SD-JWT VC vs mdoc (ISO/IEC 18013-5): comparativa de formats de l'EUDI Wallet

Darrera revisió: 5 d'octubre de 2026 · No constitueix assessorament jurídic

Un SD-JWT VC és una credencial verificable empaquetada com un JSON Web Token signat, les declaracions del qual es poden divulgar una per una. Un mdoc és un document mòbil en el format de la ISO/IEC 18013-5, l'estàndard escrit originalment per als permisos de conduir mòbils. El Marc d'Arquitectura i Referència (ARF) de la cartera europea d'identitat digital (EUDI Wallet) els inclou tots dos com a obligatoris per a les carteres, i un tercer format, el W3C Verifiable Credentials Data Model 2.0, com a opcional i «pensat només per a EAA no qualificades».^[1]

Aquesta guia compara tots dos formats per als desenvolupadors que construeixen un verificador, a partir de l'ARF v3.0.0, del text d'OpenID for Verifiable Presentations (OpenID4VP) 1.0 i del Diari Oficial. PID vol dir dades d'identificació personal.

Què és un SD-JWT VC

L'ARF descriu les «credencials verificables basades en SD-JWT» com un format de dades i unes regles de processament per expressar credencials verificables, on SD-JWT «vol dir 'Selectively Disclosable JSON Web Token'».^[1] Cobreix la codificació JSON, un mecanisme de prova amb divulgació selectiva i la vinculació opcional al dispositiu.^[1]

A OpenID4VP l'identificador de format és dc+sd-jwt, i una consulta indica el tipus de credencial mitjançant vct_values.^[4] L'exemple de càrrega útil emesa de l'especificació, escurçat a dos dels seus vuit resums:^[4]

{ "_sd": [ "jsu9yVulwQQlhFlM_3JlzMaSFzglhQG0DpfayQwLUK4", "TGf4oLbgwd5JQaHyKVQZU9UdGE0w5rtDsrZzfUaomLo" ], "vct": "https://credentials.example.com/identity_credential", "_sd_alg": "sha-256", "cnf": { "jwk": { "kty": "EC", "crv": "P-256" } } }

Què és un mdoc (ISO/IEC 18013-5)

La ISO/IEC 18013-5 defineix els atributs del permís, la seva codificació en Concise Binary Object Representation (CBOR), els espais de noms que eviten col·lisions entre identificadors, un mecanisme de prova amb divulgació selectiva, la vinculació obligatòria al dispositiu i l'intercanvi en proximitat.^[1]

Només el model de dades del permís és específic de la conducció. L'ARF assenyala que tots els altres aspectes «són genèrics i es poden utilitzar per a qualsevol altre tipus de declaració, incloses les PID».^[1]

OpenID4VP descriu aquestes credencials com a «codificades en CBOR i protegides amb COSE_Sign1» i els assigna l'identificador de format mso_mdoc. Una consulta indica el tipus de document mitjançant doctype_value.^[4]

Com funciona la divulgació selectiva en cada format

La divulgació selectiva permet a l'usuari compartir alguns atributs i amagar-ne la resta, mentre el verificador continua comprovant la signatura de l'emissor. eIDAS 2 exigeix que les carteres ho facin possible.^[6] L'ARF anomena el mecanisme de SD-JWT «hashes amb sal» i diu que «és conceptualment idèntic al mecanisme utilitzat amb la mateixa finalitat a [ISO/IEC 18013-5]».^[1]

Un mecanisme, dues codificacions.^[1][4]

En l'exemple anterior, la matriu _sd conté resums SHA-256. Cada divulgació és una matriu amb un valor aleatori, el nom de l'atribut i el valor de l'atribut. Per al nom de pila és ["2GLC42sKQveCfGfryNRN9w", "given_name", "John"], i el seu hash és el primer resum de la llista. El verificador calcula el hash de cada divulgació que rep i busca el resum a la càrrega útil signada.^[4]

Els atributs s'adrecen de manera diferent. Per a una credencial JSON, una ruta d'atributs és una llista de claus com ara ["address", "street_address"]. Per a un mdoc, la ruta "conté dos elements de tipus cadena": l'espai de noms i l'identificador de l'element de dades, per exemple ["org.iso.18013.5.1", "first_name"].^[4]

Vinculació de claus i connexió amb el dispositiu

La vinculació al dispositiu lliga una credencial a claus guardades a la cartera de l'usuari, de manera que no es pot clonar. El verificador ho comprova demanant a la cartera que signi dades aleatòries noves amb la clau privada que correspon a la clau pública que hi ha dins la credencial.^[1] Els noms difereixen: "A [ISO/IEC 18013-5] s'anomena 'mdoc authentication'. A [SD-JWT VC] s'anomena 'key binding'."^[1]

La vinculació al dispositiu és obligatòria per als PID en tots dos formats.^[1][4]

