C2PA tartalomhitelesítési adatok a weboldal képein

Scheo · 2026-10-30 · olvasási idő ~10 perc · Szerző: Schmidt Péter

Mi a C2PA, és miért érdemes vele foglalkozni a weboldal képeinél?

A C2PA (Coalition for Content Provenance and Authenticity) nyílt műszaki szabvány, amely digitálisan aláírt eredetadatokat csatol egy képhez, videóhoz vagy hangfájlhoz. A felhasználók ezt Content Credentials, magyarul tartalomhitelesítési adatok néven látják. A weboldaladon azért számít, mert ezek az adatok a feltöltés és az optimalizálás közben könnyen elvesznek, pedig a saját fotóid eredetét éppen ezek igazolják.

Hivatalosan igazolt. A koalíciót 2021-ben alapította többek között az Adobe, az Arm, a BBC, az Intel, a Microsoft és a Truepic, később a Google, az OpenAI, a Meta, a Sony és a Samsung is csatlakozott. A szabványt a C2PA műszaki specifikációja írja le, a gyakorlati eszközöket (nyílt forráskódú könyvtárakat, ellenőrző oldalt) az Adobe vezette Content Authenticity Initiative fejleszti.

A C2PA nem dönti el, hogy egy kép „igaz” vagy „hamis”. Annyit tesz, hogy visszakövethetővé teszi, ki vagy mi hozta létre a fájlt, milyen eszközzel, és milyen lépések történtek vele azóta. Ha valaki módosítja a képet, és nem írja alá újra, az ellenőrző eszköz jelzi, hogy a tartalom már nem egyezik az aláírttal.

Mit rögzít egy C2PA-manifest a kép eredetéről és szerkesztéséről?

A manifest egy aláírt adatcsomag a fájlon belül. Állításokat (assertion) tartalmaz a kép létrehozásáról és a rajta végzett műveletekről, mellettük pedig egy tanúsítvánnyal hitelesített aláírást. Ha a képet több lépésben szerkesztették, a manifestek láncot alkotnak, így az előzmények is kiolvashatók.

Hivatalosan igazolt. A specifikáció szerint egy manifest jellemzően az alábbiakat rögzítheti.

• Létrehozó eszköz (claim generator), például egy fényképezőgép firmware-e, a Photoshop vagy egy képgeneráló szolgáltatás.
• Műveletek (actions), például létrehozás, vágás, színkorrekció, átméretezés vagy generatív kitöltés.
• Digitális forrástípus, vagyis hogy a kép fényképezőgéppel készült, vagy egy generatív modell állította elő (az IPTC szótárából vett trainedAlgorithmicMedia érték).
• Összetevők (ingredients), azaz azok a korábbi fájlok, amelyekből a kép készült, a saját manifestjükkel együtt.
• Szerzői és használati adatok, például a készítő neve vagy az AI-tanításra vonatkozó engedély, illetve tiltás.
• Kemény kötés (hard binding), vagyis a képadatok kriptográfiai lenyomata, amelyből kiderül, ha a pixelek megváltoztak.

A manifest JPEG-ben az APP11 szegmensben, PNG-ben külön chunkban, WebP-ben és AVIF-ben a formátum saját tárolójában ül, JUMBF nevű dobozszerkezetben. A specifikáció megengedi a távoli tárolást is, ilyenkor a fájlban csak egy hivatkozás mutat a manifestre.

Mely platformok olvassák ki vagy jelenítik meg a Content Credentials adatokat?

A legismertebb megjelenítők a LinkedIn, a Google keresés „Erről a képről” panelje, a Meta felületei és a TikTok. Létrehozó oldalon az Adobe-eszközök, az OpenAI képgenerálása, egyes fényképezőgépek és telefonok írnak ilyen adatot. A támogatás mértéke platformonként eltér, és gyakran változik.

Hivatalosan igazolt (a cégek saját bejelentései alapján).

