did:web

Een did:web identifier zoals did:web:example.com verwijst rechtstreeks naar een URL als https://example.com/.well-known/did.json, zodat elke standaard HTTPS-client het DID document kan ophalen zonder gespecialiseerde resolver-software. Extra segmenten gescheiden door dubbele punten worden padsegmenten, dus did:web:example.com:issuer:eu leidt in plaats daarvan naar https://example.com/issuer/eu/did.json.

Het document op die URL is wat de identifier zijn betekenis geeft. Het somt de publieke sleutels op die namens het subject mogen ondertekenen, geeft aan welke daarvan mogen authenticeren of claims mogen afgeven, en noemt de service-endpoints die het subject publiceert. Een sleutel roteren is een bewerking in dat ene bestand.

Vertrouwen in de DID hangt volledig af van de controle over het domein en het TLS-certificaat, dus een verlopen registratie, een gekaapte nameserver of een onterecht uitgegeven certificaat is genoeg om in naam van de eigenaar te spreken. Er ligt geen tweede handtekening onder om op terug te vallen.

Het DID document geeft bovendien alleen de huidige stand weer: niets in de methode zelf legt vast of bewijst hoe het document er voor de laatste wijziging uitzag, en dat is het gat dat did:webvh dicht door op dezelfde webhosting een ondertekende geschiedenis toe te voegen waaraan alleen kan worden toegevoegd.