Dit artikel legt uit hoe C2PA technisch werkt, welke informatie wordt vastgelegd, waarin het verschilt van reguliere metadata, hoe auditors verificatie in hun workflow integreren, en, cruciaal, wat de standaard wel en niet kan bewijzen.

Kernpunten

• C2PA embed onveranderlijke herkomstgegevens in beeldbestanden via cryptografische handtekeningen
• De standaard wordt ondersteund door camera’s van Sony, Leica en Nikon, en software van Adobe
• C2PA bewijst dat een bestand niet is gewijzigd sinds ondertekening, niet dat de afgebeelde situatie “waar” is
• Verificatie is eenvoudig: sleep een bestand naar contentcredentials.org/verify voor directe validatie
• Metadata kan worden gestript; afwezigheid van C2PA bewijst niets

Wat is C2PA?

De coalitie achter de standaard

C2PA staat voor Coalition for Content Provenance and Authenticity. De coalitie werd opgericht op 22 februari 2021 door zes founding members: Adobe, Microsoft, BBC, Intel, Arm en Truepic. De juridische structuur is een Joint Development Foundation project onder de Linux Foundation, wat een open, royalty-free standaard waarborgt.

Het Steering Committee omvat inmiddels grote technologiebedrijven en mediaorganisaties: Adobe, Amazon, BBC, Google, Intel, Meta, Microsoft, OpenAI, Sony en Truepic. Het Content Authenticity Initiative (CAI), de “marketing en implementatie-arm”, rapporteert meer dan 250 leden, waaronder cameraproducenten (Nikon, Canon, Leica, Sony), nieuwsorganisaties (Reuters, AP, New York Times) en platforms (Google, Meta, TikTok).

De huidige versie is C2PA Specification 2.2, gepubliceerd op 1 mei 2025. De specificatie is onder review bij ISO TC 171/SC 2 voor potentiële adoptie als internationale standaard.

Content Credentials: de consumententerm

In communicatie naar eindgebruikers wordt de term Content Credentials gebruikt. Dit is de consumentvriendelijke benaming voor een C2PA Manifest, de technische datastructuur die alle authenticiteitsgegevens bevat. Adobe beschrijft het als “een voedingslabel voor digitale content.”

De termen zijn uitwisselbaar: Content Credentials is wat gebruikers zien in interfaces, C2PA Manifest is de technische implementatie daaronder.

Hoe C2PA technisch werkt

De manifest-structuur

Een C2PA Manifest is een cryptografisch ondertekende datastructuur die wordt opgeslagen in het beeldbestand zelf. De technische container is JUMBF (JPEG Universal Metadata Box Format, ISO 19566-5:2023).

De hiërarchische structuur:

• Manifest Store, de container voor alle manifesten in een bestand
• Manifest, één set authenticiteitsgegevens (een bestand kan meerdere hebben na bewerkingen)
• Assertion Store, de individuele claims: hash-binding, acties, ingrediënten, metadata
• Claim, de ondertekende wrapper die naar alle assertions verwijst
• Signature, de digitale handtekening

Cryptografische hash: de vingerafdruk

Het kernmechanisme van C2PA is de cryptografische hash, een unieke vingerafdruk van het bestand. C2PA gebruikt standaard SHA-256 (alternatieven: SHA-384, SHA-512).

De werking is eenvoudig maar krachtig: de hash-functie berekent een unieke code op basis van alle bytes in het bestand. Verander je één pixel, dan verandert de hash volledig. Dit maakt elke manipulatie detecteerbaar.

Hashes worden toegepast op:

• De volledige asset-content (hard binding)
• Elke individuele assertion
• De claim voor ondertekening

Digitale handtekening: bewijs van herkomst

De hash alleen bewijst integriteit, niet herkomst. Daarvoor dient de digitale handtekening. C2PA gebruikt het COSE_Sign1_Tagged formaat (RFC 8152) met ondersteunde algoritmen als ES256 (ECDSA met P-256 curve) en Ed25519.

