Le 15 septembre 2026, Apple a détaillé le fonctionnement de Reference Image, une fonction facultative de l’appareil photo principal des iPhone 18 Pro et iPhone 18 Pro Max. Elle produit une référence signée et horodatée, conçue pour aider à vérifier ce que le capteur a capturé. La fonction est signalée comme indisponible dans l’Union européenne, y compris en France.
Ce que la référence permet de vérifier
Reference Image associe à la prise de vue une trace cryptographique des données de pixels enregistrées par le capteur. La photo ordinaire reste un fichier distinct, modifiable. La référence sert donc à examiner l’origine de la capture, pas à certifier toutes les photos ni chaque retouche ultérieure.
Le mode est facultatif et concerne l’appareil photo principal. Apple nomme les iPhone 18 Pro et iPhone 18 Pro Max comme appareils compatibles. La fonction ne s’active donc pas automatiquement pour chaque photo prise avec chaque appareil photo du téléphone.
Le diaphragme variable de l’iPhone 18 Pro est une caractéristique optique distincte : il concerne la prise de vue, tandis que Reference Image porte sur la provenance de la capture.
Du capteur au négatif numérique
Apple décrit une chaîne en plusieurs étapes. Le capteur signe les pixels immédiatement après la capture, avant les traitements habituels de photographie computationnelle. La Secure Enclave, le composant de sécurité du téléphone, signe séparément des paramètres qui ne viennent pas directement du capteur, comme le zoom numérique, l’exposition et les caractéristiques de l’objectif.
| Étape | Opération | Ce que cela apporte |
| Capture | Le capteur signe les données de pixels ; la Secure Enclave signe certains paramètres de prise de vue. | La signature des pixels intervient avant les traitements photographiques habituels. |
| Horodatage | Des bornes cryptographiques inférieure et supérieure encadrent l’heure de la prise de vue. Le signal horaire est actualisé en moyenne toutes les 15 minutes à l’échelle mondiale, selon les conditions du réseau local. | La référence fournit une fenêtre temporelle, plutôt qu’une simple heure lue sur l’horloge ordinaire du téléphone. |
| Négatif numérique | Le téléphone conserve les données signées dans un négatif numérique sécurisé au format DNG. | Le DNG conserve les données de capture avant leur développement en image consultable. |
| Développement | Private Cloud Compute vérifie les signatures, traite le DNG et produit un JPEG. | Le fichier de référence devient consultable après ce traitement. |
| Signature finale | Le JPEG reçoit une signature composite associant ML-DSA-87 et RSA-3072-PSS-SHA512. | La signature finale combine ces deux mécanismes cryptographiques. |
Apple affirme que Private Cloud Compute est conçu pour traiter les données d’image sans que l’entreprise puisse les voir. Cette protection fait partie de l’architecture décrite par Apple.
Vie privée, conservation et révocation
Une fois le DNG développé, Apple indique qu’il est déplacé parmi les photos supprimées et effacé automatiquement après 30 jours, sauf si la personne le récupère. Avant son développement, le négatif peut rester sur l’appareil et être partagé.
Apple peut aussi révoquer une image précise ou l’ensemble des images associées à un capteur si une fraude ou une compromission est détectée. Les appareils consultent localement les listes de révocation mises à jour. Le service conserve des liens privés entre identifiants d’image et capteurs, sans accéder aux données d’image. La validation repose donc aussi sur l’infrastructure qu’Apple gère.
La fonction est signalée indisponible en France
La restriction rapportée pour l’Union européenne inclut la France. La fonction concerne le traitement logiciel de la provenance des images ; elle est distincte du diaphragme variable de l’appareil photo. Cette différence évite de confondre la disponibilité d’une option d’authenticité avec celle d’une caractéristique optique.
Reference Image et C2PA ne suivent pas la même chaîne
Reference Image fait signer les données au niveau du capteur, au moment de la capture. C2PA, un standard de provenance interopérable, peut consigner un historique lisible par machine des modifications et traitements à partir du moment où les informations de provenance sont ajoutées.
| Dimension | Apple Reference Image | Approche de type C2PA |
| Point de départ | Signature des pixels par le capteur au moment de la capture. | Historique de provenance attaché à partir de l’ajout des informations correspondantes. |
| Information conservée | Référence signée de la capture, distincte de la photo ordinaire modifiable. | Historique lisible par machine des modifications et traitements consignés. |
| Architecture | Capteur Apple et traitement par Private Cloud Compute. | Standard interopérable utilisé par plusieurs entreprises. |