Per a SD-JWT VC, la regla d'OpenID4VP és estricta. Quan require_cryptographic_holder_binding és true, el valor per defecte, la cartera "HA DE retornar un SD-JWT" amb un Key Binding JWT. El camp nonce ha de coincidir amb el nonce de la vostra sol·licitud, i aud ha de coincidir amb el vostre Client Identifier, excepte a través de la Digital Credentials API, on ha de coincidir amb el vostre origen precedit de origin:.^[4]

El device engagement és exclusiu de mdoc. En un flux de proximitat, l'usuari mostra un codi QR o presenta una etiqueta NFC. Conté el que el lector necessita per obrir una connexió NFC, Bluetooth Low Energy o Wi-Fi Aware i establir-hi un canal autenticat i xifrat, sense cap connexió a internet entre tots dos.^[1]

Una presentació de proximitat amb mdoc (ISO/IEC 18013-5), simplificada.^[1]

El que veu l'usuari:

Protocols de presentació: OpenID4VP, ISO/IEC 18013-7 i proximitat

L'ARF enumera què gestiona una cartera: ISO/IEC 18013-5 en proximitat, i OpenID4VP o ISO/IEC 18013-7 a distància.^[1]

Quin protocol transporta quin format, segons l'ARF.^[1]

Les atestacions SD-JWT VC "no es poden utilitzar en presentacions de proximitat". ISO/IEC 18013-7 "només es pot utilitzar per sol·licitar i presentar atestacions en format conforme a [ISO/IEC 18013-5]". OpenID4VP "només és adequat per a fluxos de transacció de presentació a distància" i transporta tots dos formats.^[1] OpenID4VP 1.0 va passar a ser una Final Specification el 10 de juliol de 2025.^[5]

L'ARF no recomana els esquemes d'URI personalitzats entre dispositius, perquè aquests fluxos "són vulnerables a atacs de pesca electrònica i de retransmissió", i assenyala la Digital Credentials API com a alternativa.^[1] Aquesta API encara és un esborrany del W3C, i Chrome 141 l'activa per defecte.^[9][10] ISO indica que l'especificació tècnica de 2024 de la 18013-7 està retirada i substituïda, amb una tercera edició en desenvolupament, així que comproveu a quina edició s'adreça el vostre codi.^[7][8] Els detalls de la sol·licitud són a la guia del verificador OpenID4VP.

Què exigeix el Reglament d'Execució (UE) 2026/1731 per al PID

La primera norma sobre els formats del PID, el Reglament d'Execució (UE) 2024/2977, establia que el PID "s'ha d'emetre en dos formats": ISO/IEC 18013-5:2021 i el Verifiable Credentials Data Model 1.1.^[2][3] L'acte modificatiu de juliol de 2026 va substituir aquesta frase. Ara el PID "s'ha d'emetre d'acord amb les normes establertes a l'annex II del Reglament d'Execució (UE) 2024/2979, clàusules 5 (format SD-JWT VC) i 6 (format ISO/IEC-mdoc)".^[2]

1. 4 de desembre de 2024Primera norma2024/2977: 18013-5 i VCDM 1.1.
2. 22 de juliol de 2026Modificació2026/1731: SD-JWT VC i mdoc.
3. 23 de juliol de 2026ARF v3.0.0Alineat amb els actes modificatius.
4. 24 de desembre de 2026Termini de les carteresUna cartera per Estat membre.
5. 11 d'agost de 2028RetratEl requisit del retrat s'aplica, tret que l'usuari hi renunciï explícitament, quan escaigui.

Com ha evolucionat la normativa sobre els formats de PID.^[1][2][3][6]

El mateix acte estableix dos perfils de presentació a l'annex del Reglament d'Execució (UE) 2024/2982: un "perfil ISO/IEC-mdoc" i un "perfil OpenID4VC-HAIP".^[2]

• Envieu el vostre certificat de registre: un element de verifier_info "ha d'incloure el certificat de registre".^[2]
• Utilitzeu el vostre certificat d'accés com a certificat final amb el prefix d'identificador de client x509_hash.^[2]
• Seguiu l'"annex C de la ISO/IEC 18013-7:2025" per a mdoc a través de la Digital Credentials API.^[2]

El registre es tracta a la guia per a parts usuàries de la cartera europea d'identitat digital (EUDI Wallet), i el calendari, a terminis de l'EUDI Wallet per a 2026 i 2027.

