Ripulire i metadati di una foto: che cosa se ne va davvero

Un file di foto non ha un blocco di metadati, ne ha sei

Quasi tutti dicono EXIF quando intendono metadati, ed è lì che cominciano i guai. EXIF è un blocco fra vari, e un JPEG è una sequenza di segmenti etichettati che possono contenere ciascuno qualcosa di diverso. C'è il segmento JFIF con informazioni di densità. C'è il blocco EXIF stesso, che porta marca e modello della fotocamera, software di ritocco, marca temporale, impostazioni di esposizione, a volte il numero di serie del corpo e l'obiettivo e — in una sottodirectory separata — la posizione GPS. C'è XMP, un pacchetto XML che i programmi di editing usano per i propri campi. C'è un record IPTC, di solito avvolto in un blocco risorse di Photoshop, con didascalie, firme e diritti. C'è un profilo colore ICC. E c'è un segmento di commento libero in cui può scrivere qualunque cosa.

Quello che vale la pena conoscere è nascosto dentro EXIF anziché accanto: una seconda copia completa dell'immagine, in formato miniatura, salvata perché una fotocamera mostri subito un'anteprima. Nel file di prova che abbiamo costruito, quella miniatura era 5628 byte di JPEG vero. Conta perché uno strumento che modifica l'immagine principale e riscrive solo le etichette che conosce può lasciare intatta la miniatura — e allora la versione piccola mostra ancora la scena com'era prima che ritagliassi, raddrizzassi o coprissi qualcosa. Altri formati hanno le loro soluzioni: un PNG mette il testo in blocchi tEXt, zTXt e iTXt e può portare un intero blocco EXIF in un blocco eXIf, mentre HEIC e WebP avvolgono i propri contenitori attorno agli stessi tipi di record.

Quanto a ciò che vale il campo della posizione: le coordinate sono salvate come tre numeri razionali — gradi, minuti e secondi — e il campo dei secondi porta frazioni. Un file scritto al centesimo di secondo d'arco individua a circa 30 centimetri sul terreno. Non è il quartiere, è la stanza. Unisci a questo la marca temporale esatta, salvata al secondo, e una foto di un bambino in casa è un indirizzo e un'abitudine.

Due modi per toglierlo, e non sono equivalenti

Il primo modo è chirurgico: aprire il contenitore, percorrere l'elenco dei segmenti, cancellare quelli che non vuoi e riscrivere i dati immagine compressi senza toccarli. Nulla viene decodificato, nulla ricodificato, e i pixel che escono sono bit per bit quelli che sono entrati. Così lavora un editor di metadati, ed è l'approccio giusto quando la qualità conta. La sua debolezza è che toglie solo ciò che sa di dover cercare: un segmento sconosciuto, un blocco proprietario del costruttore, un record annidato che non analizza, tutto questo sopravvive per impostazione predefinita.

Il secondo è brutale ed è quello di questo strumento: decodificare l'immagine in pixel grezzi, disegnare quei pixel su un canvas e chiedere al browser di serializzare il canvas come nuovo file. Lo standard del browser descrive quell'uscita come una serializzazione della bitmap del canvas, e una bitmap non è altro che valori di colore: non c'è posto dove riporre un numero di serie di fotocamera o una miniatura nascosta, perché la struttura che li conteneva è stata buttata diversi passi prima. Ecco perché questo approccio non può mancare nulla: non è un elenco di cose da cancellare, è un rifiuto di copiare qualsiasi cosa tranne l'immagine.

Che cosa se n'è andato davvero

Abbiamo costruito un file che portava tutto questo e l'abbiamo passato al trattamento. La sorgente era un JPEG da 800 per 600 di circa 60 kilobyte, con un segmento JFIF, un blocco EXIF completo con marca, modello, software di ritocco, marca temporale, tempo di posa, apertura, sensibilità, numero di serie del corpo, modello di obiettivo e posizione GPS con altitudine, una miniatura da 5628 byte dentro quel blocco EXIF, un pacchetto XMP che nominava un fotografo e una città, un record IPTC con didascalia e firma, un profilo colore, e un commento che diceva che il file era una bozza interna da non distribuire.

