Die sechs Hinweisstufen
Was jede Stufe bedeutet — und welche Folge sie hat.
Ein Hinweis ist alles, was verstag über einen Befund sagt. Jeder Hinweis trägt eine Stufe, und jede Stufe hat eine eigene Folge.
Die sechs Stufen
| Stufe | Bedeutung | Folge |
|---|---|---|
| Nicht möglich | Die Ausgabe kann so nicht erzeugt werden | Sie entsteht nicht; ohne Änderung wird die Datei übersprungen |
| Warnung | Sie entsteht, erfüllt aber nicht alle Anforderungen | Vor der Auslieferung prüfen |
| Optimierung empfohlen | Es gibt eine nachweislich bessere Einstellung | Übernehmen ist ein Klick; ohne Übernahme bleibt es bei deiner Wahl |
| Manuelle Prüfung | Das lässt sich nicht automatisch entscheiden | Ansehen — verstag gibt hier keine Empfehlung |
| Information | Ein Hinweis zur Einordnung | Nichts zu tun |
| Erfüllt | Geprüft und in Ordnung | — |
Jede Stufe hat außerdem eine eigene Form, nicht nur eine eigene Farbe: ✕ im Kreis, ein Dreieck, Funken, ein Fragezeichen im Kreis, ein Ausrufezeichen im Kreis, ein Haken.
„Manuelle Prüfung“ liegt nicht zwischen „Warnung“ und „Information“. Sie heißt, dass sich die Frage nicht automatisch entscheiden ließ — sieh dir die Stelle selbst an.
Was beim Prüfpunkt „Aussteller auf der Trust-Liste“ stehen kann
Der zweite Durchlauf gegen die Liste anerkannter Aussteller meldet seine Befunde auf der Ergebniskarte beim dritten Prüfpunkt, „Aussteller auf der Trust-Liste“.
Warnung — hier ist die Datei selbst betroffen, und der Prüfpunkt trägt ein Warnzeichen:
Die Datei ist signiert, aber das Zertifikat des Unterzeichners steht nicht auf der offiziellen C2PA-Trust-Liste. Wer sie signiert hat, ist damit nicht belegt.
Das Zertifikat des Unterzeichners war zum Prüfzeitpunkt abgelaufen.
Manuelle Prüfung — hier ist die Prüfung selbst betroffen, und der Prüfpunkt trägt einen Strich, „nicht bestätigt“:
Die Vertrauensprüfung war bei diesem Durchlauf abgeschaltet. Über den Unterzeichner sagt das Ergebnis deshalb nichts.
Die C2PA-Trust-Liste war nicht lesbar, die Vertrauensprüfung hat also nicht stattgefunden. Das ist ein Befund über uns, nicht über die Datei.
Die Prüfung hat einen Status gemeldet, den diese Version nicht kennt. Der Rohwert steht unter „Technische Details“.
Treffen mehrere Befunde zusammen, zählt die schwerere der beiden Stufen. Unter „Technische Details“ stehen die Prüfcodes, auch die unauffälligen.
Gibt es nichts zu melden, trägt der Prüfpunkt einen Haken: „Der Aussteller steht auf der C2PA-Trust-Liste.“
Ob der Signierzeitpunkt bezeugt ist, steht nicht bei diesem Prüfpunkt, sondern bei der Angabe „Signiert am“. Stammt der Zeitstempel aus keiner vertrauenswürdigen Quelle, steht dort „Zeitpunkt nicht unabhängig bezeugt“.
Zwei Sätze betreffen die Prüfung, nicht die Datei
Die beiden ersten Sätze unter „Manuelle Prüfung“ handeln nicht von der geprüften Datei: Der eine sagt, dass die Vertrauensprüfung abgeschaltet war, der andere, dass die Liste nicht lesbar war. In beiden Fällen hat der Durchlauf nicht stattgefunden, und über den Unterzeichner sagt der Befund dann nichts.
Der dritte Satz erscheint, wenn die Prüfung einen Status meldet, den diese Version nicht kennt. Der Rohwert steht unter „Technische Details“.
„Herkunftskette nicht abrufbar“
Manche Programme, etwa Photoshop oder Firefly, speichern die Content Credentials nicht in der Datei, sondern in der Cloud. Die Datei trägt dann nur einen Verweis auf sie. verstag ruft sie beim Prüfen und beim Signieren selbst ab und prüft die Datei dagegen.
Gelingt der Abruf nicht, erscheint der Hinweis „Herkunftskette nicht abrufbar“: in der Bibliothek mit der Stufe Manuelle Prüfung, auf der Ergebniskarte als Zeile im Abschnitt „Content Credentials“. Er nennt den Server und den Grund:
Der Server hat nicht rechtzeitig geantwortet.
Der Server war nicht erreichbar.
Der Server hat den Abruf abgelehnt (HTTP 404).
Die angegebene Adresse ist für einen sicheren Abruf nicht zulässig.
Der Server hat keine lesbaren Content Credentials geliefert.
Die Datei lässt sich trotzdem bearbeiten und signieren. Ihre Derivate tragen dann aber nur die Content Credentials von verstag, ohne die Herkunftskette des Originals. In der Liste der Derivate steht das unter dem betroffenen Eintrag.
Abgerufen wird nur über HTTPS und nur von öffentlich erreichbaren Servern. Weiterleitungen folgt verstag nicht. Ein Abruf darf höchstens fünf Sekunden dauern und höchstens 4 MB groß sein.
„Datei nach dem Signieren verändert“
Dieser Hinweis trägt die Stufe Warnung. Er erscheint in der Bibliothek, wenn die Content Credentials einer Datei nicht mehr zu ihrem Inhalt passen: Die Datei wurde verändert, nachdem sie signiert wurde, etwa durch erneutes Speichern ohne Content Credentials. Auf der Ergebniskarte heißt das Ergebnis dann „Nach dem Signieren verändert“.
Signieren bleibt möglich. Der Befund wird aber in jedes Derivat übernommen, so wie er ist: Externe Prüfprogramme zeigen diesen Teil der Herkunftskette dort als ungültig an. verstag entfernt den Befund nicht und schwächt ihn nicht ab.
Wenn es geht, exportiere das Original noch einmal aus dem ursprünglichen Programm, mit Content Credentials, und lade es neu hoch. Unter „Technische Details“ steht der Rohwert der Prüfung.
Vor dem Signieren: „Content Credentials fehlerhaft“ und „Herkunftskette nicht abrufbar“
Bevor ein Derivat signiert wird, warnt verstag, wenn das Original einen dieser Befunde trägt: Seine Content Credentials sind nicht gültig, oder seine extern gespeicherte Herkunftskette war bei der Prüfung nicht abrufbar. Im Batch sind die betroffenen Kacheln markiert. Unter der Auswahl und noch einmal über „Batch starten“ steht, wie viele der ausgewählten Assets es betrifft, auch solche aus anderen Ordnern. Im Editor steht der Hinweis im Schritt, in dem gespeichert wird.
Auswählen und signieren kannst du diese Assets trotzdem. Der Hinweis sagt dir vorher, was das Derivat mitnimmt: den Befund des Originals, unverändert. Die C2PA-Spezifikation liest einen solchen Befund im Derivat so: Der Fehler war bekannt, und das Original wurde trotzdem verwendet.
Ein Aussteller außerhalb der Trust-Liste löst den Hinweis nicht aus.