Que signifie « signé mais non reconnu » en C2PA ?
Signé mais non reconnu est l’un des résultats C2PA les plus mal compris. Cela ne signifie pas que le fichier est faux. Cela signifie généralement que la cryptographie a réussi mais que la politique de confiance ne l’a pas validé. Les équipes sécurité et éditoriales voient ce statut tous les jours pendant les pilotes, ce qui déclenche souvent des escalades inutiles tant que la conception de la confiance n’est pas documentée.
Cet article distingue la validation de signature de l’évaluation de confiance, explique le rôle des chaînes X.509 et donne des étapes pratiques pour résoudre ou accepter à bon escient les résultats non reconnus en production.
Signature valide ou signataire reconnu
La validation de signature confirme que les octets du manifeste correspondent à la signature intégrée et que le certificat de signature était valide au moment de la signature. L’évaluation de confiance pose une question supplémentaire : cette chaîne de certificats se termine-t-elle sur une source reconnue par votre organisation ?
Voyez la validation comme « ce manifeste a-t-il été altéré depuis la signature ? » et la confiance comme « acceptons-nous ce signataire pour publication ? ». Un certificat de développement auto-signé peut réussir le premier test et échouer au second, par conception.
ProvSeal sépare ces couches pour que les relecteurs distinguent les signatures cassées des écarts de politique.