• A LinkedIn a Content Credentials adatot tartalmazó képeken egy kis „CR” ikont mutat, amelyre kattintva látszik az eredet.
• A Google 2024-ben jelentette be, hogy a C2PA-adatokat beépíti a keresés „Erről a képről” funkciójába, a Pixel 10 telefonok kamerája pedig C2PA-aláírással menti a fotókat.
• A Meta és a TikTok a C2PA- és IPTC-jelek alapján automatikusan jelöli az AI-val készült feltöltéseket.
• Az OpenAI a képgenerálással készült képekbe C2PA-metaadatot ír, és ugyanezt teszi az Adobe Firefly is.
• Több fényképezőgép-gyártó, például a Leica és a Sony egyes modelljei aláírt eredetadatot tudnak a fotóhoz csatolni.

Szakmai feltételezés. A Google nem közölte, hogy a C2PA-adat rangsorolási jel lenne a képkeresésben vagy az organikus találatokban, ezért helyezésjavulást ne várj tőle. Arra viszont jó eséllyel számíthatsz, hogy a hitelességet ellenőrző felületek és idővel az AI-alapú válaszmotorok is többet támaszkodnak majd az ilyen géppel olvasható eredetjelekre.

Mi történik a C2PA-adatokkal tömörítéskor, WebP-konverziókor és CDN-en?

Minden újrakódolás (tömörítés, átméretezés, formátumváltás) megváltoztatja a képadatokat, így az eredeti aláírás érvénytelenné válik, a legtöbb eszköz pedig a manifestet egyszerűen kidobja. Az adat csak akkor marad meg hitelesen, ha a módosító eszköz maga is C2PA-képes, és új, az eredetire hivatkozó manifestet ír.

Képtömörítés és WordPress

Hivatalosan igazolt. A WordPress a feltöltött képből több alméretet generál. A GD-könyvtár ezekbe nem viszi át a metaadatokat, Imagick esetén pedig alapértelmezésben eltávolítja őket, ezt az image_strip_meta szűrő vezérli. A 2560 pixelnél nagyobb képekből a WordPress 5.3 óta egy „-scaled” változatot is készít, és ezt használja teljes méretként, az eredeti fájl mellette megmarad a szerveren.

Az alméretek metaadatát egy sorral meg lehet tartani, például egy saját bővítményben vagy a gyermektéma functions.php fájljában.

add_filter( 'image_strip_meta', '__return_false' );

Ezzel az EXIF- és IPTC-adatok egy része megmarad, a C2PA-aláírás viszont az átméretezett fájlon akkor sem lesz érvényes, mert a pixelek megváltoztak. A szűrő tehát a szerzői adatok megőrzésére jó, a hitelesített lánchoz C2PA-képes eszköz kell.

Saját tapasztalat. WordPress-oldalak átnézésekor azt látjuk, hogy a népszerű képoptimalizáló bővítmények (ShortPixel, Imagify, EWWW Image Optimizer, Smush) beállításai között szinte mindig ott van a metaadatok törlése, és ez sokszor alapból be van kapcsolva. A bővítmény ilyenkor néhány kilobájtot spórol, és közben a manifestet is elviszi. Ha a kapcsoló ki van kapcsolva, a manifest bájtjai megmaradhatnak, de a veszteséges újratömörítés után az aláírás már nem egyezik a pixelekkel.

WebP- és AVIF-konverzió

Hivatalosan igazolt. A C2PA-specifikáció a WebP-t és az AVIF-et is támogatja, tehát a formátum önmagában nem akadály. A gond maga a konverzió. A Google cwebp eszközének -metadata kapcsolója az EXIF-et, az XMP-t és az ICC-profilt tudja átvinni, a C2PA-manifestet nem.

Szakmai feltételezés. Mivel a WordPress-bővítmények többnyire ilyen általános képkönyvtárakra (GD, Imagick, libwebp) épülnek, a konvertált WebP-fájlban jó eséllyel nem marad érvényes manifest. Ezt a saját oldaladon egy aláírt mintaképpel érdemes ellenőrizni, mielőtt bármit átállítasz.

CDN és képtranszformáció

Ha a CDN csak továbbítja a fájlt, a manifest érintetlen marad. Ha viszont menet közben átméretez vagy formátumot vált (képoptimalizáló szolgáltatás, automatikus WebP vagy AVIF), ugyanaz történik, mint a bővítménynél.

Hivatalosan igazolt. A Cloudflare Images 2025-ben bevezetett egy beállítást a Content Credentials megőrzésére. Bekapcsolva a transzformált kép új manifestet kap, amely rögzíti a módosítást, és hivatkozik az eredetire. Más CDN-eknél nézd meg a dokumentációt, vagy teszteld egy aláírt mintaképpel.

