本文介绍证书中心 C2PA 的完整使用流程。 ## 先理解 C2PA 在做什么 C2PA 相当于给数字内容加一张可验证的数字身份与来源记录。它将内容的创作者、是否 AI 生成、编辑与转码历史等信息，用数字签名的方式写进文件本身，他人拿到文件后，可以核实这些信息是否被篡改。证书中心的 C2PA 模块提供完成这件事所需的四类能力： * **证书管理**：在线申请 GlobalSign OV S/MIME 企业级证书，作为签名的可信身份凭证。私钥托管在云端 HSM，不支持导出。 * **云签服务**：接收 C2PA SDK 生成的待签数据，完成身份与证书权限校验后，使用 HSM 中的私钥执行远程签名。 * **内容写入**：通过 C2PA SDK 构建 Manifest、计算内容绑定信息，并将签名结果写入图片、视频等文件。写入不会改变图片像素或视频帧内容。 * **验证**：分别检查 Manifest 结构、签名与内容绑定，以及签名证书的信任状态。 ## 完整流程总览证书中心 C2PA 的使用流程分为前后衔接的四个阶段：先在控制台获取签名证书，再配置调用权限和计费，然后使用 C2PA SDK 与云签服务完成签名和写入，最后验证内容凭证。 |**阶段** |**目标** |**主要操作方式** |**产出** | |---|---|---|---| |阶段一 |拿到可用的签名证书 |控制台 |已签发的 C2PA 证书（含证书 ID）。 | |阶段二 |获得调用签名能力的权限 |控制台 / IAM |IAM 授权完成、按量付费已开通。 | |阶段三 |为内容签名并写入凭证 |API / SDK |带 C2PA Content Credentials 的文件。 | |阶段四 |检查凭证结构、内容完整性与证书信任状态 |验证工具 |各项验证结果。 |

## 阶段一：申请并管理证书本阶段在控制台完成，目的是拿到一张可用于签名的 C2PA 证书。 ### 购买证书 1. 登录[证书中心控制台](https://console.volcengine.com/certificate-center)，左侧导航栏选择 **C2PA** \> **证书管理**。 2. 单击 **购买 C2PA 证书**。 3. 填写证书信息：证书规格为 GlobalSign OV S/MIME，选择时长（1 年 / 2 年），填写公用名（CN，可选企业邮箱或企业名称）、企业名称（O）、企业邮箱、联系人信息、项目与标签等。 4. 确认订单金额，勾选服务协议，单击 **立即购买** 完成下单。

说明

S/MIME OV 证书不支持完全线上自动签发。下单后需由 CA 完成企业身份验证（通常需 3\-5 个工作日），具体流程请联系业务经理。私钥在云端 HSM 生成并托管，不支持导出或返回明文。

