如何开始使用 C2PA 内容凭证
摘要：本指南涵盖了 C2PA 内容凭证的工作原理、SSL 提供的证书类型、决定证书适用性的两种安全级别，以及获取证书的详细步骤。SSL 是 C2PA 信任列表中首批公开信任的 CA 之一，自 2025 年以来一直颁发可用于生产环境的 C2PA 证书，是希望立即将内容真实性融入工作流程的组织的最佳合作伙伴。
人工智能生成的图像、深度伪造的视频和篡改的音频正以前所未有的规模充斥着互联网。这些看似真实的虚假内容变得越来越复杂，肉眼难以辨别。如果您的客户被看似来自贵组织的合法信息所欺骗，将会对您的品牌、声誉和盈利造成严重的负面影响。那么，您该如何证明您发布的内容是真实的，并且确实出自您之手呢？
C2PA 内容认证直接应对这一挑战，为内容真实性提供解决方案。
什么是C2PA？它是如何运作的？
C2PA 代表联盟 内容来源和真实性内容凭证就像数字媒体的“营养标签”。正如食品包装会告诉你里面装的是什么以及产地一样，C2PA 内容凭证提供了有关数字资产来源的详细信息，包括创建者、修改者以及是否被篡改过。它们是嵌入数字文件中的元数据或额外信息，用于显示文件的历史记录。
当内容被创建或编辑时，清单（一个结构化的元数据块）会直接嵌入到资产中。该清单记录了内容的来源链：谁创建了内容、使用了哪些工具以及每个操作发生的时间。清单随后会进行加密签名，这意味着任何未经授权的清单更改都会破坏签名，并在验证过程中触发警告。因此，如果您的品牌资产、产品图片或媒体遭到冒用或篡改，内容凭证可以为您的组织提供清晰、可靠的记录，准确记录您制作的内容及其制作时间。
C2PA（内容身份验证）技术已广泛应用于数字媒体，支持图像、视频、音频、文档和文本。主流设备制造商、人工智能平台和媒体工具都已集成该技术，例如 Adobe Photoshop、ChatGPT、Google Gemini、Leica、Nikon、Canon、Samsung 和 Google Pixel 系列手机。LinkedIn、TikTok、Microsoft 和 Google 等验证机构也会向最终用户提供内容凭证。
内容真实性认证的普及速度正在迅速加快。如今，建立内容真实性工作流程的组织将获得关键优势，因为内容真实性即将成为一项迫切的基本要求。随着标准的不断演进和风险的加剧，延迟实施可能会使您的组织落后于时代。
两种标准，两种目的
实施内容凭证需要了解两种互补的证书类型，每种证书都有其独特的功能。
C2PA索赔签字证书 证书颁发给软件工具、平台和设备。如果您的组织提供内容管理系统、媒体发布平台、数码相机、录音设备、移动电话或 GenAI 工具，则此证书会在创建或处理资产时将溯源数据嵌入其中。每个生成器产品都需要颁发一个证书，且该证书必须来自 C2PA 信任列表中列出的证书颁发机构 (CA)。SSL 是最早的 CA 之一。
CAWG证书 (创建者断言工作组CAWG证书则用于不同的用途：个人和组织归属。CAWG证书允许个人或公司为资产添加额外的已验证签名。这一层以加密可验证的方式表明“我创建了此内容”或“我的组织对此内容负责”。对于保护视觉形象的品牌、声明作者身份的记者或对已批准媒体进行认证的组织而言，CAWG是C2PA本身无法提供的身份层。
这两种证书类型结合起来，可以完整地展现资产的创建或修改过程，以及谁对此负责。
持久内容认证的三大支柱
内容凭证的持久性依赖于三个基础：
C2PA清单 在创建或修改时记录来源信息，并随资产一起传输。
数字签名 将清单以加密方式绑定到可信身份。这就是证书的作用所在。只有由受信任的身份颁发的证书才能用于签名。 C2PA 信任列表证书颁发机构 允许验证这些签名。SSL是C2PA一致性列表中第一个公开信任的CA。 自2025年初开始颁发生产许可证。
数字水印 作为一种恢复机制。如果资源清单被移除，嵌入内容本身的不易察觉的水印可以恢复清单。这使得内容凭证能够更有效地抵御试图清除来源数据的恶意行为者。
证书类型：你需要什么以及为什么
SSL 提供一整套符合 C2PA 标准的证书，涵盖内容真实性工作流程中的每个用例。
在选择证书类型之前，了解 C2PA 系统定义的两个“保证级别”至关重要。保证级别是根据用于签署数据的系统的安全级别，对清单中所作声明的信任程度进行分类的。
保证级别 1 涵盖基于软件的签名。这适用于编辑工具、云服务、人工智能平台和基于应用程序的工作流程。签名密钥存在于软件中，这使得一级签名更容易集成和扩展，但也意味着其整体信任度低于基于硬件的实现方式。
保证级别 2 需要硬件级签名。私钥由专用硬件（例如安全元件或 HSM）保护，因此更难被破解。二级安全级别适用于物理采集设备（数码相机、摄像机、手机、麦克风等）以及任何以原始采集瞬间的完整性为首要考量的工作流程。
了解您的产品属于哪个级别，就能决定您需要哪种认证：
- C2PA平台证书 这些证书适用于基于软件的生成器，例如编辑工具、云平台、人工智能服务和应用程序管道。一张证书涵盖一款生成器产品。这些证书符合一级保证标准。
- C2PA 设备证书 这些协议适用于硬件生成器，例如相机、智能手机、摄像机、麦克风和采集设备。它们符合二级安全保障标准，SSL 通过高可用性 API 提供这些协议。