De handtekening werkt via public-key cryptografie:

1. De camera of software heeft een privésleutel (geheim)
2. Bij opname wordt de hash ondertekend met deze privésleutel
3. De bijbehorende publieke sleutel zit in een certificaat dat in het bestand wordt opgenomen
4. Bij verificatie controleert software of de handtekening klopt met het certificaat

De certificaten worden gevalideerd tegen de C2PA Trust List, een beheerde lijst van vertrouwde certificaatautoriteiten. Dit voorkomt dat iedereen zomaar geldige handtekeningen kan produceren.

Hard bindings en soft bindings

Hard bindings zijn cryptografische bindingen die byte-exacte integriteit verifiëren. Als één byte verandert, faalt de verificatie. Dit is de primaire bescherming.

Soft bindings zijn perceptuele hashes, fingerprints gebaseerd op de visuele inhoud, niet de exacte bytes. Ze maken “fuzzy matching” mogelijk: als metadata wordt gestript maar de afbeelding intact blijft, kan een soft binding het originele manifest mogelijk terugvinden in een database. Soft bindings kunnen hard bindings echter nooit vervangen voor verificatiedoeleinden.

Bewerkingsworkflow: het ingrediënt-systeem

Wat gebeurt er als een C2PA-ondertekend bestand wordt bewerkt? De standaard documenteert de volledige keten:

1. Bestaande manifest(en) worden gevalideerd
2. Bewerkingsacties worden geregistreerd (cropped, resized, filtered, color_adjustments)
3. Het originele bestand wordt opgeslagen als ingredient met referentie naar het oorspronkelijke manifest
4. Een nieuw manifest wordt aangemaakt met nieuwe hard binding
5. De nieuwe claim wordt ondertekend door de bewerkingssoftware

Zo ontstaat een keten van manifesten die de volledige geschiedenis van het bestand documenteert, van camera tot publicatie.

Welke informatie legt C2PA vast?

Capture-informatie

Bij opname registreert C2PA (via de stds.exif assertion):

Signer-informatie

Het manifest bevat ook informatie over de ondertekenaar:

• Claim Generator Info, software naam, versie, besturingssysteem
• X.509 Certificaat, identiteit van de ondertekenaar (camerafabrikant, softwareleverancier)
• Trust Anchor, de certificaatketen naar een vertrouwde root
• Timestamp, RFC 3161 tijdstip van ondertekening

Bewerkingsgeschiedenis

De c2pa.actions assertion registreert alle bewerkingen met gestandaardiseerde labels:

• c2pa.created, initiële creatie
• c2pa.opened, bestaand bestand geopend
• c2pa.cropped, bijgesneden
• c2pa.resized, formaat gewijzigd
• c2pa.filtered, filter toegepast
• c2pa.color_adjustments, kleur/belichting aangepast
• c2pa.removed, content verwijderd

Elke actie wordt geregistreerd met timestamp en softwareversie. Een auditor kan zo exact zien welke bewerkingen zijn uitgevoerd.

Verschil met reguliere metadata

EXIF, XMP en IPTC: de beperkingen

Standaard metadata-formaten (EXIF, XMP, IPTC) leggen vergelijkbare informatie vast: cameragegevens, GPS, tijdstempel. Maar ze hebben fundamentele beperkingen:

Het kernprobleem met reguliere metadata: iedereen kan ze wijzigen. Tools als ExifTool passen GPS-coördinaten, tijdstempels en cameragegevens aan in seconden. Er is geen manier om te detecteren of metadata authentiek is of gemanipuleerd.

Van tamper-evident naar tamper-proof

C2PA is tamper-evident, niet tamper-proof. Het verschil is cruciaal:

• Tamper-proof zou betekenen dat manipulatie onmogelijk is. Dat bestaat niet voor digitale bestanden.
• Tamper-evident betekent dat manipulatie detecteerbaar is. Als iemand een C2PA-ondertekend bestand wijzigt, faalt de hash-verificatie.

