Uma foto que chega por e-mail, aplicativo ou formulário não responde a três perguntas básicas: quem a produziu, quando, e se ela mudou desde então. O nome do arquivo, a data dos metadados e as coordenadas são campos de texto editáveis. O C2PA se propõe a preencher esse vazio, e convém saber até onde ele vai.
O que é o C2PA
C2PA é a sigla de Coalition for Content Provenance and Authenticity. É um padrão técnico aberto, desenvolvido por empresas de tecnologia, fabricantes de câmeras, agências de notícias e plataformas, para registrar a origem e o histórico de um arquivo digital de um jeito que qualquer um possa conferir.
Fundado em 2021, unindo dois projetos anteriores
O consórcio nasceu em 2021 da junção da Content Authenticity Initiative (CAI), liderada pela Adobe, com o Project Origin, co-liderado por Microsoft e BBC. São organizações distintas, e vale não confundi-las: o C2PA escreve o padrão; a CAI é uma comunidade que produz ferramentas para ele. Números de adesão de uma costumam ser citados como se fossem da outra.
Quem está no consórcio
A lista é pública e muda com o tempo, então aqui vão nomes, não contagem. No comitê de direção estão, entre outros, Adobe, Amazon, BBC, Google, Meta, Microsoft, OpenAI, Sony, TikTok e Truepic. Entre os demais membros aparecem fabricantes de câmera e emissoras, como Canon, Samsung e NHK. A relação atualizada fica na página de membros do próprio C2PA.
Content Credentials é o nome comercial do mesmo mecanismo
Quando você vê “Content Credentials” num produto da Adobe, num celular ou numa rede social, é o C2PA por baixo. A analogia que o próprio consórcio usa é a do rótulo nutricional: assim como o rótulo informa ingredientes e validade, o registro informa onde o conteúdo foi criado, com qual dispositivo, quando, e se foi editado.
“Content Credentials funcionam como um rótulo nutricional para conteúdo digital, disponível para qualquer pessoa acessar, a qualquer hora.” — Coalition for Content Provenance and Authenticity
O que um manifesto contém
Quando uma câmera, um aplicativo ou um software compatível captura ou processa uma imagem, ele cria um manifesto: um bloco de dados embutido no próprio arquivo, com quatro elementos.
- O hash do conteúdo. Um cálculo sobre os pixels que muda se qualquer um deles mudar. No nosso caso ele é calculado sobre o quadro original, antes da compressão em JPEG, porque comprimir depois alteraria o resultado.
- Metadados de origem: dispositivo, localização, data e hora.
- O histórico de edições aplicadas ao arquivo por programas compatíveis.
- A assinatura criptográfica, que vincula tudo isso a uma identidade, mais um carimbo do tempo emitido por uma autoridade independente, no padrão RFC 3161. O carimbo é o que sustenta a data contra o relógio do próprio aparelho.
A assinatura funciona como um lacre: alterado qualquer dado do manifesto depois dela, a verificação falha. Quebrar esse lacre sem a chave privada é computacionalmente inviável sob as premissas do algoritmo e da guarda da chave — que é uma afirmação mais estreita, e mais honesta, do que “impossível”.
O que a verificação responde
Quando alguém contesta, a prova se sustenta na medida em que se saiba exatamente o que a verificação entrega. Daí o detalhamento a seguir.
Origem e integridade, com precisão de byte
A verificação responde duas perguntas com rigor: este arquivo é o que foi assinado, e ele mudou depois? Qualquer alteração, de um pixel que seja, aparece. O que ela não alcança é o significado da imagem — se o dano na foto é o daquele sinistro continua sendo leitura do perito, como sempre foi. Autenticidade de origem é o alicerce dessa leitura, não o substituto dela.
O manifesto separa o que foi conferido do que foi declarado
Essa distinção é o que torna o registro utilizável num laudo, e poucas arquiteturas conseguem explicitá-la item a item:
| Quem afirma | O que é | Quanto vale |
|---|---|---|
| O servidor | Que o aparelho é o que diz ser, e que a captura veio de um aplicativo íntegro — conferido antes de escrever | Verificado por quem assina |
| O aparelho | Localização, horário informado, identificação da sessão e os campos do integrador | Declarado pelo dispositivo, e transportado sob a mesma assinatura |
As duas partes viajam sob o mesmo lacre, e quem recebe precisa saber qual é qual. Essa separação permite ao laudo afirmar com a força certa em cada ponto, em vez de apresentar tudo como conferido por terceiro, e é o que o torna difícil de derrubar em contestação.
Proveniência, não detecção de IA
Uma imagem gerada por inteligência artificial pode carregar um manifesto perfeitamente válido, declarando justamente isso: que foi gerada por IA. O padrão registra proveniência, e essa é a pergunta que ele responde bem. Na prática de uma operação, é o que basta: se a foto só é aceita quando vem de uma captura autenticada, a imagem sintética não tem esse registro para apresentar — não porque foi detectada, mas porque não passou pela câmera que assina.
Por que as grandes empresas apostam nisso
A resposta curta é que o problema ameaça o núcleo do negócio delas. A Adobe vende ferramentas de criação: se ninguém mais confia em imagem digital, o valor do trabalho de quem cria se esvazia. A Microsoft co-fundou o Project Origin porque a desinformação corrói a confiança nas plataformas de notícia que ela distribui. Para buscadores e redes sociais, poder distinguir conteúdo com origem declarada é condição para continuar ordenando o que mostram. E os fabricantes de câmera — Leica, Sony, Nikon — passaram a assinar no momento da captura porque é o único ponto da cadeia em que a origem ainda é verdade conhecida.
O que acontece quando não há registro de origem
Sem proveniência, qualquer imagem é tecnicamente contestável. Um advogado questiona a autenticidade da foto de um sinistro; uma seguradora alega manipulação para negar pagamento; um perito não consegue reconstruir a origem de um arquivo que nunca a registrou. À medida que manipular ficou barato, contestar imagem virou estratégia, e quem depende de foto como documento operacional carrega esse risco sem perceber.
O artigo sobre as sete modalidades de fraude por imagem em seguros descreve esse cenário em detalhe.
A camada brasileira: C2PA assinado sob ICP-Brasil
O que a MP 2.200-2/2001 estabelece
A medida provisória que instituiu a ICP-Brasil diz que documentos assinados com certificado emitido na cadeia dela presumem-se verdadeiros em relação aos signatários. É uma presunção entre as partes que assinam, não um selo de admissibilidade automática em qualquer foro — distinção que costuma se perder em material comercial.
Quem assina, na prática
No nosso caminho, quem assina o manifesto é a Provvi, com certificado e-CNPJ da ICP-Brasil, e o carimbo do tempo é anexado à própria assinatura. O aparelho tem a sua própria chave, em hardware, usada para vincular o conteúdo à sessão de captura — mas o manifesto que viaja com a foto é assinado com o certificado da empresa.
Fontes
- c2pa.org — especificação e lista de membros, consultada em 4 de outubro de 2026.
- Medida Provisória 2.200-2, de 24 de agosto de 2001, art. 10.
- RFC 3161 — Time-Stamp Protocol.
Veja como isso funciona na sua operação
Podemos mostrar o manifesto de uma captura real, com o que é conferido pelo servidor e o que é declarado pelo aparelho, lado a lado.
Falar com a Provvi →Leia também: fraude de imagem em seguros · Marco Legal da IA e a camada de evidência · perguntas frequentes.