🇮🇹🇩🇪🇫🇷🇪🇸🇵🇹🇳🇱🇵🇱🇸🇪🇩🇰🇫🇮🇨🇿🇷🇴🇭🇺🇬🇷🇧🇬🇭🇷🇸🇰🇸🇮🇪🇪🇱🇹🇱🇻🇮🇪🇲🇹🇸🇦🇨🇳🇯🇵🇰🇷🇮🇳🇹🇷🇻🇳🇮🇩

Dňa 16. apríla 2026 bol mobilnou peňaženkou prijatý Digitálny produktový pas pre skutočný textilný produkt, kryptograficky overený a uložený ako overiteľný certifikát. Vydavateľom bol ia.reeco.eco. Peňaženka ho rozpoznala ako ✅ Overené.

Vysvetlím, čo to technicky znamená, prečo to zvyšok trhu neurobil a prečo je to dôležité pre časový rámec vymáhania, ktorý všetci ignorujú.

Ďakujem za prečítanie! Prihláste sa na odber zadarmo, aby ste dostávali nové príspevky a podporovali moju prácu.

Problém s operátormi je stále problémom

V apríli 2026 som napísal, že investícia odvetvia do QR kódov ako dôkazu "pripravenosti DPP" bola kategóriová chyba. Operátor je potrebný, ale nie dostatočný.

Problémom doručenia je pokračovanie. QR kód, ktorý otvára webovú stránku, nie je overiteľným poverením. Je to URL. Nemá kryptografický dôkaz pôvodu. Nemôže byť selektívne zverejnený. Nemôže byť uložený v peňaženke. Nemôže byť predložený overovateľovi — colnému úradu, recyklátorovi, trhu — spôsobom, ktorý je automatizovaný, v súlade so štandardmi a nezávislý od dostupnosti dodávateľa.

Požiadal som sedem poskytovateľov DPP, aby mi ukázali svoj koncový bod vydávania prihlasovacích údajov. Otázka vyvoláva jednu z dvoch reakcií: zmätené ticho alebo ukážku QR kódu, ktorý otvorí dashboard.

Dashboard nie je prihlasovacie údaje. Dashboard je webová stránka s prihlásením.

Čo OID4VCI vlastne vyžaduje

Infraštruktúra EU Digital Identity Wallet — ktorá bude povinnou prístupovou vrstvou pre DPP v rámci EUDIW — je postavená na OID4VCI 1.0, ktorý bol finalizovaný v septembri 2025. Toto je protokol, ktorý upravuje, ako sa peňaženke vydáva overiteľný prihlasovací list.

Vyžaduje minimálne:

Koncový bod metadát vydavateľa prihlasovacích údajov na /.well-known/openid-credential-issuer. Tokenový koncový bod implementujúci predautorizovaný kódový tok. Koncový bod s prihlasovacím obsahom, ktorý vydáva prihlasovacie údaje v podpísanom formáte selektívneho zverejňovania. Koncový bod JWKS publikujúci verejné kľúče vydavateľa.

Nič z toho nie je webová stránka. Nič z toho nie je dashboard. Je to kryptografická infraštruktúra, ktorá prijíma produktový nárok, podpisuje ho súkromným kľúčom vydavateľa a doručuje ho do peňaženky vo formáte, ktorý môže každý overovateľ nezávisle overiť — bez toho, aby volal dodávateľovi, bez obchodného vzťahu s platformou, bez závislosti od SLA dodávateľa.

Požiadavka na uchovávanie 10 rokov podľa článku 9 ESPR nie je riešená SLA od dodávateľa. Je riešiteľná pomocou poverenia, ktoré je možné nezávisle overiť voči publikovanému verejnému kľúču. Ide o odlišné architektúry. Len jedna z nich je v zmysle vynucovania kompatibilná s ESPR.

Čo sme vybudovali a čo to dokázalo

Reecov OID4VCI vydavateľ beží na https://ia.reeco.eco/dpp-issuer/ a zobrazuje kompletnú sadu koncových bodov požadovanú OID4VCI 1.0 Final. Formát prihlasovacích údajov je SD-JWT VC (dc+sd-jwt), podpísané s ES256 (P-256) a EdDSA (Ed25519).

Selektívny dizajn zverejňovania je zámerný a prevádzkovo motivovaný. Nasledujúce tvrdenia sú selektívne zverejniteľné — držiteľ rozhoduje, čo odhalí podľa kontextu:

Zloženie vlákien s pokrytím hmotnostnej bilancie. Certifikácie s dátumami platnosti. Krajina výroby. Udalosti sledovateľnosti. Indexy udržateľnosti (Index odolnosti V1.02, Index opravovateľnosti V3.1, Waste Index V1.0 — Zenodo DOI 10.5281/zenodo.19206500). Značka a názov dodávateľa.

Vždy viditeľné, nikdy nevymazateľné: ID produktu, GTIN, názov produktu, kategória produktu.

To znamená, že značka, ktorá prezentuje DPP colnej kontrole, môže zverejniť kompletné zloženie a certifikačný reťazec. Tá istá značka, ktorá sa prezentuje spotrebiteľovi cez maloobchodný kanál, odhaľuje indexy zloženia a udržateľnosti, ale nie meno dodávateľa. Rovnaké osvedčenie. Rovnaký kryptografický podpis. Iné zverejnenie. Overovateľ nemôže povedať, čo bolo zatajené — iba že to, čo bolo zverejnené, je autentické.

Ide o selektívne zverejňovanie podľa RFC 9901. Nie je to možnosť ochrany súkromia. Ide o štrukturálnu požiadavku pre akýkoľvek systém DPP, ktorý zároveň slúži colnej kontrole a transparentnosti spotrebiteľov bez toho, aby vystavoval komerčne citlivé údaje v dodávateľskom reťazci.

