C2PA (Coalition for Content Provenance and Authenticity) is een open technische standaard die authenticiteitsgegevens cryptografisch in digitale bestanden embed. De standaard registreert waar, wanneer en waarmee een foto is gemaakt, en maakt elke wijziging aan het bestand detecteerbaar. Voor CSRD-rapportages biedt C2PA een mechanisme om de integriteit en herkomst van visueel bewijsmateriaal te documenteren.
Dit artikel legt uit hoe C2PA technisch werkt, welke informatie wordt vastgelegd, waarin het verschilt van reguliere metadata, hoe auditors verificatie in hun workflow integreren, en, cruciaal, wat de standaard wel en niet kan bewijzen.
Kernpunten
- C2PA embed onveranderlijke herkomstgegevens in beeldbestanden via cryptografische handtekeningen
- De standaard wordt ondersteund door camera’s van Sony, Leica en Nikon, en software van Adobe
- C2PA bewijst dat een bestand niet is gewijzigd sinds ondertekening, niet dat de afgebeelde situatie “waar” is
- Verificatie is eenvoudig: sleep een bestand naar contentcredentials.org/verify voor directe validatie
- Metadata kan worden gestript; afwezigheid van C2PA bewijst niets
Wat is C2PA?
De coalitie achter de standaard
C2PA staat voor Coalition for Content Provenance and Authenticity. De coalitie werd opgericht op 22 februari 2021 door zes founding members: Adobe, Microsoft, BBC, Intel, Arm en Truepic. De juridische structuur is een Joint Development Foundation project onder de Linux Foundation, wat een open, royalty-free standaard waarborgt.
Het Steering Committee omvat inmiddels grote technologiebedrijven en mediaorganisaties: Adobe, Amazon, BBC, Google, Intel, Meta, Microsoft, OpenAI, Sony en Truepic. Het Content Authenticity Initiative (CAI), de “marketing en implementatie-arm”, rapporteert meer dan 250 leden, waaronder cameraproducenten (Nikon, Canon, Leica, Sony), nieuwsorganisaties (Reuters, AP, New York Times) en platforms (Google, Meta, TikTok).
De huidige versie is C2PA Specification 2.2, gepubliceerd op 1 mei 2025. De specificatie is onder review bij ISO TC 171/SC 2 voor potentiële adoptie als internationale standaard.
Content Credentials: de consumententerm
In communicatie naar eindgebruikers wordt de term Content Credentials gebruikt. Dit is de consumentvriendelijke benaming voor een C2PA Manifest, de technische datastructuur die alle authenticiteitsgegevens bevat. Adobe beschrijft het als “een voedingslabel voor digitale content.”
De termen zijn uitwisselbaar: Content Credentials is wat gebruikers zien in interfaces, C2PA Manifest is de technische implementatie daaronder.
Hoe C2PA technisch werkt
De manifest-structuur
Een C2PA Manifest is een cryptografisch ondertekende datastructuur die wordt opgeslagen in het beeldbestand zelf. De technische container is JUMBF (JPEG Universal Metadata Box Format, ISO 19566-5:2023).
De hiërarchische structuur:
- Manifest Store, de container voor alle manifesten in een bestand
- Manifest, één set authenticiteitsgegevens (een bestand kan meerdere hebben na bewerkingen)
- Assertion Store, de individuele claims: hash-binding, acties, ingrediënten, metadata
- Claim, de ondertekende wrapper die naar alle assertions verwijst
- Signature, de digitale handtekening
Cryptografische hash: de vingerafdruk
Het kernmechanisme van C2PA is de cryptografische hash, een unieke vingerafdruk van het bestand. C2PA gebruikt standaard SHA-256 (alternatieven: SHA-384, SHA-512).
De werking is eenvoudig maar krachtig: de hash-functie berekent een unieke code op basis van alle bytes in het bestand. Verander je één pixel, dan verandert de hash volledig. Dit maakt elke manipulatie detecteerbaar.
Hashes worden toegepast op:
- De volledige asset-content (hard binding)
- Elke individuele assertion
- De claim voor ondertekening
Digitale handtekening: bewijs van herkomst
De hash alleen bewijst integriteit, niet herkomst. Daarvoor dient de digitale handtekening. C2PA gebruikt het COSE_Sign1_Tagged formaat (RFC 8152) met ondersteunde algoritmen als ES256 (ECDSA met P-256 curve) en Ed25519.
De handtekening werkt via public-key cryptografie:
- De camera of software heeft een privésleutel (geheim)
- Bij opname wordt de hash ondertekend met deze privésleutel
- De bijbehorende publieke sleutel zit in een certificaat dat in het bestand wordt opgenomen
- Bij verificatie controleert software of de handtekening klopt met het certificaat
De certificaten worden gevalideerd tegen de C2PA Trust List, een beheerde lijst van vertrouwde certificaatautoriteiten. Dit voorkomt dat iedereen zomaar geldige handtekeningen kan produceren.