Hogyan ellenőrizheted egy feltöltött kép metaadatait?

A leggyorsabb módszer, ha a kép élő URL-jéről letöltött fájlt feltöltöd a Content Authenticity Initiative ellenőrző oldalára (contentcredentials.org/verify). Parancssorban a nyílt forrású c2patool és az exiftool mutatja meg, mi maradt a fájlban. Mindig azt a változatot vizsgáld, amelyet a látogató böngészője ténylegesen megkap.

1. Nyisd meg az oldalt, kattints jobb gombbal a képre, és nyisd meg új lapon. Az URL-ből látszik, hogy alméretet (például -1024x683.jpg), „-scaled” vagy .webp változatot kapsz-e.
2. Töltsd le a fájlt pontosan erről az URL-ről. Ha a CDN a böngésző alapján dönt a formátumról, a böngészőből mentsd le, mert a parancssori letöltés más változatot kaphat.
3. Töltsd fel a fájlt a contentcredentials.org/verify oldalra. Érvényes manifestnél látod a létrehozót, az eszközt és a műveleteket. Ha az oldal azt írja, hogy nincs Content Credentials adat, a lánc valahol megszakadt.
4. Parancssorban futtasd a c2patool kep.jpg parancsot. Ez JSON formában kiírja a manifestet és az ellenőrzés eredményét, és jelzi, ha az aláírás nem egyezik a képadatokkal.
5. Az exiftool -a -G1 -s kep.jpg parancs a teljes metaadat-készletet listázza csoportonként. A C2PA-adat JUMBF-csoportként jelenik meg, mellette látod az EXIF-, IPTC- és XMP-mezőket is, például a szerzőt és a szerzői jogi megjegyzést.
6. Hasonlítsd össze a saját gépeden lévő eredeti fájlt és a letöltött változatot. Ami az eredetiben megvan, a webesben viszont nincs, azt valamelyik lépés (WordPress, bővítmény vagy CDN) törölte.

Miért érdemes megőrizni a saját fotók eredetadatait?

A mi nézőpontunk az, hogy a valódi, saját fotó hitelességi jel, és a hozzá tartozó eredetadatot érdemes megtartani, akkor is, ha néhány kilobájttal nagyobb lesz tőle a fájl. Egy aláírt fotó géppel ellenőrizhetően mutatja, hogy a kép a te telephelyeden, a te termékedről, a te csapatodról készült.

Szakmai feltételezés. Ahogy az AI-val generált képek mennyisége nő, a valódi fotó értéke a felhasználók és a válaszmotorok szemében is jó eséllyel nő, az eredetadat pedig ezt a különbséget teszi ellenőrizhetővé. Közvetlen rangsorolási hatást nem tudunk igazolni. A hitelesség viszont összhangban van az E-E-A-T szemlélet (tapasztalat, szakértelem, tekintély, megbízhatóság) „tapasztalat” elemével, amelyet a Google minőségértékelő irányelvei részletesen tárgyalnak.

Saját tapasztalat. A metaadat megőrzése a betöltési sebességen alig látszik. Egy C2PA-manifest jellemzően néhány, legfeljebb néhány tíz kilobájt (a tanúsítványlánctól és az összetevőktől függően), ami egy jól tömörített termékfotó mellett kevés. Ha a mérésed mást mutat, többnyire a beágyazott előnézeti kép vagy a túl sok összetevő a ludas, ezeket célzottan ki lehet venni.

A gyakorlatban két megoldás működik. Az egyik, hogy a hitelességet hordozó képeknél (csapatfotó, telephely, saját termék, munkafolyamat) kikapcsolod az optimalizálást, és a fájlt már webes méretre vágva, aláírva töltöd fel. A másik, hogy olyan képláncot választasz, amely a módosítás után újra aláír, például C2PA-képes szerkesztőt vagy CDN-t.

Milyen ellenőrzőlistát kövess a saját fotóidnál?

Saját fotónál az a cél, hogy az aláírt eredet a feltöltés után is kiolvasható maradjon, és közben ne kerüljön nyilvánosságra olyan adat, amit nem szeretnél megosztani.