- CAWG证书 发挥着重要的补充作用。C2PA 证书用于验证工具和设备，而 CAWG 证书则用于验证内容背后的人员和组织。基于 SSL 的 S/MIME CAWG 证书是标准的，由公共 CA 颁发，允许个人记者、摄影师或媒体组织直接向其内容添加经过验证的创作者声明。
- C2PA时间戳服务 时间戳至关重要，但却常常被忽视。“时间戳”是指使用符合 RFC 3161（数字时间戳的国际标准）的服务，为内容添加一个可信的、精确的签名时间记录。如果没有时间戳，内容的可信度只能在签名证书有效期间得到保证。如果证书过期或被吊销，就无法证明内容的签名时间。SSL 的时间戳机构 (TSA) 会记录并保护签名时间，因此即使证书之后发生变更或过期，您内容的真实性仍然可以得到验证。
- C2PA 索赔签名 API 我们的 SaaS 解决方案可通过简单的 API 调用创建、编辑和签署资产的 C2PA 清单，使不具备深厚 C2PA 知识的团队也能轻松使用内容凭证工作流程。 PKI 基础设施：我们为您全权负责。
签署工作流程
从内容创作到最终签署、可验证的成果，这一过程涉及两类参与者。
发电机 这些工具和设备用于创建和签署 C2PA 声明。当摄影师使用支持 C2PA 的相机拍摄照片，或创意团队从兼容的编辑平台导出视频时，生成器会自动构建清单并使用其 C2PA 证书应用数字签名。
验证器 这些工具和平台用于读取和验证最终用户的声明。验证过程会检查加密签名，根据 C2PA 信任列表确认证书，并将结果以易于理解的摘要形式呈现。现在任何人都可以验证内容。 verify.contentauthenticity.org 或者在LinkedIn上，各大平台都在积极地将这些验证机制集成到各自的界面中。例如，谷歌已经宣布Chrome浏览器很快将原生支持验证功能。
要从 SSL 获得 C2PA 平台或设备证书，生成器产品必须首先完成 C2PA 一致性计划。该流程包括提交意向书、填写申请表、进行架构和互操作性测试，以及收到 C2PA 颁发的一致性函。SSL 可以为组织提供安全架构文档方面的支持。如果您是 SSL 的客户，我们可以提供安全架构模板和文档，帮助您简化此流程。
一旦您的产品获得合格证书，SSL 证书颁发流程将遵循三个清晰的步骤。
步骤 1：提交您的 CSR 以及合格函。 您需要提供从 C2PA 计划收到的符合性信函和证书签名请求 (CSR) 来提供 SSL 证书。CSR）证书文件和您的 SSL 帐户 ID。
步骤 2：验证。 SSL会对证书申请者进行身份验证，并核实所有要求。这包括在SSL门户网站上创建帐户、完成SSL基于人工智能的身份验证以获得个人验证批准，以及由SSL验证团队进行审核，以确认所有要求均已满足。
步骤 3：证书发放。 一旦 SSL 确认 CSR 验证完成后，他们会生成您的证书并通过您的 SSL 帐户直接发送给您。或者，您也可以通过我们的 API 进行验证和发送。
该流程旨在确保全面周到，同时又不影响您的日常运营。SSL 团队将全程与客户紧密合作，企业客户还将获得专属的技术客户经理和高管赞助，指导他们完成入职流程。
为什么选择 SSL 用于 C2PA
并非所有证书颁发机构 (CA) 都能颁发 C2PA 证书。要获得此证书，CA 必须通过 C2PA 一致性计划的严格要求，并被列入官方的 C2PA 信任列表。SSL 是首个获得 C2PA 一致性认证的公开信任 CA，自 2025 年以来一直在颁发可用于生产环境的 C2PA 证书。
此外，SSL团队构建了专用的C2PA基础设施，并一直积极参与C2PA和CAWG工作组的工作，担任部分工作组的主席，并参与规范的制定。因此，当需求发生变化时，SSL客户无需仓促应对。
SSL 在内容真实性领域脱颖而出还有其他几个原因：
SSL 作为一家公共 CA，按证书生成量排名前五，每天都会生成数百万份证书和签名。支持您的 C2PA 证书的基础设施，与处理全球最高吞吐量的基础设施相同。 PKI 环境方面，可靠性和可扩展性是内置的，而非后期添加的。
SSL 还推出了第一个公开可用的版本 C2PA 沙箱为开发人员和产品团队提供了一个在提交之前使用真实证书测试签名工作流程的平台。我们还提供了一个免费的 C2PA 清单验证平台，允许分析签名和证书详细信息，该平台名为 C2PA.sh这种亲身实践的机会在企业中很少见。 PKI这也体现了 SSL 的理念，即让复杂的安全技术变得平易近人。
对于企业客户，SSL 提供 99.9% 的目标正常运行时间 SLA、7x24 小时优先一级支持，以及工作日专属的高级支持服务，并提供 5x24 小时紧急呼叫服务。紧急问题的响应时间以小时计算，而非天数。
为何立即行动
等待更广泛的应用才来证明对内容真实性的投资是错误的。如今构建 C2PA 工作流程的品牌和平台，将在受众、监管机构和内容创作者将其作为基本要求时，拥有可验证的内容来源。没有认证的内容将被视为不可信。
SSL 具备必要的架构、专业知识和信任列表地位，能够切实有效地实现这一转型。如果您的组织大规模创建、分发或发布数字内容，那么内容凭证现在就应该成为您安全和品牌信任战略的一部分。请通过以下方式联系我们：