Hard bindings en soft bindings
Hard bindings zijn cryptografische bindingen die byte-exacte integriteit verifiëren. Als één byte verandert, faalt de verificatie. Dit is de primaire bescherming.
Soft bindings zijn perceptuele hashes, fingerprints gebaseerd op de visuele inhoud, niet de exacte bytes. Ze maken “fuzzy matching” mogelijk: als metadata wordt gestript maar de afbeelding intact blijft, kan een soft binding het originele manifest mogelijk terugvinden in een database. Soft bindings kunnen hard bindings echter nooit vervangen voor verificatiedoeleinden.
Bewerkingsworkflow: het ingrediënt-systeem
Wat gebeurt er als een C2PA-ondertekend bestand wordt bewerkt? De standaard documenteert de volledige keten:
- Bestaande manifest(en) worden gevalideerd
- Bewerkingsacties worden geregistreerd (cropped, resized, filtered, color_adjustments)
- Het originele bestand wordt opgeslagen als ingredient met referentie naar het oorspronkelijke manifest
- Een nieuw manifest wordt aangemaakt met nieuwe hard binding
- De nieuwe claim wordt ondertekend door de bewerkingssoftware
Zo ontstaat een keten van manifesten die de volledige geschiedenis van het bestand documenteert, van camera tot publicatie.
Welke informatie legt C2PA vast?
Capture-informatie
Bij opname registreert C2PA (via de stds.exif assertion):
| Categorie | Datapunten |
|---|---|
| Apparaat | Cameramerk, model, lens, serienummer |
| Locatie | GPS-coördinaten, hoogte |
| Tijd | Datum en tijd van opname (tot op de seconde) |
| Instellingen | ISO, diafragma, sluitertijd |
Signer-informatie
Het manifest bevat ook informatie over de ondertekenaar:
- Claim Generator Info, software naam, versie, besturingssysteem
- X.509 Certificaat, identiteit van de ondertekenaar (camerafabrikant, softwareleverancier)
- Trust Anchor, de certificaatketen naar een vertrouwde root
- Timestamp, RFC 3161 tijdstip van ondertekening
Bewerkingsgeschiedenis
De c2pa.actions assertion registreert alle bewerkingen met gestandaardiseerde labels:
- c2pa.created, initiële creatie
- c2pa.opened, bestaand bestand geopend
- c2pa.cropped, bijgesneden
- c2pa.resized, formaat gewijzigd
- c2pa.filtered, filter toegepast
- c2pa.color_adjustments, kleur/belichting aangepast
- c2pa.removed, content verwijderd
Elke actie wordt geregistreerd met timestamp en softwareversie. Een auditor kan zo exact zien welke bewerkingen zijn uitgevoerd.
Verschil met reguliere metadata
EXIF, XMP en IPTC: de beperkingen
Standaard metadata-formaten (EXIF, XMP, IPTC) leggen vergelijkbare informatie vast: cameragegevens, GPS, tijdstempel. Maar ze hebben fundamentele beperkingen:
| Aspect | EXIF/XMP/IPTC | C2PA |
|---|---|---|
| Tamper-detectie | Geen | Cryptografische hash-verificatie |
| Herkomstbewijs | Niet geverifieerd | Ondertekend door certificaathouder |
| Bewerkingsgeschiedenis | Beperkt (XMP history) | Complete action chain |
| Brontracking | Geen | Ingredient chain |
| Verwijderingsdetectie | Onmogelijk | Soft bindings mogelijk |
Het kernprobleem met reguliere metadata: iedereen kan ze wijzigen. Tools als ExifTool passen GPS-coördinaten, tijdstempels en cameragegevens aan in seconden. Er is geen manier om te detecteren of metadata authentiek is of gemanipuleerd.
Van tamper-evident naar tamper-proof
C2PA is tamper-evident, niet tamper-proof. Het verschil is cruciaal:
- Tamper-proof zou betekenen dat manipulatie onmogelijk is. Dat bestaat niet voor digitale bestanden.
- Tamper-evident betekent dat manipulatie detecteerbaar is. Als iemand een C2PA-ondertekend bestand wijzigt, faalt de hash-verificatie.
De analogie met een lakzegel is accuraat: je kunt de envelop openen, maar het verbroken zegel toont dat er is geknoeid.
De C2PA audit-workflow: drie routes naar verificatie
Voor een auditor is de workflow verdeeld in drie fasen: inname, authenticatie en corroboratie. De onderstaande tools faciliteren dit proces, afhankelijk van volume en context.
