Хранилище манифестов (блоки JUMBF в самом файле или в отдельном файле-спутнике) содержит манифесты с утверждениями (действия вроде создания, редактирования или генерации с помощью ИИ, ингредиенты, миниатюры, жёсткие привязки по хешу содержимого), claim со списком хешей утверждений и подпись claim: COSE_Sign1 с сертификатом X.509, обычно с меткой времени RFC 3161. Каждое редактирование создаёт новый манифест, который ссылается на предыдущие как на ингредиенты. В 2026 году актуальной была версия спецификации 2.4; она проходит ускоренную процедуру стандартизации в ISO.
Проверка включает подпись, сверку сертификата со списком доверия (с 2025 года для совместимых продуктов — список доверия C2PA), привязки по хешам и цепочку ингредиентов. Content Credentials (учётные данные контента) можно удалить из файла, поэтому их отсутствие ничего не доказывает, а действительный манифест доказывает только то, что заявил подписант; кроме того, исследователи нашли способы изменять контент внутри исключённых диапазонов байтов. Инспектор C2PA читает манифесты локально.