• Nézd meg, tud-e a fényképezőgéped vagy a telefonod C2PA-aláírást, és ha igen, kapcsold be.
• Szerkesztéshez olyan programot használj, amely megtartja és bővíti a Content Credentials adatot. A Photoshop és a Lightroom exportjánál ez külön bekapcsolható.
• A webes méretre vágást és a tömörítést az aláírás előtt, vagy C2PA-képes eszközzel végezd.
• Exportálás előtt töröld a GPS-koordinátákat, ha a fotó magánlakásban vagy érzékeny helyen készült. Az eredetadat és a helyadat két külön dolog.
• A WordPress-optimalizálóban kapcsold ki a metaadat-törlést, vagy zárd ki ezeket a képeket a tömeges optimalizálásból.
• Töltsd ki az IPTC-mezőket is (készítő, szerzői jogi megjegyzés), mert ezeket a Google képkeresése meg tudja jeleníteni.
• Feltöltés után ellenőrizd a ténylegesen kiszolgált fájlt a fenti lépésekkel.

Mire figyelj az AI-val készült képeknél?

AI-val készült képnél a metaadat az átláthatóságot segíti, ezért ne töröld ki akkor sem, ha a kép csak illusztráció. A látogatónak és a platformoknak is látniuk kell, hogy a kép generált.

Hivatalosan igazolt. Az uniós mesterségesintelligencia-rendelet (AI Act) 50. cikke előírja, hogy a generatív rendszerek szolgáltatói géppel olvasható módon jelöljék a kimenetet, és ez a rendelkezés a rendelet szerint 2026. augusztus 2-től alkalmazandó. A Google Search Central az AI-val generált képekhez az IPTC DigitalSourceType mező használatát ajánlja. Az átmeneti szabályokról és arról, hogy rád szolgáltatóként vagy felhasználóként milyen kötelezettség vonatkozik, érdemes jogi tanácsot kérni.

• Hagyd meg a generátor által írt C2PA-manifestet. Az OpenAI és az Adobe Firefly képei ilyet tartalmaznak.
• Ha a képet utólag szerkeszted, C2PA-képes programmal tedd, hogy a lánc folytatódjon.
• Állítsd be az IPTC DigitalSourceType mezőt trainedAlgorithmicMedia értékre arra az esetre, ha a manifest útközben elveszne.
• Az optimalizáló bővítményben ugyanazt a kizárást alkalmazd, mint a saját fotóknál.
• Az alt szövegben a kép tartalmát írd le, a generált jelleg a metaadatban és szükség esetén a képaláírásban jelenjen meg.
• AI-képet ne adj ki saját fotóként (csapat, telephely, valódi termékfotó), mert ilyenkor az eredetadat és a látogató elvárása ütközik.

Mit nem garantál a C2PA?

A C2PA az eredetet teszi ellenőrizhetővé, a tartalom igazságát nem. Egy aláírt kép is lehet félrevezető, a manifest hiánya pedig nem bizonyítja, hogy egy kép hamis, mert az adat a legtöbb webes és közösségi feldolgozás során elvész.

Hivatalosan igazolt. A szabvány dokumentációja maga is számol azzal, hogy a manifest eltávolítható. Ezért leírja az úgynevezett puha kötést is (láthatatlan vízjel vagy ujjlenyomat), amellyel egy lecsupaszított kép manifestje egy külső tárból visszakereshető. Az aláírás értéke a tanúsítványon múlik, és az ellenőrző eszközök azt is jelzik, ha az aláíró nem szerepel a megbízható kibocsátók listáján.

A C2PA tehát erős, de törékeny jel. Pont ezért számít, hogy a saját oldaladon ne te legyél az, aki eltávolítja.

Források és további olvasnivalók

• C2PA Technical Specification (Coalition for Content Provenance and Authenticity)
• Content Authenticity Initiative, a c2patool és a Verify dokumentációja
• Google Search Central, Image metadata in Google Images
• Google, az About this image funkció és a C2PA-integráció bejelentése
• WordPress Developer Resources, az image_strip_meta és a big_image_size_threshold szűrő
• Cloudflare Images dokumentáció, Preserve Content Credentials
• OpenAI súgó, C2PA in ChatGPT Images
• IPTC Photo Metadata Standard, Digital Source Type szótár
• (EU) 2024/1689 rendelet (AI Act), 50. cikk