L'uscita ripulita pesava circa 58 kilobyte e conteneva quattro cose: il segmento JFIF, un profilo colore, le tabelle di compressione e i dati immagine. Nient'altro. Poi abbiamo cercato direttamente nei byte esportati quattordici stringhe prese dall'originale: il costruttore, il modello, il software di ritocco, il numero di serie, il nome dell'obiettivo, il nome del fotografo, la didascalia, il commento di non distribuire, i marcatori XMP, la parola Exif stessa, la marca temporale e la forma numerica delle coordinate. Non ne compare nessuna. Anche la miniatura nascosta è sparita: l'unica sequenza di byte che i due file condividono è l'intestazione standard che ogni immagine codificata da quel browser porta con sé, e si ferma ben prima che comincino i dati immagine della miniatura.

Una cosa è conservata di proposito, ed è quella giusta. Fotocamere e telefoni salvano molto spesso l'immagine nell'orientamento del sensore e aggiungono un'etichetta che dice come girarla. Se cancellassi l'etichetta e tenessi i pixel, ogni foto verticale uscirebbe coricata. Abbiamo provato una versione del file marcata come bisognosa di un quarto di giro: il browser ha applicato la rotazione prima ancora che il canvas la vedesse, così il file ripulito misura 600 per 800 invece di 800 per 600 e sta dritto, senza etichetta da interpretare. È esattamente il comportamento desiderabile e vale la pena verificarlo, perché gli strumenti che cancellano le etichette senza decodificare sbagliano continuamente su questo.

Quanto costa la ricodifica

La scrupolosità si paga in qualità. Poiché l'immagine viene decodificata e ricompressa, l'uscita non è l'immagine originale: è una nuova approssimazione con perdita. Sul nostro file di prova, un passaggio ha misurato 46,2 decibel di rapporto segnale-rumore rispetto alla sorgente, con un errore massimo di 18 su 255 su un canale. In chiaro, è invisibile su uno schermo e sopravvivrebbe a una stampa. Non è però nulla di trascurabile, né è gratis: una rimozione chirurgica dei metadati otterrebbe infinito, perché non cambia nemmeno un pixel.

La cosa da sorvegliare è la ripetizione. La perdita si accumula, perché ogni passaggio parte dall'approssimazione del precedente e non dall'originale. Abbiamo ripassato il file ripulito altre cinque volte: il rapporto segnale-rumore rispetto all'originale è sceso da 46,2 a 38,5 decibel, e l'errore massimo su un canale è cresciuto da 18 a 53 su 255. È la differenza fra invisibile e visibile in un cielo uniforme o in un incarnato. Quindi pulisci una volta, alla fine del tuo ritocco, sul file che stai per mandare — non per abitudine, e non su un file che modificherai ancora dopo.

Dove si rompe: foto da iPhone, trasparenza e colore

La lacuna importante è HEIC. È il formato di scatto predefinito su un iPhone, e i browser da scrivania in genere non sanno decodificarlo. Abbiamo dato in pasto un vero file HEIC e il decodificatore d'immagine ha fallito di netto — e poiché lo strumento non ha alcuna gestione per quel fallimento, non succede assolutamente nulla: nessuna immagine ripulita, nessun pulsante di download, nessun messaggio. Un utente che non sappia che il formato non è supportato concluderà ragionevolmente che la pagina è rotta o, peggio, non se ne accorgerà e darà per fatto il lavoro. Converti prima in JPEG, oppure esporta dal telefono in JPEG invece di condividere lo scatto originale.

La seconda sorpresa è che l'uscita è sempre un JPEG, qualunque cosa entri. Dagli un PNG e ti torna un JPEG, con l'estensione cambiata per te. Va benissimo per una fotografia ed è sbagliato per tutto ciò che ha trasparenza: il JPEG non ha canale alfa, quindi i pixel parzialmente trasparenti vengono appiattiti contro uno sfondo. L'abbiamo misurato su un PNG la cui metà destra era mezza trasparente, e i pixel esportati sono tornati del tutto opachi e molto più scuri, composti sul nero. Un logo, una schermata con angoli arrotondati o uno scontorno di prodotto non sopravvivrà intatto. Il colore riceve lo stesso trattamento: il canvas lavora nello spazio sRGB standard e il file esportato porta il profilo sRGB del browser stesso, scritto anche quando l'ingresso non aveva alcun profilo — così una foto a gamma ampia esce convertita anziché preservata.

