Che cosa rivelano i dati EXIF e come rimuoverli davvero

Che cosa c'è davvero nel blocco

Un JPEG conserva i metadati in segmenti marcatore APPn posti prima dei dati immagine compressi. Il blocco Exif è una piccola struttura TIFF con più directory. La prima porta il dispositivo — marca, modello, orientamento, il software che ha scritto il file per ultimo, a volte un autore e una riga di copyright. Una sottodirectory porta lo scatto: DateTimeOriginal al secondo, un campo di offset che dà il fuso orario, un campo di sottosecondo, tempo di posa, diaframma, ISO, focale, marca e modello dell'obiettivo. Diversi costruttori aggiungono un numero di serie di corpo o obiettivo, e quasi tutti aggiungono un blocco MakerNote proprietario, non documentato e talvolta corposo.

Se i servizi di localizzazione erano attivi, una terza directory porta i dati GPS: latitudine e longitudine con i riferimenti di emisfero, altitudine, un timestamp UTC, spesso un rilevamento bussola per la direzione in cui puntava l'obiettivo, e su molti telefoni un campo di errore di posizionamento con la stima del dispositivo stesso. Accanto a tutto questo sta un pacchetto XMP — un blocco XML che può portare parole chiave, valutazioni, cronologia di modifica, tag di regione con i nomi dei volti e i recapiti dell'autore — più un blocco IPTC storico con didascalia, firma e toponimi, un profilo colore ICC e una piccola miniatura JPEG in una directory a parte.

Quanto sono davvero precise le coordinate

L'Exif salva latitudine e longitudine in gradi, minuti e secondi, ciascuno scritto come frazione. Un grado di latitudine misura circa 111 320 m, quindi un minuto d'arco circa 1 855 m e un secondo d'arco circa 30,92 m. Poiché il campo dei secondi è una frazione, la risoluzione salvata dipende dal denominatore scelto dal dispositivo: un denominatore 100 registra a circa 31 cm, uno da 1 000 a circa 3 cm. La longitudine si comporta allo stesso modo ma si restringe col coseno della latitudine — a 40 gradi nord, un secondo d'arco di longitudine copre circa 23,69 m invece di 30,92.

Non confondere quella risoluzione salvata con l'accuratezza. Il file può contenere un numero preciso al centimetro mentre il fix satellitare sottostante è molte volte più grossolano, ed è il fix a decidere se le coordinate indicano una casa o la strada davanti. È esattamente per questo che la specifica prevede un campo di errore di posizionamento, ed è per questo che una lettura responsabile di una coppia di coordinate la tratta come un'area e non come un punto. Resta comunque abbastanza specifica da porre una questione di privacy. Una singola foto di vacanza pubblicata di rado conta; una serie di foto scattate allo stesso indirizzo, tutte con coordinate e timestamp, descrive un'abitudine.

Chi lo rimuove al caricamento, e perché conviene provare invece di credere

Le grandi piattaforme in genere ricodificano le foto caricate, e la ricodifica fa cadere la maggior parte dei metadati come effetto collaterale, non come funzione di privacy. Ma il comportamento varia da piattaforma a piattaforma e, ancor più, dal percorso che il file prende all'interno di una stessa piattaforma. La stessa app di messaggistica che ricodifica una foto inviata come foto trasmetterà i byte originali intatti se lo stesso file parte come documento o allegato, perché quel percorso è pensato apposta per preservare il file esattamente. Un link di archiviazione cloud serve l'originale per definizione. Un sistema di gestione contenuti conserva di solito l'originale caricato accanto ai suoi derivati ridimensionati, e mentre i derivati sono ricodificati, l'originale resta spesso raggiungibile al proprio URL.

Poiché questi comportamenti cambiano senza preavviso, nessun elenco pubblicato resta corretto a lungo, e questa pagina non te ne darà uno. La procedura affidabile è l'andata e ritorno: ripulisci il file, caricalo esattamente come faresti, riscarica la copia che la piattaforma serve e ispeziona quella copia. Cinque minuti di prova sul percorso che usi davvero battono qualsiasi tabella di comportamenti, anche recente.

Che cosa la rimozione non fa

Rimuovere i metadati modifica l'intestazione. Non tocca l'immagine, quindi tutto ciò che vi è visibile sopravvive intatto: una filigrana, un volto, un numero civico, uno stemma scolastico su un maglione, un nome su un'etichetta di consegna, uno skyline riconoscibile dalla finestra. Se è la fotografia stessa a identificare una persona o un luogo, il rimedio è una modifica dei pixel — ritaglio, sfocatura o blocco pieno — non un'operazione sui metadati. Le due cose si confondono spesso perché entrambe vengono presentate come funzioni di privacy, mentre risolvono problemi del tutto diversi.

Il caso dello screenshot lo illustra esattamente. Fotografare uno schermo, o catturare una foto, produce un file nuovo del tutto privo di metadati di fotocamera — niente coordinate, niente timestamp di scatto, niente dispositivo. Riproduce però ogni pixel dell'originale. Il dato di posizione è sparito; l'angolo di strada riconoscibile no. Uno screenshot è un buon modo per consegnare un'immagine senza la sua storia, e un pessimo modo per nascondere ciò che l'immagine mostra.

