Digital Credentials API

Web zavolá navigator.credentials.get() s žádostí o digitální pověření, která určuje prezentační protokol a jako obsah nese vlastní požadavek tohoto protokolu. Prohlížeč žádost předá operačnímu systému, který zobrazí nativní výběr peněženek nainstalovaných v zařízení, a peněženka zvolená držitelem vrátí odpověď protokolu stejným voláním. API výměnu pouze přenáší: co se žádá, co se zveřejní a jak se odpověď ověří, stále určuje protokol uvnitř. Doplňkové volání navigator.credentials.create() dělá totéž pro vydávání, takže web může stejným způsobem předat peněžence Credential Offer.

Dříve znamenala prezentace na zařízení, které držitel právě používal, buď QR kód, který telefon, jenž ho zobrazoval, nemohl naskenovat, nebo deep link, který musel hádat, jaká peněženka je nainstalovaná. Směrování žádosti přes operační systém odstraňuje oba problémy, protože držitel dostane jeden nativní výběr zahrnující všechny peněženky v zařízení a web nikdy nemusí peněženku sám zjišťovat ani jmenovat. Prohlížeč navíc k žádosti přidá původ (origin) volajícího webu, takže peněženka může držiteli ukázat, který web žádá, a odmítnout žádost zkopírovanou odjinud. Právě díky tomu je tento postup odolný vůči phishingu a relay útokům.

API je záměrně nezávislé na protokolu a v ekosystému EUDI Wallet jsou důležitá dvě navázání: OpenID4VP pro API definuje vlastní profil a ISO/IEC 18013-7 Annex C na něj váže stejnou výměnu mdoc. EUDI ARF ho uvádí jako způsob, jak zlepšit vzdálenou prezentaci, pokud prohlížeč předá origin spoléhající se strany, aby Wallet Unit mohla zjistit, kdo žádá, a pokud postup mezi dvěma zařízeními zachová kontrolu jejich blízkosti. Získávání dat ze zařízení podle ISO/IEC 18013-5 tak zůstává kanálem pro osobní předložení, nikoli něčím, co API prohlížeče nahrazuje.

Podpora už není experimentální. API je ve výchozím stavu zapnuté v Chrome na Androidu i na desktopu a v Safari v aktuálních verzích od Apple, zatímco Firefox ho nezapnul. Prohlížeče se stále liší v tom, které protokoly a formáty pověření přijímají, a podpora na desktopu obvykle funguje spárováním s telefonem, ve kterém je peněženka, nikoli ukládáním pověření v prohlížeči. Berte ho jako vylepšení pro prohlížeče a zařízení, která ho mají, a pro ostatní ponechte QR kód nebo postup s přesměrováním.