🇮🇹🇩🇪🇫🇷🇪🇸🇵🇹🇳🇱🇵🇱🇸🇪🇩🇰🇫🇮🇨🇿🇷🇴🇭🇺🇬🇷🇧🇬🇭🇷🇸🇰🇸🇮🇪🇪🇱🇹🇱🇻🇮🇪🇲🇹🇸🇦🇨🇳🇯🇵🇰🇷🇮🇳🇹🇷🇻🇳🇮🇩

Pe 16 aprilie 2026, un Pașaport Digital de Produs pentru un produs textil real a fost primit printr-un portofel mobil, verificat criptografic și stocat ca Acreditare Verificabilă. Emițătorul a fost ia.reeco.eco. Portofelul a recunoscut-o ca fiind ✅ Verified.

O să explic ce înseamnă asta tehnic, de ce restul pieței nu a făcut asta și de ce contează pentru calendarul de aplicare pe care toată lumea îl ignoră.

Mulțumesc că ați citit! Abonează-te gratuit pentru a primi postări noi și a-mi susține munca.

Problema portavionului rămâne problema

Am scris în aprilie 2026 că investiția industriei în coduri QR ca dovadă a "pregătirii DPP" a fost o eroare de categorie. Portavionul este necesar, dar nu suficient.

Problema livrării este continuarea. Un cod QR care deschide o pagină web nu este o Acreditare Verificabilă. Este un URL. Nu are nicio dovadă criptografică a originii. Nu poate fi dezvăluit selectiv. Nu poate fi stocat într-un portofel. Nu poate fi prezentat unui verificator — o autoritate vamală, un reciclator, o piață — într-un mod automatizat, conform standardelor și independent de timpul de funcționare al furnizorului.

Am cerut șapte furnizori DPP să-mi arate punctul final al emiterii acreditărilor. Întrebarea generează una din două reacții: o tăcere confuză sau o demonstrație a unui cod QR care deschide un tablou de bord.

Un tablou de bord nu este o acreditare. Un tablou de bord este o pagină web cu un login.

What OID4VCI actually requires

Infrastructura de Portofel de Identitate Digitală a UE — care va fi stratul obligatoriu de acces pentru DPP în cadrul EUDIW — este construită pe OID4VCI 1.0, finalizată în septembrie 2025. Acesta este protocolul care guvernează modul în care este emis o Acreditare Verificabilă către un portofel.

Aceasta cere, cel puțin:

Un endpoint metadata emitentului de credențiale la /.well-known/openid-credential-issuer. Un endpoint de token care implementează fluxul de cod preautorizat. Un punct final al acreditării care emite acreditarea într-un format semnat, cu divulgare selectivă. Un endpoint JWKS care publică cheile publice ale emitentului.

Nimic din toate acestea nu este o pagină web. Nimic din toate acestea nu este un tablou de bord. Este o infrastructură criptografică care preia o revendicare de produs, o semnează cu cheia privată a emitentului și o livrează către un portofel într-un format pe care orice verificator îl poate verifica independent — fără a suna la furnizor, fără a avea o relație comercială cu platforma, fără a depinde de SLA-ul furnizorului.

Cerința de retenție pe 10 ani din Articolul 9 ESPR nu poate fi abordată printr-un SLA al furnizorului. Aceasta poate fi adresată printr-o acreditare care poate fi verificată independent în funcție de o cheie publică publicată. Acestea sunt arhitecturi diferite. Doar unul dintre ele este conform ESPR în sensul de aplicare a legii.

Ce am construit și ce a dovedit

Reeco’s OID4VCI issuer runs at https://ia.reeco.eco/dpp-issuer/ și expune setul complet de endpoint-uri necesar pentru OID4VCI 1.0 Final. Formatul acreditării este SD-JWT VC (dc+sd-jwt), semnat cu ES256 (P-256) și EdDSA (Ed25519).

Designul de divulgare selectivă este deliberat și motivat operațional. Următoarele afirmații pot fi dezvăluite selectiv — deținătorul decide ce să dezvăluie în funcție de context:

Fiber composition with mass balance coverage. Certifications with validity dates. Country of manufacture. Traceability events. Sustainability indices (Durability Index V1.02, Repairability Index V3.1, Waste Index V1.0 — Zenodo DOI 10.5281/zenodo.19206500). Brand name and supplier name.

Always visible, never redactable: product ID, GTIN, product name, product category.

Aceasta înseamnă că un brand care prezintă DPP vamei poate dezvălui întreaga compoziție și lanțul de certificare. Același brand care se prezintă unui consumator printr-un canal de retail dezvăluie compoziția și indicii de sustenabilitate, dar nu și numele furnizorului. Aceeași acreditare. Aceeași semnătură criptografică. Altă dezvăluire. Verificatorul nu poate spune ce a fost reținut — doar că ceea ce a fost dezvăluit este autentic.

Aceasta este o dezvăluire selectivă, așa cum este prevăzută în RFC 9901. Nu este o opțiune de confidențialitate. Este o cerință structurală pentru orice sistem DPP care servește simultan controlul vamal și transparența consumatorilor, fără a expune date comerciale sensibile din lanțul de aprovizionare.

