WIA

Une Unité de Portefeuille envoie sa WIA lorsqu'elle demande un attestat à un Fournisseur de PID ou à un Fournisseur d'Attestations. La WIA est la wallet attestation de l'Appendix E d'OpenID4VCI, envoyée au serveur d'autorisation de l'émetteur avec une preuve que le portefeuille détient la clé de la WIA. L'émetteur vérifie la signature du Fournisseur de Portefeuille à l'aide de l'ancre de confiance que la Commission publie pour ce Fournisseur de Portefeuille, et contrôle que l'instance de portefeuille n'a pas été révoquée.

Une WIA est envoyée pour chaque attestat, lié à l'appareil ou non. Pour un attestat lié à l'appareil, l'Unité de Portefeuille envoie également une Key Attestation, qui décrit la WSCA/WSCD ou le keystore qui détient la nouvelle clé.

Une WIA est valable moins de 24 heures : elle reflète donc un contrôle d'intégrité récent plutôt qu'un contrôle unique lors de l'installation. Elle indique aussi une période de maintien du statut de révocation, qui peut être bien plus longue : pendant toute cette période, le Fournisseur de Portefeuille garde disponible le statut de révocation de l'instance de portefeuille. Si l'instance de portefeuille est compromise, le Fournisseur de Portefeuille la révoque. Un Fournisseur de PID doit vérifier ce statut régulièrement tant que son PID est valide, et révoquer le PID dès que l'instance de portefeuille est révoquée. Les Fournisseurs d'Attestations peuvent faire de même.

Pour protéger la vie privée, une Unité de Portefeuille ne présente sa WIA qu'aux Fournisseurs de PID et aux Fournisseurs d'Attestations, jamais aux parties utilisatrices. Une partie utilisatrice ne peut pas vérifier elle-même l'Unité de Portefeuille. Elle fait confiance à l'émetteur pour avoir vérifié la WIA et, en vérifiant le statut de révocation d'un PID, elle sait aussi que l'Unité de Portefeuille qui le détient n'a pas été révoquée.

Les portefeuilles professionnels fonctionnent différemment. L'ARF part du principe d'un appareil personnel et renvoie les portefeuilles des personnes morales à un business wallet distinct. La proposition de la Commission relative aux European Business Wallets (COM(2025) 838) reprend l'idée sous le nom de wallet unit attestation : le fournisseur en génère et en signe une pour chaque unité de European Business Wallet, à l'aide d'un certificat émis sous un certificat figurant sur la liste de confiance du règlement d'exécution (UE) 2024/2980. Une telle unité n'est pas une simple application. Elle associe un front-end, une interface utilisateur sur n'importe quelle plateforme et dans n'importe quel format, à un back-end côté serveur qui doit utiliser au moins une WSCA et un WSCD pour gérer les actifs critiques. Les clés contenues dans l'attestation doivent être protégées par un WSCD, et le statut d'une attestation révoquée doit être publié.

OpenID4VCI présente sa wallet attestation comme conçue spécialement pour les portefeuilles sous forme d'application native, dont le Fournisseur de Portefeuille vérifie généralement l'intégrité via le système d'exploitation mobile, par exemple avec iOS DeviceCheck ou Android Play Integrity. La proposition ne précise pas comment un back-end côté serveur prouve son intégrité. Elle renvoie les spécifications techniques à des actes d'exécution qui, selon elle, devraient s'appuyer sur l'ARF le cas échéant.