De analogie met een lakzegel is accuraat: je kunt de envelop openen, maar het verbroken zegel toont dat er is geknoeid.

De C2PA audit-workflow: drie routes naar verificatie

Voor een auditor is de workflow verdeeld in drie fasen: inname, authenticatie en corroboratie. De onderstaande tools faciliteren dit proces, afhankelijk van volume en context.

Route 1: De web-portal (steekproefsgewijze controle)

Dit is de meest toegankelijke methode voor een accountant tijdens een substantieve procedure.

Tool: Content Credentials Verify (contentcredentials.org/verify)

Workflow: De auditor sleept het aangeleverde bestand (bijvoorbeeld een.jpg van een zonnepaneel-installatie) naar de browser.

Resultaat: De portal opent het manifest en toont direct:

• Een groen vinkje bij “Content Credentials” (of rood bij problemen)
• De Source: welk specifiek apparaat de opname maakte (bijvoorbeeld “Sony A7 IV”)
• De Map: een interactieve kaart op basis van de GPS-coördinaten
• De History: een tijdlijn die toont of en hoe de foto is bewerkt

Audit-bewijs: De auditor maakt een PDF-export van het verificatierapport en voegt dit toe aan het controledossier als bewijsstuk voor authenticiteit.

Route 2: De browser-extensie (directe review)

Voor auditors die rapportages online of in PDF-viewers beoordelen.

Tool: Adobe Content Authenticity extensie (Chrome of Edge)

Workflow: Tijdens het doorbladeren van een digitaal duurzaamheidsverslag verschijnt bij afbeeldingen met Content Credentials een klein CR-icoon in de hoek.

Resultaat: Door over het icoon te hoveren ziet de auditor direct de herkomstgegevens zonder het verslag te verlaten. Ideaal voor een high-level review van visuele claims in een jaarverslag.

Route 3: Command line / API (automatisering bij grote volumes)

Voor grotere organisaties of IT-auditors die duizenden bewijsstukken per jaar verwerken.

Tool: c2patool, de officiële Rust-library van de coalitie (github.com/contentauth/c2patool)

Workflow: De auditor draait een script over een map met bewijsmateriaal:

c2patool image.jpg --detailed

Resultaat: De tool genereert een JSON-bestand met alle manifest-data. Deze JSON kan automatisch worden vergeleken met gegevens in het ERP- of ESG-systeem. Als de GPS-coördinaten in het manifest niet overeenkomen met de bekende locatie van de bedrijfslocatie, wordt het bewijsstuk automatisch geflagd voor nader onderzoek.

Verificatie-elementen voor het controledossier

Bij een audit onder reasonable assurance valideert de auditor de volgende manifest-velden tegen de onderliggende administratie:

Deze verificatie-elementen vormen samen het bewijs dat visuele documentatie authentiek, ongewijzigd en relevant is voor de gerapporteerde claims.

Welke apparatuur ondersteunt C2PA?

Camera’s

C2PA-compatibele camera’s bevinden zich momenteel in het hogere segment. Een Sony Alpha 1 of Leica M11-P vertegenwoordigt een investering van €5.000-9.000.

Smartphones

Google Pixel 10 (september 2025) is de eerste smartphone met native C2PA-ondersteuning, met hardware-backed verificatie via de Tensor G5-chip. Samsung Galaxy S25 biedt beperkte ondersteuning, alleen voor AI-bewerkte content, niet voor originele opnames. Apple iPhone heeft nog geen aankondiging gedaan.

Software

Adobe Creative Cloud ondersteunt C2PA volledig: Photoshop, Lightroom, Premiere Pro, Camera Raw. Bewerkingen worden geregistreerd in de manifest-keten. Capture One en Photo Mechanic ondersteunen eveneens Content Credentials.

