Filigrana: che cosa protegge e che cosa no

Sopravvive perché sta nei pixel — ed è tutta la storia

Tutto ciò che rende utile una filigrana visibile e tutto ciò che la rende costosa vengono da un solo fatto: non è allegata all'immagine, è parte dell'immagine. Nessun campo da svuotare, nessuna intestazione da togliere, nessun flag da abbassare. Abbiamo verificato fin dove arriva. Abbiamo composto un piccolo segno nell'angolo in basso a destra di una foto 1600 × 900 al 60 % di opacità, poi misurato il riquadro del segno contro l'originale intatto dopo ogni trasformazione. Nel master filigranato la regione differisce dall'originale di 17,15 livelli in media. Dopo un JPEG in qualità 75: 18,67. Dopo una qualità 40 molto più dura: 20,80. Dopo aver ridotto lo stesso file in qualità 40 a 800 × 450: 22,39.

Il controllo dice che cosa significano quei numeri. Prendi la stessa foto senza alcuna filigrana, codificala in qualità 75 e misura lo stesso rettangolo: differisce dall'originale di 1,98 livelli — è il pavimento di rumore della compressione. Il segno sta nove-undici volte sopra in ogni fase, e il numero sale invece di scendere, perché ogni passaggio con perdita aggiunge il proprio errore sopra una differenza che non sarebbe mai svanita. Confrontalo con i campi invisibili dello stesso file. Il JPEG originale portava due marcatori di metadati per un totale di 1 344 byte, lo 0,0239 % del file. L'abbiamo caricato in una canvas di browser e risalvato — ciò che accade non appena un'immagine passa per uno strumento web — ed entrambi i marcatori erano spariti, sostituiti da un'intestazione generica e da un profilo colore. Non tolti apposta. Semplicemente non trasportati.

Il vero scambio: copertura contro invadenza

Un segno d'angolo costa poco allo spettatore ed è economico da battere. Il nostro occupava un riquadro 300 × 56, rientrato di 40 pixel dal bordo in basso a destra. Al 60 % di opacità ha cambiato 4 660 pixel — lo 0,32 % di un'inquadratura da 1 440 000 pixel — di 61,84 livelli in media ciascuno, spostando la media dell'intera immagine di 0,200 livelli. Portare l'opacità al 100 % l'ha allargato solo a 4 907 pixel; abbassarla al 35 % l'ha ristretto solo a 4 420. L'opacità cambia il volume del segno, non quanta immagine occupa.

Ecco perché il segno d'angolo si batte banalmente. La sua intera impronta sta nelle ultime 96 righe di un'immagine da 900. Ritagliale e ti restano 1600 × 804 — l'89,3 % dei pixel — senza abilità di editing, senza software oltre l'app fotografica di un telefono, e senza tracce. Ogni segno che vive in un margine si toglie togliendo il margine, e la maggior parte delle immagini ha margine da vendere.

Un segno a tappeto chiude quella porta e ne apre una peggiore. Il nostro correva in diagonale su tutta l'inquadratura al 18 % di opacità — volutamente tenue — e ha comunque toccato 169 164 pixel, l'11,75 % dell'immagine, 36 volte più del segno d'angolo. Non c'è ritaglio che lo tolga, perché non c'è parte dell'immagine che ne sia priva. Ma il costo ora lo paga chiunque: lo scarto medio sull'intera immagine è passato da 0,200 a 1,844 livelli, e il JPEG è cresciuto da 314 890 a 355 169 byte, perché l'encoder deve ora spendere bit per descrivere un reticolo di testo posato sulla foto. I tuoi clienti vedono una foto con della scrittura sopra, che è esattamente ciò che hai fabbricato.

La rimozione, onestamente

Qui conviene essere accurati, in entrambe le direzioni. Una filigrana visibile non è irremovibile, e fingere il contrario prepara una brutta scoperta. Il riempimento content-aware e l'inpainting moderno ricostruiscono piccole zone marcate a partire dall'intorno abbastanza bene perché un logo d'angolo discreto su uno sfondo morbido esca pulito — e un segno abbastanza piccolo da non disturbare i tuoi spettatori è, per costruzione, abbastanza piccolo da prestarsi. È la simmetria scomoda dell'intera tecnica: meno costa a te, meno costa a un copiatore determinato.

L'altra direzione conta altrettanto. La rimozione richiede intenzione, sforzo e uno strumento, e lascia il copiatore nella posizione di aver deliberatamente alterato il tuo lavoro invece di limitarsi a ripubblicarlo. Quella distinzione non è nulla di trascurabile. Una filigrana converte una copia sbadata in un atto deliberato, tiene il tuo nome attaccato in ogni condivisione casuale, e fa sì che la via pigra — tasto destro, salva, ripubblica — porti la tua riga di credito. Sono benefici reali. Sono solo benefici di attrito e di attribuzione, non di sicurezza. Progetta il segno per la persona che ti avrebbe citato comunque e non ti avrebbe mai cercato, non per quella che ha già deciso di rubare.

