Marca de água: o que protege e o que não protege

Sobrevive porque está nos píxeis — e é toda a história

Tudo o que torna útil uma marca de água visível e tudo o que a torna cara vêm de um só facto: não está anexada à imagem, faz parte da imagem. Não há campo para limpar, nem cabeçalho para retirar, nem bandeira para baixar. Testámos até onde isso vai. Compusemos uma marca pequena no canto inferior direito de uma fotografia de 1600 × 900 a 60 % de opacidade, e depois medimos a caixa da marca contra o original intacto após cada transformação. No original com marca, a região difere do original em 17,15 níveis em média. Após um JPEG em qualidade 75: 18,67. Após uma qualidade 40 bem mais dura: 20,80. Após reduzir esse mesmo ficheiro de qualidade 40 para 800 × 450: 22,39.

O controlo dá o sentido desses números. Pegue na mesma fotografia sem marca nenhuma, codifique-a em qualidade 75 e meça o mesmo retângulo: difere do original em 1,98 níveis — é o piso de ruído da compressão. A marca fica nove a onze vezes acima em cada etapa, e o número sobe em vez de descer, porque cada passagem com perdas acrescenta o seu próprio erro por cima de uma diferença que nunca ia esbater-se. Compare com os campos invisíveis do mesmo ficheiro. O JPEG original trazia dois marcadores de metadados somando 1 344 bytes, 0,0239 % do ficheiro. Carregámo-lo numa tela de navegador e voltámos a gravá-lo — o que acontece assim que uma imagem passa por uma ferramenta web — e ambos os marcadores tinham desaparecido, substituídos por um cabeçalho genérico e um perfil de cor. Não retirados de propósito. Simplesmente não transportados.

A troca real: cobertura contra intrusão

Uma marca de canto custa pouco ao espectador e derrota-se barato. A nossa ocupava uma caixa de 300 × 56, recuada 40 píxeis da margem inferior direita. A 60 % de opacidade mudou 4 660 píxeis — 0,32 % de um enquadramento de 1 440 000 píxeis — em 61,84 níveis em média cada um, e moveu a média da imagem inteira em 0,200 níveis. Subir a opacidade para 100 % só a alargou para 4 907 píxeis; baixá-la para 35 % só a encolheu para 4 420. A opacidade muda o volume da marca, não a quantidade de imagem que ela ocupa.

É por isso que a marca de canto se derrota trivialmente. Toda a sua pegada cabe nas 96 linhas inferiores de uma imagem de 900. Recorte-as e fica com 1600 × 804 — 89,3 % dos píxeis — sem perícia de edição, sem software além da aplicação de fotografias de um telemóvel, e sem rasto. Toda a marca que vive numa margem tira-se tirando a margem, e a maioria das imagens tem margem de sobra.

Uma marca em mosaico fecha essa porta e abre outra pior. A nossa corria na diagonal por todo o enquadramento a 18 % de opacidade — deliberadamente ténue — e ainda assim tocou 169 164 píxeis, 11,75 % da imagem, 36 vezes mais do que a marca de canto. Não há recorte que a tire, porque não há parte da imagem sem ela. Mas o custo é agora pago por todos: o desvio médio sobre a imagem inteira passou de 0,200 para 1,844 níveis, e o JPEG cresceu de 314 890 para 355 169 bytes, porque o codificador tem agora de gastar bits a descrever uma grade de texto assente sobre a fotografia. Os seus clientes veem uma fotografia com escrita por cima, que é exatamente o que fabricou.

A remoção, com honestidade

Convém ser exato aqui, nos dois sentidos. Uma marca de água visível não é irremovível, e fingir o contrário prepara uma descoberta desagradável. O preenchimento sensível ao conteúdo e o inpainting moderno reconstroem pequenas zonas marcadas a partir do que as rodeia suficientemente bem para que um logótipo discreto de canto sobre um fundo suave saia limpo — e uma marca pequena o bastante para não incomodar os seus espectadores é, por construção, pequena o bastante para se prestar a isso. É a simetria incómoda de toda a técnica: quanto menos lhe custa, menos custa a um copiador determinado.

O outro sentido importa tanto quanto. A remoção exige intenção, esforço e uma ferramenta, e deixa o copiador na posição de ter alterado deliberadamente o seu trabalho em vez de apenas o republicar. Essa distinção não é nada. Uma marca converte uma cópia irrefletida num ato deliberado, mantém o seu nome colado em cada partilha casual, e faz o caminho preguiçoso — botão direito, guardar, republicar — levar a sua linha de crédito. São benefícios reais. Apenas são benefícios de atrito e de atribuição, não de segurança. Desenhe a marca para a pessoa que o teria creditado de qualquer forma e nunca o ia procurar, não para a que já decidiu roubar.

