🇮🇹🇩🇪🇫🇷🇪🇸🇵🇹🇳🇱🇵🇱🇸🇪🇩🇰🇫🇮🇨🇿🇷🇴🇭🇺🇬🇷🇧🇬🇭🇷🇸🇰🇸🇮🇪🇪🇱🇹🇱🇻🇮🇪🇲🇹🇸🇦🇨🇳🇯🇵🇰🇷🇮🇳🇹🇷🇻🇳🇮🇩

Dana 16. travnja 2026. mobilni novčanik primio je Digitalnu putovnicu za stvarni tekstilni proizvod, kriptografski potvrđenu i pohranjenu kao Verifiable Credential. Izdavatelj je bio ia.reeco.eco. Novčanik ju je prepoznao kao ✅ Verificirano.

Objasnit ću što to tehnički znači, zašto ostatak tržišta to nije učinio i zašto je važno za vremenski okvir provedbe koji svi zanemaruju.

Hvala što ste pročitali! Pretplatite se besplatno kako biste primali nove objave i podržali moj rad.

Problem s nosačem i dalje je problem

U travnju 2026. napisao sam da je industrijsko ulaganje u QR kodove kao dokaz "DPP spremnosti" bila kategorijska pogreška. Osiguravatelj je nužan, ali nije dovoljan.

Problem dostave je nastavak. QR kod koji otvara web stranicu nije provjerljiva vjerodajnica. To je URL. Nema kriptografski dokaz podrijetla. Ne može se selektivno otkrivati. Ne može se pohraniti u novčanik. Ne može se predstaviti provjeravatelju — carinskoj vlasti, reciklažu, tržištu — na način koji je automatiziran, usklađen sa standardima i neovisan o dostupnosti dobavljača.

Zamolio sam sedam DPP pružatelja usluga da mi pokažu krajnju točku izdavanja vjerodajnica. Pitanje izaziva jednu od dvije reakcije: zbunjenu tišinu ili demonstraciju QR koda koji otvara nadzornu ploču.

Nadzorna ploča nije vjerodajnica. Nadzorna ploča je web stranica s prijavom.

Što OID4VCI zapravo zahtijeva

Infrastruktura EU digitalnog identitetskog novčanika — koja će biti obavezni sloj pristupa za DPP prema okviru EUDIW — izgrađena je na OID4VCI 1.0, finaliziranom u rujnu 2025. To je protokol koji regulira kako se Verifiable Credential izdaje novčaniku.

To zahtijeva, barem:

Krajnja točka metapodataka izdavatelja vjerodajnica na /.well-known/openid-credential-issuer. Token endpoint koji implementira unaprijed odobreni tijek koda. Endpoint s vjerodajnicom koji izdaje vjerodajnicu u potpisanom formatu selektivnog otkrivanja. JWKS endpoint koji objavljuje javne ključeve izdavatelja.

Ništa od ovoga nije web stranica. Ništa od ovoga nije nadzorna ploča. To je kriptografska infrastruktura koja prima zahtjev za proizvod, potpisuje ga privatnim ključem izdavatelja i isporučuje ga novčaniku u formatu koji svaki verifikator može neovisno provjeriti — bez poziva dobavljača, bez komercijalnog odnosa s platformom, bez oslanjanja na SLA dobavljača.

Zahtjev za zadržavanjem od 10 godina u članku 9 ESPR-a nije riješen SLA-om dobavljača. Može se riješiti putem vjerodajnice koja se može neovisno provjeriti prema objavljenom javnom ključu. To su različite arhitekture. Samo je jedna od njih usklađena s ESPR-om u smislu provedbe.

Što smo izgradili i što je dokazao

Reeco-ov OID4VCI izdavatelj radi na https://ia.reeco.eco/dpp-issuer/ i otkriva kompletan skup krajnjih točaka potreban OID4VCI 1.0 Final. Format vjerodajnice je SD-JWT VC (dc+sd-jwt), potpisano s ES256 (P-256) i EdDSA (Ed25519).

Dizajn selektivnog otkrivanja je namjeran i operativno motiviran. Sljedeći zahtjevi su selektivno objavljivavi — nositelj odlučuje što će otkriti u određenom kontekstu:

Sastav vlakana s pokrićem mase. Certifikati s datumima valjanosti. Zemlja proizvodnje. Događaji sljedivosti. Indeksi održivosti (Indeks trajnosti V1.02, Indeks popravljivosti V3.1, Indeks otpada V1.0 — Zenodo DOI 10.5281/zenodo.19206500). Naziv marke i ime dobavljača.

Uvijek vidljivo, nikad neprepoznatljivo: ID proizvoda, GTIN, naziv proizvoda, kategorija proizvoda.

To znači da brend koji carini predstavlja DPP može otkriti cijeli sastav i lanac certifikacije. Isti brend koji se prezentira potrošaču putem maloprodajnog kanala otkriva indekse sastava i održivosti, ali ne i ime dobavljača. Ista vjerodajnica. Isti kriptografski potpis. Različita objava. Provjeravatelj ne može reći što je zadržano — samo da je ono što je otkriveno autentično.

Ovo je selektivno otkrivanje kako je predviđeno u RFC 9901. Nije opcija privatnosti. To je strukturni zahtjev za svaki DPP sustav koji istovremeno služi carinskoj kontroli i transparentnosti potrošača, a da pritom ne izlaže komercijalno osjetljive podatke o lancu opskrbe.

