera.

Porque não chega perante quem tem de decidir

Quem decide com base numa fotografia não pergunta primeiro se o ficheiro foi alterado. Pergunta quando foi captado, por quem, em que circunstâncias, e por que mãos passou até chegar às suas. A Apple Reference Image responde bem a uma pergunta que ninguém faz em primeiro lugar, e não responde a nenhuma das quatro que se fazem sempre.

A pressão sobre quem tem de decidir com base numa fotografia está documentada com números, e não é uma impressão do setor. O estudo State of Insurance Fraud publicado pela Verisk a 17 de março de 2026, feito a partir de um inquérito a 1.000 consumidores norte-americanos maiores de idade e a 300 profissionais de gestão de sinistros, com dados recolhidos entre dezembro de 2025 e janeiro de 2026, mostra que 98% das seguradoras consideram que as ferramentas de edição com IA estão a alimentar a fraude digital e que 76% dizem que o material manipulado que recebem se tornou mais sofisticado. Do lado dos consumidores, 55% da geração Z admitiria alterar digitalmente uma imagem ou um documento de sinistro, e 36% fá-lo-ia mesmo sabendo que viola as regras da seguradora. Apenas 32% das seguradoras se declaram muito confiantes na capacidade de reconhecer conteúdos manipulados.

Uma data oponível a terceiros

A fotografia que interessa a um processo é quase sempre uma fotografia datada, e a data que conta não é a que o ficheiro diz. Os metadados são editáveis com ferramentas gratuitas e o relógio de um aparelho é definido pelo utilizador. Uma data só é oponível a terceiros quando é atestada por alguém sem interesse no resultado. A Apple Reference Image não traz nada disto, e não se propôs trazer. Quem precisa desta garantia usa um selo temporal com valor jurídico emitido por uma entidade externa.

Quem fez a captura e em que circunstâncias

A segunda pergunta é sobre a pessoa. A Apple Reference Image autentica o aparelho e o sensor, não quem estava a segurá-lo. Para muitos usos isto é irrelevante, mas para uso probatório é central, porque uma fotografia produzida por um perito nomeado tem um peso diferente da que é produzida por uma parte interessada. As circunstâncias contam tanto como a identidade: onde foi captada a imagem, com que aparelho, dentro de que procedimento e com que outras aquisições associadas na mesma sessão.

A custódia do ficheiro documentada, passo a passo

A terceira pergunta é a que decide mais casos e a que menos atenção recebe. Entre a captação e a decisão, o ficheiro passa por armazenamento, transferências, conversões e anexos, e cada passagem é uma oportunidade de substituição que um processo sério tem de conseguir excluir. A cadeia de custódia digital é o registo documentado de cada passagem, com identificação de quem teve acesso e com que operações. A lacuna não é reparável a posteriori, porque uma custódia que não foi registada no momento não se reconstrói depois.

O que torna uma fotografia utilizável como prova

Uma fotografia torna-se utilizável como prova quando quatro condições se verificam em conjunto: foi captada dentro de um procedimento controlado, o ambiente e o conteúdo foram verificados no momento, existe um relatório que um terceiro confere sozinho, e o conjunto está certificado com selo e selo temporal reconhecidos. Falhar uma delas enfraquece as outras três.

Captura controlada na origem segundo a ISO/IEC 27037

A norma internacional ISO/IEC 27037 estabelece as diretrizes para identificação, recolha, aquisição e preservação de prova digital, e é o referencial reconhecido internacionalmente para dizer o que significa adquirir corretamente. O princípio central é que a prova se forma no momento da aquisição, e o que não foi preservado na altura certa não se recupera depois. Aplicado à fotografia, isto significa fazer da captação e da certificação um único ato documentado, e não fotografar primeiro para certificar a seguir, porque no intervalo tudo pode acontecer. O guia sobre aquisição forense segundo a ISO/IEC 27037 descreve o procedimento.