Waarom C2PA relevant is voor compliance

Audit-proof documentatie

Voor CSRD-rapportages biedt C2PA een mechanisme om de integriteit van visueel bewijsmateriaal te documenteren. Een C2PA-ondertekende foto van zonnepanelen bevat:

• GPS-coördinaten die de bedrijfslocatie bevestigen
• Tijdstempel binnen de rapportageperiode
• Camera-identificatie die de bron verifieert
• Cryptografisch bewijs dat het bestand niet is gewijzigd

Dit is precies de corroborerende informatie die auditors zoeken bij claims over fysieke installaties.

Chain of custody

De ESRS-standaarden vereisen verifieerbaarheid: “verschillende deskundige en onafhankelijke waarnemers moeten consensus kunnen bereiken.” C2PA ondersteunt dit door een ononderbroken chain of custody te documenteren, van camera-opname via eventuele bewerkingen tot gebruik in rapportages.

De vraag “waar komt dit beeld vandaan?” is beantwoordbaar: de manifest-keten toont elke stap.

Greenwashing-preventie

De Green Claims Directive definieert milieuclaims als “elke representatie, inclusief afbeeldingen.” Een foto van zonnepanelen die niet op eigen terrein staat, is potentieel misleidend. C2PA-verificatie bewijst locatie en voorkomt dit risico.

De ACM heeft actief gehandhaafd tegen misleidende visuele claims (Booking.com, Albert Heijn, Zalando). Verifieerbaar beeldmateriaal wordt een risicomitigatie-instrument.

Beperkingen en nuances

Wat C2PA niet kan bewijzen

De officiële specificatie stelt expliciet:

“Provenance information alone cannot tell you whether the digital content is true, accurate or factual.”

C2PA verifieert:

• ✓ Cryptografische integriteit van het manifest
• ✓ Geldigheid van de handtekening
• ✓ Identiteit van het ondertekenende certificaat
• ✓ Dat ondertekende data niet is gewijzigd

C2PA verifieert niet:

• âœ, Of de content waarheidsgetrouw is
• âœ, Accuraatheid van metadata-claims
• âœ, Pre-capture manipulatie (geënsceneerde situaties)
• âœ, Of de ondertekenaar metadata heeft gevalideerd

Een geënsceneerde foto blijft geënsceneerd, ook met C2PA-handtekening. De standaard bewijst herkomst, geen waarheid.

Metadata stripping

Het meest fundamentele probleem: C2PA biedt “geen bescherming tegen volledige verwijdering van manifesten.” Een screenshot, een WhatsApp-verzending, een upload naar de meeste social media platforms, de metadata verdwijnt in milliseconden.

Dit betekent dat afwezigheid van C2PA niets bewijst. Een foto zonder manifest kan authentiek zijn (metadata gestript) of gefabriceerd.

Re-capture attacks

Een C2PA-camera die een beeldscherm fotografeert met AI-gegenereerde of gemanipuleerde content, ondertekent dit als “authentiek.” De specificatie erkent dit expliciet als kwetsbaarheid. De camera verifieert niet wat ervóór staat, alleen dat de opname op dat apparaat is gemaakt.

Bekende implementatieproblemen

Onderzoeker Adam Horshack demonstreerde in september 2025 dat Nikon Z6 III’s Multiple Exposure-modus toelaat RAW-foto’s van niet-C2PA camera’s te combineren met een C2PA-camera, resulterend in “geverifieerde” beelden die authenticatiechecks passeren. Google Pixel 10’s implementatie bleek EXIF en XMP metadata uit te sluiten van cryptografische bescherming.

De standaard evolueert snel om dergelijke problemen te adresseren, maar het illustreert dat C2PA geen onfeilbaar systeem is.

