Digital Credentials API

Sit web isejjaħ navigator.credentials.get() b'talba għal kredenzjal diġitali li ssemmi protokoll ta' preżentazzjoni u li ġġorr it-talba proprja ta' dak il-protokoll bħala payload. Il-browser jgħaddi t-talba lis-sistema operattiva, li turi selettur nattiv tal-kartieri installati fuq l-apparat, u l-kartiera li jagħżel id-detentur tirritorna t-tweġiba tal-protokoll tagħha permezz tal-istess sejħa. L-API iġorr l-iskambju biss: x'jintalab, x'jiġi żvelat u kif tiġi vverifikata t-tweġiba jibqgħu definiti mill-protokoll li jinsab fih. Sejħa kumplimentari, navigator.credentials.create(), tagħmel l-istess għall-ħruġ, sabiex sit ikun jista' jgħaddi Credential Offer lil kartiera bl-istess mod.

Qabel dan, preżentazzjoni fuq l-apparat li d-detentur kien diġà qed juża kienet tfisser jew kodiċi QR li l-mowbajl li kien qed jurih ma setax jiskennja, jew deep link li kellu jaqta' liema kartiera kienet installata. Meta t-talba tgħaddi mis-sistema operattiva, iż-żewġ problemi jisparixxu, għax id-detentur jara selettur nattiv wieħed li jkopri l-kartieri kollha fuq l-apparat, u s-sit qatt ma jkollu bżonn jidentifika jew isemmi kartiera hu stess. Il-browser iżid ukoll mat-talba l-oriġini ta' min qed isejjaħ, sabiex il-kartiera tkun tista' turi lid-detentur liema sit qed jitlob u tirrifjuta talba kkupjata minn post ieħor, u dan huwa dak li jagħmel il-fluss reżistenti għall-phishing u għall-attakki ta' relay.

L-API huwa apposta newtrali għall-protokoll, u fl-ekosistema tal-EUDI Wallet żewġ rabtiet huma importanti: OpenID4VP jiddefinixxi l-profil tiegħu stess għall-API, u ISO/IEC 18013-7 Annex C jorbot l-istess skambju mdoc miegħu. L-EUDI ARF jiddiskutih bħala l-mod kif titjieb il-preżentazzjoni mill-bogħod, sakemm il-browser jipprovdi l-oriġini tal-parti li tafda sabiex Wallet Unit tkun tista' tifhem min qed jitlob, u sakemm fluss bejn żewġ apparati jżomm verifika tal-prossimità bejniethom. B'hekk l-irkupru mill-apparat skont ISO/IEC 18013-5 jibqa' l-kanal għall-użu wiċċ imb wiċċ, u mhux xi ħaġa li l-API tal-browser jieħu postha.

L-appoġġ m'għadux sperimentali. L-API huwa attivat awtomatikament f'Chrome fuq Android u fuq desktop, u f'Safari fil-verżjonijiet riċenti ta' Apple, filwaqt li Firefox ma attivahx. Il-browsers għadhom ivarjaw fil-protokolli u l-formati ta' kredenzjali li jaċċettaw, u l-appoġġ fuq desktop ġeneralment jaħdem billi jitqabbad ma' mowbajl li fih il-kartiera, u mhux billi jaħżen il-kredenzjali fil-browser. Ittrattah bħala titjib għall-browsers u l-apparati li għandhom appoġġ għalih, u żomm il-fluss bil-kodiċi QR jew bir-ridirezzjoni għal dawk li m'għandhomx.