C2PA 是把誰做了什麼以簽章形式附在檔案上的規範。它有用，也容易被誤讀。簽章有效的意思是檔案在簽章之後沒有變動，而不是簽章者就是他自稱的那個人。
包含製作工具、執行過的動作、使用的素材，以及聲明是否為 AI 生成的欄位。越來越多生成工具會在自己的輸出裡寫上 AI 生成，因此只要這一項存在，它就是最快也最確定的答案。
做一張自簽憑證，再替一份聲稱「某相機拍攝」的清單打上真實簽章，只要一行指令。這樣造出來的檔案在驗證工具裡同樣顯示為有效。所以必須另外核對憑證是否在已知的信任清單中，並把這個結果與有效性分開陳述。
沒有安裝信任清單時，根本無從比對憑證。此時說這是不明憑證，等於對檔案的誣指。正確的做法是照實寫明沒有比對，並說明安裝清單後下一次分析就會比對。
完全沒有簽章很常見，本身不是壞訊號，絕大多數照片本來就沒有。反過來，有簽章卻與內容對不上，就表示檔案在簽章之後被更動，這是明確需要追查的事。
本文為一般性說明，不構成法律意見。檢查結果是機率性評估，不是證明。