Metadata Bisa Hilang: Apa yang Terjadi pada Content Credentials setelah Re-Upload

Skenarionya sangat biasa.

Designer membuat image dengan Content Credentials.

File valid.

AI Disclosure ada.

Signer jelas.

Lalu image di-upload ke platform.

Beberapa menit kemudian, seseorang download ulang.

Credential hilang.

“Lho, berarti C2PA gagal?”

Tidak sesederhana itu.

Metadata loss adalah problem yang sudah dipahami sejak awal ekosistem content provenance.

C2PA menggunakan cryptographic structures untuk membuat provenance tamper-evident.

Tetapi standard tidak menjanjikan manifest mustahil dihapus dari asset.

Security considerations C2PA secara eksplisit menyatakan removal lengkap C2PA manifest dari asset tidak dapat dicegah oleh mekanisme tersebut.

Ini distinction penting.

Tamper-evident berbeda dari tamper-proof.

Content Credential bisa membuat modification terhadap asset/provenance terdeteksi.

Tetapi jika platform membuat copy baru, strip metadata, re-encode, atau screenshot, embedded credential bisa tidak ikut.

Lalu apa yang terjadi?

Pertama: Jangan Panik

Credential hilang bukan otomatis berarti asset compromised.

Kemungkinan:

platform strip metadata,
image optimizer re-encode,
CMS membuat derivative,
social network membuat copy,
screenshot menciptakan asset baru,
messaging app compress,
export tool tidak preserve.

Semua common.

Operational troubleshooting harus mulai dengan pipeline.

Di step mana credential hilang?

Source file.

Upload.

CDN.

Download.

Re-share.

Jangan langsung menyimpulkan attacker.

Kedua: Asset setelah Re-Upload Bisa Jadi Asset Baru

Ini mental model penting.

Anda punya:

original.jpg

Upload ke platform.

Platform convert ke:

image.webp

Resize.

Compress.

Strip metadata.

Secara bytes, itu asset baru.

Content binding original tidak otomatis berlaku.

Kalau platform ingin mempertahankan provenance, ia perlu menjalankan workflow yang aware terhadap C2PA.

Misalnya membuat derivative manifest yang mereferensikan original sebagai ingredient.

Kalau platform tidak support, chain putus dari perspektif embedded credential.

Ini bukan bug dalam signature.

Ini karena asset berubah.

Screenshot Lebih Jelas Lagi

User melihat image.

Screenshot.

Sekarang file screenshot bukan original asset.

Pixel mungkin mirip.

Tetapi ada:

UI crop,
screen resolution,
color transformation,
compression,
overlay.

Screenshot adalah derivative baru.

Original manifest tidak bisa sekadar ditempel dan dianggap valid.

Kalau ingin provenance tetap discoverable, C2PA punya konsep durable Content Credentials.

Di sinilah soft binding masuk.

Soft Binding adalah Jalur Recovery

C2PA 2.4 punya Soft Binding Resolution API.

Tujuannya antara lain memulihkan C2PA Manifest ketika metadata yang membawa manifest telah stripped.

Soft binding bisa berupa:

invisible watermark,
content fingerprint,
atau mechanism lain yang sesuai soft binding assertion.

Soft binding digunakan untuk mencari Manifest di repository.

Jadi provenance tidak harus selalu travel embedded di file.

Asset punya signal yang cukup durable.

Resolver mencari repository.

Manifest ditemukan.

Consumer dapat recover Content Credential.

Ini penting di internet karena metadata stripping common.

Tetapi soft binding bukan default universal.

Tooling harus implement.

Manifest repository harus tersedia.

Resolver harus mendukung.

Jangan berkata:

“Kalau credential hilang, C2PA pasti bisa recover.”

Tidak.

Hanya jika durable mechanism tersedia.

Watermark dan Fingerprint Punya Trade-off Berbeda

Watermark ditanam ke media.

Harapannya survive transformation tertentu.

Fingerprint tidak harus embedded.

System menghitung representation dari content lalu mencari match di repository.

Keduanya punya strength/weakness.

Watermark bisa survive metadata stripping, tetapi mungkin rusak karena transformation berat.

Fingerprint bisa match visual/audio content, tetapi false positive/negative dan threshold perlu dikelola.

C2PA soft binding framework menyediakan interface.

