Apple Reference Image signe les photos dans le capteur

Apple a publié le 15 septembre 2026 la conception technique de Reference Image. Le point qui compte est l'endroit où la signature a lieu. Ce sont les données de pixels que signe le capteur lui-même, et non le logiciel qui les développe. Cela change ce qu'une photo peut prouver. Et cela met un délai de 30 jours sur le fichier qui contient cette preuve.

La fonction avait été annoncée une semaine plus tôt, le 9 septembre. Le blog sécurité d'Apple est le premier document qui explique le mécanisme.

Comment fonctionne la chaîne de signature

Reference Image fonctionne sur une base volontaire. MacRumors rapporte que l'utilisateur l'active en photographiant dans un mode référence distinct. Elle ne tourne que sur l'iPhone 18 Pro et l'iPhone 18 Pro Max.

Dans ce mode, le capteur de l'appareil photo principal signe les données de pixels captées, immédiatement après la prise de vue. Selon le billet d'Apple, le capteur et la Secure Enclave signent tous deux avec ECDSA P-256, une signature courante sur courbes elliptiques. Les empreintes utilisent SHA-256.

La signature externe est inhabituelle. Apple associe ML-DSA-87, un algorithme de signature post-quantique, à RSA-3072 dans une seule signature composite. Composite signifie que les deux doivent se vérifier. C'est une précaution. Si l'un des algorithmes est cassé plus tard, l'autre tient encore.

Private Cloud Compute développe ensuite les données signées du capteur en une image visible. Développer désigne le dématriçage, le mappage tonal et la compression. Ces étapes transforment la sortie brute du capteur en photo normale. Apple les exécute dans son environnement serveur, et non sur le téléphone. Le code serait publiquement inspectable, et les versions de production seraient inscrites dans des journaux de transparence infalsifiables.

Ce qui reste sur l'appareil est un négatif numérique sécurisé, au format brut DNG. Il contient les pixels, les métadonnées et les horodatages, et il est lié à la photo ordinaire qui a été prise.

Les limites qu'Apple indique elle-même

Quatre contraintes de la description d'Apple décident si cela est utilisable pour un usage donné.

Élément	Ce qu'indique Apple
Appareils	iPhone 18 Pro et iPhone 18 Pro Max, mode référence volontaire
Format du négatif	DNG, stocké sur l'appareil, lié à la photo développée
Conservation	Passe dans les photos supprimées après 30 jours
Horodatage	Nécessite une connexion réseau, avec un battement de 15 minutes en moyenne

C'est la durée de conservation qu'il faut anticiper. Un négatif sécurisé n'est pas une archive permanente. Après 30 jours, il passe de lui-même dans les photos supprimées. Qui aura besoin de la preuve plus tard doit d'abord la copier ailleurs.

L'horodatage ne tient pas seul non plus. Apple le borne au moyen d'une connexion réseau dont le battement est de 15 minutes en moyenne. Un appareil hors ligne ne peut donc pas produire la même garantie de temps.

La disponibilité est découpée par région. MacRumors rapporte que la fonction est indisponible en Chine pour des raisons réglementaires. Dans l'Union européenne, la capture est indisponible au lancement. Les utilisateurs peuvent tout de même y développer et consulter des images de référence existantes sur iOS 27, iPadOS 27 et macOS 27. Ce sont les versions sorties le 14 septembre.

Ce que cela signifie pour les développeurs

Si vous construisez quoi que ce soit qui ingère des photos, la question pratique est de savoir si vous pouvez lire ces fichiers. MacRumors rapporte qu'Apple ouvre des API dans iOS 27, iPadOS 27 et macOS 27 pour que des applications tierces puissent afficher les images de référence. TechCrunch a décrit l'image de référence comme d'abord visible uniquement dans l'app Photos d'Apple, tout en rapportant que des API développeur arrivent. Considérez le périmètre exact de l'API comme incertain jusqu'à lecture de la documentation d'Apple.

Dimensionnez votre stockage autour du délai de 30 jours, pas autour de la photo. Si votre produit formule une affirmation de provenance au nom d'un utilisateur, copier le négatif DNG hors de la bibliothèque photo est l'étape qui la préserve. Un pipeline qui ne garde que le JPEG développé garde l'image et perd la preuve.

Ne supposez pas que cela correspond à un standard que vous prenez déjà en charge. Les sources lues pour cet article ne mentionnent aucune intégration de C2PA, et elles ne décrivent aucun outil de vérification public en dehors des apps d'Apple. Selon MacRumors, Apple a annoncé la prise en charge de SynthID dans une mise à jour logicielle plus tard en 2026. Il s'agit d'un signal de détection des contenus générés par IA, non d'une signature à la prise de vue. Les deux répondent à des questions différentes.

Testez le chemin hors ligne de façon délibérée. Comme l'horodatage dépend d'un battement réseau, l'utilisateur qui photographie dans une cave, dans un avion ou sur le terrain est un cas que votre gestion d'erreurs doit couvrir. Il en va de même pour les utilisateurs de l'UE : ils peuvent conserver et consulter un négatif, mais pas en créer au lancement.

Ce site avait signalé ce mécanisme comme une question ouverte lorsque Apple a présenté l'iPhone 18 Pro le 9 septembre. La réponse est une signature au niveau du capteur, développée dans Private Cloud Compute, et non une étiquette de métadonnées ajoutée après coup.