Não é a mesma coisa: os campos de crédito nos metadados

O EXIF tem uma etiqueta Artist e uma Copyright. O IPTC oferece um conjunto mais completo — criador, linha de crédito, aviso de copyright, condições de uso — e é o padrão que as mesas de fotografia e os bancos de imagens usam de facto. Ambos são invisíveis, gratuitos, sem custo em qualidade de imagem, e trivialmente perdidos. Medimos o que isso significa na prática numa fotografia de 5,6 MB: os seus dois marcadores de metadados somavam 1 344 bytes, 0,0239 % do ficheiro, e uma só passagem por uma tela de navegador removeu-os a todos, sem ação nem aviso do utilizador.

O crédito nos metadados vale portanto a pena preencher, e vale zero como proteção. Use-o porque não custa nada, porque os fluxos de imprensa e de banco de imagens o leem, e porque é o único sítio onde registar condições de licença de forma legível por máquina. Não o use como prova de que um ficheiro é seu, e não assuma que uma plataforma o conserva — muitas apagam os metadados no carregamento como medida de privacidade, o que é a escolha certa para os dados de localização e um efeito colateral para o seu nome. O nosso artigo companheiro sobre EXIF detalha o que mais está nesse bloco e como o inspecionar.

Também não é a mesma coisa: as Content Credentials

As Content Credentials da C2PA são um mecanismo realmente diferente, e o único desta página que faz uma afirmação verificável. Uma Content Credential é um manifesto assinado criptograficamente — um registo de quem produziu o conteúdo, com que aparelho ou software, e o que lhe foi feito desde então — transportado dentro do ficheiro como uma caixa JUMBF e ligado aos píxeis por um hash. Se um único píxel mudar sem uma nova entrada assinada, a validação falha. Não é uma marca, é proveniência, e responde a outra pergunta: não «isto é meu?» mas «qual é o historial registado deste ficheiro?»

A versão em vigor é a especificação técnica C2PA 2.4, publicada em abril de 2026, depois da 2.3 em janeiro do mesmo ano; a arquitetura avança também na ISO como ISO/DIS 22144, Autenticidade da informação — Content Credentials. A adoção é agora real e não teórica, entre fabricantes de câmaras, software de edição, ferramentas generativas e algumas redações. Isso importa para a pergunta que vem sempre a seguir.

A pergunta é: o que acontece se alguém a retirar? Um manifesto continua a ser metadado, pelo que a mesma tela de navegador que apagou o nosso bloco EXIF apagaria uma Content Credential. A assinatura não pode ser falsificada, mas pode ser eliminada, e um ficheiro sem credencial simplesmente não diz nada em vez de dizer algo falso. Essa lacuna é o que a especificação chama Durable Content Credential: uma credencial acompanhada de um ou mais soft bindings — valores calculados a partir do conteúdo da imagem e não dos seus bytes brutos — para que um ficheiro despojado possa ser reemparelhado com o seu manifesto num repositório. É aqui que a marca invisível e as Content Credentials se encontram, e por isso se confundem tanto: uma é um componente da outra.

E também não é a mesma coisa: a marca invisível

Uma marca invisível ou esteganográfica esconde uma carga útil nos píxeis abaixo do limiar em que alguém a nota — repartida por coeficientes de frequência em vez de escrita num retângulo. Tem a propriedade da marca visível, por estar nos dados de imagem e sobreviver a uma recodificação, sem a propriedade que arruína a marca visível, por ninguém ter de olhar para ela. É uma combinação realmente atraente, e por isso as plataformas e os fornecedores de modelos generativos a usam para etiquetar a sua saída.

A armadilha está na palavra «sobrevive». Uma marca invisível é concebida para tolerar um conjunto concreto de transformações — compressão JPEG moderada, redimensionamento moderado, um retoque de cor — e degrada-se perante tudo o resto. Um recorte duro elimina a parte da carga útil que vivia na zona descartada. A rotação, a recompressão agressiva, a filtragem pesada e fotografar um ecrã atacam-na. E ao contrário de uma marca visível, cuja falha lhe salta à vista, uma invisível falha em silêncio: o detetor não devolve nada, e nada é indistinguível de um ficheiro que nunca levou marca. Trate-a como um sinal forte quando dispara, e como prova nenhuma quando não dispara.