Implicaties voor duurzaamheidsrapportages

C2PA biedt voor CSRD-rapportages een gestandaardiseerd mechanisme om herkomst en integriteit van visueel bewijsmateriaal te documenteren. De cryptografische handtekeningen van vertrouwde hardware creëren een verifieerbare chain of custody.

Drie praktische aanbevelingen:

Documenteer welke beelden C2PA-geverifieerd zijn. Vermeld in rapportages door welke hardware/software ondertekend en welke aanvullende verificatiestappen zijn genomen.

Behandel C2PA als ondersteunend bewijs, niet als sluitend bewijs. De standaard bewijst herkomst en integriteit, niet dat de afgebeelde situatie “waar” is. Combineer met procedurele waarborgen: wie fotografeert, onder welke omstandigheden, met welke instructies.

Anticipeer op adoptie. De standaard evolueert snel. Google Pixel 10 brengt C2PA naar het consumentensegment. De Europese Commissie overweegt C2PA-vereisten voor AI-gegenereerde content. Organisaties die nu investeren, bouwen aan een bewijspositie die de komende jaren aan waarde wint.

The post Wat is C2PA? De standaard voor verifieerbare bedrijfsfotografie appeared first on Visual Assurance.

Basismetadata versus compliance-metadata

Elke digitale foto bevat automatisch metadata. De drie belangrijkste standaarden zijn EXIF, XMP en IPTC.

EXIF (Exchangeable Image File Format) registreert technische opname-informatie: camera-instellingen, datum, tijd en bij smartphones vaak GPS-coördinaten. Deze data wordt automatisch door de camera geschreven.

XMP (Extensible Metadata Platform) bevat bewerkingsgeschiedenis en gebruikersinvoer. Adobe-software schrijft hier informatie over filters, bijsnijdingen en aanpassingen.

IPTC (International Press Telecommunications Council) is ontwikkeld voor de persindustrie en bevat beschrijvende informatie: fotograaf, copyright, trefwoorden en locatiebeschrijvingen.

Voor dagelijks gebruik volstaat deze basismetadata. Voor audit-doeleinden niet. Het fundamentele probleem: basismetadata is eenvoudig te wijzigen, te verwijderen of te fabriceren. Een auditor die metadata controleert, kan niet verifiëren of die metadata authentiek is.

Essentiële datapunten voor audit-proof fotografie

Auditors die beeldmateriaal beoordelen voor CSRD-rapportages zoeken naar drie categorieën metadata:

1. Locatieverificatie (GPS-coördinaten)

GPS-data in het EXIF-bestand bevat breedtegraad, lengtegraad en soms hoogte. Dit beantwoordt de vraag: waar is deze foto gemaakt?

Voor een foto van zonnepanelen die een ESRS E1-claim onderbouwt, moet de GPS-locatie overeenkomen met het bedrijfsterrein. Een foto met GPS-coördinaten die naar een stockfoto-bureau in Los Angeles wijzen, ondermijnt de claim onmiddellijk.

Aandachtspunt: niet alle camera’s registreren GPS. Professionele DSLR-camera’s hebben vaak geen ingebouwde GPS-ontvanger. Smartphones wel, maar alleen als locatieservices zijn ingeschakeld.

2. Tijdstempel (datum en tijd)

Het EXIF-veld “DateTimeOriginal” registreert wanneer de opname is gemaakt. Voor reasonable assurance moet de auditor kunnen vaststellen dat het beeld is gemaakt in de rapportageperiode.

De technische standaard is RFC 3339 of ISO 8601 voor tijdsnotatie, inclusief tijdzone. Een tijdstempel zonder tijdzone-informatie is ambigu en minder betrouwbaar.

Probleem: de interne klok van een camera is eenvoudig te manipuleren. Een fotograaf kan de datum terugzetten naar vorig jaar en vervolgens foto’s maken die lijken alsof ze in de rapportageperiode zijn genomen.

3. Camera-identificatie

EXIF bevat merk, model en soms serienummer van de camera. Dit creëert een audit trail: welk apparaat heeft dit beeld geproduceerd?