Verificação do ambiente, dos metadados e do conteúdo captado

Verificar significa olhar para três camadas ao mesmo tempo. O ambiente diz em que aparelho e em que condições decorreu a aquisição, incluindo sinais de que o aparelho esteja comprometido ou de que a aplicação esteja a receber uma imagem em vez de a captar. Os metadados dizem o que o ficheiro declara sobre si próprio, e como são editáveis valem apenas como indício. O conteúdo é a camada que responde à recaptura. É a convergência entre as três que produz uma conclusão capaz de resistir a contestação, e por isso a preservação da prova digital segundo normas internacionais as trata em conjunto.

Um relatório que um terceiro possa conferir por si

Um relatório forense útil é aquele que se explica sozinho. Contém o que foi adquirido, quando, por quem, com que meios, com que verificações e com que resultados, e inclui os elementos necessários para que outra pessoa repita a conferência sem pedir nada a ninguém. Se para verificar for preciso aceder ao aparelho de quem produziu a imagem, o relatório não cumpre a sua função. É aqui que a diferença entre mostrar e verificar se torna prática, e ela importa sobretudo quando a fotografia é contestada.

Certificação com selo e selo temporal reconhecidos

A última camada liga o conjunto a um referencial externo. A aquisição e as verificações são seladas com selo digital e selo temporal oficiais, reconhecidos internacionalmente, emitidos por uma entidade independente de quem produziu a imagem, e é isso que dá ao conjunto uma data oponível e uma integridade que não depende da palavra de nenhuma das partes. Vale a pena ser preciso quanto ao alcance deste selo. Durante a aquisição, a alteração é impedida pelo procedimento; depois, passa a ser detetável, porque qualquer modificação quebra a correspondência com o que foi selado. Não é o mesmo que dizer que o ficheiro se torna inalterável, e essa diferença é o tipo de imprecisão que uma contestação técnica procura. A articulação destas peças está na relação entre assinatura eletrónica avançada e selo eletrónico, dentro do regulamento europeu eIDAS.

Que garantias faltam a uma fotografia assinada para que possa ser usada como prova?

A TrueScreen, a Data Authenticity Platform, adquire o dado na origem com cadeia de custódia documentada, para que um terceiro consiga verificar a aquisição sozinho. A assinatura no momento da captação resolve um problema, a integridade do dado do sensor em diante, e deixa quatro em aberto: a reprodução diante do sensor, a identidade de quem capta, a data oponível a terceiros e a custódia documentada do ficheiro. Uma metodologia forense cobre esses quatro porque atua sobre o procedimento e não apenas sobre o ficheiro. A aquisição decorre dentro de um percurso controlado segundo a ISO/IEC 27037, com verificações executadas no momento, e o resultado é selado com selo digital e selo temporal oficiais, reconhecidos internacionalmente. Onde estiver disponível, a imagem de referência da Apple soma-se a este conjunto como sinal adicional ao longo do ciclo de vida do dado, e não como substituto dele.

Um exemplo ajuda a ver onde cada peça encaixa. Um perito de seguros documenta danos de uma inundação com um iPhone 18 Pro em modo Reference e a seguradora contesta a data dos factos. A imagem de referência demonstra que o sensor viu aquela cena, mas não demonstra quando, nem que não fosse a fotografia de uma fotografia captada noutro dia. Se a aquisição tiver corrido dentro de um percurso controlado, com certificação de fotografias com valor probatório e registo das circunstâncias, a contestação sobre a data resolve-se com um documento e não com uma discussão, mesmo quando a captação foi feita em campo com a aplicação móvel.

Falta dizer uma coisa que nos diz respeito, antes que alguém a diga por nós. Também uma metodologia forense garante o como e não o quê. Se diante da objetiva estava uma cena encenada, ela fica certificada como captação autêntica dessa cena, com data, identidade e custódia, e nada disso a torna verdadeira. A diferença não está em ler a realidade, que nenhuma tecnologia faz. Está em que a análise corre sobre conteúdo captado num ambiente controlado, e não sobre um ficheiro de origem desconhecida. Quem contesta passa a ter de contestar um procedimento documentado.

É também por isso que a Apple Reference Image é uma boa notícia para quem faz este trabalho. A empresa escolheu o caminho certo, garantir na origem em vez de perseguir o falso com detetores, e fê-lo à escala que só ela tem. O que falta não é a Apple fazer mais. É o resto do percurso, da captação à decisão, ser tratado com o mesmo cuidado com que ela tratou o primeiro passo.