Route 1: De web-portal (steekproefsgewijze controle)
Dit is de meest toegankelijke methode voor een accountant tijdens een substantieve procedure.
Tool: Content Credentials Verify (contentcredentials.org/verify)
Workflow: De auditor sleept het aangeleverde bestand (bijvoorbeeld een.jpg van een zonnepaneel-installatie) naar de browser.
Resultaat: De portal opent het manifest en toont direct:
- Een groen vinkje bij “Content Credentials” (of rood bij problemen)
- De Source: welk specifiek apparaat de opname maakte (bijvoorbeeld “Sony A7 IV”)
- De Map: een interactieve kaart op basis van de GPS-coördinaten
- De History: een tijdlijn die toont of en hoe de foto is bewerkt
Audit-bewijs: De auditor maakt een PDF-export van het verificatierapport en voegt dit toe aan het controledossier als bewijsstuk voor authenticiteit.
Route 2: De browser-extensie (directe review)
Voor auditors die rapportages online of in PDF-viewers beoordelen.
Tool: Adobe Content Authenticity extensie (Chrome of Edge)
Workflow: Tijdens het doorbladeren van een digitaal duurzaamheidsverslag verschijnt bij afbeeldingen met Content Credentials een klein CR-icoon in de hoek.
Resultaat: Door over het icoon te hoveren ziet de auditor direct de herkomstgegevens zonder het verslag te verlaten. Ideaal voor een high-level review van visuele claims in een jaarverslag.
Route 3: Command line / API (automatisering bij grote volumes)
Voor grotere organisaties of IT-auditors die duizenden bewijsstukken per jaar verwerken.
Tool: c2patool, de officiële Rust-library van de coalitie (github.com/contentauth/c2patool)
Workflow: De auditor draait een script over een map met bewijsmateriaal:
c2patool image.jpg --detailed
Resultaat: De tool genereert een JSON-bestand met alle manifest-data. Deze JSON kan automatisch worden vergeleken met gegevens in het ERP- of ESG-systeem. Als de GPS-coördinaten in het manifest niet overeenkomen met de bekende locatie van de bedrijfslocatie, wordt het bewijsstuk automatisch geflagd voor nader onderzoek.
Verificatie-elementen voor het controledossier
Bij een audit onder reasonable assurance valideert de auditor de volgende manifest-velden tegen de onderliggende administratie:
| Manifest-veld | Te controleren tegen | Audit-waarde |
|---|---|---|
| Active Manifest Hash | Het originele bestand | Bewijst dat pixels niet zijn gewijzigd |
| Claimant / Signer | Certificaat-database | Bewijst dat foto door geautoriseerde bron is gemaakt |
| stds.exif:GPS | Kadastrale gegevens / locatieadministratie | Bewijst dat installatie op eigen terrein staat |
| stds.exif:DateTime | Factuurdatum / rapportagejaar | Bewijst dat actie in juiste periode plaatsvond |
| c2pa.actions | Interne richtlijnen beeldbewerking | Toont of bewerkingen binnen acceptabele grenzen vallen |
Deze verificatie-elementen vormen samen het bewijs dat visuele documentatie authentiek, ongewijzigd en relevant is voor de gerapporteerde claims.
Welke apparatuur ondersteunt C2PA?
Camera’s
| Merk | Modellen met C2PA | Status |
|---|---|---|
| Leica | M11-P, M11-D, SL3-S | Beschikbaar |
| Sony | Alpha 1, Alpha 9 III, Alpha 7S III, Alpha 7 IV, FX3/FX30 | Via firmware-update |
| Nikon | Z6 III | Firmware 2.00 |
| Canon | Cinema EOS-lijn | Aangekondigd |
C2PA-compatibele camera’s bevinden zich momenteel in het hogere segment. Een Sony Alpha 1 of Leica M11-P vertegenwoordigt een investering van €5.000-9.000.
Smartphones
Google Pixel 10 (september 2025) is de eerste smartphone met native C2PA-ondersteuning, met hardware-backed verificatie via de Tensor G5-chip. Samsung Galaxy S25 biedt beperkte ondersteuning, alleen voor AI-bewerkte content, niet voor originele opnames. Apple iPhone heeft nog geen aankondiging gedaan.
Software
Adobe Creative Cloud ondersteunt C2PA volledig: Photoshop, Lightroom, Premiere Pro, Camera Raw. Bewerkingen worden geregistreerd in de manifest-keten. Capture One en Photo Mechanic ondersteunen eveneens Content Credentials.
