did:web

Um identificador did:web como did:web:example.com corresponde diretamente a um URL do tipo https://example.com/.well-known/did.json, pelo que qualquer cliente HTTPS normal consegue obter o DID document sem executar software de resolução especializado. Segmentos adicionais separados por dois pontos tornam-se segmentos de caminho, por isso did:web:example.com:issuer:eu leva antes a https://example.com/issuer/eu/did.json.

É o documento nesse URL que dá sentido ao identificador. Enumera as chaves públicas que podem assinar em nome do sujeito, indica quais delas podem autenticar ou emitir afirmações e nomeia os endpoints de serviço que o sujeito publica. Rodar uma chave é editar esse único ficheiro.

A confiança na DID depende inteiramente do controlo do domínio e do seu certificado TLS, por isso um registo caducado, um servidor de nomes sequestrado ou um certificado emitido por erro bastam para falar em nome do titular. Por baixo não existe uma segunda assinatura a que recorrer.

O DID document também só reflete o seu estado atual: nada no próprio método regista ou prova como era o documento antes da última edição, e é essa a lacuna que o did:webvh fecha, acrescentando, sobre o mesmo alojamento web, um histórico assinado ao qual só se pode acrescentar.