Voor enterprise-toepassingen is device-identificatie relevant om te verifiëren dat beelden afkomstig zijn van geautoriseerde apparatuur binnen een gecontroleerd proces, niet van willekeurige bronnen.

Aanvullende relevante velden

• Orientation: hoe de camera was georiënteerd (relevant voor manipulatiedetectie)
• Software: welke software het bestand heeft verwerkt
• ImageUniqueID: unieke identifier per opname
• Thumbnail: ingebedde miniatuur (afwijkingen kunnen manipulatie signaleren)

Beperkingen van standaard metadata

Standaard metadata heeft drie fundamentele zwakheden die de bewijskracht voor audit-doeleinden beperken.

Metadata is eenvoudig te verwijderen

Sociale media-platforms zoals WhatsApp, Instagram en Facebook verwijderen metadata bij upload. Een foto die via WhatsApp wordt gedeeld, verliest GPS, tijdstempel en camera-informatie. Alleen directe bestandsoverdracht (USB, e-mail als bijlage) behoudt volledige metadata.

Metadata is eenvoudig te manipuleren

Tools zoals ExifTool zijn gratis beschikbaar en kunnen elke EXIF-waarde wijzigen. GPS-coördinaten aanpassen naar een gewenste locatie kost minder dan een minuut. Voor een auditor is gemanipuleerde metadata niet te onderscheiden van authentieke metadata zonder aanvullende verificatie.

Metadata biedt geen tamper-evidence

Wanneer iemand een foto bewerkt in Photoshop en opslaat, wordt de metadata bijgewerkt. Maar de originele metadata is verdwenen. Er is geen mechanisme om te detecteren of metadata is gewijzigd sinds het moment van opname.

Waarom een tijdstempel niet genoeg is

Een veelvoorkomend misverstand: “de foto heeft een tijdstempel, dus is bewezen wanneer hij is gemaakt.” Dit is incorrect om twee redenen.

De camera-klok is manipuleerbaar. Een fotograaf kan de interne klok van de camera op elke gewenste datum zetten voordat de opname wordt gemaakt. De resulterende EXIF-tijdstempel is technisch correct maar feitelijk misleidend.

Er is geen verificatie van authenticiteit. Een tijdstempel bewijst niet dat de foto daadwerkelijk op dat moment is gemaakt door die camera op die locatie. Het bewijst alleen dat de camera-klok op dat moment die tijd aangaf.

Voor limited assurance kan een tijdstempel volstaan als ondersteunend bewijs naast andere documentatie. Voor reasonable assurance, waar de auditor actief bewijs moet verzamelen, is een niet-geverifieerde tijdstempel onvoldoende als zelfstandig bewijs.

Van metadata naar chain of custody

De oplossing voor de beperkingen van standaard metadata is een cryptografische chain of custody. Dit is waar C2PA-verificatie het gat vult.

C2PA (Coalition for Content Provenance and Authenticity) voegt drie elementen toe die standaard metadata mist:

1. Cryptografische hash: een unieke vingerafdruk van het bestand. Wijzig één pixel en de hash verandert volledig.
2. Digitale handtekening: de camera of software ondertekent de metadata met een privésleutel die alleen dat apparaat bezit.
3. Bewerkingsgeschiedenis: elke bewerking wordt geregistreerd in een onveranderlijk logboek.

Het verschil is fundamenteel: standaard metadata beschrijft eigenschappen van het bestand. C2PA bewijst dat die eigenschappen niet zijn gewijzigd sinds het moment van ondertekening.

Voor auditors die beeldmateriaal beoordelen voor CSRD-rapportages is het onderscheid essentieel. Metadata zonder cryptografische verificatie is informatie. Metadata met C2PA-ondertekening is bewijs.

The post Welke metadata maakt een foto audit-proof? Vereisten voor compliance-fotografie appeared first on Visual Assurance.