Sprawdzenie pod adresem /tools/verify-image kończyło się dotąd na ekranie. Pod wynikiem jest teraz druga akcja: Pobierz podpisany raport. Powstaje jeden plik, który zapisuje, co sprawdzenie zgłosiło dla dokładnie tego obrazu i w tym momencie, wraz z wersją sprawdzarki i datą użytej listy zaufania.
Obraz nadal nie opuszcza Twojej przeglądarki. Naciśnięcie przycisku wysyła odcisk Twojego pliku — skrót SHA-256 — razem z ustaleniami widocznymi powyżej. Nic więcej i wyłącznie wtedy, gdy naciśniesz. Sprawdzenie, przy którym nie prosisz o raport, nie wysyła niczego, dokładnie jak dotąd, a zdanie mówiące, co wychodzi, stoi przy przycisku, a nie w przypisie.
Raport jest szczery co do tego, czym jest. Mówi, że sprawdzarka Qamery, w podanej wersji i przy podanej dacie listy zaufania, zadziałała w Twojej przeglądarce i zgłosiła takie ustalenia — oraz że Qamera nigdy nie otrzymała obrazu, sama sprawdzenia nie wykonała i wyniku nie potwierdziła. Jego wartość polega na tym, że wiąże jeden wynik z jednym plikiem, jedną chwilą i jedną nazwaną konfiguracją, w sposób, którego nie da się później poprawić bez zerwania podpisu.
Odczyt raportu ma własną stronę. Odbiorca otwiera /tools/verify-report i wrzuca tam plik. Podpis sprawdzany jest w jego przeglądarce, wobec kluczy publikowanych jawnie przez tę stronę — nic nie trafia w tym celu do nas. Może też dołożyć obraz, którego raport dotyczy: wtedy porównywany jest odcisk, a całe sprawdzenie przebiega od nowa dzisiejszą sprawdzarką, więc obok zapisanego wyniku odbiorca dostaje własny.
Po naszej stronie nic nie zostaje. Nie ma rejestru wystawionych raportów ani sposobu, by któryś odszukać. Nie ma też terminu ważności ani przełącznika, który mógłby raport później wyłączyć: ten, który jest już w czyichś rękach, ma pozostać sprawdzalny przez lata — również dla kogoś, kto nigdy o nas nie słyszał.