🇮🇹🇩🇪🇫🇷🇪🇸🇵🇹🇳🇱🇵🇱🇸🇪🇩🇰🇫🇮🇨🇿🇷🇴🇭🇺🇬🇷🇧🇬🇭🇷🇸🇰🇸🇮🇪🇪🇱🇹🇱🇻🇮🇪🇲🇹🇸🇦🇨🇳🇯🇵🇰🇷🇮🇳🇹🇷🇻🇳🇮🇩

A 16 de abril de 2026, um Passaporte Digital de Produto para um produto têxtil real foi recebido por uma carteira móvel, verificado criptograficamente e armazenado como uma Credencial Verificável. O emitente era ia.reeco.eco. A carteira reconheceu-o como ✅ Verified.

Vou explicar o que isto significa tecnicamente, porque é que o resto do mercado ainda não o fez, e porque é importante para o prazo de aplicação que todos estão a ignorar.

Obrigado por lerem! Subscreva gratuitamente para receber novas publicações e apoiar o meu trabalho.

O problema do porta-aviões continua a ser o problema

Escrevi em abril de 2026 que o investimento da indústria em códigos QR como prova de "prontidão DPP" foi um erro de categoria. O portador é necessário, mas não suficiente.

O problema da entrega é a sequela. Um código QR que abre uma página web não é uma Credencial Verificável. É um URL. Não possui prova criptográfica de origem. Não pode ser divulgado seletivamente. Não pode ser guardado numa carteira. Não pode ser apresentado a um verificador — uma autoridade aduaneira, um reciclador, um mercado — de forma automatizada, compatível com os padrões e independente do tempo de funcionamento do fornecedor.

Pedi a sete prestadores de DPP que me mostrassem o seu ponto final de emissão de credenciais. A pergunta provoca uma de duas reações: um silêncio confuso, ou uma demonstração de um código QR que abre um painel.

Um dashboard não é uma credencial. Um dashboard é uma página web com um login.

What OID4VCI actually requires

A infraestrutura da Carteira de Identidade Digital da UE — que será a camada de acesso obrigatória para DPP no âmbito EUDIW — foi construída sobre a OID4VCI 1.0, finalizada em setembro de 2025. Este é o protocolo que regula como uma Credencial Verificável é emitida para uma carteira.

Requer, no mínimo:

Um endpoint de metadados de emissor de credencial em /.well-known/openid-credential-issuer. Um endpoint de token a implementar o fluxo de código pré-autorizado. Um endpoint de credencial que emite a credencial num formato de divulgação seletiva assinado. Um endpoint JWKS que publica as chaves públicas do emissor.

Nada disto é uma página web. Nada disto é um painel de controlo. É uma infraestrutura criptográfica que pega numa reivindicação de produto, assina-a com a chave privada do emissor e entrega-a a uma carteira num formato que qualquer verificador pode verificar de forma independente — sem ligar para o fornecedor, sem ter uma relação comercial com a plataforma, sem depender do SLA do fornecedor.

O requisito de retenção de 10 anos previsto no Artigo 9 da ESPR não pode ser resolvido por um SLA do fornecedor. É endereçável por uma credencial que pode ser verificada de forma independente contra uma chave pública publicada. Estas são arquiteturas diferentes. Apenas um deles está em conformidade com a ESPR no sentido de aplicação.

O que construímos e o que provou

Reeco’s OID4VCI issuer runs at https://ia.reeco.eco/dpp-issuer/ e expõe o conjunto completo de endpoints exigido por OID4VCI 1.0 Final. O formato da credencial é SD-JWT VC (dc+sd-jwt), assinados com ES256 (P-256) e EdDSA (Ed25519).

O desenho seletivo de divulgação é deliberado e motivado operacionalmente. As seguintes alegações são divulgáveis seletivamente — o titular decide o que revelar conforme o contexto:

Fiber composition with mass balance coverage. Certifications with validity dates. Country of manufacture. Traceability events. Sustainability indices (Durability Index V1.02, Repairability Index V3.1, Waste Index V1.0 — Zenodo DOI 10.5281/zenodo.19206500). Brand name and supplier name.

Always visible, never redactable: product ID, GTIN, product name, product category.

Isto significa que uma marca que apresenta o DPP à alfândega pode divulgar toda a composição e cadeia de certificação. A mesma marca apresentada a um consumidor através de um canal de retalho revela composição e índices de sustentabilidade, mas não o nome do fornecedor. Mesma credencial. Mesma assinatura criptográfica. Divulgação diferente. O verificador não pode dizer o que foi retido — apenas se o que foi divulgado é autêntico.

Esta é uma divulgação seletiva conforme previsto no RFC 9901. Não é uma opção de privacidade. É um requisito estrutural para qualquer sistema DPP que serve simultaneamente a fiscalização alfandegária e a transparência do consumidor, sem expor dados comerciais sensíveis da cadeia de abastecimento.

