🇮🇹🇩🇪🇫🇷🇪🇸🇵🇹🇳🇱🇵🇱🇸🇪🇩🇰🇫🇮🇨🇿🇷🇴🇭🇺🇬🇷🇧🇬🇭🇷🇸🇰🇸🇮🇪🇪🇱🇹🇱🇻🇮🇪🇲🇹🇸🇦🇨🇳🇯🇵🇰🇷🇮🇳🇹🇷🇻🇳🇮🇩

16 Nisan 2026'da, gerçek bir tekstil ürününe ait bir Dijital Ürün Pasaportu mobil cüzdan tarafından alındı, kriptografik olarak doğrulandı ve Doğrulanabilir Kimlik Belgesi olarak saklandı. Veren ia.reeco.eco. Cüzdan bunu şu şekilde tanıdı ✅ Doğrulandı.

Bunun teknik olarak ne anlama geldiğini, piyasanın geri kalanının neden bunu yapmadığını ve herkesin görmezden geldiği uygulama zaman çizelgesi için neden önemli olduğunu açıklayacağım.

Okuduğunuz için teşekkürler! Yeni gönderiler almak ve çalışmalarımı desteklemek için ücretsiz abone olun.

Taşıyıcı sorunu hâlâ sorun olarak kalmaktadır

Nisan 2026'da, sektörün "DPP hazırlığı" kanıtı olarak QR kodlarına yatırım yapmasının bir kategori hatası olduğunu yazdım. Taşıyıcı gerekli ama yeterli değil.

Teslimat sorunu devam oyunudur. Bir web sayfasını açan bir QR kodu, Doğrulanabilir Kimlik Doğrulaması değildir. Bu bir URL'dir. Kökenine dair kriptografik kanıtı yoktur. Seçici olarak açıklanamaz. Bir cüzdanda depolanamaz. Bir doğrulayıcıya — bir gümrük otoritesi, bir geri dönüşümcü, bir pazar yeri — otomatik, standartlara uygun ve satıcının çalışma süresinden bağımsız bir şekilde sunulamaz.

Yedi DPP sağlayıcısından kimlik belgesi verme uç noktalarını bana göstermelerini istedim. Bu soru iki tepkiden birini ortaya çıkarıyor: kafası karışmış bir sessizlik ya da bir gösterge panelini açan bir QR kodunun demosu.

Bir kontrol paneli bir kimlik bilgisi değildir. Bir kontrol paneli, giriş girişi olan bir web sayfasıdır.

Aslında OID4VCI ne gerektiriyor

EUDIW çerçevesi kapsamında DPP için zorunlu erişim katmanı olacak EU Dijital Kimlik Cüzdanı altyapısı, Eylül 2025'te tamamlanan OID4VCI 1.0 üzerine inşa edilmiştir. Bu, bir cüzdana Doğrulanabilir Kimlik Bilgisinin nasıl verileceğini düzenleyen protokoldür.

En azından şunları gerektirir:

Credential issuer metadata uç noktası /.well-known/openid-credential-issuer. Önceden yetkilendirilmiş kod akışını uygulayan bir token uç noktası. Kimlik bilgilerini imzalı, seçici açıklama formatında veren bir kimlik hattı uç noktası. Vericinin açık anahtarlarını yayınlayan bir JWKS uç noktası.

Bunların hiçbiri bir web sayfası değildir. Bunların hiçbiri bir gösterge paneli değildir. Bu, bir ürün talebini alıp onu ihraçının özel anahtarıyla imzalayıp herhangi bir doğrulayıcının bağımsız olarak doğrulayabileceği bir formatta cüzdana teslim eden bir kriptografik altyapıdır — satıcıyı aramadan, platformla ticari ilişki kurmadan, satıcının SLA'sına bağımlı olmadan.

ESPR Madde 9'daki 10 yıllık saklama gereksinimi, bir satıcı SLA'sı tarafından ele alınamaz. Bu, yayımlanmış bir açık anahtara karşı bağımsız olarak doğrulanabilen bir kimlik bilgisi ile adreslenebilir. Bunlar farklı mimarilerdir. Bunlardan sadece biri zorlama anlamında ESPR uyumlu değildir.