Suita automată de testare rulează 8 verificări și rapoarte end-to-end OID4VCI flow COMPLIANT în 0,09 secunde. Emiterea acreditărilor bazate pe curl produce o validitate dc+sd-jwt beginning with eyJ0eXAiOiJkYytzZC1qd3Qi — verificabilă de oricine de la jwt.io.

Pe 16 aprilie 2026, la ora 19:03 CET, Sphereon Wallet pe un dispozitiv Android a primit un DPP pentru comanda sub-001 și afișa: https://ia.reeco.eco — ISSUER — ✅ Verified. Acreditările brute arată issuanceDate: 2026-04-16T16:57:21Z, credentialSubject cu revendicări de produs și o dovadă criptografică cu 5 chei.

Ce nu funcționează încă — și de ce este o problemă normativă, nu una tehnică

Implementarea de referință a Portofelului de Identitate Digitală a UE impune ca emitenții să fie înregistrați într-o Listă de Emitenți de Încredere menținută de Comisia Europeană. Acea listă acoperă în prezent PID — documente de identitate personale emise de statele membre ale UE.

Nu acoperă atestările non-PID. Nu există nicio înregistrare DPP pentru textile în Lista Emitenților de Încredere deoarece lista pentru atestări non-PID nu există încă. ARF (Architecture Reference Framework) Annex 2 este în proces de definire a mecanismului. Procesul CIRPASS-2 pentru părțile interesate — la care particip ca Membru Expert al EWG1, EWG3 și EWG5 — este unul dintre canalele prin care această arhitectură este conturată.

Când portofelul EUDIW de referință scanează o ofertă Reeco DPP, preia corect metadatele, verifică formatul acreditării și apoi anulează în tăcere pentru că nu poate găsi emitentul în lista sa de încredere. Aceasta nu este o eroare la emitentul nostru. Este o lacună în infrastructura normativă.

Sphereon Wallet, care funcționează într-un mod mai permisiv pentru acreditările non-guvernamentale, completează fluxul și marchează emitentul ca Verificat. Acreditarea este în portofel, datele sunt prezente, dovada criptografică este validă.

Întrebarea când se va deschide Registrul Emițătorilor de Încredere EC pentru atestări non-PID este o chestiune de reglementare, nu una tehnică. Poziția mea pentru CIRPASS-2 este că emițătorii DPP din domeniul textilului ar trebui să fie eligibili pentru înregistrare în cadrul aceluiași cadru de încredere care guvernează orice alt furnizor calificat de atestare — nu ca un caz special, nu după un ciclu legislativ separat, ci ca parte a implementării inițiale a stratului de atestare non-PID.

De ce contează acest lucru înainte ca registrul să existe

Brandurile care construiesc infrastructura DPP în 2026 fac o alegere arhitecturală care le va costa din nou în 2027 dacă greșesc.

Un DPP implementat ca o pagină web statică necesită o reconstrucție completă atunci când livrarea pe bază de portofel devine obligatorie. Reconstrucția nu este o migrație. Modelul de date este diferit, infrastructura de semnare este diferită, protocolul de livrare este diferit. Costul nu este neglijabil.

Un DPP implementat astăzi ca o OID4VCI Verificabilă — ceea ce emite Reeco — este deja în formatul corect. Când se deschide Registrul Emițătorilor de Încredere, adaugi o înregistrare. Nu reconstruiești.

Nu am găsit nicio altă platformă textilă DPP care să emită în prezent acreditări SD-JWT VC prin OID4VCI 1.0. Dacă există unul și eu l-am ratat, sunt bucuros să fiu corectat.

The UNTP alignment

Reeco este înregistrat în Registrul Software UNTP (MR !732, UNICC GitLab, aprobat aprilie 2026) ca o implementare conformă a schemei UNTP DigitalProductPassport. Specificația UNTP definește ce ar trebui să conțină un DPP. Nu definește modul în care ar trebui livrat.

OID4VCI este stratul de livrare pe care UNTP îl lipsește în prezent. O contribuție la uncefact/spec-untp propunerea OID4VCI ca mecanism standard de livrare pentru UNTP DPP — cu Reeco ca implementare de referință — este în pregătire.

For the market

Emitentul este activ. Formatul ofertei de acreditare este OID4VCI standard, iar JWKS este public la https://ia.reeco.eco/dpp-issuer/jwks. Orice marcă, verificator sau furnizor de portofel poate testa împotriva acestuia fără a cere permisiunea.

Dacă ești furnizor DPP și nu poți să-ți arăți /.well-known/openid-credential-issuer Endpoint, platforma ta nu este pregătită pentru portofel. Poate fi util și pentru alte scopuri. Nu este pregătit pentru infrastructura de aplicare a legii pe care ESPR o solicită.

Aceasta este o afirmație falsificabilă. Punctul final fie există, fie nu există.

Stefano Cipriani este fondatorul studioului Reeco® și Stefano Cipriani (Prato, Italia). Membru Expert CIRPASS-2 EWG1, EWG3, EWG5. Acționar înregistrat JRC, Unitatea B5 Sevilla. ORCID: 0009-0001-3423-9402. Wikidata: Q138773743.

Mulțumesc că ați citit! Abonează-te gratuit pentru a primi postări noi și a-mi susține munca.