did:web

En did:web-identifikator som did:web:example.com oversættes direkte til en adresse i stil med https://example.com/.well-known/did.json, så enhver standard HTTPS-klient kan hente DID document uden at køre specialiseret resolver-software. Yderligere kolonadskilte segmenter bliver til stisegmenter, så did:web:example.com:issuer:eu fører i stedet til https://example.com/issuer/eu/did.json.

Det er dokumentet på den adresse, der giver identifikatoren dens betydning. Det opregner de offentlige nøgler, der må signere på subjektets vegne, angiver hvilke af dem der må autentificere eller fremsætte påstande, og navngiver de tjenesteendepunkter, subjektet udgiver. At rotere en nøgle er en redigering i netop den ene fil.

Tilliden til et DID afhænger fuldstændig af kontrollen over domænet og dets TLS-certifikat, så en udløbet registrering, en kapret navneserver eller et fejlagtigt udstedt certifikat er nok til at tale i ejerens navn. Der ligger ingen anden signatur nedenunder at falde tilbage på.

DID document afspejler desuden kun sin nuværende tilstand: intet i metoden selv registrerer eller beviser, hvordan dokumentet så ud før den seneste redigering, og det er netop det hul, did:webvh lukker ved at lægge en signeret historik, der kun kan føjes til, oven på den samme webhosting.