Automatizirani testni paket izvršava 8 end-to-end provjera i izvještaja OID4VCI flow COMPLIANT za 0,09 sekundi. Izdavanje vjerodajnice temeljeno na curlu proizvodi valjanu dc+sd-jwt počinje s eyJ0eXAiOiJkYytzZC1qd3Qi — što može potvrditi bilo tko u jwt.io.

Dana 16. travnja 2026. u 19:03 CET, Sphereon novčanik na Android uređaju primio je DPP za narudžbu ispod 001 i prikazao je: https://ia.reeco.eco — ISSUER — ✅ Verified. Sirove potvrde o kvalifikacijama issuanceDate: 2026-04-16T16:57:21Z, credentialSubject s tvrdnjama o proizvodu i kriptografskim dokazom s 5 ključeva.

Što još ne funkcionira — i zašto je to normativni problem, a ne tehnički

Referentna implementacija EU digitalnog identitetskog novčanika zahtijeva da izdavatelji budu registrirani na Popisu pouzdanih izdavatelja koji održava Europska komisija. Taj popis trenutno pokriva PID — osobne identifikacijske dokumente koje izdaju države članice EU-a.

Ne pokriva ne-PID potvrde. Na Popisu pouzdanih izdavatelja nema unosa tekstilnog DPP-a jer popis za ne-PID potvrde još ne postoji. ARF (Architecture Reference Framework) Dodatak 2 je u procesu definiranja mehanizma. Proces dionika CIRPASS-2 — u kojem sudjelujem kao stručni član EWG1, EWG3 i EWG5 — jedan je od kanala kroz koje se oblikuje ova arhitektura.

Kada referentni EUDIW novčanik skenira Reeco DPP ponudu, ispravno dohvaća metapodatke, provjerava format vjerodajnice, a zatim tiho prekida jer ne može pronaći izdavatelja na svojoj listi povjerenja. Ovo nije greška našeg izdavatelja. To je praznina u normativnoj infrastrukturi.

Sphereon novčanik, koji radi u permisivnijem načinu za nevladine vjerodajnice, dovršava tok i označava izdavatelja kao Verificiranog. Vjerodajnica je u novčaniku, podaci su prisutni, kriptografski dokaz je valjan.

Pitanje kada će se Registar povjerenih izdavatelja EC otvoriti za ne-PID potvrde je regulatorno, a ne tehničko. Moj stav za CIRPASS-2 je da izdavatelji tekstilnog DPP-a trebaju biti podobni za registraciju pod istim okvirom povjerenja koji regulira svakog drugog kvalificiranog pružatelja ovjere — ne kao poseban slučaj, ne nakon zasebnog zakonodavnog ciklusa, već kao dio početne implementacije sloja bez PID-a.

Zašto je to važno prije nego što registar uopće postoji

Brendovi koji grade infrastrukturu DPP-a 2026. donose arhitektonsku odluku koja će ih ponovno koštati 2027. ako pogriješi.

DPP implementiran kao statična web stranica zahtijeva potpunu rekonstrukciju kada isporuka putem novčanika postane obavezna. Rekonstrukcija nije migracija. Model podataka je drugačiji, infrastruktura za potpisivanje je drugačija, protokol isporuke je drugačiji. Trošak nije zanemariv.

DPP implementiran danas kao OID4VCI Verifiable Credential — što je ono što Reeco izdaje — već je u ispravnom formatu. Kada se Trusted Issuer Registry otvori, dodajete registraciju. Ne obnavljate se.

Nisam pronašao drugu tekstilnu DPP platformu koja trenutno izdaje SD-JWT VC vjerodajnice putem OID4VCI 1.0. Ako takva postoji, a ja sam je propustio, rado ću biti ispravljen.

UNTP trasa

Reeco je registriran u UNTP Software Register (MR !732, UNICC GitLab, odobren u travnju 2026.) kao usklađena implementacija sheme UNTP DigitalProductPassport. UNTP specifikacija definira što DPP treba sadržavati. Ne definira kako bi trebao biti isporučen.

OID4VCI je sloj isporuke koji UNTP trenutno nema. Doprinos uncefact/spec-untp priprema se OID4VCI kao standardni mehanizam isporuke za UNTP DPP — s Reeco kao referentnom implementacijom.

Za tržište

Izdavatelj je aktivan. Format ponude za akreditaciju je standardni OID4VCI a JWKS je javno dostupan na https://ia.reeco.eco/dpp-issuer/jwks. Bilo koji brend, verifikator ili pružatelj novčanika može testirati protiv njega bez traženja dopuštenja.

Ako ste DPP pružatelj usluga i ne možete pokazati svoje /.well-known/openid-credential-issuer na kraju, vaša platforma nije spremna za novčanik. Može biti korisna i za druge svrhe. Nije spremna za infrastrukturu za provedbu koju ESPR zahtijeva.

To je tvrdnja koja se može opovrgnuti. Krajnja točka ili postoji ili ne postoji.

Stefano Cipriani je osnivač studija Reeco® i Stefano Cipriani (Prato, Italija). Stručni član CIRPASS-2 EWG1, EWG3, EWG5. Registrirani dionik JRC-a, jedinica B5 Sevilla. ORCID: 0009-0001-3423-9402. Wikidata: Q138773743. Patent

Hvala što ste pročitali! Pretplatite se besplatno kako biste primali nove objave i podržali moj rad.