Apple Reference Image assina as fotos no sensor

A Apple publicou em 15 de setembro de 2026 o desenho técnico do Reference Image. O que importa é onde a assinatura acontece. Os dados de pixels são assinados pelo próprio sensor da câmera, não pelo software que os revela. Isso muda o que uma foto pode provar. E impõe um prazo de 30 dias ao arquivo que guarda essa prova.

O recurso foi anunciado uma semana antes, em 9 de setembro. O blog de segurança da Apple é o primeiro documento que explica o mecanismo.

Como funciona a cadeia de assinatura

O Reference Image é opcional. A MacRumors relata que o usuário o ativa ao fotografar em um modo de referência separado. Ele roda apenas no iPhone 18 Pro e no iPhone 18 Pro Max.

Nesse modo, o sensor da câmera principal assina os dados de pixels capturados, imediatamente após a tomada. Segundo o texto da Apple, o sensor e o Secure Enclave assinam ambos com ECDSA P-256, uma assinatura comum sobre curvas elípticas. Os resumos usam SHA-256.

A assinatura externa é incomum. A Apple combina o ML-DSA-87, um algoritmo de assinatura pós-quântica, com o RSA-3072 em uma única assinatura composta. Composta significa que as duas precisam ser verificadas. É uma proteção. Se um dos algoritmos for quebrado depois, o outro ainda se mantém.

O Private Cloud Compute então revela os dados assinados do sensor em uma imagem visível. Revelar significa demosaicing, mapeamento de tons e compressão. Essas etapas transformam a saída bruta do sensor em uma foto normal. A Apple as executa em seu ambiente de servidor, e não no telefone. Ela diz que o código é inspecionável publicamente e que as versões de produção ficam registradas em logs de transparência à prova de alteração.

O que fica no aparelho é um negativo digital seguro, no formato bruto DNG. Ele guarda os pixels, os metadados e as marcas de tempo, e está vinculado à foto comum que foi tirada.

Os limites que a Apple mesma indica

Quatro restrições da própria descrição da Apple decidem se isso serve para um uso específico.

Item	O que a Apple informa
Aparelhos	iPhone 18 Pro e iPhone 18 Pro Max, modo de referência opcional
Formato do negativo	DNG, guardado no aparelho e vinculado à foto revelada
Retenção	Vai para as fotos apagadas após 30 dias
Marca de tempo	Precisa de conexão de rede, com um heartbeat de 15 minutos em média

O prazo de retenção é o ponto a planejar. Um negativo seguro não é um arquivo permanente. Depois de 30 dias ele vai sozinho para as fotos apagadas. Quem precisar da prova mais tarde tem de copiá-la antes para outro lugar.

A marca de tempo também não se sustenta sozinha. A Apple a delimita por meio de uma conexão de rede com um heartbeat de 15 minutos em média. Ou seja, uma câmera sem conexão não consegue produzir a mesma garantia de horário.

A disponibilidade é dividida por região. A MacRumors relata que o recurso não está disponível na China por razões regulatórias. Na União Europeia, a captura não está disponível no lançamento. Mesmo assim, os usuários de lá podem revelar e ver imagens de referência já existentes no iOS 27, iPadOS 27 e macOS 27. Essas são as versões que saíram em 14 de setembro.

O que isso significa para os desenvolvedores

Se você constrói algo que ingere fotos, a pergunta prática é se consegue ler esses arquivos. A MacRumors relata que a Apple está abrindo APIs no iOS 27, iPadOS 27 e macOS 27 para que aplicativos de terceiros possam exibir imagens de referência. A TechCrunch descreveu a imagem de referência como visível no início apenas dentro do app Fotos da Apple, e ao mesmo tempo relatou que APIs para desenvolvedores estão a caminho. Trate o alcance exato da API como indefinido até ler a documentação da Apple.

Planeje o armazenamento em torno do prazo de 30 dias, não em torno da foto. Se o seu produto faz uma afirmação de procedência em nome de um usuário, copiar o negativo DNG para fora da biblioteca de fotos é a etapa que a preserva. Um pipeline que guarda apenas o JPEG revelado guarda a imagem e perde a prova.

Não presuma que isso se encaixa em um padrão que você já suporta. As fontes lidas para este artigo não citam nenhuma integração com C2PA e não descrevem nenhuma ferramenta pública de verificação fora dos apps da Apple. Segundo a MacRumors, a Apple disse que o suporte ao SynthID chegará em uma atualização de software mais adiante em 2026. Isso é um sinal de detecção de conteúdo gerado por IA, não uma assinatura no momento da captura. As duas coisas respondem a perguntas diferentes.

Teste o caminho sem conexão de propósito. Como a marca de tempo depende de um heartbeat de rede, o usuário que fotografa em um porão, em um avião ou em campo é um caso que o seu tratamento de erros precisa cobrir. O mesmo vale para os usuários da UE: eles podem manter e ver um negativo, mas não criar um no lançamento.

Este site apontou o mecanismo como uma questão aberta quando a Apple apresentou o iPhone 18 Pro em 9 de setembro. A resposta é uma assinatura no nível do sensor, revelada no Private Cloud Compute, e não uma etiqueta de metadados acrescentada depois.