WIA

Una Unidad de Cartera envía su WIA cuando solicita una credencial a un Proveedor de PID o a un Proveedor de Atestaciones. La WIA es la wallet attestation del Appendix E de OpenID4VCI, que se envía al servidor de autorización del emisor junto con una prueba de que la cartera posee la clave de la WIA. El emisor verifica la firma del Proveedor de Cartera con el ancla de confianza que la Comisión publica para ese Proveedor de Cartera, y comprueba que la instancia de cartera no ha sido revocada.

Se envía una WIA para cada credencial, esté vinculada al dispositivo o no. Para una credencial vinculada al dispositivo, la Unidad de Cartera también envía una Key Attestation, que describe la WSCA/WSCD o el keystore que contiene la nueva clave.

Una WIA es válida durante menos de 24 horas, por lo que refleja una comprobación de integridad reciente y no una comprobación única en la instalación. También indica un periodo de mantenimiento de la revocación, que puede ser mucho más largo: durante todo ese periodo, el Proveedor de Cartera mantiene disponible el estado de revocación de la instancia de cartera. Si la instancia de cartera se ve comprometida, el Proveedor de Cartera la revoca. Un Proveedor de PID debe comprobar ese estado con regularidad mientras su PID sea válido, y revocar el PID en cuanto se revoque la instancia de cartera. Los Proveedores de Atestaciones pueden hacer lo mismo.

Para proteger la privacidad, una Unidad de Cartera presenta su WIA solo a Proveedores de PID y Proveedores de Atestaciones, nunca a partes confiantes. Una parte confiante no puede comprobar la Unidad de Cartera por sí misma. Confía en que el emisor haya comprobado la WIA y, al comprobar el estado de revocación de un PID, sabe también que la Unidad de Cartera que lo respalda no ha sido revocada.

Las carteras empresariales funcionan de otra manera. El ARF presupone un dispositivo personal y deja las carteras de personas jurídicas para un business wallet independiente. La propuesta de la Comisión sobre los European Business Wallets (COM(2025) 838) traslada la idea con el nombre de wallet unit attestation: el proveedor genera y firma una para cada unidad de European Business Wallet, con un certificado emitido bajo un certificado que figura en la lista de confianza del Reglamento de Ejecución (UE) 2024/2980. Una unidad así no es una simple aplicación. Combina un front-end, una interfaz de usuario de cualquier plataforma o formato, con un back-end del lado del servidor que debe utilizar al menos una WSCA y un WSCD para gestionar los activos críticos. Las claves de la atestación deben estar protegidas por un WSCD, y el estado de una atestación revocada debe publicarse.

OpenID4VCI describe su wallet attestation como diseñada especialmente para carteras de aplicación nativa, cuya integridad el Proveedor de Cartera suele comprobar mediante el sistema operativo móvil, como iOS DeviceCheck o Android Play Integrity. La propuesta no indica cómo demuestra su integridad un back-end del lado del servidor. Deja las especificaciones técnicas a actos de ejecución que, según indica, deberían basarse en el ARF cuando proceda.