O conjunto de testes automatizado executa 8 verificações e relatórios de ponta a ponta OID4VCI flow COMPLIANT em 0,09 segundos. A emissão de credenciais baseada em curl produz uma validez dc+sd-jwt beginning with eyJ0eXAiOiJkYytzZC1qd3Qi — verificável por qualquer pessoa no jwt.io.

A 16 de abril de 2026, às 19:03 CET, a Sphereon Wallet num dispositivo Android recebeu uma DPP para a encomenda sub-001 e apresentou: https://ia.reeco.eco — ISSUER — ✅ Verified. A credencial bruta mostra issuanceDate: 2026-04-16T16:57:21Z, credentialSubject com reivindicações de produto e uma prova criptográfica com 5 chaves.

O que ainda não funciona — e porque é que isso é um problema normativo, não técnico

A implementação de referência da Carteira de Identidade Digital da UE exige que os emitentes estejam registados numa Lista de Emissores Confiáveis mantida pela Comissão Europeia. Essa lista abrange atualmente o PID — documentos de identidade pessoal emitidos pelos Estados-Membros da UE.

Não cobre atestados não relacionados com PID. Não existe nenhuma entrada de DPP têxtil na Lista de Emissores Confiáveis porque a lista para atestados não-PID ainda não existe. O ARF (Architecture Reference Framework) Anexo 2 está em processo de definição do mecanismo. O processo de partes interessadas do CIRPASS-2 — no qual participo como Membro Especialista do EWG1, EWG3 e EWG5 — é um dos canais através dos quais esta arquitetura está a ser moldada.

Quando a carteira EUDIW de referência analisa uma oferta Reeco DPP, recolhe corretamente os metadados, verifica o formato da credencial e depois aborta silenciosamente porque não consegue encontrar o emissor na sua lista de confiança. Isto não é um bug do nosso emissor. É uma lacuna na infraestrutura normativa.

A Sphereon Wallet, que opera de forma mais permissiva para credenciais não governamentais, completa o fluxo e marca o emissor como Verificado. A credencial está na carteira, os dados estão presentes, a prova criptográfica é válida.

A questão de quando o Registo de Emissores Confiáveis da CE abrirá para atestados não relacionados com PID é uma questão regulatória, não técnica. A minha posição sobre o CIRPASS-2 é que os emissores de DPP têxtil devem ser elegíveis para registo sob o mesmo quadro fiduciário que regula qualquer outro prestador qualificado de atestação — não como um caso especial, não após um ciclo legislativo separado, mas como parte da implementação inicial da camada de atestação não-PID.

Por que isto importa antes de existir o registo

As marcas que estão a construir a infraestrutura DPP em 2026 estão a fazer uma escolha arquitetónica que lhes custará novamente em 2027 se a errarem.

Um DPP implementado como uma página web estática requer uma reconstrução completa quando a entrega baseada em carteira se torna obrigatória. A reconstrução não é uma migração. O modelo de dados é diferente, a infraestrutura de assinatura é diferente, o protocolo de entrega é diferente. O custo não é trivial.

Um DPP implementado hoje como uma OID4VCI Credencial Verificável — que é o que a Reeco emite — já está no formato correto. Quando o Registo de Emissores Confiáveis abre, adiciona-se um registo. Não se reconstrói.

Não encontrei outra plataforma têxtil DPP que esteja atualmente a emitir credenciais SD-JWT VC via OID4VCI 1.0. Se existir um e eu não o ter visto, fico feliz por ser corrigido.

The UNTP alignment

O Reeco está registado no Registo de Software UNTP (MR !732, UNICC GitLab, aprovado em abril de 2026) como uma implementação compatível do esquema UNTP DigitalProductPassport. A especificação UNTP define o que um DPP deve conter. Não define como deve ser entregue.

OID4VCI é a camada de entrega que o UNTP atualmente não tem. Uma contribuição para uncefact/spec-untp está em preparação a propor OID4VCI como mecanismo padrão de entrega do UNTP DPP — com o Reeco como implementação de referência.

For the market

O emissor está ativo. O formato de oferta de credencial é OID4VCI padrão e a JWKS é pública em https://ia.reeco.eco/dpp-issuer/jwks. Qualquer marca, verificador ou fornecedor de carteiras pode testá-lo sem pedir permissão.

Se é um prestador de DPP e não pode mostrar o seu /.well-known/openid-credential-issuer endpoint, a sua plataforma não está pronta para a carteira. Pode ser útil para outros fins. Não está preparado para a infraestrutura de fiscalização que a ESPR exige.

Essa é uma afirmação refutável. O endpoint ou existe ou não existe.

Stefano Cipriani é o fundador da Reeco® and Stefano Cipriani Studio (Prato, Itália). Membro Especialista CIRPASS-2 EWG1, EWG3, EWG5. Acionista registado do JRC, Unidade B5 Sevilha. ORCO: 0009-0001-3423-9402. Wikidata: Q138773743. Patente

Obrigado por lerem! Subscreva gratuitamente para receber novas publicações e apoiar o meu trabalho.