La emisión de credenciales explicada: de la oferta a la credencial aceptada
OpenID4VCI es la norma europea para hacer llegar una credencial a la cartera de alguien: un diploma, una inscripción mercantil, un certificado de inspección. Para el titular la entrega parece un solo momento, pero detrás tienen que encajar varias cosas, y cada una puede fallar a su manera. Esta página recorre todo eso, usando una empresa de transporte como ejemplo.
Dos formas de iniciar una emisión
La mayoría de las emisiones empiezan con el emisor ofreciendo una credencial, normalmente como código QR o enlace. Que el titular tenga que iniciar sesión después depende de una sola cosa: si el emisor ya sabe con quién está tratando. Ambas rutas terminan en el mismo sitio, con la credencial en la cartera.
El titular ya es conocido
1. Emisor
Ya sabe con quién está tratando, y ofrece la credencial allí mismo
2. Wallet
Acepta la oferta, a veces confirmando un código corto enviado por separado
3. Wallet
Recoge la credencial y la vincula a este dispositivo
El titular tiene que iniciar sesión primero
1. Wallet
Parte de una oferta, o acude al emisor por iniciativa del titular
2. Inicio de sesión del emisor
Guía al titular por el inicio de sesión y la aceptación de lo que se va a emitir
3. Wallet
Recoge la credencial y la vincula a este dispositivo
El ciclo de vida completo de una oferta de credencial
Una emisión recorre los pasos siguientes. Cada uno puede fallar por su cuenta, y esos fallos son lo que acaba atendiendo un servicio de soporte, así que conviene saber dónde están antes de diseñar el proceso a su alrededor.
Un ejemplo resuelto: un certificado de inspección técnica para una flota de transporte
Un organismo de inspección técnica emite un certificado de inspección técnica en el business wallet de una empresa de transporte tras una inspección rutinaria. El inspector ya ha confirmado en el punto de inspección quién es el responsable de flota, así que no hay motivo para pedirle que vuelva a iniciar sesión.
1. La oferta
El terminal del punto de inspección muestra un código QR
Escanearlo abre la cartera y muestra qué credencial se está ofreciendo
2. Qué se ofrece
La cartera lee la descripción de la credencial publicada por el emisor
Así el responsable de flota ve qué contiene el certificado antes de aceptar nada
3. Confirmación
La cartera confirma un código corto que el organismo de inspección envió por SMS al responsable de flota
Quien fotografíe el código QR por encima del hombro sigue sin poder recoger el certificado
4. Vincularlo a la cartera
La cartera demuestra que posee un secreto que nunca sale del dispositivo
El certificado está vinculado a ese secreto, así que una copia no vale nada en otro dispositivo
5. Emitido y guardado
El organismo de inspección firma el certificado y la cartera lo guarda
A partir de aquí la empresa de transporte puede mostrarlo a un cliente o a un agente de control en segundos
Cuando la credencial aún no está lista
El ejemplo anterior da por hecho que el resultado de la inspección es definitivo. Si un resultado dudoso tiene que pasar antes por un inspector sénior, el certificado no puede entregarse en el acto. La norma cubre ese caso en lugar de obligar al responsable de flota a volver.
Emitida en el acto
El titular se marcha con la credencial en su cartera, de una sola vez.
Emitida más tarde
El emisor indica que necesita más tiempo, y la cartera recoge la credencial en cuanto está lista. El titular no tiene que empezar de nuevo ni volver en persona.
Cerrar el círculo
Tras la emisión, la cartera puede indicar al emisor cómo terminó. Es opcional por ambas partes y la entrega no está garantizada, así que resulta útil para detectar un flujo roto, pero un emisor no puede deducir nada de un mensaje que nunca llega.
Wallet
Puede indicar al emisor cómo terminó la emisión
Guardada
La credencial está en la cartera y lista para usarse
Fallida
Algo salió mal, por ejemplo la credencial no pasó la comprobación
Rechazada
El titular eligió no conservarla
Qué significa esto para usted
Emisor
Una forma estándar de entregar credenciales que toda cartera conforme acepta, sin integración por cartera y sin un portal en el que los titulares tengan que iniciar sesión.
Titular
Usted ve qué le están dando antes de aceptarlo, y está vinculado a su dispositivo y no a un acceso que podría perder.
Verificador
Las credenciales llegan ya comprobadas y ya vinculadas a la cartera que las presenta, de modo que aceptarlas es una comprobación y no una investigación.
Profundización técnica
Esta página explica qué hace la tecnología y a quién afecta. Nuestra documentación para desarrolladores cubre la implementación en sí: los mensajes, los campos y los ejemplos resueltos que necesita un equipo de integración.
Leer la documentación técnicaTérminos relacionados
Preguntas frecuentes
¿Cuándo tiene que iniciar sesión el titular, y cuándo no?
Depende de si el emisor ya sabe con quién está tratando. Un inspector que acaba de revisar un vehículo en persona no necesita que el responsable de flota vuelva a iniciar sesión, así que la credencial se ofrece en el acto. Un servicio en línea que nunca ha visto al titular lo hace pasar primero por su propio inicio de sesión. La propia oferta indica cuál de los dos casos se aplica.
¿Cómo sabe la cartera qué está a punto de recibir?
Cada emisor publica una descripción de lo que emite, y la cartera la lee antes de cualquier otra cosa. Eso es lo que permite a la cartera mostrar al titular qué es la credencial y qué contiene, para que el consentimiento signifique algo. También implica que un emisor puede añadir un nuevo tipo de credencial sin que cada cartera necesite una actualización.
¿Qué impide copiar una credencial a otro dispositivo?
Antes de emitir, la cartera demuestra que posee un secreto que nunca sale del dispositivo, y el emisor vincula la credencial a él. Un verificador puede pedir después a la cartera que lo demuestre otra vez. Una copia de la credencial sin ese secreto no pasa la comprobación, así que copiar el archivo no sirve de nada.
¿Y si la credencial no puede emitirse de inmediato?
Algunas comprobaciones tardan más de lo que una persona está dispuesta a esperar: una revisión manual, o una consulta a un registro externo lento. El emisor puede indicarlo, y la cartera recoge la credencial en cuanto está lista. El titular no tiene que empezar de nuevo ni volver en persona.
¿Se entera el emisor de si la credencial se conservó realmente?
Puede, pero solo como cortesía. La cartera puede informar de que la credencial se guardó, de que el titular la rechazó, o de que algo falló. Ninguna de las dos partes está obligada a admitirlo y la entrega no está garantizada, así que un emisor debe tratarlo como una señal útil y nunca como un registro de lo ocurrido.
Fuentes
Esta página tiene fines informativos y no constituye asesoramiento legal. Para obtener orientación autorizada, consulta directamente a la OpenID Foundation y a la Comisión Europea.