Da dove trapela, e quando una schermata è la risposta giusta

La fuga non è quasi mai il social network. Le grandi piattaforme ricodificano ciò che carichi, soprattutto per risparmiare banda, e i metadati spariscono come effetto collaterale — ma è una conseguenza della loro catena di elaborazione, non una promessa fatta a te, e varia da piattaforma a piattaforma e da percorso a percorso. Le fughe affidabili sono le strade dove nessuno ricodifica nulla: un file allegato a un'e-mail, una foto lasciata in chat come documento e non come immagine, un caricamento su un forum o su un sito di annunci che archivia ciò che riceve, un file consegnato su una chiavetta, un'immagine pubblicata su un piccolo sito con software di serie. In ognuno di questi casi i byte che mandi sono i byte che arrivano, miniatura e coordinate comprese.

E sì, una schermata funziona davvero — per una foto. Catturare lo schermo produce un file nuovo fatto soltanto dei pixel visibili, senza nessuno dei blocchi originali attaccati, e richiede due secondi. Butta via anche risoluzione, dato che catturi l'immagine alla dimensione in cui era mostrata e non a quella nativa, e non scala: duecento foto di vacanza sono duecento operazioni manuali e una cartella piena di copie grandi quanto lo schermo. È questo il confine onesto fra le due risposte. Un'immagine, e la cosa più rapida che sia anche corretta è una schermata. Più di una manciata, e vuoi uno strumento che faccia lo stesso lavoro sull'intero lotto senza che tu stia a guardare.

Domande frequenti

Rimuove davvero la posizione GPS?

Sì. Le coordinate GPS vivono in una sottodirectory del blocco EXIF, e il blocco EXIF non viene modificato: viene buttato insieme a tutto il contenitore originale quando i pixel sono ricodificati. Nel nostro test la sorgente conteneva latitudine, longitudine e altitudine; cercare la forma numerica di quei valori nel file ripulito non restituisce nulla, così come cercare la parola Exif stessa. Nulla che riguardi la posizione può sopravvivere a un processo che copia solo valori di colore.

La miniatura nascosta sopravvive?

No — e vale la pena verificarlo, perché è qui che altri strumenti falliscono. Un pulitore che modifica le etichette sul posto può lasciare intatta la miniatura, e quella miniatura può mostrare la scena prima che tu ritagliassi o coprissi qualcosa. Qui la miniatura non può sopravvivere: vive dentro il blocco EXIF, e il blocco EXIF non viene mai copiato. L'abbiamo confermato confrontando i due file byte per byte: la sequenza comune più lunga è l'intestazione standard che ogni immagine di quel browser porta con sé, e finisce prima di dove comincerebbero i dati immagine della miniatura.

Ripulire fa perdere qualità all'immagine?

Un po', e solo una volta se lo usi una volta. Lo strumento decodifica la foto e la ricomprime, quindi l'uscita è una nuova versione con perdita. Misurato rispetto alla nostra sorgente, un singolo passaggio ha dato 46,2 decibel di rapporto segnale-rumore con un errore massimo di 18 su 255 su un canale: invisibile in visione normale. I passaggi ripetuti si sommano: dopo sei il rapporto era sceso a 38,5 decibel e l'errore massimo salito a 53. Quindi pulisci una volta, sulla copia che stai per mandare, e tieni il tuo originale intatto altrove.

Ho caricato una foto dal mio iPhone e non è successo nulla. Perché?

Quasi certamente perché il file è un HEIC, cioè ciò che un iPhone scatta per impostazione predefinita e che i browser da scrivania in genere non sanno decodificare. L'abbiamo riprodotto con un vero file HEIC: il decodificatore fallisce, e lo strumento non ha alcuna gestione per quel fallimento, quindi la pagina semplicemente non fa nulla — nessuna immagine, nessun download, nessun errore. Converti prima il file in JPEG, o cambia l'impostazione della fotocamera perché il telefono scatti nel formato più compatibile, o condividi la foto tramite un'app che converte all'esportazione.

Come verifico da solo che un file è pulito?

Non fidarti del pannello informazioni file del tuo sistema: mostra una selezione di campi, non tutto ciò che è presente, e un blocco che non capisce semplicemente non comparirà. Due controlli migliori: apri il file in un visualizzatore di metadati che elenchi i segmenti grezzi anziché etichette amichevoli, oppure confronta le dimensioni, perché una foto che si rimpicciolisce sensibilmente dopo la pulizia portava una miniatura nascosta. E verifica ciò che hai davvero inviato e non ciò che hai pulito: conta il file che lascia la tua macchina, e le app di messaggistica a volte ricodificano o riallegano lungo la strada.