Uma imagem chega pelo WhatsApp, aparece em uma apresentação ou entra em uma pauta. Ela parece convincente, mas ninguém sabe de onde veio, se foi editada ou se passou por uma ferramenta de inteligência artificial. A resposta responsável não começa com um palpite visual. Começa preservando o arquivo, registrando a origem disponível e verificando os dados de procedência que realmente existem.
Neste guia, você vai montar uma checagem simples com Content Credentials, padrão aberto do C2PA para registrar informações sobre a criação e o histórico de mídias digitais. O método serve para imagens de trabalho, materiais editoriais e arquivos recebidos de terceiros. Ele não transforma metadados em prova absoluta, mas ajuda a separar evidência verificável de interpretação.
O resultado esperado
Ao final, você terá uma ficha curta contendo o arquivo examinado, sua origem conhecida, um hash para identificá-lo, o resultado do verificador, as ações registradas e os limites da conclusão. Essa ficha pode acompanhar uma aprovação editorial, uma revisão de campanha ou uma solicitação de esclarecimento ao remetente.
Você não precisa programar. Para a inspeção, este roteiro usa o Inspect, um validador compatível com C2PA. A documentação oficial informa suporte a formatos comuns de imagem, como JPEG, PNG, WebP, GIF e TIFF, além de alguns formatos de áudio, vídeo e PDF. A disponibilidade concreta deve ser conferida na própria ferramenta no momento do uso.
Antes de começar
- Trabalhe com o arquivo original, quando possível, e não apenas com uma captura da tela.
- Crie uma cópia para análise e preserve o original sem renomear, converter ou redimensionar.
- Registre a URL, a mensagem ou a pessoa que forneceu o arquivo, sem expor dados pessoais desnecessários.
- Não envie material confidencial a um serviço externo sem autorização e sem revisar a política de sua organização.
- Não conclua que uma imagem é autêntica ou falsa somente pela presença ou ausência de Content Credentials.
Esse cuidado com o arquivo original é importante porque transformações feitas por aplicativos, mensageiros e redes sociais podem alterar o conteúdo ou remover dados associados. Segundo a documentação da Content Authenticity Initiative, uma mudança pode invalidar a credencial quando a ferramenta usada não atualiza e recalcula os vínculos necessários.
Passo 1: registre como a imagem chegou
Antes de abrir qualquer verificador, anote o que você sabe. Use campos objetivos:
- Nome do arquivo: exatamente como recebido.
- Data e hora do recebimento: com o fuso, se isso for relevante.
- Origem: URL pública, e-mail, pasta compartilhada ou remetente.
- Finalidade declarada: publicação, anúncio, relatório, prova de entrega ou referência.
- Dúvida a resolver: por exemplo, “há indicação de geração por IA?” ou “o arquivo registra edições anteriores?”.
Formule uma pergunta verificável. “Esta imagem é falsa?” é ampla demais. “O arquivo recebido contém uma credencial válida, quem a assinou e quais ações estão registradas?” produz uma checagem mais precisa.
Passo 2: preserve o arquivo e calcule um hash
O hash funciona como uma impressão digital do arquivo. Se um único byte mudar, o valor tende a mudar também. Ele não revela a origem nem prova autenticidade, mas identifica qual arquivo foi analisado.
No Windows, abra o PowerShell na pasta do arquivo e execute:
Get-FileHash -Algorithm SHA256 ".\imagem-recebida.png"No macOS ou Linux, uma opção comum é:
shasum -a 256 "imagem-recebida.png"Copie o SHA-256 para a ficha. Se você receber uma versão posterior, calcule novamente. Hashes diferentes confirmam que os arquivos não são idênticos, mas não explicam sozinhos o que foi alterado.
Passo 3: abra o arquivo no verificador
- Acesse o Inspect.
- Escolha o arquivo preservado ou arraste a cópia de análise para a página.
- Espere o processamento terminar antes de interpretar o painel.
- Se você usar uma URL pública, confirme que ela aponta diretamente para o ativo e não exige autenticação. A documentação alerta que o servidor também precisa permitir o acesso necessário pelo navegador.
- Salve uma nota textual do resultado. Uma captura pode complementar o registro, mas não substitui o arquivo e seu hash.
O envio por arquivo costuma ser mais previsível quando a imagem está em uma área privada ou quando o servidor bloqueia leitura entre origens. Em ambientes corporativos, respeite a regra de dados antes de fazer upload. Para conteúdo sensível, a equipe de segurança pode preferir ferramentas locais compatíveis com C2PA.
Passo 4: diferencie três resultados básicos
1. A ferramenta não encontra Content Credentials
Isso significa que o arquivo analisado não apresentou um armazenamento de manifesto que o verificador pudesse exibir. Não significa, por si só, que a imagem é falsa, verdadeira, humana ou gerada por IA. A tecnologia pode não ter sido usada, ou os dados podem ter sido removidos durante uma transformação.