Waarom C2PA relevant is voor compliance
Audit-proof documentatie
Voor CSRD-rapportages biedt C2PA een mechanisme om de integriteit van visueel bewijsmateriaal te documenteren. Een C2PA-ondertekende foto van zonnepanelen bevat:
- GPS-coördinaten die de bedrijfslocatie bevestigen
- Tijdstempel binnen de rapportageperiode
- Camera-identificatie die de bron verifieert
- Cryptografisch bewijs dat het bestand niet is gewijzigd
Dit is precies de corroborerende informatie die auditors zoeken bij claims over fysieke installaties.
Chain of custody
De ESRS-standaarden vereisen verifieerbaarheid: “verschillende deskundige en onafhankelijke waarnemers moeten consensus kunnen bereiken.” C2PA ondersteunt dit door een ononderbroken chain of custody te documenteren, van camera-opname via eventuele bewerkingen tot gebruik in rapportages.
De vraag “waar komt dit beeld vandaan?” is beantwoordbaar: de manifest-keten toont elke stap.
Greenwashing-preventie
De Green Claims Directive definieert milieuclaims als “elke representatie, inclusief afbeeldingen.” Een foto van zonnepanelen die niet op eigen terrein staat, is potentieel misleidend. C2PA-verificatie bewijst locatie en voorkomt dit risico.
De ACM heeft actief gehandhaafd tegen misleidende visuele claims (Booking.com, Albert Heijn, Zalando). Verifieerbaar beeldmateriaal wordt een risicomitigatie-instrument.
Beperkingen en nuances
Wat C2PA niet kan bewijzen
De officiële specificatie stelt expliciet:
“Provenance information alone cannot tell you whether the digital content is true, accurate or factual.”
C2PA verifieert:
- ✓ Cryptografische integriteit van het manifest
- ✓ Geldigheid van de handtekening
- ✓ Identiteit van het ondertekenende certificaat
- ✓ Dat ondertekende data niet is gewijzigd
C2PA verifieert niet:
- âœ, Of de content waarheidsgetrouw is
- âœ, Accuraatheid van metadata-claims
- âœ, Pre-capture manipulatie (geënsceneerde situaties)
- âœ, Of de ondertekenaar metadata heeft gevalideerd
Een geënsceneerde foto blijft geënsceneerd, ook met C2PA-handtekening. De standaard bewijst herkomst, geen waarheid.
Metadata stripping
Het meest fundamentele probleem: C2PA biedt “geen bescherming tegen volledige verwijdering van manifesten.” Een screenshot, een WhatsApp-verzending, een upload naar de meeste social media platforms, de metadata verdwijnt in milliseconden.
Dit betekent dat afwezigheid van C2PA niets bewijst. Een foto zonder manifest kan authentiek zijn (metadata gestript) of gefabriceerd.
Re-capture attacks
Een C2PA-camera die een beeldscherm fotografeert met AI-gegenereerde of gemanipuleerde content, ondertekent dit als “authentiek.” De specificatie erkent dit expliciet als kwetsbaarheid. De camera verifieert niet wat ervóór staat, alleen dat de opname op dat apparaat is gemaakt.
Bekende implementatieproblemen
Onderzoeker Adam Horshack demonstreerde in september 2025 dat Nikon Z6 III’s Multiple Exposure-modus toelaat RAW-foto’s van niet-C2PA camera’s te combineren met een C2PA-camera, resulterend in “geverifieerde” beelden die authenticatiechecks passeren. Google Pixel 10’s implementatie bleek EXIF en XMP metadata uit te sluiten van cryptografische bescherming.
De standaard evolueert snel om dergelijke problemen te adresseren, maar het illustreert dat C2PA geen onfeilbaar systeem is.
Implicaties voor duurzaamheidsrapportages
C2PA biedt voor CSRD-rapportages een gestandaardiseerd mechanisme om herkomst en integriteit van visueel bewijsmateriaal te documenteren. De cryptografische handtekeningen van vertrouwde hardware creëren een verifieerbare chain of custody.
Drie praktische aanbevelingen:
Documenteer welke beelden C2PA-geverifieerd zijn. Vermeld in rapportages door welke hardware/software ondertekend en welke aanvullende verificatiestappen zijn genomen.
Behandel C2PA als ondersteunend bewijs, niet als sluitend bewijs. De standaard bewijst herkomst en integriteit, niet dat de afgebeelde situatie “waar” is. Combineer met procedurele waarborgen: wie fotografeert, onder welke omstandigheden, met welke instructies.
Anticipeer op adoptie. De standaard evolueert snel. Google Pixel 10 brengt C2PA naar het consumentensegment. De Europese Commissie overweegt C2PA-vereisten voor AI-gegenereerde content. Organisaties die nu investeren, bouwen aan een bewijspositie die de komende jaren aan waarde wint.