O Atestare Electronică a Atributelor (EAA) este o declarație digitală semnată despre unul sau mai multe atribute ale unei persoane, făcută de un emitent altul decât o autoritate publică de identitate, și livrată într-un Portofel EUDI, de unde titularul o poate prezenta selectiv oricărei părți utilizatoare. Diferit de datele de identificare a persoanei (PID), pe care doar un stat membru le poate emite, o EAA poate fi emisă de o universitate, un angajator, un organism profesional, un asigurător, un retailer sau o platformă — orice organizație care are un motiv legitim să afirme ceva adevărat despre o persoană.
eIDAS 2.0 împarte atestările în două niveluri juridice. EAA-urile calificate (QEAA) necesită statut de Prestator Calificat de Servicii de Încredere și au o prezumție legală de exactitate echivalentă cu un document notarial. EAA-urile necalificate nu au această prezumție, dar sunt probă electronică pe deplin validă conform Regulamentului, se verifică la fel și sunt mult mai ieftin de emis. Acest articol se concentrează pe ce este și ce face efectiv o EAA; compromisul calificat/necalificat este tratat separat.
Pentru ce se folosește o EAA, pe industrii
- HR și recrutare: dovada angajării curente, a funcției, sau a statutului de contractor, prezentabilă către proprietari, bănci sau alți angajatori fără apel de referință.
- Educație: dovada înmatriculării, a absolvirii unei diplome sau a creditelor unui curs, înlocuind adeverințele PDF cu o afirmație verificabilă criptografic.
- Servicii profesionale: dovada licenței, a apartenenței la barou, a înregistrării medicale sau a orelor de formare continuă.
- Retail și loialitate: dovada nivelului de loialitate, a istoricului de achiziții verificat sau a statutului de abonament, utilizabilă pentru a debloca reduceri la parteneri.
- Asigurări și mobilitate: dovada istoricului fără daune, a stării inspecției vehiculului sau a autorizației de flotă.
- Servicii cvasi-publice: dovada statutului de student, de senior, sau de adaptare pentru dizabilitate, pentru eligibilitatea la reduceri.
Modelul de date din spatele unei atestări
O EAA nu este un document — este un obiect de date structurat și semnat, de regulă codat ca SD-JWT VC sau mdoc ISO/IEC 18013-5. Trei elemente o definesc:
- Claims (afirmații): valorile efective ale atributelor — de exemplu { "employment_status": "active", "job_title": "Senior Engineer" }.
- Metadate: identificatorul emitentului, data emiterii, data expirării, referința schemei/tipului și un link către mecanismul de revocare.
- Legătura criptografică: o semnătură peste afirmații folosind cheia emitentului, plus o dovadă de legătură cu titularul care ancorează credențiala la instanța specifică de portofel căreia i-a fost emisă.
Divulgarea selectivă este ceea ce face SD-JWT VC atractiv pentru EAA-uri: emitentul semnează un set complet de afirmații, dar titularul poate divulga doar subsetul de care are nevoie o anumită parte utilizatoare — dovedind „este angajat la Compania X” fără a dezvălui salariul sau data angajării, de exemplu.
Ciclul de viață: emitere, prezentare, expirare
Ciclul de viață are trei faze stabile și una pe care majoritatea emitenților o subestimează: revocarea.
- Emiterea: titularul se autentifică la emitent (de regulă prin PID-ul din același portofel), emitentul calculează afirmațiile, le semnează și trimite credențiala în portofel prin OpenID4VCI.
- Prezentarea: titularul primește o cerere de prezentare de la o parte utilizatoare prin OpenID4VP, selectează credențiala corespunzătoare, divulgă doar afirmațiile cerute, iar partea utilizatoare verifică lanțul de semnături față de intrarea emitentului în lista de încredere.
- Expirarea: EAA-urile ar trebui să aibă o perioadă de valabilitate delimitată, adecvată cât de rapid se poate schimba faptul de bază — statutul de angajare ar putea necesita o fereastră de 30 de zile; o diplomă universitară poate fi valabilă indefinit.
- Revocarea: emitentul trebuie să poată invalida o credențială înainte de expirarea naturală — un angajat demisionează, o licență este suspendată, o calitate de membru expiră.
Mecanisme de revocare care funcționează la scară
Două abordări domină în practică. Listele de status (un șir de biți compact, semnat criptografic, verificat de partea utilizatoare la fiecare verificare, conform specificației Token Status List) scalează la milioane de credențiale cu o singură căutare ușoară. Valabilitatea scurtă plus reemitere evită complet infrastructura de revocare, expirând credențialele suficient de rapid ca afirmațiile vechi să se autorezolve — viabil pentru atribute cu risc scăzut, nefuncțional pentru orice implică răspundere.
O atestare fără un mecanism credibil de revocare este o răspundere, nu un produs. Părțile utilizatoare vor întreba despre asta înainte să întrebe despre modelul tău de date.
Valoarea de business a devenirii emitent
Emiterea de EAA-uri transformă un fapt pe care organizația ta îl deține deja — evidențe de angajare, baze de date de membri, istoric de achiziții — într-o credențială portabilă și monetizabilă. O universitate care emite diplome verificabile se elimină din orice apel viitor de verificare. Un retailer care emite credențiale verificabile de nivel de loialitate permite partenerilor să verifice nivelul fără să interogheze baza sa de date sau să semneze un acord de partajare a datelor. Credențiala face munca pe care o făcea integrarea API, dar sub controlul utilizatorului, nu printr-un contract backend-la-backend.
Obstacolul rareori este cazul de utilizare — este infrastructura: punctele finale de emitere OpenID4VCI, gestionarea cheilor, înregistrarea în lista de încredere națională, serviciile de status de revocare și testarea compatibilității cu portofelele din diverse ecosisteme. Platforme precum Arkadiz există special pentru a elimina acest strat, permițând unei organizații să emită EAA-uri conforme standardelor printr-un API, fără să opereze propria infrastructură de servicii de încredere.
Cum începi
Începe cu un singur atribut care are deja o sursă de adevăr clară în sistemele tale și un public extern clar care are nevoie să îl verifice. Definește schema afirmațiilor, decide fereastra de valabilitate, alege un mecanism de revocare și pilotează cu o singură parte utilizatoare înainte de a deschide emiterea pe scară largă. Modelul credențial recompensează precizia: mai puține afirmații, bine definite, se verifică mai rapid și construiesc mai multă încredere decât un pachet larg și slab tipizat de atribute.