1. Cosa firmiamo

Ogni asset prodotto dai nostri worker AI passa per la pipeline di firma C2PA. Le tipologie attualmente coperte:

Tutti gli asset includono inoltre un'assertion custom org.dealermax.platform.metadata con dealer_uid, dealer_domain, vehicle_id (se applicabile), ai_model, generated_at e platform.

2. Cosa NON firmiamo

• Foto reali caricate dal dealer dal proprio device. In futuro potranno ricevere una firma digitalSourceType: digitalCapture, ma oggi la pipeline non è attiva per non bloccare il caricamento da smartphone non-C2PA.
• Testo (descrizioni vettura, FAQ, news rewrite). La firma C2PA per contenuti testuali è ancora in fase sperimentale nello standard.
• Asset di terzi (foto OEM ufficiali, video manufacturer): il dealer le ridistribuisce as-is, e il signing pertiene al titolare originale.

3. Come verificare

Chiunque (giornalisti, motori di ricerca, agenti AI, utenti finali) può verificare in autonomia l'autenticità di un asset DealerMAX. Tre modalità, in ordine di accessibilità:

3.1 Online (zero installazione)

1. Apri verify.contentauthenticity.org (Content Authenticity Initiative, ufficiale).
2. Drag & drop il file (foto, video o mp3) nel box upload.
3. Vedrai il claim «DealerMax Platform» e il manifest tree con assertions e cert chain.

3.2 API pubblica (machine-readable)

Endpoint pubblico read-only servito da apimax.azcore.it:

Restituisce JSON con i campi:

• verified — boolean
• validation_state — stato firma
• signer — issuer del certificato
• claim_generator — software generator
• ai_model, dealer_uid, vehicle_id
• generated_at, format, title

3.3 Browser nativo

Chrome 130+ ed Edge mostrano un badge «Content Credentials» cliccabile direttamente sull'immagine quando il manifest è embedded nel file. Nessuna estensione richiesta.

3.4 Demo asset verificabile

Sample asset firmato dalla pipeline di produzione DealerMAX, hostato su questo dominio per consentire verifica indipendente in tempo reale (giornalisti, auditor, partner) senza esporre URL di siti dealer del network.

4. Cert chain pubblica

La radice del trust che firma tutti gli asset DealerMAX è pubblica e self-issued da AZURE Srl:

• Root CA: dealermax.app/.well-known/c2pa-root-ca.pem
• Algoritmo: Ed25519 (RFC 8032) + X.509 chain
• Issuer: AZURE Srl (Italia)
• Extended Key Usage: 1.3.6.1.5.5.7.3.36 (id-kp-documentSigning, RFC 9336)
• Validity: leaf 5 anni, root CA 20 anni
• Trust list pubblica: in valutazione per submission a c2pa-org/public-testing (PR free).

Per scaricare la root CA in formato PEM:

5. Compliance regolamentare

• Regolamento UE 2024/1689 — AI Act, art. 50 (in vigore dal agosto 2025): obbligo di disclosure machine-readable di contenuto AI-generated. C2PA è il metodo riconosciuto dal regolatore.
• US Executive Order 14110 (ottobre 2023): provenance content authenticity per i contenuti delle agenzie federali statunitensi.
• W3C / IPTC digitalSourceType vocabulary: classificazione standard adottata da BBC, NYT e Reuters per i propri contenuti generativi.

6. Limiti dichiarati

• No revoca OCSP: in produzione non revocchiamo i certificati via OCSP (cert leaf 5 anni, rotazione programmata). Per revoche emergency contattare security@dealermax.app.
• No SLA al 100% sul verify endpoint: se apimax.azcore.it/public/c2pa/verify è temporaneamente unreachable, il manifest resta verificabile offline da chiunque con la libreria c2pa-rs e il root CA pubblico.
• No firma di asset di terzi: foto e video forniti dal manufacturer non vengono ri-firmati dalla nostra pipeline (vedi sezione 2).

7. Riferimenti tecnici e normativi

• C2PA Specification v2.x — specifica completa dello standard.
• Content Authenticity Initiative — sito ufficiale CAI con tool di verifica e documentazione.
• c2pa-rs (Rust SDK) — implementazione di riferimento open source.
• IPTC digitalSourceType vocabulary — vocabolario controllato per la classificazione dei contenuti generativi.
• EU AI Act — testo consolidato (CELEX:32024R1689).