Non è la stessa cosa: i campi di credito nei metadati

L'EXIF ha un tag Artist e uno Copyright. L'IPTC offre un insieme più completo — creatore, riga di credito, avviso di copyright, condizioni d'uso — ed è lo standard che le redazioni fotografiche e le banche immagini usano davvero. Entrambi sono invisibili, gratuiti, senza costo in qualità d'immagine, e banalmente perdibili. Abbiamo misurato che cosa significhi in pratica su una foto da 5,6 MB: i suoi due marcatori di metadati insieme erano 1 344 byte, lo 0,0239 % del file, e un solo passaggio in una canvas di browser li ha rimossi tutti, senza azione né avviso dell'utente.

Il credito nei metadati vale dunque la pena di essere compilato, e vale zero come protezione. Usalo perché non costa nulla, perché i flussi di stampa e delle banche immagini lo leggono, e perché è l'unico posto in cui registrare condizioni di licenza in modo leggibile dalla macchina. Non usarlo come prova che un file sia tuo, e non dare per scontato che una piattaforma lo conservi — molte cancellano i metadati al caricamento come misura di privacy, scelta giusta per i dati di posizione ed effetto collaterale per il tuo nome. Il nostro articolo compagno sull'EXIF descrive che cos'altro c'è in quel blocco e come ispezionarlo.

Nemmeno questa è la stessa cosa: le Content Credentials

Le Content Credentials di C2PA sono un meccanismo davvero diverso, e l'unico di questa pagina a formulare un'affermazione verificabile. Una Content Credential è un manifesto firmato crittograficamente — un registro di chi ha prodotto il contenuto, con quale dispositivo o software, e che cosa gli è stato fatto da allora — trasportato dentro il file come box JUMBF e legato ai pixel da un hash. Se cambia un solo pixel senza una nuova voce firmata, la validazione fallisce. Non è un segno, è provenienza, e risponde a un'altra domanda: non «è mio?» ma «qual è la storia registrata di questo file?»

La versione corrente è la specifica tecnica C2PA 2.4, pubblicata in aprile 2026, dopo la 2.3 di gennaio dello stesso anno; l'architettura avanza anche in ISO come ISO/DIS 22144, Autenticità delle informazioni — Content Credentials. L'adozione è ormai reale e non teorica, fra produttori di fotocamere, software di editing, strumenti generativi e alcuni flussi di redazione. Conta per la domanda che arriva sempre dopo.

La domanda è: che cosa succede se qualcuno la toglie? Un manifesto resta un metadato, quindi la stessa canvas di browser che ha cancellato il nostro blocco EXIF cancellerebbe una Content Credential. La firma non si può falsificare, ma si può eliminare, e un file senza credenziale semplicemente non dice nulla invece di dire qualcosa di falso. Quel vuoto è ciò che la specifica chiama Durable Content Credential: una credenziale accompagnata da uno o più soft binding — valori calcolati dal contenuto dell'immagine anziché dai suoi byte grezzi — perché un file spogliato possa essere riabbinato al suo manifesto in un repository. È qui che filigrana invisibile e Content Credentials si incontrano, ed è per questo che si confondono tanto: una è un componente dell'altra.

E non è la stessa cosa: la filigrana invisibile

Una filigrana invisibile o steganografica nasconde un payload nei pixel sotto la soglia in cui qualcuno la nota — distribuita su coefficienti di frequenza anziché scritta in un rettangolo. Ha la proprietà del segno visibile, cioè sta nei dati d'immagine e sopravvive a una ricodifica, senza la proprietà che rovina il segno visibile, cioè che qualcuno debba guardarlo. È una combinazione davvero attraente, ed è per questo che piattaforme e fornitori di modelli generativi la usano per etichettare i propri output.

L'inghippo sta nella parola sopravvive. Una filigrana invisibile è progettata per tollerare un insieme preciso di trasformazioni — compressione JPEG moderata, ridimensionamento moderato, un ritocco di colore — e degrada contro tutto il resto. Un ritaglio duro rimuove la parte di payload che viveva nella zona scartata. Rotazione, ricompressione aggressiva, filtraggio pesante e fotografare uno schermo la attaccano tutti. E a differenza di un segno visibile, il cui fallimento ti salta agli occhi, uno invisibile fallisce in silenzio: il rilevatore non restituisce nulla, e nulla è indistinguibile da un file che non ha mai portato un segno. Trattala come un segnale forte quando scatta, e come nessuna prova quando non scatta.

