Comment prouver qu'une photo est authentique en 2026 (C2PA, SynthID, IPTC)

Le 22 octobre 2026, nous avons publié notre test de quatre détecteurs d'images IA : aucun n'est assez fiable pour servir de preuve. Reste la question que se posent un éditeur qui reçoit une photo, un photographe accusé à tort d'avoir utilisé l'IA ou un lecteur face à une image virale : comment prouver qu'une photo est authentique, ou au moins d'où elle vient ? La réponse ne se trouve pas dans les pixels mais dans la provenance. Voici les outils officiels disponibles au 22 octobre 2026, ce qu'ils vérifient réellement, et les vérifications que nous avons faites nous-mêmes sur nos fichiers.

Pourquoi la provenance plutôt que la détection

Un détecteur répond à la question « cette image ressemble-t-elle à une image IA ? ». Dans notre test du 22 octobre 2026, sur 30 images d'origine connue, le plus fiable des quatre modèles ouverts (haywoodsloan) a détecté 9 images IA sur 15 et accusé 2 vraies photos sur 15. Le plus « sûr de lui », Ateeqq (SigLIP), a accusé 6 vraies photos sur 15. En votant à trois détecteurs sur quatre, on ne trouve que 4 images IA sur 15, avec 3 vraies photos accusées. Et cinq gestes du quotidien (recompression JPEG, réduction, recadrage, capture, passage réseau social) ont inversé 22 verdicts sur 600.

La provenance pose une autre question : « que sait-on, de façon vérifiable, de l'origine de ce fichier ? ». La Content Authenticity Initiative, la communauté lancée par Adobe qui développe les outils open source du domaine, le dit sans détour dans sa FAQ : While AI-generated image detection tools are valuable in some instances, their results can be unreliable. Les outils de provenance, eux, s'appuient sur des informations ajoutées au moment de la création : une signature, un filigrane, une déclaration dans les métadonnées.

Un détecteur devine après coup. La provenance se déclare au moment de la création, et se vérifie.

C2PA et Content Credentials : l'historique signé d'une image

Le principe : un manifeste signé, comme une étiquette nutritionnelle

La Coalition for Content Provenance and Authenticity (C2PA) publie une norme technique ouverte. Son comité de pilotage réunit notamment Adobe, Amazon, la BBC, Google, Meta, Microsoft, OpenAI, Publicis Groupe, Sony, TikTok et Truepic. Les Content Credentials sont la mise en pratique de cette norme : un « manifeste » attaché au fichier, qui peut contenir l'outil ou l'appareil utilisé, la date, les ingrédients (images sources) et les actions réalisées (création, recadrage, retouche, génération par IA).

La différence avec des métadonnées classiques, c'est la signature cryptographique. Comme l'explique la Content Authenticity Initiative : Unlike other types of metadata, Content Credentials are cryptographically signed, making them tamper-evident. Concrètement, si quelqu'un modifie l'image ou les informations attachées après la signature, un outil de vérification le signale. Chaque nouvelle étape faite avec un logiciel compatible ajoute un maillon à la chaîne.

Qui l'utilise déjà

• Générateurs d'images. OpenAI indique sur sa page d’aide que les images générées avec ChatGPT, Codex ou son API portent à la fois des Content Credentials et un filigrane SynthID.
• Appareils photo. La CAI cite le Leica M11-P, the world’s first camera with Content Credentials built in, et Nikon, qui apporte les Content Credentials à ses futurs boîtiers à commencer par le Z6III, en collaboration avec l'AFP.
• Smartphones. Google écrit que The Pixel 10 lineup is the first to have Content Credentials built in across every photo created by Pixel Camera. (blog Google, 10 septembre 2025). La CAI mentionne aussi la plateforme Qualcomm Snapdragon 8 Gen 3 avec Truepic et l'application ProofMode.
• Moteurs et plateformes. Google affiche les informations C2PA dans « À propos de cette image » et commence à les intégrer à ses systèmes publicitaires (blog Google, 17 septembre 2024).

