Sceau du passeport

Vérifier le sceau d'un passeport

Chaque passeport délivré par xProduct au format standard (EN 18223) porte un sceau numérique. Il prouve que les données proviennent de xProduct et n'ont pas été modifiées depuis, y compris pour une copie enregistrée il y a des mois. La vérification s'exécute dans votre propre navigateur, avec nos clés publiques.

Un passeport sur ce site

Son numéro de produit ou l'adresse de son passeport.

Un fichier de passeport signé

Un fichier .jws, p. ex. issu de /api/dpp/{number}/en18223/signed.

Ce qu'est le sceau

Une JSON Web Signature (RFC 7515) en ES256 (ECDSA, P-256, SHA-256), réalisée avec une clé qui ne quitte jamais notre coffre-fort de clés.
Chaque réponse standard (/api/dpp/{id}/en18223 et /api/v1/…) le transporte dans l'en-tête X-DPP-Signature, sans les données (détaché). /api/dpp/{id}/en18223/signed fournit le passeport et le sceau en un seul fichier.
Les clés publiques se trouvent à /.well-known/jwks.json ; le kid du sceau désigne la clé. Les anciennes clés restent listées afin que les anciennes copies puissent toujours être vérifiées.
Il s'agit du sceau de xProduct, réalisé pour l'opérateur économique nommé dans le passeport. Le propre sceau électronique de l'opérateur, avec un certificat reconnu dans l'UE, est une étape ultérieure qui attend les règles européennes.

Le vérifier avec votre propre logiciel

Prenez le sceau dans l'en-tête : header..signature (rien entre les deux points).
Placez le corps de la réponse, exactement tel que reçu et encodé en base64url, entre les points.
Vérifiez-le comme une JWS ES256 normale avec la clé du jeu de clés dont le kid correspond. N'importe quelle bibliothèque JOSE peut le faire.