Apple Reference Image firma las fotos en el sensor

Apple publicó el 15 de septiembre de 2026 el diseño técnico de Reference Image. Lo que importa es dónde ocurre la firma. Los datos de píxeles los firma el propio sensor de la cámara, no el software que los revela. Eso cambia lo que una foto puede demostrar. Y pone un plazo de 30 días al archivo que guarda esa prueba.

La función se anunció una semana antes, el 9 de septiembre. El blog de seguridad de Apple es el primer documento que explica el mecanismo.

Cómo funciona la cadena de firma

Reference Image es voluntaria. MacRumors informa de que el usuario la activa al fotografiar en un modo de referencia aparte. Solo funciona en el iPhone 18 Pro y el iPhone 18 Pro Max.

En ese modo, el sensor de la cámara principal firma los datos de píxeles capturados, inmediatamente después de la toma. Según la entrada de Apple, el sensor y el Secure Enclave firman ambos con ECDSA P-256, una firma habitual sobre curvas elípticas. Los resúmenes usan SHA-256.

La firma externa es poco común. Apple combina ML-DSA-87, un algoritmo de firma poscuántica, con RSA-3072 en una sola firma compuesta. Compuesta significa que ambas deben verificarse. Es una precaución. Si más adelante se rompe uno de los algoritmos, el otro sigue en pie.

Private Cloud Compute revela después los datos firmados del sensor en una imagen visible. Revelar significa demosaicado, mapeo de tonos y compresión. Esos pasos convierten la salida bruta del sensor en una foto normal. Apple los ejecuta en su entorno de servidor y no en el teléfono. Dice que el código es inspeccionable públicamente y que las compilaciones de producción quedan registradas en registros de transparencia a prueba de manipulaciones.

Lo que queda en el dispositivo es un negativo digital seguro, en el formato bruto DNG. Contiene los píxeles, los metadatos y las marcas de tiempo, y está vinculado a la foto corriente que se tomó.

Los límites que Apple señala

Cuatro restricciones de la propia descripción de Apple deciden si esto sirve para un trabajo concreto.

Elemento	Lo que dice Apple
Dispositivos	iPhone 18 Pro y iPhone 18 Pro Max, modo de referencia voluntario
Formato del negativo	DNG, guardado en el dispositivo y vinculado a la foto revelada
Conservación	Pasa a las fotos borradas tras 30 días
Marca de tiempo	Necesita conexión de red, con un latido de 15 minutos de media

Lo que hay que planificar es el plazo de conservación. Un negativo seguro no es un archivo permanente. Pasados 30 días se mueve por su cuenta a las fotos borradas. Quien necesite la prueba más tarde tiene que copiarla antes a otro lugar.

La marca de tiempo tampoco se sostiene sola. Apple la acota mediante una conexión de red con un latido de 15 minutos de media. Es decir, una cámara sin conexión no puede producir la misma garantía de tiempo.

La disponibilidad está dividida por regiones. MacRumors informa de que la función no está disponible en China por motivos regulatorios. En la Unión Europea la captura no está disponible en el lanzamiento. Aun así, los usuarios pueden revelar y ver allí imágenes de referencia existentes en iOS 27, iPadOS 27 y macOS 27. Son las versiones que salieron el 14 de septiembre.

Qué significa esto para los desarrolladores

Si construyes algo que ingiere fotos, la pregunta práctica es si puedes leer estos archivos. MacRumors informa de que Apple abre API en iOS 27, iPadOS 27 y macOS 27 para que aplicaciones de terceros puedan mostrar imágenes de referencia. TechCrunch describió la imagen de referencia como visible al principio solo dentro de la app Fotos de Apple, y a la vez informó de que llegarán API para desarrolladores. Trata el alcance exacto de la API como algo abierto hasta que leas la documentación de Apple.

Planifica el almacenamiento en torno al plazo de 30 días, no en torno a la foto. Si tu producto hace una afirmación de procedencia en nombre de un usuario, copiar el negativo DNG fuera de la fototeca es el paso que la preserva. Una tubería que solo guarda el JPEG revelado guarda la imagen y pierde la prueba.

No supongas que esto encaja en un estándar que ya admites. Las fuentes leídas para este artículo no mencionan ninguna integración con C2PA y no describen ninguna herramienta pública de verificación fuera de las apps de Apple. Según MacRumors, Apple ha dicho que la compatibilidad con SynthID llegará en una actualización de software más adelante en 2026. Eso es una señal de detección de contenido generado por IA, no una firma en el momento de la captura. Ambas cosas responden a preguntas distintas.

Prueba la ruta sin conexión a propósito. Como la marca de tiempo depende de un latido de red, el usuario que fotografía en un sótano, en un avión o sobre el terreno es un caso que tu gestión de errores debe cubrir. Lo mismo vale para los usuarios de la UE: pueden conservar y ver un negativo, pero no crearlo en el lanzamiento.

Este sitio señaló el mecanismo como una pregunta abierta cuando Apple presentó el iPhone 18 Pro el 9 de septiembre. La respuesta es una firma en el sensor, revelada en Private Cloud Compute, y no una etiqueta de metadatos añadida después.