SD-JWT VC vs mdoc (ISO/IEC 18013-5): taula comparativa

De l'ARF, excepte la fila del PID (Reglament d'Execució 2026/1731) i les dues últimes files (OpenID4VP 1.0).^[1][2][4]

Els permisos de conduir mòbils als Estats Units es basen en ISO/IEC 18013-5 per a la proximitat.^[7][8] La solució de verificació de l'edat de la UE designa la prova de coneixement zero com el seu mecanisme de presentació obligatori, "amb la presentació mDoc simple com a alternativa".^[13] L'EVO Wallet de Moldàvia documenta OpenID4VP 1.0 amb un mdoc ISO/IEC 18013-5, perfilat segons HAIP 1.0.^[11]

Quin format ha d'admetre una part usuària

Les unitats de cartera gestionen tots dos formats, i el PID s'emet en tots dos.^[1][2] Els textos consultats per a aquesta guia no contenen cap línia que obligui una part usuària a sol·licitar-los tots dos. La lectura pràctica: un verificador remot pot demanar qualsevol dels dos, i un lector sense connexió a internet necessita mdoc, l'únic format que funciona en proximitat.^[1]

El Digital Credentials Query Language (DCQL) d'OpenID4VP permet que una sola sol·licitud porti una consulta dc+sd-jwt i una consulta mso_mdoc una al costat de l'altra. L'especificació mostra una sol·licitud d'aquest tipus.^[4] Segons l'ARF, la part usuària verifica la signatura de l'emissor amb un ancoratge de confiança d'una llista de confiança (Trusted List) o d'una llista d'entitats de confiança (List of Trusted Entities), comprova la revocació mitjançant una llista d'estat o una llista de revocació, i verifica la vinculació al dispositiu.^[1]

Segons eIDAS 2, el Reglament (UE) 2024/1183, cada Estat membre ha de proporcionar almenys una cartera com a màxim el 24 de desembre de 2026. Les parts usuàries privades obligades a utilitzar l'autenticació forta d'usuari l'han d'acceptar a petició de l'usuari com a màxim el 24 de desembre de 2027. Les microempreses i les petites empreses n'estan exemptes.^[6] L'estat de cada país es troba al seguiment del llançament de la cartera europea d'identitat digital (EUDI Wallet).

Biblioteques i eines de prova

Les fonts d'aquesta guia no esmenten cap biblioteca de codi obert, i per això aquesta secció tampoc no n'esmenta cap. Sí que indiquen on fer proves i què cal comprovar en qualsevol biblioteca que trieu.

• Executeu les proves de conformitat a conformance.eudi.dev, esmentades a les notes de la versió ARF v3.0.0.^[1]
• Llegiu la documentació de la implementació de referència a docs.eudi.dev.^[1]
• Estudieu un verificador publicat: el Banc Nacional de Moldàvia va publicar un verificador de demostració amb el codi font per a les entitats financeres.^[12]
• Confirmeu que la biblioteca segueix HAIP, i no només les especificacions de base.^[1]
• Confirmeu quina edició de la ISO/IEC 18013-7 implementa.^[2][8]

Com us ajuda Didit amb la verificació amb la cartera europea d'identitat digital (EUDI Wallet)

L'acceptació de l'EUDI Wallet arribarà aviat a Didit: és al nostre full de ruta, alineada amb el calendari de l'EUDI Wallet, en el mateix flux de treball que ja feu servir. Ara ja podeu verificar persones a distància.

• Avui funcionen a Didit cinc eID nacionals mitjançant les carteres d'identitat digital: MitID, BankID Sweden, Finnish Trust Network, Smart-ID i Mobile-ID. Vegeu verificació d'eID.
• La resta de persones fan servir la verificació de documents amb lectura del xip NFC, prova de vida i comparació facial. Una comprovació KYC completa costa $0.33.
• El cribratge AML s'executa en el mateix flux per $0.20.

La documentació de les carteres mostra com s'activen els eID per país.

Preguntes freqüents

Fonts

1. Architecture and Reference Framework v3.0.0, eu-digital-identity-wallet a GitHub, versió del 23 de juliol de 2026.
2. Reglament d'Execució (UE) 2026/1731 de la Comissió, EUR-Lex, Diari Oficial del 22 de juliol de 2026.
3. Reglament d'Execució (UE) 2024/2977 de la Comissió sobre les dades d'identificació de la persona, EUR-Lex, Diari Oficial del 4 de desembre de 2024.
4. OpenID for Verifiable Presentations 1.0, OpenID Foundation, Final Specification.
5. OpenID for Verifiable Presentations 1.0 Final Specification Approved, OpenID Foundation, 10 de juliol de 2025.
6. Reglament (UE) 2024/1183 (eIDAS 2), EUR-Lex, Diari Oficial del 30 d'abril de 2024.
7. Sèrie ISO/IEC 18013, permís de conduir mòbil, pàgina de la norma a ISO.
8. ISO/IEC 18013-7, pàgina de la norma a ISO.
9. Digital Credentials, esborrany del W3C.
10. Digital Credentials API shipped, Chrome for Developers.
11. Guia per a desenvolupadors d'EVO Wallet, Govern de Moldàvia, egov4dev.
12. Verificador de demostració del BNM, Govern de Moldàvia, egov4dev.
13. Solució de verificació d'edat de la UE, portal tècnic, ageverification.dev.

SD-JWT VC i mdoc (ISO/IEC 18013-5) són dues codificacions de la mateixa promesa: atributs signats que controla l'usuari. Vegeu com enfoca Didit l'acceptació de carteres a la pàgina de la solució EUDI Wallet, i tots els esquemes nacionals a Esquemes d'eID per país.