Quindi che cosa fare davvero

Decidi da che cosa ti stai difendendo, perché i quattro meccanismi difendono da quattro cose diverse. Se il rischio è restare senza credito in una condivisione casuale — un pezzo di portfolio, un grafico, una foto di prodotto destinata a circolare — un segno visibile discreto è esattamente giusto, e lo 0,32 % dell'inquadratura è un prezzo equo. Se il rischio è che un cliente o un marketplace perda traccia di chi ha fatto un file, compila i campi IPTC e accetta che possano non sopravvivere al viaggio. Se la domanda è se un'immagine sia ciò che dichiara di essere, è questione di Content Credentials, e nient'altro in questo elenco vi risponde. Se devi tracciare fughe di un file distribuito a destinatari nominati, è filigrana invisibile con payload per destinatario, ed è uno strumento da specialisti.

E se metti un segno visibile, mettilo deliberatamente. Tienilo fuori dal soggetto e fuori dal margine puro — un segno che si sovrappone al bordo del contenuto è più difficile da ritagliare di uno che galleggia in un cielo vuoto, senza per questo coprire ciò che si è venuti a vedere. Tieni l'opacità abbastanza bassa perché l'immagine si legga ancora: il nostro segno d'angolo al 35 % alterava comunque i suoi pixel di 38 livelli in media, cosa perfettamente leggibile e appena invadente. Esportalo su una copia e conserva un master non marcato, perché ti servirà il file pulito il primo giorno in cui qualcuno concederà una licenza sull'immagine come si deve.

Domande frequenti

Una filigrana impedisce a qualcuno di rubare la mia immagine?

No, e nessuna tecnica d'immagine lo fa. Quel che fa è alzare il costo di una copia sbadata e tenere il tuo nome attaccato nei molti casi in cui nessuno voleva far danno. Il nostro segno d'angolo si toglieva ritagliando il 10,7 % dell'altezza dal basso, cosa che chiunque fa su un telefono — ma quel ritaglio è un atto deliberato, come lo è cancellare il segno con l'inpainting. La filigrana compra attrito e attribuzione. Tutto ciò che è più forte è una questione di licenza e di applicazione, non di pixel.

Segno d'angolo o segno a tappeto?

Angolo per tutto ciò che uno spettatore deve godersi, tappeto solo per anteprime che non hai mai voluto fossero usate così come sono. I numeri decidono per te: il segno d'angolo ha toccato lo 0,32 % dell'inquadratura e quello a tappeto l'11,75 %, 36 volte i pixel, portando lo scarto medio dell'immagine da 0,200 a 1,844 livelli e aggiungendo il 12,8 % al JPEG. Un segno a tappeto è una bozza. Se metti il tappeto su un'immagine di portfolio, hai pubblicato un portfolio di immagini rigate di scrittura.

La mia filigrana sopravvive al caricamento su una piattaforma social?

Una visibile sì. Le piattaforme ricodificano e ridimensionano in modo aggressivo, ed è esattamente ciò che un segno visibile tollera: dopo un JPEG in qualità 40 e un dimezzamento, il nostro segno misurava ancora 22,39 livelli sopra l'originale intatto, contro un pavimento di rumore da compressione di 1,98. I tuoi metadati non sopravvivranno al viaggio — molte piattaforme li tolgono al caricamento, in buona parte per privacy — quindi il credito che credevi di portare è spesso sparito prima della prima condivisione.

Le Content Credentials sono una specie di filigrana?

No. Una Content Credential è un manifesto di provenienza firmato, trasportato nel file e legato ai pixel da un hash: registra che cos'è il file e che cosa gli è stato fatto, e qualsiasi cambiamento non dichiarato fa fallire la validazione. Una filigrana non afferma nulla e non verifica nulla; è un segno. I due si incontrano in un punto: la specifica attuale definisce una Durable Content Credential come una accompagnata da soft binding, e una filigrana invisibile può esserne uno, così che un file spogliato possa essere riabbinato al suo manifesto. Anche allora la filigrana è l'indice, non l'affermazione.

Devo mettere la filigrana a piena opacità perché sia inequivocabile?

Di rado, perché l'opacità compra leggibilità, non copertura. Fra il 35 % e il 100 % di opacità il nostro segno d'angolo è passato da 4 420 a 4 907 pixel toccati — circa l'11 % di superficie in più — mentre la variazione media per pixel passava da 38,03 a 97,91 livelli. In altre parole diventi quasi tre volte più forte per quasi nessuna impronta aggiuntiva, e un segno facile da ritagliare al 100 % lo è altrettanto al 35 %. Scegli l'opacità più bassa che si legga ancora alla dimensione in cui l'immagine sarà vista.