Estándar C2PA y marcas de agua digitales: guía en español

C2PA es un estándar abierto que incrusta en un archivo un manifiesto firmado criptográficamente con su origen y su historial de ediciones. Una marca de agua es una señal oculta en el propio contenido que intenta sobrevivir aunque se pierdan los metadatos.

Qué es C2PA

La Coalition for Content Provenance and Authenticity (C2PA) publica una especificación abierta, impulsada por Adobe, Microsoft, Google, la BBC y otros, para describir de dónde viene un contenido. El resultado se conoce como «credenciales de contenido». Cada archivo lleva un manifiesto con afirmaciones —quién lo creó, con qué herramienta, si intervino IA— firmado con un certificado X.509. Cualquier validador compatible, como c2patool o Content Credentials Verify, puede comprobar la firma sin depender del emisor.

Cómo se guarda: JUMBF

El manifiesto se empaqueta en contenedores JUMBF dentro de JPEG, PNG, MP4 o PDF. Incluye un hash del contenido, de forma que cualquier modificación posterior se detecta como una ruptura de la firma. Su punto débil es conocido: muchas redes sociales y herramientas eliminan los metadatos al recomprimir. Por eso C2PA prevé enlazar el manifiesto con un registro externo y con marcas de agua.

Marcas de agua: visibles e invisibles

Una marca visible informa a la persona pero se recorta con facilidad. Una marca invisible se oculta en los píxeles, el audio o el texto y puede sobrevivir a capturas y recompresiones, aunque ninguna es inmune a un atacante decidido. En texto, las marcas más débiles se colocan en un solo punto. Las más robustas reparten la señal por todo el documento y la recuperan por votación, de modo que un extracto o una edición parcial sigue siendo reconocible.

Firma, certificado y confianza

La validez de un manifiesto depende de la cadena de confianza del certificado que lo firma. Un certificado propio prueba integridad; un certificado de una autoridad incluida en la lista de confianza de C2PA permite además que los validadores públicos muestren la identidad del firmante. La firma acredita quién tenía la clave, no que el contenido sea verdadero.

Cómo lo combina AxIA

AxIA mantiene su propio paquete de transparencia como fuente de verdad —firma Ed25519, sello de tiempo y registro público Merkle— y genera en paralelo un manifiesto C2PA estándar con la librería oficial, junto con una marca de agua de texto distribuida. Así, si un archivo pierde sus metadatos, su huella SHA-256 sigue pudiendo consultarse en el registro público y en la página de verificación.

Cómo implantar credenciales de contenido C2PA

Elige los formatos

Decide qué tipos de archivo publicas: imágenes, vídeo, PDF o texto.

Obtén un certificado

Usa un certificado X.509 para firmar los manifiestos, preferiblemente de una autoridad reconocida.

Firma en origen

Genera el manifiesto en el momento de crear o exportar el archivo.

Añade marca de agua y registro

Complementa el manifiesto con marca de agua y un registro externo de la huella.

Valida con terceros

Comprueba los archivos con c2patool o Content Credentials Verify antes de publicar.

Preguntas frecuentes

¿C2PA es obligatorio por el Reglamento de IA?

El Reglamento no impone un estándar concreto, pero exige marcado legible por máquina; C2PA es uno de los mecanismos más citados para cumplirlo.

¿Una marca de agua sustituye a C2PA?

No. Son complementarias: C2PA aporta una declaración firmada y detallada; la marca de agua ayuda a reencontrarla cuando se pierden los metadatos.

¿Se pueden eliminar las credenciales C2PA?

Sí, al borrar los metadatos. Por eso conviene registrar también la huella del contenido en un registro externo.

¿C2PA revela el contenido del archivo?

No. El manifiesto describe el origen y contiene huellas criptográficas, no el contenido en claro.

Comprueba un archivo

Sube un archivo y consulta su procedencia y su registro público.