did:web

En did:web-identifierare som did:web:example.com mappas direkt till en adress i stil med https://example.com/.well-known/did.json, så att vilken standardklient för HTTPS som helst kan hämta DID document utan att köra specialiserad resolverprogramvara. Ytterligare kolonseparerade segment blir sökvägssegment, så did:web:example.com:issuer:eu leder i stället till https://example.com/issuer/eu/did.json.

Det är dokumentet på den adressen som ger identifieraren dess innebörd. Det listar de publika nycklar som får signera för subjektets räkning, anger vilka av dem som får autentisera eller göra påståenden, och namnger de tjänsteslutpunkter subjektet publicerar. Att rotera en nyckel är en ändring i just den filen.

Förtroendet för ett DID vilar helt på kontrollen över domänen och dess TLS-certifikat, så en utgången registrering, en kapad namnserver eller ett felaktigt utfärdat certifikat räcker för att tala i innehavarens namn. Det finns ingen andra signatur under att falla tillbaka på.

DID document återger dessutom bara sitt nuvarande tillstånd: inget i själva metoden registrerar eller bevisar hur dokumentet såg ut före den senaste ändringen, och det är luckan did:webvh täpper till genom att lägga en signerad historik som bara kan byggas på ovanpå samma webbhotell.