Algorithm provider menentukan implementation.

Untuk publisher, question-nya:

Apakah use case membutuhkan durability?

Jika yes, pilih mechanism.

Jangan hanya berharap metadata survive social media.

Re-Upload Platform adalah Stress Test

Kalau publisher serius soal Content Credentials, lakukan matrix test.

Source:
credential valid.

Channel:

WordPress.
CDN.
Instagram.
X.
LinkedIn.
WhatsApp.
Telegram.
Email.
Marketplace.

Untuk setiap channel:

upload,
download,
validate.

Catat:

embedded manifest survive?
soft binding survive?
repository recovery works?
image transformed?
file type changed?

Sekarang organization punya empirical data.

Bukan asumsi.

Platform behavior berubah.

Retest secara periodik.

Ini operational standard yang lebih useful daripada dokumentasi vendor lama.

CMS Sering Menjadi Culprit

WordPress atau CMS lain bisa generate multiple size.

Original:
2000×2000 JPEG.

CMS:
1536 JPEG.
768 WebP.
thumbnail AVIF.

Yang dipublish ke user mungkin bukan original.

Jika provenance hanya ada di original, user-facing derivative tidak punya credential.

Solusi tergantung architecture.

Option:

serve original untuk high-value asset.

Generate derivative dengan C2PA-aware tool.

Use soft binding.

Link ke provenance page.

Tidak ada satu answer.

Trade-off performance vs provenance.

Publisher perlu deliberate.

CDN juga Bisa Mengubah Bytes

Optimization service bisa:

compress,
strip metadata,
convert format.

Sangat bagus untuk Core Web Vitals.

Sangat buruk jika provenance requirement tidak dipahami.

Jangan langsung mematikan optimization.

Test.

Beberapa service punya config preserve metadata.

Beberapa tidak.

Untuk asset provenance-critical, buat bypass path.

Maybe:

`/evidence-original/`

atau dedicated object storage.

Again, architecture.

Provenance tidak boleh menjadi alasan website lambat.

Performance dan integrity bisa didesain bersama.

Apa yang Terjadi pada Validation jika Manifest Ditempel ke File yang Sudah Berubah?

Jika seseorang copy manifest original ke transformed asset tanpa membuat claim baru yang benar, content binding akan mismatch.

Validator akan menunjukkan failure.

Itu feature.

Manifest bukan sticker yang bisa dipindah.

Binding menjaga relationship.

Jadi “preserve metadata” juga harus hati-hati.

Jika image pixels berubah, tool seharusnya membuat proper derivative provenance.

Bukan blindly copying C2PA block seolah asset sama.

Ini bedanya metadata biasa dan cryptographic provenance.

EXIF bisa di-copy.

C2PA binding harus tetap valid.

Absence Lebih Baik daripada Invalid Copy

Kalau platform tidak bisa preserve provenance correctly, stripping mungkin technically lebih honest daripada menghasilkan credential invalid yang misleading.

Idealnya platform membuat derivative credential.

Jika tidak bisa:

absence menunjukkan provenance unavailable.

Invalid copied credential menciptakan warning dan confusion.

Ini reason integration harus C2PA-aware.

Jangan treat C2PA seperti arbitrary metadata field.

User Experience saat Credential Hilang

Viewer perlu bahasa tepat.

“No Content Credentials found.”

Bukan:

“Image is fake.”

Jika soft binding recovery tersedia:

“Content Credentials recovered.”

Kalau manifest validation failure:

“Credential could not be validated.”

Granularity penting.

User tidak perlu technical error code.

Tetapi mereka perlu tahu difference:

missing,
recovered,
invalid.

Trust UX tidak boleh binary.

Can Publisher Re-Sign after Re-Upload?

Kalau publisher mengunduh transformed asset lalu menandatangani ulang:

bisa membuat new credential.

Tetapi provenance chain ke original hanya dapat dipertahankan jika workflow mengetahui original sebagai ingredient/parent.

Kalau origin relationship hilang, new signature hanya membuktikan claim dari point re-signing onward.

Jangan backfill unknown history.

Ini principle yang sama:

provenance boleh punya gap.

Kalau asset datang dari social platform tanpa manifest dan publisher tidak punya original linkage, sign current asset dengan honest provenance:

“ingested from source X”

jika workflow mendukung claim tersebut.