Automatizovaná testovacia sada vykonáva 8 end-to-end kontrol a správ OID4VCI flow COMPLIANT za 0,09 sekundy. Vydanie prihlasovacích údajov založených na curle vytvára platné dc+sd-jwt začínajúc slovom eyJ0eXAiOiJkYytzZC1qd3Qi — overiteľné ktokoľvek na jwt.io.

Dňa 16. apríla 2026 o 19:03 CET dostala peňaženka Sphereon na zariadení s Androidom DPP pre objednávku pod 001 a zobrazila: https://ia.reeco.eco — ISSUER — ✅ Verified. Surové doklady issuanceDate: 2026-04-16T16:57:21Z, credentialSubject s produktovými tvrdeniami a kryptografickým dôkazom s 5 kľúčmi.

Čo zatiaľ nefunguje — a prečo je to normatívny problém, nie technický

Referenčná implementácia digitálnej identitnej peňaženky EÚ vyžaduje, aby boli emitenti registrovaní v zozname dôveryhodných emitentov spravovanom Európskou komisiou. Tento zoznam v súčasnosti zahŕňa PID — osobné identifikačné doklady vydávané členskými štátmi EÚ.

Nepokrýva ne-PID potvrdenia. V zozname dôveryhodných emitentov nie je žiadny záznam textilného DPP, pretože zoznam pre ne-PID potvrdenia zatiaľ neexistuje. ARF (Architektonický referenčný rámec) Annex 2 je v procese definovania mechanizmu. Proces zainteresovaných strán CIRPASS-2 — v ktorom sa zúčastňujem ako odborný člen EWG1, EWG3 a EWG5 — je jedným z kanálov, cez ktoré sa táto architektúra formuje.

Keď referenčná EUDIW peňaženka naskenuje ponuku Reeco DPP, správne načíta metadáta, overí formát prihlasovacích údajov a potom potichu zruší, pretože nemôže nájsť vydavateľa vo svojom zozname dôvery. Toto nie je chyba nášho vydavateľa. Je to medzera v normatívnej infraštruktúre.

Peňaženka Sphereon, ktorá funguje v permisívnejšom režime pre nevládne prihlasovacie údaje, dokončuje tok a označuje vydavateľa ako Overeného. Poverenie je v peňaženke, údaje sú prítomné, kryptografický dôkaz je platný.

Otázka, kedy sa Register dôveryhodných emitentov EC otvorí pre ne-PID potvrdenia, je regulačná, nie technická. Môj postoj k CIRPASS-2 je, že emitenti textilných DPP by mali byť oprávnení na registráciu v rámci rovnakého dôverného rámca, aký platí pre každého iného kvalifikovaného poskytovateľa overenia — nie ako špeciálny prípad, nie po samostatnom legislatívnom cykle, ale ako súčasť počiatočnej implementácie ne-PID certifikačnej vrstvy.

Prečo je to dôležité ešte predtým, než registr vznikne

Značky, ktoré v roku 2026 budujú infraštruktúru DPP, robia architektonické rozhodnutie, ktoré ich bude opäť stáť v roku 2027, ak urobia chybu.

DPP implementovaný ako statická webová stránka vyžaduje úplnú prestavbu, keď sa doručenie cez peňaženku stane povinným. Prestavba nie je migráciou. Dátový model je iný, infraštruktúra podpisovania je iná, protokol doručenia je iný. Cena nie je zanedbateľná.

DPP, ktorý je dnes implementovaný ako OID4VCI overiteľný certifikát — čo je to, čo vydáva Reeco — je už v správnom formáte. Keď sa otvorí Register dôveryhodných vydavateľov, pridáte registráciu. Neobnovujete to.

Nenašiel som inú textilnú DPP platformu, ktorá by momentálne vydávala SD-JWT VC certifikáty cez OID4VCI 1.0. Ak nejaká existuje a ja som ju prehliadol, rád sa nechám opraviť.

Trasa UNTP

Reeco je registrované v UNTP Software Register (MR !732, UNICC GitLab, schválené apríl 2026) ako kompatibilná implementácia schémy UNTP DigitalProductPassport. Špecifikácia UNTP definuje, čo by mal DPP obsahovať. Nedefinuje, ako by mal byť doručený.

OID4VCI je doručovacia vrstva, ktorú UNTP momentálne nemá. Príspevok k uncefact/spec-untp pripravuje sa OID4VCI ako štandardný mechanizmus doručenia pre UNTP DPP — s Reeco ako referenčnou implementáciou.

Pre trh

Vydavateľ je aktívny. Formát ponuky na preukaz je štandardný OID4VCI a JWKS je verejne dostupný na https://ia.reeco.eco/dpp-issuer/jwks. Akákoľvek značka, overovateľ alebo poskytovateľ peňaženky môže testovať bez povolenia.

Ak ste poskytovateľ DPP a nemôžete ukázať svoje /.well-known/openid-credential-issuer Na koncovom bode, vaša platforma nie je pripravená na peňaženku. Môže byť užitočná aj na iné účely. Nie je pripravená na infraštruktúru presadzovania, ktorú ESPR vyžaduje.

To je falzifikovateľné tvrdenie. Koncový bod buď existuje, alebo neexistuje.

Stefano Cipriani je zakladateľom štúdia Reeco® a Stefano Cipriani (Prato, Taliansko). Odborný člen CIRPASS-2 EWG1, EWG3, EWG5. Registrovaný zainteresovaný subjekt JRC, jednotka B5 Sevilla. ORCID: 0009-0001-3423-9402. Wikidata: Q138773743. Patent

Ďakujem za prečítanie! Prihláste sa na odber zadarmo, aby ste dostávali nové príspevky a podporovali moju prácu.