Ne inşa ettik ve kanıtladıkları

Reeco'nun OID4VCI ihraççısı şu adreste faaliyet gösteriyor https://ia.reeco.eco/dpp-issuer/ ve OID4VCI 1.0 Final tarafından gereken tam uç nokta setini ortaya çıkarır. Kimlik formu SD-JWT VC (dc+sd-jwt), ES256 (P-256) ve EdDSA (Ed25519) ile sözleşme imzaladı.

Seçici açıklama tasarımı kasıtlı ve operasyonel motivasyonludur. Aşağıdaki iddialar seçici olarak açıklanabilir — bağlama göre neyi açıklayacağına sahibi karar verir:

Kütle dengesi kapsamıyla lif bileşimi. Geçerlilik tarihleri olan sertifikalar. Üretim ülkesi. İzlenebilirlik olayları. Sürdürülebilirlik endeksleri (Dayanıklılık Endeksi V1.02, Onarılabilirlik Endeksi V3.1, Atık Endeksi V1.0 — Zenodo DOI 10.5281/zenodo.19206500). Marka adı ve tedarikçi adı.

Her zaman görünür, asla geri silinemez: ürün kimliği, GTIN, ürün adı, ürün kategorisi.

Bu, DPP'yi gümrükte sunan bir markanın tüm bileşim ve sertifikasyon zincirini açıklayabileceği anlamına gelir. Aynı marka, bir perakende kanalı aracılığıyla tüketiciye sunulduğunda, bileşim ve sürdürülebilirlik endekslerini açıklar, ancak tedarikçi adını açıklamaz. Aynı kimlik doğrulaması. Aynı kriptografik imza. Farklı açıklama. Doğrulayıcı, saklanan şeyin ne olduğunu bilemez — sadece açıklananın gerçek olduğunu bilebilir.

Bu, RFC 9901'de tasarlanan seçici açıklamadır. Bu bir gizlilik seçeneği değildir. Ticari açıdan hassas tedarik zinciri verilerini açığa çıkarmadan gümrük denetimi ve tüketici şeffaflığına aynı anda hizmet veren herhangi bir DPP sistemi için yapısal bir gerekliliktir.

Otomatik test paketi, uçtan uca 8 kontrol ve rapor çalıştırıyor OID4VCI flow COMPLIANT 0,09 saniyede. Curl tabanlı kimlik belgesi verilmesi geçerli bir belge üretir dc+sd-jwt Başlayarak eyJ0eXAiOiJkYytzZC1qd3Qi — jwt.io'daki herkes tarafından doğrulanabilir.

16 Nisan 2026'da, saat 19:03 CET'de, Android cihazında Sphereon Wallet 001 alt sipariş için DPP aldı ve şu şekilde gösterildi: https://ia.reeco.eco — ISSUER — ✅ Verified. Ham kimlik bilgileri gösteriyor issuanceDate: 2026-04-16T16:57:21Z, credentialSubject ürün iddiaları ve 5 anahtarlı kriptografik bir kanıt.

Henüz işe yaramayan ne — ve bunun neden teknik değil, normatif bir sorun olması

AB Dijital Kimlik Cüzdanı referans uygulaması, ihraççıların Avrupa Komisyonu tarafından tutulan Güvenilir İhraççı Listesi'ne kayıtlı olmasını gerektirir. Bu liste şu anda AB Üye Devletleri tarafından verilen kişisel kimlik belgeleri olan PID'yi kapsamaktadır.

PID dışı doğrulamaları kapsamamaktadır. Güvenilir İhraççı Listesi'nde tekstil DPP girişi yoktur çünkü PID dışı doğrulamalar listesi henüz mevcut değildir. ARF (Mimari Referans Çerçevesi) Ek 2 mekanizmayı tanımlama sürecindedir. CIRPASS-2 paydaş süreci — EWG1, EWG3 ve EWG5'in Uzman Üyesi olarak katıldığım — bu mimarinin şekillendirildiği kanallardan biridir.

