Procedencia: C2PA y credenciales de contenido

La C2PA (Coalición para la Procedencia y Autenticidad del Contenido) es una organización que publica una especificación abierta para adjuntar a un archivo un registro de su origen. Ese registro, el manifiesto, también se conoce como credencial de contenido. Contiene afirmaciones sobre el archivo —quién lo creó, qué ediciones se hicieron, con qué herramientas, si intervino IA, de qué otros archivos se compuso— y va firmado digitalmente con un certificado X.509 del firmante.

Dos comprobaciones sostienen el valor del manifiesto. La firma dice quién firmó y que el manifiesto no se tocó; un vínculo criptográfico (un resumen del contenido guardado dentro del manifiesto) dice si el archivo sigue siendo el mismo que se firmó: cualquier cambio en el contenido lo rompe. Además, el validador comprueba si el certificado del firmante está en una lista de confianza.

Lo que el validador no puede decir es si lo que muestra el archivo es verdad. Un manifiesto válido prueba quién firmó y que nada cambió después; si el firmante afirmó algo falso, el manifiesto lo repite fielmente.

Un archivo puede llevar la firma de la propia empresa y aun así no ser lo que la empresa publicó. Si alguien recorta o edita un archivo firmado con una herramienta que no actualiza el manifiesto, el manifiesto viaja con el archivo, su firma sigue verificando, y lo que falla es el vínculo con el contenido. Esa combinación tiene una lectura precisa: el original era de quien firmó; esta versión, no.

Busca en los resultados el archivo con esa combinación.

Cualquiera puede conseguir un certificado y firmar un manifiesto. Que la firma verifique solo dice que el manifiesto no se alteró después de firmarlo con ese certificado. Por eso el validador separa «la firma es válida» de «el firmante está en la lista de confianza que uso». Un firmante desconocido no convierte el archivo en falso, pero tampoco le presta la credibilidad de una fuente conocida: la pregunta pasa a ser quién es y por qué debería creerle.

El video que encendió la alarma no tiene manifiesto. Es tentador leer eso como prueba de que es falso, pero los manifiestos se pierden con facilidad: muchas plataformas y herramientas eliminan los metadatos al subir o al exportar, y mucha gente no firma nada. La especificación contempla vínculos «suaves» (una marca de agua o una huella) para volver a encontrar un manifiesto separado de su archivo, pero solo sirven si el original se firmó y se registró.

La ausencia de manifiesto no dice nada por sí sola. Lo que sí dice algo es el registro propio de publicaciones: si Llareta no publicó ese video, la pregunta de autenticidad se responde desde la fuente, no desde el archivo.