Autentisk kilde

Et nasjonalt handelsregister er en Authentic Source for firmaregisterdata; en skattemyndighet er en Authentic Source for et MVA-nummer, og et folkeregister er en Authentic Source for en persons fødselsdato eller adresse. En Attestation Provider som utsteder et credential basert på et attributt, er ikke selv Authentic Source med mindre den også driver det underliggende registeret: de to rollene er ofte samme organisasjon, men ARF holder dem konseptuelt atskilt, fordi en wallet eller verifier trenger å vite hvilken part som faktisk går god for dataens riktighet på det tidspunktet den ble registrert. For en KYB- eller KYC-kontroll er det å gå tilbake til Authentic Source fremfor et dokument motparten fremviser, det som fjerner behovet for å reverifisere data som ikke har endret seg, siden det er selve registeret, ikke en kopi eller en egenerklæring, som er det som stoles på. EUDI Wallets PID er et klart eksempel: det utstedes fra folkeregistre eller tilsvarende Authentic Sources utpekt av hver medlemsstat, og dets riktighet hviler på den utpekingen fremfor på wallet-leverandørens egne kontroller. Medlemsstatene er pålagt å identifisere og publisere hvilke organer som regnes som Authentic Sources for et gitt attributt, slik at en Attestation Provider, en wallet, eller en relying party kan spore en påstand tilbake til der den stammer fra, i stedet for å stole på en kjede av udokumenterte påstander. Dette er også det som gjør once-only-prinsippet gjennomførbart i praksis: når en Authentic Source først har bekreftet et attributt, kan den bekreftelsen gjenbrukes på tvers av mange attestasjoner og mange relying parties, fremfor at det samme faktumet samles inn og kontrolleres på nytt av hver organisasjon som trenger det.