Comment vérifier une image

Le site officiel contentcredentials.org/verify (qui redirige aujourd'hui vers verify.contentauthenticity.org) et l'outil Inspect d'Adobe permettent de déposer un fichier ou de coller l'adresse d'une image. Selon sa documentation, Inspect lit les images AVIF, DNG, GIF, HEIC, HEIF, JPEG, JXL, PNG, SVG, TIFF et WebP, affiche le signataire (« Recorded by »), les ingrédients et les actions, et affiche « No Content Credential » quand le fichier n'a pas de manifeste. Si le certificat de signature n'est pas sur la liste de confiance C2PA, l'outil l'indique comme « Unrecognized ».

Ce que nous avons vu sur une de nos images

Nous avons cherché dans nos propres archives une image portant un manifeste C2PA. Nous en avons trouvé plusieurs, toutes générées avec l'API d'OpenAI. L'une d'elles a été créée en août 2026 pour un de nos tests internes. Voici la lecture brute de son manifeste avec ExifTool 13.59 (nom de fichier anonymisé) :

$ exiftool -JUMBF:Actions -JUMBF:Claim_generator_info -j -struct image-test-2.png
[{
  "SourceFile": "image-test-2.png",
  "Actions": [{
    "action": "c2pa.created",
    "when": "2026:08:05 00:00:00Z",
    "softwareAgent": {
      "name": "gpt-image",
      "version": "pre-2.0"
    },
    "digitalSourceType": "http://cv.iptc.org/newscodes/digitalsourcetype/trainedAlgorithmicMedia"
  },{
    "action": "c2pa.converted",
    "when": "2026:08:05 00:00:00Z"
  }],
  "Claim_generator_info": {
    "name": "OpenAI Media Service API",
    "icon": {
      "url": "self#jumbf=c2pa.assertions/c2pa.icon",
      "hash": "(Binary data 32 bytes, use -b option to extract)"
    },
    "specVersion": "2.2.0",
    "org.contentauth.c2pa_rs": "0.79.2"
  }
}]

Le manifeste dit exactement ce qu'on attend : une action c2pa.created par l'agent gpt-image, une source déclarée trainedAlgorithmicMedia (le code IPTC des images générées par IA), puis une conversion de format. Nous avons ensuite fait valider la signature avec la bibliothèque officielle c2pa-python (version 0.38.1). Résultat : signature émise par « OpenAI OpCo, LLC » le 5 août 2026, signature de la déclaration valide (claimSignature.validated), empreinte de l'image conforme (assertion.dataHash.match, donc pixels non modifiés depuis la signature), horodatage contrôlé (timeStamp.validated).

Un point reste rouge dans notre vérification locale : la bibliothèque, utilisée sans configuration de liste de confiance, marque le certificat comme non reconnu (signingCredential.untrusted) et lui reproche une extension manquante (« certificate missing required EKU »). Nous ne tirons pas de conclusion de ce point : la reconnaissance d'un signataire dépend de la liste de confiance chargée par l'outil, et c'est précisément le rôle des outils officiels de vérification. C'est aussi une bonne leçon : une vérification C2PA se lit ligne par ligne, et « intègre » ne veut pas forcément dire « signataire reconnu ».

Les limites à connaître

Le manifeste voyage dans le fichier, et il peut se perdre. OpenAI le reconnaît sur sa page d’aide : les Content Credentials can be lost through everyday actions, such as taking a screenshot or converting a file. La documentation de la CAI sur les Content Credentials « durables » ajoute : Platforms that host media assets might remove C2PA manifest data, if, for example, they use software that does not yet support the standard. La parade prévue par la norme : associer au manifeste un filigrane invisible ou une empreinte du contenu, qui permettent de retrouver une copie du manifeste stockée en ligne.

Surtout, un manifeste décrit une origine, pas une vérité. La CAI le précise : Content Credentials provide information about the origin and history of a piece of content, but they aren’t intended to prescriptively indicate whether a piece of content is “real.” Une photo signée par un vrai appareil peut montrer une mise en scène ; elle prouve seulement qu'elle sort de cet appareil, à cette date, sans retouche non déclarée.

SynthID : le filigrane invisible de Google, vérifiable par tous

SynthID est l'outil de filigrane de Google DeepMind. Pour les images, Google DeepMind précise que le filigrane est ajouté au moment de la création, sans changer la qualité visible, et qu'il est conçu pour résister au recadrage, aux filtres et à la compression avec perte. Contrairement à un manifeste C2PA, il est inscrit dans les pixels eux-mêmes : il ne disparaît pas avec les métadonnées.

