C2PA (ראשי-תיבות של Coalition for Content Provenance and Authenticity) הוא תקן טכני פתוח וחופשי-מתמלוגים לתיעוד מקור-תוכן דיגיטלי, שפותח על-ידי קואליציה שהקימו בפברואר 2021 מיקרוסופט, Adobe, ה-BBC, Intel, Arm ו-Truepic. במקום לנסות לזהות-אחרי-מעשה אם קובץ מזויף, C2PA מצרף לקובץ מלכתחילה "אישור-תוכן" (Content Credential) — מעין דרכון-דיגיטלי חתום-קריפטוגרפית שמתעד מי יצר אותו, באילו כלים, ואילו עריכות בוצעו בדרך. פירוט נוסף על הרקע הארגוני מופיע בערך אימות מקוריות תוכן.
מבחינה טכנית, C2PA מבחין בין שני סוגי-קישור: "קישור-קשיח" (Hard Binding), שבו גיבוב (Hash) של תוכן-הקובץ עצמו מוטבע במטא-דאטה החתומה, כך שכל שינוי בקובץ מבטל מיידית את תוקף-החתימה; ו"קישור-רך" (Soft Binding), שבו סימן-מים בלתי-נראה או טביעת-אצבע-דיגיטלית משמשים רשת-ביטחון לשחזור המטא-דאטה אם היא הוסרה מהקובץ, בטעות או בכוונה. שילוב שתי השיטות נועד להתמודד עם המגבלה המובנית של מטא-דאטה בלבד — קלות ההסרה שלה.
מאז ייסודו הרחיב C2PA משמעותית את מעגל-החברות: נכון לגרסת-התקן 2.3, ועדת-ההיגוי כוללת גם את גוגל, Meta, OpenAI, אמזון, סוני ו-TikTok — הרבה מעבר לשש החברות המייסדות. אימוץ קונקרטי בעולם הפיזי הגיע באוקטובר 2023: מצלמת Leica M11-P הייתה, לפי הצהרת Content Authenticity Initiative, המצלמה הראשונה בעולם שמטביעה אישור-תוכן חתום-C2PA כבר ברגע-הצילום, ולא כתוספת מאוחרת בעריכה — תחילת שרשרת-אמינות מהמצלמה ועד הפרסום.
חשוב להבחין: C2PA ו-SynthID (כלי-הסימון של Google DeepMind) פותרים בעיה דומה בטכנולוגיה שונה-לגמרי. SynthID מטביע סימן-מים סטטיסטי בתוך הפיקסלים או הנתונים עצמם של תוכן שנוצר על-ידי AI, כך שהוא שורד גם קובץ בלי מטא-דאטה כלל; C2PA, לעומת זאת, מצרף שכבת-מידע נפרדת שמתעדת את כל שרשרת-היצירה-והעריכה — לא רק "האם זה AI" — אבל היא פגיעה יותר אם המטא-דאטה מוסרת. השניים משלימים זה-את-זה, לא מתחרים.