2. A credencial aparece, mas o emissor não é reconhecido
A documentação do Inspect explica que credenciais assinadas com certificados fora da lista de confiança podem aparecer como não reconhecidas. Isso é diferente de não haver credencial. Registre o aviso literalmente, identifique o emissor mostrado e evite transformar um certificado de teste em sinal de confiança institucional.
3. A credencial é validada e o emissor é reconhecido
Nesse cenário, você pode examinar quem assinou, o aplicativo ou dispositivo registrado, as ações e os ingredientes disponíveis. Ainda assim, o C2PA esclarece que o padrão verifica integridade e procedência declarada, não faz um julgamento universal sobre a veracidade da cena retratada.
Passo 5: leia o painel sem pular para conclusões
Use uma ordem fixa para reduzir interpretações apressadas.
Assinatura e emissor
Veja quem aparece em “Recorded by” ou campo equivalente. Um nome de organização pode ser exibido quando o certificado contém essa informação e é reconhecido pelo mecanismo de confiança usado pelo validador. Copie o texto exibido e o horário da assinatura, quando disponível.
Aplicativo ou dispositivo
Esse campo pode indicar o software ou equipamento que criou a declaração. Ele descreve o que foi registrado no manifesto. Não use o nome de uma ferramenta como prova de que todas as etapas aconteceram exatamente como você imagina.
Ações
Procure eventos como criação, abertura, corte, redimensionamento ou ajustes de cor. A documentação oficial mostra que as ações podem formar um histórico estruturado. Registre apenas as ações visíveis. Não preencha lacunas com suposições.
Ingredientes
Ingredientes são recursos usados para produzir o ativo atual. Quando disponíveis, eles ajudam a visualizar relações entre versões e materiais anteriores. Abra cada item relevante e observe se também possui credenciais. A ausência de um ingrediente esperado deve virar uma pergunta, não uma acusação.
Indicação de IA generativa
O Inspect pode mostrar uma indicação quando o manifesto registra uso de IA generativa. Trate isso como uma informação de procedência vinculada ao arquivo. Se a indicação não aparecer, não conclua que nenhuma IA foi usada, pois a cadeia pode estar incompleta ou a ferramenta de origem pode não registrar esse dado.
Passo 6: compare a credencial com a história contada
Agora confronte os dados com a finalidade do arquivo. Se alguém apresenta a imagem como saída direta de câmera, mas o histórico registra edição, peça contexto. Se a imagem é declarada como ilustração gerada por IA e a credencial registra essa ação, anote a compatibilidade. Se não há credencial, procure evidências externas: página original, arquivo em maior resolução, sequência de produção, contrato, banco de imagens ou confirmação do autor.
Não use detector visual de IA como árbitro único. A análise deve combinar procedência do arquivo, contexto de publicação e confirmação da fonte. O nosso guia sobre como verificar uma resposta de IA antes de usá-la no trabalho aplica a mesma disciplina: afirmações importantes precisam de evidência rastreável.
Modelo de ficha de verificação
Arquivo analisado:
SHA-256:
Origem informada:
Data e hora da coleta:
Pergunta de verificação:
Content Credentials encontradas: sim / não
Estado informado pelo validador:
Emissor exibido:
Aplicativo ou dispositivo exibido:
Ações registradas:
Ingredientes registrados:
Indicação de IA generativa:
Limites da análise:
Próxima ação:A “próxima ação” pode ser aprovar o uso editorial, pedir o original, solicitar autorização, buscar a publicação de origem ou rejeitar o arquivo por falta de evidência suficiente. A decisão deve considerar o risco. Uma imagem decorativa exige um nível de prova diferente de uma imagem usada para documentar um fato.
Erros comuns
- Analisar uma captura em vez do original: a captura cria outro arquivo e pode eliminar a cadeia de procedência.
- Confundir ausência com fraude: muitos fluxos ainda não preservam Content Credentials.
- Confundir validação com verdade: uma assinatura válida protege a relação entre ativo e manifesto, mas não julga o significado da cena.
- Ignorar avisos do validador: emissor não reconhecido, ligação quebrada ou manifesto inválido precisam aparecer no registro final.
- Editar antes de verificar: conversão, compressão ou redimensionamento podem mudar o arquivo analisado.
- Enviar material sigiloso sem autorização: use o processo aprovado pela organização ou uma opção local.
- Guardar só a captura do painel: preserve também o arquivo, o hash, a origem e a data.
Quando a checagem é suficiente
Para uma ilustração editorial de baixo risco, uma origem documentada, a declaração do autor e uma credencial coerente podem ser suficientes. Para publicidade, jornalismo, processos jurídicos, saúde ou segurança, a checagem deve integrar um procedimento maior, com autorização de uso, confirmação da fonte e revisão humana.
A melhor conclusão raramente é “a ferramenta provou tudo”. Uma conclusão útil é mais limitada: “o arquivo com este SHA-256 apresentou uma credencial reconhecida, assinada por este emissor, com estas ações registradas, na data desta consulta”. Essa frase preserva a evidência e deixa claro o que ainda não foi demonstrado.