详细步骤请参见[购买 C2PA 证书](https://docs.volcengine.com/docs/6638/2586558)。 ### 管理证书证书签发后，可在 **C2PA** \> **证书管理** 列表中进行日常管理。详细步骤请参见[管理 C2PA 证书](https://docs.volcengine.com/docs/6638/2586813)。 ## 阶段二：开通调用权限与计费证书签发后，还需要开通用 API 调用签名的权限，才能进入自动化签名阶段。 ### 配置 IAM 权限为调用签名与实例查询接口的账号或角色授予以下权限： |**权限点** |**用途** | |---|---| |pca:CreateC2paSignTask |发起 C2PA 远程签名。 | |pca:ListSmimeInstances |查询账号下的证书实例，用于选择签名证书。 | |pca:GetSmimeInstance |获取证书实例的基本元数据。 | |pca:GetSmimeInstanceWithKey |获取证书实例及证书内容，供云产品对接使用。该权限不允许导出或获取私钥。 | ### 前置条件与计费开通 * 账户无欠费（可用余额 ≥ 0 元）即可开通按量付费的 C2PA 签名调用。详细说明请参见[C2PA 计费说明](https://docs.volcengine.com/docs/6638/2625472)。 * 若涉及跨云产品（如视频云）调用，需完成对应的跨服务授权。 ## 阶段三：云签与内容写入本阶段是核心自动化流程：C2PA SDK 负责构建 Manifest、计算内容绑定信息和写入文件，云签服务负责使用 HSM 中的私钥完成远程签名。整体时序如下： 1. **准备**：获取证书实例 ID，确认 IAM 授权与计费配置已经完成。 2. **构建 Manifest**：业务使用 C2PA SDK 准备`claim_generator_info`、Assertions 和 Ingredients 等数据。 3. **生成待签数据**：SDK 根据 Manifest 和目标文件计算内容绑定信息，并生成需要签名的数据。 4. **远程签名**：远程 Signer 调用 [C2PASign](https://docs.volcengine.com/docs/6638/2665213)，使用指定的 C2PA 证书实例完成签名。 5. **写入文件**：SDK 将 Manifest、签名和必要的证书信息写入目标文件。写入不会改变图片像素或视频帧内容，但会增加文件体积；增量取决于 Manifest、证书链、时间戳、Ingredients 和缩略图等数据。 6. **验证签名和产物**：按需调用 [C2PAVerify](https://docs.volcengine.com/docs/6638/2665214) 验证 C2PA 证书实例签名；同时使用内容凭证验证工具检查 Manifest 结构、Claim Signature、内容绑定和证书信任状态。 7. **（可选）处理转码链路**：如果媒体处理产品支持并已开启 C2PA 保留能力，转码服务应将原资产作为 ingredient 关联，在新 Manifest 的 Actions Assertion 中记录 `c2pa.opened`、`c2pa.transcoded` 等 action，并重新完成内容绑定和签名。具体支持范围以相关媒体产品文档为准。 ### 涉及的 API |**API** |**作用** | |---|---| |[ListC2PAInstances](https://docs.volcengine.com/docs/6638/2665210) |查询 C2PA 证书实例列表。 | |[DescribeC2PAInstance](https://docs.volcengine.com/docs/6638/2665211) |查询 C2PA 证书实例详情。 | |[GetC2PAInstance](https://docs.volcengine.com/docs/6638/2665212) |获取 C2PA 证书。 | |[C2PASign](https://docs.volcengine.com/docs/6638/2665213) |使用 C2PA 证书实例完成签名。 | |[C2PAVerify](https://docs.volcengine.com/docs/6638/2665214) |验证 C2PA 证书实例签名。 | ### Manifest 写入要点写入的 Manifest 必须符合 C2PA Conformance 规范，才能通过校验。核心硬性要求： * `claim_generator_info` 必须包含 `specVersion`，基线取值 `2.4.0`。 * 承载初始动作的 Actions Assertion 应标记 `created: true`，其中第一个 action 应为 `c2pa.created` 或 `c2pa.opened`。 * 使用 `c2pa.opened` 时，应通过` parameters.ingredientIds `关联一个 `relationship` 为 `parentOf` 的 ingredient。 * AI 创建场景中的 `c2pa.created `应包含与实际来源一致的 IPTC `digitalSourceType`。例如，纯 AI 生成内容使用 `trainedAlgorithmicMedia`，真实素材与生成式 AI 内容混合时使用 `compositeWithTrainedAlgorithmicMedia`。 * actions 的 data 中应设置 `allActionsIncluded: true`，声明本 Manifest 已记录该资产发生的全部 action。不同来源内容（纯 AI 生成/多素材合成/含 C2PA 内容转码）的完整字段与 JSON 示例，请分别参见： * [纯 AI 生成内容写入最佳实践](https://docs.volcengine.com/docs/6638/2663743) * [多素材 AI 合成写入最佳实践](https://docs.volcengine.com/docs/6638/2663744) * [含 C2PA 内容转码与重封装写入最佳实践](https://docs.volcengine.com/docs/6638/2663745) * [C2PA Manifest 写入规范指导文档](https://docs.volcengine.com/docs/6638/2587619)（通用规范与硬性要求） ## 阶段四：验证内容凭证写入完成后，应先验证再交付，确认证书链、签名与 Hash 完整性都通过。验证时应分别判断以下结果： * **Manifest 结构**：检查字段、Assertion 和 action 是否符合目标 C2PA Spec。 * **签名与内容绑定**：检查 Claim Signature 是否有效，以及受保护的文件内容是否发生变化。 * **证书信任状态**：检查签名证书是否可以链接至验证工具信任的 C2PA Trust List。证书显示不受信任与内容 Hash 校验失败是两类不同问题。您可以将文件上传至 [Content Credentials Verify](https://contentcredentials.org/verify) 查看内容凭证，也可以使用 [C2PA Verify](https://c2pa-conformulator.netlify.app/) 或 c2pa\-conformance\-tool\-cli 检查 Manifest 和 Conformance Rubrics。Rubric 检查通过不等同于产品已获得 C2PA Conformance 认证，也不代表自动满足所有适用的监管要求。详细验证步骤请参见[C2PA Manifest 写入规范指导文档](https://docs.volcengine.com/docs/6638/2587619)。 ## 相关文档 * [什么是 C2PA](https://docs.volcengine.com/docs/6638/2518315) * [购买 C2PA 证书](https://docs.volcengine.com/docs/6638/2586558) * [管理 C2PA 证书](https://docs.volcengine.com/docs/6638/2586813) * [C2PA Manifest 写入规范指导文档](https://docs.volcengine.com/docs/6638/2587619) * [C2PA 计费说明](https://docs.volcengine.com/docs/6638/2625472) * [C2PA 常见问题](https://docs.volcengine.com/docs/6638/2663763)