C2PA añade al archivo un registro firmado de quién hizo qué. Es útil y es fácil de malinterpretar. Que una firma sea válida significa que el archivo no ha cambiado desde que se firmó, no que quien firmó sea quien dice ser.
La herramienta que lo creó, las acciones realizadas, los materiales usados y un campo que declara si el contenido es generado por IA. Cada vez más generadores escriben esa declaración en su salida, así que cuando está presente es la respuesta más rápida y más segura disponible.
Emitir un certificado autofirmado y firmar de verdad un manifiesto que afirme que determinada cámara tomó la foto cuesta una sola orden. Los archivos hechos así se verifican como válidos. Por eso hay que comprobar aparte si el certificado figura en una lista de confianza conocida, y presentar ese resultado separado de la validez.
Sin una lista de confianza instalada no hay forma de cotejar el certificado. Llamarlo certificado desconocido en ese estado es una acusación contra el archivo. Lo correcto es dejar constancia de que no hubo cotejo y explicar que, instalando una lista, el próximo análisis sí lo hará.
Que no haya ninguna firma es lo corriente y no es mala señal: la mayoría de las fotografías nunca la tuvieron. Una firma que no cuadra con el contenido es otra cosa: significa que el archivo cambió después de firmarse, y eso sí hay que perseguirlo.
Esta guía es orientación general, no asesoramiento jurídico. El resultado de un análisis es una valoración probabilística, no una prueba.