Le 7 octobre 2026, Google a ouvert le SynthID Detector à tous, en anglais et dans le monde entier (annonce de Google DeepMind). Selon l'annonce, anyone can easily check if an image, video, or audio file was made with AI from Google or our partners, including OpenAI, NVIDIA, Kakao, and soon, Apple. Google indique avoir filigrané plus de 180 milliards d'images et de vidéos depuis le lancement de SynthID en 2023. La même vérification est intégrée à l'application Gemini (pour les images depuis le 20 novembre 2025), à Search et à Chrome : on dépose l'image et on demande si elle a été créée ou modifiée par une IA de Google.

Côté OpenAI, la page openai.com/verify vérifie un fichier image ou audio et cherche un filigrane SynthID ou un manifeste C2PA de confiance associé à OpenAI ; une API de vérification est aussi ouverte aux développeurs, avec des limites relevées pour les projets d'intérêt public comme la vérification en rédaction.

La limite est structurelle : SynthID ne reconnaît que les contenus des générateurs qui l'ont adopté. Un « aucun filigrane trouvé » ne signifie pas « photo authentique », seulement « pas produite par un outil de ce cercle, ou filigrane devenu illisible ». OpenAI le rappelle d'ailleurs pour tous ses signaux : Provenance signals can provide useful information about origin, but they do not guarantee that content is accurate, unedited, legally owned, or presented in the correct context.

Google « À propos de cette image » et Lens : l'historique d'une image

Lancée en 2023 dans Google Search, la fonction « À propos de cette image » répond à trois questions selon Google : quand l'image (ou une image similaire) a été vue pour la première fois par Google Search, comment d'autres sites l'utilisent et la décrivent (y compris des sites de vérification), et quelles métadonnées l'accompagnent quand elles existent, dont les champs indiquant une génération ou une retouche par IA.

On y accède par les trois points d'une image dans Google Images, et sur mobile par Lens ou Entourer pour chercher : on sélectionne l'image, on fait glisser les résultats vers le haut, puis on touche l'onglet « À propos de cette image » (Google, juillet 2024). Pour le C2PA, la documentation Google Search Central fixe deux conditions pour que Google puisse afficher ces informations : le signataire doit avoir adopté C2PA version 2.1 or later, et le manifeste doit être signé par un certificat d'une autorité figurant sur la liste de confiance C2PA.

Pour les journalistes, depuis 2023, l'explorateur de vérifications de Google (Fact Check Explorer) accepte aussi une image, pour savoir si elle a déjà fait l'objet d'une vérification publiée par un média indépendant. C'est souvent l'étape la plus rentable, pour le cas que Google cite lui-même : une image bien plus ancienne, partagée comme si elle illustrait un événement d'actualité.

IPTC DigitalSourceType : la déclaration IA dans les métadonnées

L'IPTC, l'organisme qui normalise les métadonnées photo de la presse, maintient un vocabulaire Digital Source Type qui décrit d'où vient une image. Quelques valeurs utiles :

• digitalCapture : média capturé dans le monde réel avec un appareil photo ou un enregistreur numérique ;
• computationalCapture : capture de plusieurs images combinées (la photo « calculée » des smartphones) ;
• trainedAlgorithmicMedia, nommée « Created using Generative AI » : média créé par un modèle d'IA entraîné sur des contenus capturés ;
• compositeWithTrainedAlgorithmicMedia : composition mêlant IA générative et autre média, par exemple un remplissage génératif.

Google lit ce champ. La documentation Search Central liste « Digital Source Type » parmi les propriétés IPTC extraites et reconnaît notamment trainedAlgorithmicMedia. Côté e-commerce, Google Merchant Center est plus strict depuis février 2024 : All AI-generated images must contain the IPTC DigitalSourceType trainedAlgorithmicMedia tag. (aide Merchant Center), avec l'interdiction de retirer ces balises des images produites par des outils génératifs comme Product Studio (règles sur les contenus générés par IA).