Então, o que fazer na prática

Decida contra o que se está a defender, porque os quatro mecanismos defendem contra quatro coisas diferentes. Se o risco é ficar sem crédito numa partilha casual — uma peça de portefólio, um gráfico, uma fotografia de produto destinada a circular —, uma marca visível discreta é exatamente o adequado, e 0,32 % do enquadramento é um preço justo. Se o risco é um cliente ou um mercado perder o rasto de quem fez um ficheiro, preencha os campos IPTC e aceite que podem não sobreviver à viagem. Se a pergunta é se uma imagem é o que diz ser, isso é assunto das Content Credentials, e mais nada desta lista lhe responde. Se precisa de rastrear fugas de um ficheiro distribuído a destinatários nomeados, isso é marca invisível com carga útil por destinatário, e é uma ferramenta de especialista.

E se colocar uma marca visível, coloque-a deliberadamente. Mantenha-a fora do assunto e fora da margem pura — uma marca que sobrepõe a aresta do conteúdo é mais difícil de recortar do que uma a flutuar num céu vazio, sem por isso tapar o que se veio ver. Mantenha a opacidade suficientemente baixa para a imagem continuar a ler-se: a nossa marca de canto a 35 % ainda alterava os seus píxeis em 38 níveis em média, o que é perfeitamente legível e mal intrusivo. Exporte-a sobre uma cópia e guarde um original sem marca, porque vai precisar do ficheiro limpo no primeiro dia em que alguém licenciar a imagem como deve ser.

Perguntas frequentes

Uma marca de água impede alguém de roubar a minha imagem?

Não, e nenhuma técnica de imagem o faz. O que faz é encarecer a cópia irrefletida e manter o seu nome colado nos muitos casos em que ninguém queria fazer mal. A nossa marca de canto tirava-se recortando 10,7 % da altura por baixo, coisa que qualquer um faz num telemóvel — mas esse recorte é um ato deliberado, tal como apagar a marca por inpainting. A marca de água compra atrito e atribuição. Tudo o que seja mais forte é uma questão de licença e da sua aplicação, não de píxeis.

Marca de canto ou marca em mosaico?

Canto para tudo o que um espectador deva apreciar, mosaico apenas para pré-visualizações que nunca quis ver usadas tal como estão. Os números decidem por si: a marca de canto tocou 0,32 % do enquadramento e a de mosaico 11,75 %, 36 vezes mais píxeis, levando o desvio médio da imagem de 0,200 para 1,844 níveis e acrescentando 12,8 % ao JPEG. Uma marca em mosaico é uma prova. Se puser mosaico numa imagem de portefólio, publicou um portefólio de imagens riscadas de escrita.

A minha marca sobrevive a um carregamento numa plataforma social?

Uma visível sim. As plataformas recodificam e redimensionam agressivamente, e é precisamente o que uma marca visível tolera: após um JPEG em qualidade 40 e uma redução a metade, a nossa marca ainda media 22,39 níveis acima do original intacto, contra um piso de ruído de compressão de 1,98. Os seus metadados não sobrevivem à viagem — muitas plataformas apagam-nos no carregamento, em boa parte por privacidade — pelo que o crédito que julgava transportar desapareceu muitas vezes antes da primeira partilha.

As Content Credentials são uma espécie de marca de água?

Não. Uma Content Credential é um manifesto de proveniência assinado, transportado no ficheiro e ligado aos píxeis por um hash — regista o que o ficheiro é e o que lhe foi feito, e qualquer mudança não declarada faz falhar a validação. Uma marca de água não afirma nada nem verifica nada; é uma marca. As duas encontram-se num ponto: a especificação atual define uma Durable Content Credential como uma acompanhada de soft bindings, e uma marca invisível pode ser um deles, para que um ficheiro despojado seja reemparelhado com o seu manifesto. Mesmo aí a marca é o índice, não a afirmação.

Devo pôr a marca a opacidade total para ser inconfundível?

Raramente, porque a opacidade compra legibilidade, não cobertura. Entre 35 % e 100 % de opacidade, a nossa marca de canto passou de 4 420 para 4 907 píxeis afetados — cerca de mais 11 % de superfície — enquanto a variação média por píxel passava de 38,03 para 97,91 níveis. Ou seja, fica quase três vezes mais alto por quase nenhuma pegada adicional, e uma marca fácil de recortar a 100 % é igualmente fácil a 35 %. Escolha a opacidade mais baixa que ainda se leia ao tamanho a que a imagem será vista.