C2PA: qué es, cómo verificar Content Credentials y por qué pueden desaparecer
Una imagen con credenciales C2PA entra en WhatsApp.
La imagen sale. La credencial, no.
Parece un chiste, pero resume bastante bien uno de los problemas de la trazabilidad digital: podemos crear una prueba criptográfica perfectamente válida y perderla en cuanto el archivo empieza a circular por Internet.
C2PA intenta resolver una pregunta que cada vez será más habitual:
¿Cómo podemos saber de dónde procede una imagen, con qué herramienta fue creada y qué modificaciones ha recibido?
¿Qué es C2PA?
C2PA son las siglas de Coalition for Content Provenance and Authenticity. Es una iniciativa que desarrolla un estándar técnico abierto para registrar la procedencia y el historial de los contenidos digitales.
Las credenciales creadas con este estándar se conocen como Content Credentials.
Podemos entenderlas como una etiqueta digital vinculada al archivo. Esta etiqueta puede incluir información sobre:
- La herramienta o dispositivo utilizado para crear el contenido.
- Las aplicaciones con las que se ha editado.
- Las modificaciones declaradas durante el proceso.
- La posible intervención de inteligencia artificial.
- La entidad que firma la credencial.
- La integridad criptográfica de esa información.
No es un detector de inteligencia artificial que analiza píxeles e intenta adivinar qué ha ocurrido. C2PA registra información aportada y firmada durante la creación o edición del archivo.
Es una diferencia importante.
Un detector dice: «Esto parece generado con IA».
Una credencial C2PA dice: «Esta herramienta declara haber participado en la creación de este archivo y firma criptográficamente esa información».
Puedes consultar la explicación técnica en la documentación oficial de C2PA.
¿Qué relación tiene C2PA con el AI Act?
Desde el 2 de agosto de 2026, las obligaciones de transparencia del artículo 50 del AI Act ya son aplicables en la Unión Europea.
Los proveedores de sistemas de IA generativa deben hacer que determinados contenidos sintéticos puedan identificarse mediante formatos legibles por máquina. En casos como los deepfakes o algunos textos generados para informar sobre asuntos de interés público, también existen obligaciones de información visible.
El reglamento no obliga a utilizar específicamente C2PA. Exige que el marcado sea eficaz, interoperable, robusto y fiable. C2PA se ha convertido en una de las principales soluciones técnicas para conseguirlo.
La Comisión Europea también ha publicado un Código de buenas prácticas sobre transparencia del contenido generado por IA.
Las posibles sanciones por incumplir estas obligaciones pueden alcanzar los 15 millones de euros o el 3 % de la facturación global anual.
Esto no significa que cualquier persona que publique una imagen creada con IA vaya a recibir automáticamente una multa. Las obligaciones cambian según el papel de cada actor: proveedor del sistema, empresa que lo utiliza o responsable de publicar el contenido.
¿Quién utiliza Content Credentials?
C2PA ha dejado de ser una prueba de laboratorio.
OpenAI incorpora C2PA y marcas de agua SynthID en las imágenes compatibles generadas desde ChatGPT, Codex y su API. Adobe lo utiliza en distintas herramientas de creación y edición. Google ha incorporado sistemas de consulta de procedencia, y fabricantes como Leica, Sony, Nikon y Canon ya ofrecen cámaras capaces de firmar imágenes.
También existen plataformas que pueden reconocer estas credenciales y mostrar un icono para consultar la procedencia del contenido.
Sobre el papel, el circuito parece resuelto.
Entonces el archivo sale al mundo real.
¿Por qué pueden desaparecer las credenciales C2PA?
Las Content Credentials pueden estar incorporadas en el propio archivo o vinculadas a él. El problema aparece cuando otra aplicación procesa ese contenido sin conservar correctamente la información de procedencia.
Puede ocurrir al:
- Enviar una imagen mediante una aplicación que la recomprime.
- Convertirla a otro formato.
- Subirla a un CMS que genera nuevas versiones.
- Aplicar herramientas de optimización.
- Publicarla en determinadas redes sociales.
- Hacer una captura de pantalla.
Una captura no copia el archivo original. Crea uno nuevo. Visualmente puede parecer igual, pero ya no contiene necesariamente sus credenciales.
Algo parecido sucede cuando una plataforma reduce el tamaño o la calidad de una imagen: el usuario continúa viendo la fotografía, pero técnicamente está recibiendo otro archivo.
Nuestra prueba con LinkedIn
LinkedIn anunció la adopción del estándar C2PA en 2024 y permite mostrar información de procedencia en determinados tipos de contenido.
Sin embargo, al realizar una prueba con una publicación convencional, subimos una imagen que contenía credenciales C2PA válidas y descargamos posteriormente la versión publicada.
