O C2PA anexa ao arquivo um registro assinado de quem fez o quê. É útil e é fácil de ler errado. Uma assinatura válida significa que o arquivo não mudou desde que foi assinado, não que quem assinou seja quem diz ser.
A ferramenta que o criou, as ações realizadas, os materiais usados e um campo declarando se o conteúdo é gerado por IA. Cada vez mais geradores escrevem essa declaração na própria saída, então quando ela está lá é a resposta mais rápida e mais segura disponível.
Emitir um certificado autoassinado e assinar de verdade um manifesto que afirme que determinada câmera tirou a foto custa um único comando. Arquivos feitos assim são verificados como válidos. Por isso é preciso conferir à parte se o certificado consta de uma lista de confiança conhecida, e apresentar esse resultado separado da validade.
Sem uma lista de confiança instalada não há como confrontar o certificado. Chamá-lo de certificado desconhecido nesse estado é uma acusação contra o arquivo. O correto é registrar que não houve confronto e explicar que, instalando uma lista, a próxima análise fará o confronto.
Não haver assinatura nenhuma é comum e não é mau sinal: a maioria das fotografias nunca teve. Uma assinatura que não bate com o conteúdo é outra coisa: quer dizer que o arquivo mudou depois de assinado, e isso merece ser investigado.
Este texto é orientação geral, não aconselhamento jurídico. Um resultado de análise é uma avaliação probabilística, não uma prova.