Referans EUDIW cüzdanı bir Reeco DPP teklifini taradığında, meta verileri doğru şekilde alır, kimlik formatını doğrular ve ardından güven listesinde veren sahibini bulamadığı için sessizce iptal eder. Bu bizim ihraççımızdaki bir hata değil. Bu, normatif altyapıdaki bir boşluktur.

Sphereon Wallet, hükümet dışı kimlik bilgilerine daha izin veren bir modda çalışırken, akışı tamamlar ve ihraççını Doğrulanmış olarak işaretler. Kimlik bilgileri cüzdanda, veri mevcut, kriptografik kanıt geçerli.

EC Güvenilir İhraççı Sicili'nin PID dışı doğrulamalar için ne zaman açılacağı sorusu teknik değil, düzenleyici bir sorudur. CIRPASS-2 için benim görüşüm, tekstil DPP ihraççılarının, diğer nitelikli belge sağlayıcılarını yöneten aynı güven çerçevesi altında kayıt için uygun olması gerektiği — özel bir durum olarak değil, ayrı bir yasama döngüsünden sonra değil, PID olmayan doğrulama katmanının ilk uygulamasının bir parçası olarak.

Kayıt öncesinde bunun neden önemli olduğu

2026'da DPP altyapısını inşa eden markalar, yanlış yaparlarsa 2027'de tekrar maliyet getirecek mimari bir seçim yapıyorlar.

Sabit bir web sayfası olarak uygulanan bir DPP, cüzdan tabanlı teslimat zorunlu hale geldiğinde tamamen yeniden oluşturulmasını gerektirir. Yeniden yapılandırma bir göç değildir. Veri modeli farklıdır, imza altyapısı farklıdır, teslimat protokolü farklıdır. Maliyet önemsiz değildir.

Bugün uygulanan bir DPP, OID4VCI Doğrulanabilir Kimlik Belgesi olarak — ki Reeco da bu sertifikayı veriyor — zaten doğru formatta. Güvenilir İhraççı Kayıt Listesi açıldığında, bir kayıt eklersiniz. Yeniden inşa edilmiyorsunuz.

Şu anda OID4VCI 1.0 üzerinden SD-JWT VC kimlik bilgileri veren başka bir tekstil DPP platformu bulamadım. Eğer varsa ve kaçırdımsa, düzeltilmekten memnuniyet duyarım.

UNTP hizalanması

Reeco, UNTP Yazılım Kaydı'nda (MR !732, UNICC GitLab, Nisan 2026 onaylandı) UNTP DigitalProductPassport şemasının uyumlu bir uygulaması olarak kayıtlıdır. UNTP spesifikasyonu, bir DPP'nin ne içermesi gerektiğini tanımlar. Nasıl sunulması gerektiğini tanımlamaz.

OID4VCI, UNTP'nin şu anda eksik olduğu teslimat katmanıdır. Bir katkı uncefact/spec-untp OID4VCI UNTP DPP için standart teslimat mekanizması olarak önerilen — referans uygulama olarak Reeco ile — hazırlanma aşamasındadır.

Piyasa için

Veren kuruluş canlıdır. Kimlik teklifi formatı standart OID4VCI ve JWKS halka açık https://ia.reeco.eco/dpp-issuer/jwks. Herhangi bir marka, doğrulayıcı veya cüzdan sağlayıcısı izin almadan buna karşı test yapabilir.

Eğer DPP sağlayıcıysanız ve gösteremiyorsanız /.well-known/openid-credential-issuer uç nokta, platformunuz cüzdan hazır değil. Başka amaçlar için faydalı olabilir. ESPR'nin ihtiyaç duyduğu uygulama altyapısı için hazır değildir.

Bu yanlışlanabilir bir iddiadır. Son nokta ya var ya da yoktur.

Stefano Cipriani, Reeco® ve Stefano Cipriani Stüdyosu'nun (Prato, İtalya) kurucusudur. Uzman Üye CIRPASS-2 EWG1, EWG3, EWG5. JRC Kayıtlı Paydaş, Unit B5 Sevilla. ORCID: 0009-0001-3423-9402. Wikidata: Q138773743. Patent

Okuduğunuz için teşekkürler! Yeni gönderiler almak ve çalışmalarımı desteklemek için ücretsiz abone olun.