Jangan pretend sebagai original capture.

Soft Binding dan Privacy

Invisible watermark terdengar harmless.

Tetapi watermark/fingerprint can have privacy implications.

Could it track content?
Could it expose creator identity?
Could repository lookup reveal user behavior?

C2PA soft binding ecosystem perlu memperhatikan privacy.

Publisher juga.

Jangan memasukkan unnecessary personal data.

Repository access logs perlu policy.

Durability tidak boleh berubah menjadi hidden surveillance.

Trust infrastructure membutuhkan restraint.

Untuk Brand, Metadata Loss adalah Governance Problem

Brand bisa punya responsible AI policy.

Semua AI image signed.

Lalu social agency upload ke platform yang strips credential.

Public melihat image tanpa disclosure.

Brand berkata:

“Kami sudah kasih metadata.”

Audience tidak bisa melihat.

Ini gap.

Visible disclosure masih diperlukan.

Content Credentials tidak menggantikan caption.

Untuk channel yang tidak preserve provenance:

tambahkan visible label.

Link ke provenance page.

Store original.

C2PA satu layer.

Communication layer lain.

Untuk GEO.or.id Evidence, Raw File Harus Jadi Anchor

GEO evidence screenshot bisa kehilangan credential setelah upload.

Jadi internal raw asset harus disimpan.

Hash.

Manifest.

Validation result.

Published derivative bisa strip.

Evidence page dapat tetap link ke original provenance file atau repository.

Jangan menjadikan CMS thumbnail sebagai canonical evidence asset.

Asset management harus membedakan:

raw evidence,
public display.

Ini practice penting bahkan tanpa C2PA.

Provenance membuatnya lebih structured.

Durable Content Credentials adalah Jawaban untuk Internet yang Suka Menghancurkan Metadata

C2PA ecosystem sadar problem ini.

Soft binding + Manifest Repository adalah architecture untuk recovery.

Asset tidak harus selalu membawa seluruh manifest physically.

Signal durable membantu lookup.

Ini membuat Content Credentials lebih resilient terhadap:

metadata stripping,
copy,
re-share,
screenshot tertentu,
platform transformation.

Tetapi resilience bukan immortality.

Watermark bisa rusak.

Fingerprint bisa tidak match.

Repository bisa offline.

Resolver bisa tidak support.

Jadi durability harus diperlakukan probabilistically.

Bukan guarantee.

Checklist sebelum Distribusi

Untuk asset high-value:

Validate source.
Store original.
Store manifest.
Test CMS.
Test CDN.
Test target platform.
Check downloaded derivative.
Enable soft binding jika perlu.
Keep stable repository.
Use visible disclosure.
Document where provenance is lost.

Kalau channel strip credential, jangan surprise.

Itu known limitation.

Design around it.

Metadata Hilang Tidak Membatalkan Konsep Provenance

Sering ada kritik:

“Kalau metadata bisa dihapus, percuma.”

Tidak.

Passport bisa hilang.

Bukan berarti identity system percuma.

Certificate bisa tidak ikut ketika file di-copy.

Bukan berarti signature useless.

Question-nya:

Apakah ada path untuk verify ketika evidence tersedia?

C2PA menyediakan embedded provenance.

Cryptographic validation.

Soft binding recovery.

Repository.

Identity.

Semua layer meningkatkan resilience.

Tidak perfect.

Tetapi lebih baik daripada tidak punya standard provenance sama sekali.

Jadi setelah re-upload, ada beberapa kemungkinan:

Credential tetap embedded.

Credential hilang tetapi soft binding recover.

Credential hilang total.

Credential invalid karena transformation/copy yang salah.

System harus membedakan semuanya.

Dan publisher harus berhenti menganggap “sudah upload C2PA sekali” berarti provenance akan hidup selamanya di internet.

Provenance adalah lifecycle.

Creation.
Signing.
Distribution.
Transformation.
Recovery.
Archive.

Metadata loss hanya salah satu stage.

Kalau workflow didesain dengan realitas internet, Content Credentials masih punya value besar.

Bukan karena mereka mustahil dihapus.

Justru karena standard sudah mengakui bahwa penghapusan itu akan terjadi dan menyediakan mekanisme agar provenance punya lebih dari satu cara untuk ditemukan kembali.