Rimozioni che fingono soltanto

Non ogni strumento presentato come rimotore di metadati riscrive il file. Alcuni svuotano i valori dei tag che riconoscono e lasciano in piedi la struttura di directory, il che inganna un visualizzatore distratto e nient'altro. Alcuni trattano i tag Exif standard e saltano del tutto il MakerNote proprietario o il pacchetto XMP: il blocco che identifica più affidabilmente un corpo macchina specifico è proprio quello che resta. Alcuni lavorano su una copia e lasciano l'originale nella stessa cartella con un nome simile, ed è così che un file ripulito e il suo gemello non ripulito finiscono allegati allo stesso messaggio.

Nemmeno convertire è ripulire, e può funzionare al contrario. Convertire in JPEG, con uno strumento di sistema standard, un PNG che non portava alcun metadato di fotocamera ha prodotto un file di uscita con un blocco Exif nuovo di zecca da 124 byte: cinque tag nella directory principale e tre nella sottodirectory, scritti dal convertitore stesso. Nulla di sensibile in quel caso, ma è un promemoria utile: ogni strumento di una catena può aggiungere le proprie annotazioni, e l'unico modo di sapere che cosa porta un file è aprirlo e guardare.

Tenere i metadati è spesso la scelta giusta

Questo non è un invito a cancellare tutto per riflesso. I metadati sono ciò che permette a una fototeca di ordinare per data, ciò che fa apparire un'immagine dritta, ciò che porta la riga di copyright di un fotografo e ciò che mantiene leggibile fra trent'anni un archivio di famiglia. L'orientamento in particolare merita protezione: toglilo da un file i cui pixel sono salvati ruotati e l'immagine apparirà coricata in qualsiasi software rispetti il tag.

L'abitudine praticabile sono quindi due file, non una regola unica. Tieni l'originale con tutti i suoi metadati nel tuo archivio e produci un export ripulito per tutto ciò che esce dal tuo controllo — un post pubblico, un annuncio su un marketplace, un forum, un allegato a qualcuno che conosci poco. Così non devi mai scegliere fra un archivio ricercabile e una foto pubblicabile senza pensarci.

Domande frequenti

Rimuovere l'EXIF rende il file sensibilmente più piccolo?

Quasi per nulla. Togliere tutti i marcatori di metadati dal nostro JPEG di prova da 5 617 703 byte ha tolto 1 344 byte — lo 0,0239 % del file. Ripulire i metadati è un'operazione di privacy, non di compressione. Se uno strumento annuncia una forte riduzione di dimensione rimuovendo i metadati, sta anche ricodificando l'immagine, il che è un'altra decisione e costa qualità.

Ritagliare una foto rimuove i dati di posizione?

Da sé no. La maggior parte degli editor riporta i metadati nel file ritagliato, coordinate comprese, perché i fotografi si aspettano che sopravvivano alla modifica. Peggio: se l'editor non rigenera la miniatura incorporata, il file ritagliato può contenere ancora una piccola copia dell'immagine non ritagliata. Ritaglia, poi ripulisci, poi riesamina — in quest'ordine.

Posso invece disattivare il tag di posizione alla fonte?

Sì, ed è la soluzione più pulita per le foto che sai già che condividerai. Ogni telefono attuale consente di negare all'app fotocamera l'accesso alla posizione, e la maggior parte dei fogli di condivisione offre anche un'opzione per singola condivisione per escludere la posizione. Farlo al momento dello scatto significa che nel file non esistono mai coordinate, quindi non c'è nulla da dimenticare di rimuovere dopo. Il rovescio è che la tua fototeca perde la mappa.

Anche PNG, WebP e HEIC portano metadati?

Sì. Il PNG ha un chunk eXIf più chunk testuali; WebP e AVIF hanno propri chunk EXIF e XMP dentro il contenitore; i file HEIC dei telefoni portano la stessa struttura Exif di un JPEG, e spesso anche una raffica di immagini extra. L'abitudine di controllare solo i JPEG è un residuo di quando il JPEG era l'unico formato condiviso. Ispeziona ciò che stai per inviare, qualunque sia l'estensione.

Se una piattaforma rimuove comunque i metadati, perché ripulire prima?

Perché la piattaforma riceve l'originale prima di rimuovere alcunché, perché quella rimozione è un sottoprodotto della sua elaborazione e non una promessa, perché potresti inoltrare lo stesso file altrove più tardi, e perché il comportamento può cambiare con la prossima versione. Ripulire prima di caricare costa secondi e non dipende dal fatto che l'implementazione altrui resti uguale.

C'è una ragione legittima per tenere i dati GPS?

Diverse. Un archivio di viaggi sfogliabile su una mappa è davvero utile, la documentazione sul campo e i rilievi ne dipendono, il giornalismo e le pratiche assicurative spesso lo richiedono come prova di dove è stata scattata un'immagine, e la fotografia scientifica lo considera parte del registro. Il giudizio è contestuale: tienilo nel tuo archivio e decidi deliberatamente per ogni file che esce dal tuo controllo.