🇮🇹🇩🇪🇫🇷🇪🇸🇵🇹🇳🇱🇵🇱🇸🇪🇩🇰🇫🇮🇨🇿🇷🇴🇭🇺🇬🇷🇧🇬🇭🇷🇸🇰🇸🇮🇪🇪🇱🇹🇱🇻🇮🇪🇲🇹🇸🇦🇨🇳🇯🇵🇰🇷🇮🇳🇹🇷🇻🇳🇮🇩

Le 16 avril 2026, un Passeport Produit Numérique pour un véritable produit textile a été reçu par un portefeuille mobile, vérifié cryptographiquement, et stocké en tant que Identifiant Vérifiable. L’émetteur était ia.reeco.eco. Le portefeuille l’a reconnu comme ✅ Verified.

Je vais expliquer ce que cela signifie techniquement, pourquoi le reste du marché ne l’a pas fait, et pourquoi cela compte pour le calendrier d’application que tout le monde ignore.

Merci de m’avoir lu ! Abonnez-vous gratuitement pour recevoir de nouveaux articles et soutenir mon travail.

Le problème du porte-avions reste le problème

J’ai écrit en avril 2026 que l’investissement de l’industrie dans les codes QR comme preuve de « préparation DPP » était une erreur de catégorie. Le transporteur est nécessaire mais pas suffisant.

Le problème de livraison vient de la suite. Un code QR qui ouvre une page web n’est pas un Identifiant Vérifiable. C’est une URL. Il ne possède aucune preuve cryptographique de son origine. Elle ne peut pas être divulguée de manière sélective. Il ne peut pas être stocké dans un portefeuille. Il ne peut pas être présenté à un vérificateur — une autorité douanière, un recycleur, un marché — de manière automatisée, conforme aux normes et indépendante du temps de fonctionnement du fournisseur.

J’ai demandé à sept prestataires DPP de me montrer leur point d’exigence de délivrance de titres. La question provoque deux réactions : un silence confus, ou une démonstration d’un code QR qui ouvre un tableau de bord.

Un tableau de bord n’est pas une qualification. Un tableau de bord est une page web avec une connexion.

What OID4VCI actually requires

L’infrastructure européenne du portefeuille d’identité numérique — qui sera la couche d’accès obligatoire pour DPP dans le cadre EUDIW — repose sur OID4VCI 1.0, finalisée en septembre 2025. C’est le protocole qui régit la manière dont un identifiant vérifiable est délivré à un portefeuille.

Il exige, au minimum :

Un point de terminaison de métadonnées d’émetteur de crédentiel à /.well-known/openid-credential-issuer. Un point de terminaison de jeton implémentant le flux de code préautorisé. Un point final de certification qui délivre la certification sous un format de divulgation sélective signée. Un point de terminaison JWKS publiant les clés publiques de l’émetteur.

Rien de tout cela n’est une page web. Rien de tout cela n’est un tableau de bord. C’est une infrastructure cryptographique qui prend une revendication produit, la signe avec la clé privée de l’émetteur, et la livre à un portefeuille dans un format que tout vérifiateur peut vérifier indépendamment — sans appeler le fournisseur, sans avoir de relation commerciale avec la plateforme, sans dépendre du SLA du fournisseur.

L’exigence de conservation de 10 ans prévue par l’article 9 de l’ESPR n’est pas réglable par un SLA fournisseur. Elle est adressable par une accréditation pouvant être vérifiée indépendamment à partir d’une clé publique publiée. Ce sont des architectures différentes. Un seul d’entre eux est conforme à l’ESPR au sens de l’application.

Ce que nous avons construit et ce que cela a prouvé

Reeco’s OID4VCI issuer runs at https://ia.reeco.eco/dpp-issuer/ et expose l’ensemble complet de terminaux requis par OID4VCI Final 1.0. Le format de la certification est SD-JWT VC (dc+sd-jwt), signé avec ES256 (P-256) et EdDSA (Ed25519).

La conception de la divulgation sélective est délibérée et motivée par des raisons opérationnelles. Les affirmations suivantes sont divulguables de manière sélective — c’est le titulaire qui décide ce qu’il révèle selon le contexte :

Fiber composition with mass balance coverage. Certifications with validity dates. Country of manufacture. Traceability events. Sustainability indices (Durability Index V1.02, Repairability Index V3.1, Waste Index V1.0 — Zenodo DOI 10.5281/zenodo.19206500). Brand name and supplier name.

Always visible, never redactable: product ID, GTIN, product name, product category.

Cela signifie qu’une marque présentant le DPP à la douane peut divulguer l’ensemble de la chaîne de composition et de certification. La même marque présentée à un consommateur via un canal de vente au détail divulgue la composition et les indices de durabilité, mais pas le nom du fournisseur. Même diplôme. Même signature cryptographique. Divulgation différente. Le vérificateur ne peut pas dire ce qui a été retenu — seulement que ce qui a été divulgué est authentique.

Il s’agit d’une divulgation sélective telle que prévue dans la RFC 9901. Ce n’est pas une option de confidentialité. C’est une exigence structurelle pour tout système DPP qui sert simultanément à l’application des douanes et à la transparence des consommateurs sans exposer des données de chaîne d’approvisionnement commercialement sensibles.