Le lire avec ExifTool : notre vérification

La plupart de nos visuels IA déclarent leur origine dans ce champ. Voici la lecture d'un visuel IA du test de détecteurs, un portrait de mode que le meilleur détecteur jugeait « réel » à 93 % (fichier renommé) :

$ exiftool -ver
13.59
$ exiftool -Software -XMP-iptcExt:DigitalSourceType image-test.jpg
Software                        : Image generee par IA (FLUX 3 / xAI Grok)
Digital Source Type             : http://cv.iptc.org/newscodes/digitalsourcetype/trainedAlgorithmicMedia
$ exiftool -jumbf:all -G3 -b -j -u -struct image-test.jpg
[{
  "SourceFile": "image-test.jpg"
}]

Une seule ligne suffit : trainedAlgorithmicMedia. Là où le détecteur se trompait, la métadonnée dit la vérité, parce que l'éditeur l'a écrite. La dernière commande, qui cherche un bloc C2PA, ne renvoie rien : ce visuel déclare son origine, mais sans signature. Une simple déclaration IPTC peut être retirée ou réécrite, alors qu'un manifeste C2PA signé rend toute modification détectable.

Ce que les métadonnées de notre corpus de test révèlent

Nous avons passé à ExifTool les 30 fichiers du test de détecteurs du 22 octobre :

Deux enseignements. D'abord, la déclaration n'est que là où l'éditeur l'a mise : 6 de nos 15 images IA, produites par une autre chaîne de notre réseau, n'avaient aucune métadonnée. Nous l'avons constaté en préparant cet article. Ensuite, côté vraies photos, les vignettes servies par Wikimedia Commons ne gardent ni l'appareil ni la date de prise de vue, alors que la fiche de chaque fichier original les conserve. La preuve d'une vraie photo est rarement dans la copie qui circule : elle est dans l'original.

Photographes et éditeurs : comment prouver qu'une vraie photo est authentique

Être accusé à tort d'avoir utilisé l'IA arrive, notre test l'a montré : des portraits soignés à l'arrière-plan flou ont été jugés « IA » par trois détecteurs sur quatre. La meilleure défense se prépare avant la publication.

• Gardez l'original intact. Le fichier RAW ou le JPEG sorti du boîtier, jamais réenregistré, avec ses données EXIF (appareil, objectif, réglages, date). Archivez-le hors ligne et en double. C'est la pièce que personne d'autre ne possède.
• Gardez la série. Les vues voisines de la même scène, prises avant et après, sont bien plus difficiles à fabriquer de façon cohérente qu'une image isolée. Une planche contact se défend mieux qu'une photo seule.
• Signez à la source quand c'est possible. Un appareil ou une application qui applique les Content Credentials à la prise de vue (Leica M11-P, Pixel 10, ProofMode, selon la CAI et Google) crée une preuve vérifiable par tous. Sur le Pixel 10, Google indique que l'application photo a atteint le niveau d'assurance 2 du programme de conformité C2PA.
• Préservez la chaîne lors de la retouche. Utilisez des logiciels compatibles C2PA pour que les retouches s'ajoutent au manifeste au lieu de l'effacer, et déclarez honnêtement tout usage d'IA générative (valeur IPTC adaptée).
• Publiez d'abord chez vous, en version datée. Une première publication sur votre site ou votre portfolio, avec date visible et données structurées, crée un point d'antériorité que les moteurs indexent. « À propos de cette image » montre justement la première apparition connue d'une image.
• Créditez et légendez. Auteur, lieu, date, contexte dans la légende et dans les champs IPTC (Creator, Credit Line) : ce sont aussi les champs que Google extrait pour ses images.

Google résume bien le changement de logique dans son billet sur le Pixel 10 : plutôt que de classer les contenus en « IA » et « pas IA », il s'agit de distinguer media that comes with verifiable proof of how it was made et les médias qui n'en ont pas. Pour un photographe, l'enjeu est d'être dans la première catégorie.

Récapitulatif : quel outil pour quelle question

Une règle de lecture vaut pour tous ces outils : la présence d'un signal est une information forte, son absence n'en est presque jamais une. Une image sans manifeste, sans filigrane et sans métadonnées n'est ni vraie ni fausse : elle est d'origine inconnue, et c'est le contexte (source, date, témoins, autres prises de vue) qui tranchera.

Chris Waoo

Consultant SEO · fondateur de Cat's Eye Web

Écrit sur le SEO technique, l'IA et Google Discover à partir de tests terrain. Créateur de l'outil d'audit Cat's Eye. @ChrisWaoo