Verificador

Un verificador suele ser la misma organización que la parte usuaria que solicita la credencial, pero los roles son distintos: la parte usuaria decide qué pedir y qué hacer con el resultado, mientras que el verificador es la función técnica que comprueba la firma, la entrada del emisor en la Lista de Confianza, y el estado de revocación, antes de que ese resultado pueda considerarse fiable. En un intercambio OpenID4VP, un verificador envía una solicitud de presentación que describe qué credencial y afirmaciones necesita, recibe la respuesta del titular, y después realiza tres comprobaciones antes de aceptarla: que la firma coincide con la clave publicada del emisor, que el emisor figura en la Lista de Confianza correspondiente al tipo de credencial presentado, y que la credencial no se ha revocado desde entonces según su lista de estado. Solo después de superar las tres, el verificador devuelve un resultado fiable a la parte usuaria, por ejemplo confirmando que una persona es mayor de edad o posee una cualificación profesional válida, sin haber visto nunca afirmaciones que el titular no eligió revelar. Como la verificación es una comprobación bien definida y repetible, y no un juicio subjetivo, la misma lógica de verificador puede servir a muchas partes usuarias y tipos de credencial distintos, razón por la cual las organizaciones a menudo compran la verificación como servicio en lugar de construirla una vez por cada caso de uso. Un verificador mal implementado, uno que se salta la comprobación de la Lista de Confianza o guarda en caché el estado de revocación demasiado tiempo, es una fuente habitual de fallos del marco de confianza incluso cuando tanto la credencial como el emisor son totalmente legítimos.