La suite de tests automatisés effectue 8 vérifications et rapports de bout en bout OID4VCI flow COMPLIANT en 0,09 seconde. L’émission de la certification basée sur le curl produit une validité dc+sd-jwt beginning with eyJ0eXAiOiJkYytzZC1qd3Qi — vérifiable par n’importe qui à jwt.io.

Le 16 avril 2026, à 19h03 CET, Sphereon Wallet sur un appareil Android a reçu un DPP pour commande sub-001 et affichait : https://ia.reeco.eco — ISSUER — ✅ Verified. Les preuves brutes montrent issuanceDate: 2026-04-16T16:57:21Z, credentialSubject avec des revendications de produit, et une preuve cryptographique avec 5 clés.

Ce qui ne fonctionne pas encore — et pourquoi cela est-il un problème normatif, pas technique

La mise en œuvre du portefeuille d’identité numérique de l’UE exige que les émetteurs soient enregistrés dans une liste d’émetteur de confiance tenue par la Commission européenne. Cette liste concerne actuellement les documents d’identité personnels délivrés par les États membres de l’UE.

Il ne couvre pas les attestations non liées au PID. Il n’y a pas d’entrée DPP textile dans la liste des émettrics de confiance car la liste des attestations non-PID n’existe pas encore. L’ARF (Architecture Reference Framework) Annex 2 est en train de définir ce mecanisme. Le processus des parties prenantes CIRPASS-2 — auquel je participe en tant que membre expert d’EWG1, EWG3 et EWG5 — est l’un des canaux par lesquels cette architecture est façonnée.

Lorsque le portefeuille EUDIW de référence analyse une offre Reeco DPP, il récupère correctement les métadonnées, vérifie le format des identifiants, puis abandonne silencieusement car il ne trouve pas l’émetteur dans sa liste de fiducie. Ce n’est pas un bug chez notre émetteur. C’est une lacune dans l’infrastructure normative.

Sphereon Wallet, qui fonctionne de manière plus permissive pour les identifiants non gouvernementaux, complète le flux et marque l’émetteur comme vérifié. L’accréditation est dans le portefeuille, les données sont présentes, la preuve cryptographique est valide.

La question de savoir quand le Registre des Émetteurs de Confiance de la CE s’ouvrira pour les attestations hors PID est une question réglementaire, pas technique. Ma position concernant CIRPASS-2 est que les émetteurs DPP textiles devraient être éligibles à l’enregistrement selon le même cadre fiduciaire que celui qui régit tout autre prestataire d’attestation qualifié — non pas comme un cas particulier, pas après un cycle législatif distinct, mais dans le cadre de la mise en œuvre initiale de la couche d’attestation non-PID.

Pourquoi cela est important avant que le registre n’existe

Les marques qui construisent l’infrastructure DPP en 2026 font un choix architectural qui leur coûtera à nouveau en 2027 si elles se trompent.

Un DPP implémenté comme une page web statique nécessite une reconstruction complète lorsque la livraison par portefeuille devient obligatoire. La reconstruction n’est pas une migration. Le modèle de données est différent, l’infrastructure de signature est différente, le protocole de livraison est différent. Le coût n’est pas négligeable.

Un DPP mis en œuvre aujourd’hui en tant que OID4VCI Vérifiable Credential — ce que Reeco délivre — est déjà dans le format correct. Lorsque le Registre des Émetteurs de Confiance s’ouvre, vous ajoutez une inscription. On ne reconstruit pas.

Je n’ai pas trouvé d’autre plateforme DPP textile qui délivre actuellement des identifiants SD-JWT VC via OID4VCI 1.0. Si un tel existe et que je l’ai manqué, je suis heureux d’être corrigé.

The UNTP alignment

Reeco est enregistré au Registre des logiciels UNTP (MR !732, UNICC GitLab, approuvé en avril 2026) comme une implémentation conforme du schéma UNTP DigitalProductPassport. La spécification UNTP définit ce qu’un DPP doit contenir. Elle ne définit pas comment elle doit être dispensée.

OID4VCI est la couche de livraison que l’UNTP ne possède pas actuellement. Une contribution à uncefact/spec-untp la proposition de OID4VCI comme mécanisme standard de diffusion pour UNTP DPP — avec Reeco comme mise en œuvre de référence — est en préparation.

For the market

L’émetteur est actif. Le format de l’offre de certification est OID4VCI standard et la JWKS est publique à https://ia.reeco.eco/dpp-issuer/jwks. N’importe quelle marque, vérificateur ou fournisseur de portefeuille peut tester contre cela sans demander d’autorisation.

Si vous êtes un prestataire DPP et que vous ne pouvez pas montrer votre /.well-known/openid-credential-issuer Endpoint, votre plateforme n’est pas prête pour le portefeuille. Cela peut être utile à d’autres fins. Il n’est pas prêt pour l’infrastructure d’application que l’ESPR exige.

C’est une affirmation falsifiable. Le point d’extrémité existe ou n’existe pas.

Stefano Cipriani est le fondateur de Reeco® and Stefano Cipriani Studio (Prato, Italie). Membre expert CIRPASS-2 EWG1, EWG3, EWG5. Actionnaire enregistré du JRC, Unité B5 Séville. ORCID : 0009-0001-3423-9402. Wikidata : Q138773743.

Merci de m’avoir lu ! Abonnez-vous gratuitement pour recevoir de nouveaux articles et soutenir mon travail.