La imagen seguía ahí.
Las credenciales ya no.
Esto no significa que LinkedIn nunca utilice C2PA. Su propia documentación describe compatibilidad en contextos concretos, como algunos contenidos patrocinados. La prueba demuestra algo distinto: que una plataforma reconozca C2PA no garantiza que la credencial se conserve en todos sus flujos de publicación y descarga.
Ese es el verdadero problema de la tubería.
La norma pide trazabilidad. El estándar la genera. Pero cada conversión intermedia puede abrir una fuga.
Cómo verificar credenciales C2PA con Sellat
Sellat ya permite comprobar si un archivo contiene Content Credentials y consultar la información C2PA disponible.
Puedes hacerlo desde nuestro lector:
Verificar credenciales C2PA con Sellat
Al analizar un archivo, Sellat lee la información C2PA detectada y permite conocer los datos de procedencia que todavía conserva.
Si no encuentra credenciales, eso no demuestra que el contenido haya sido creado por una persona. Puede significar varias cosas:
- El archivo nunca tuvo credenciales C2PA.
- La herramienta que lo creó no utiliza el estándar.
- La credencial desapareció durante una conversión.
- Una plataforma eliminó los metadatos.
- El contenido procede de una captura de pantalla.
La ausencia de C2PA no demuestra que una imagen sea falsa ni auténtica. Solo indica que no se ha encontrado una credencial verificable en ese archivo.
Sellat incorpora los datos C2PA al certificado
La compatibilidad con C2PA no se limita al lector público.
Cuando Sellat detecta información C2PA durante el sellado, incorpora esos datos al certificado generado junto con la prueba del archivo.
De este modo, el certificado reúne dos capas diferentes:
- La procedencia declarada mediante las Content Credentials.
- La prueba externa de qué archivo exacto existía y en qué momento fue sellado.
C2PA explica la historia que acompaña al contenido.
Sellat genera una huella SHA-256 del archivo y ancla externamente una prueba de su existencia. El archivo no necesita permanecer almacenado en Sellat para poder verificar posteriormente su integridad.
Si una plataforma elimina después las credenciales, el certificado conserva constancia de la información C2PA encontrada en el archivo original durante el sellado.
No reconstruye los metadatos perdidos ni convierte una copia modificada en el original. Mantiene la prueba del archivo que realmente fue analizado y sellado.
C2PA y Sellat no hacen lo mismo
C2PA y Sellat solucionan partes diferentes del mismo problema.
C2PA aporta contexto sobre la procedencia, las herramientas utilizadas y el historial declarado del contenido.
Sellat demuestra que un archivo con una huella digital concreta existía en un momento determinado y permite dejar constancia de las credenciales que contenía entonces.
Una tecnología no sustituye a la otra.
Se complementan.
Porque una credencial que solo vive dentro del archivo puede desaparecer durante el recorrido. Una prueba externa continúa existiendo aunque la tubería se rompa.
Preguntas frecuentes sobre C2PA
¿C2PA permite saber si una imagen fue generada con IA?
Puede indicarlo cuando la herramienta que generó o modificó la imagen incorpora esa información a la credencial. C2PA no analiza una imagen para adivinar si procede de una IA: lee declaraciones firmadas sobre su proceso de creación.
¿Una imagen sin C2PA es auténtica?
No necesariamente. Puede ser una fotografía real creada por un dispositivo sin compatibilidad con C2PA, una imagen generada con IA que nunca fue marcada o un archivo cuyas credenciales fueron eliminadas.
¿Se pueden borrar las Content Credentials?
Sí. Una conversión, una recompresión, una captura de pantalla o una plataforma que no preserve los metadatos puede producir un nuevo archivo sin la credencial original.
¿C2PA demuestra que una imagen es verdadera?
No. C2PA aporta información verificable sobre la procedencia y el historial declarado del archivo, pero no garantiza que aquello que aparece en la imagen sea cierto o esté presentado en el contexto correcto.
¿Sellat sustituye a C2PA?
No. Sellat puede leer la información C2PA e incorporarla a su certificado, además de generar una prueba externa de existencia e integridad. Ambas tecnologías aportan evidencias diferentes y complementarias.
¿Cómo puedo comprobar si una imagen tiene C2PA?
Puedes cargarla en el lector C2PA de Sellat para comprobar si contiene Content Credentials y consultar la información disponible.
Comprueba si tus imágenes conservan sus credenciales
No hace falta esperar a que una imagen se haga viral para descubrir que su información de procedencia desapareció durante la primera subida.
Analiza el archivo original, comprueba sus Content Credentials y, si necesitas conservar una prueba externa, séllalo antes de publicarlo.