Um armazenamento de manifestos (manifest store), em caixas JUMBF no próprio arquivo ou em um arquivo sidecar, guarda manifestos com asserções (ações como criado, editado ou gerado por IA, ingredientes, miniaturas, vínculos rígidos pelo hash do conteúdo), uma claim que lista os hashes das asserções e uma assinatura da claim: COSE_Sign1 com um certificado X.509, normalmente com um carimbo do tempo RFC 3161. As edições produzem novos manifestos que referenciam os anteriores como ingredientes. A especificação estava na versão 2.4 em 2026 e está no processo acelerado (fast track) da ISO.
A validação confere a assinatura, o certificado em relação a uma lista de confiança (a lista de confiança do C2PA para produtos em conformidade, desde 2025), os vínculos de hash e a cadeia de ingredientes. As credenciais podem ser removidas, então a ausência delas não prova nada, e um manifesto válido prova apenas o que o signatário declarou; pesquisadores também encontraram formas de alterar o conteúdo dentro de faixas de bytes excluídas. O inspetor de C2PA lê os manifestos localmente.