Attestto desarrolla y mantiene dos métodos de Identificador Descentralizado — ambos en el proceso de estandarización del W3C, ambos con resolvers en producción, ambos de código abierto.
Estos métodos conectan infraestructura de confianza existente (PKIs nacionales, sistemas de nombres de dominio) con el ecosistema DID sin reemplazar nada. Los verificadores obtienen resolución interoperable. Los emisores conservan sus claves existentes.
did:pki v0.1.0 Método DID de solo lectura que deriva DIDs de forma determinista a partir de certificados X.509 de CAs en Infraestructuras de Clave Pública nacionales. Sin registro, sin escrituras on-chain — si una CA gubernamental existe, ya tiene un DID.
did:pki:cr:raiz-nacional CA Raíz de Costa Rica did:pki:cr:sinpe:persona-fisica CA emisora de SINPE para usuario final did:sns v0.4.0 Método DID anclado en alias usando el Solana Name Service. Identificadores legibles para humanos que resuelven a DID Documents mediante consulta on-chain. Adecuado para organizaciones, profesionales y cualquier entidad que quiera un identificador memorable y verificable.
did:sns:attestto Organización Attestto did:sns:fi-cr Autoridad financiera de Costa Rica Un endpoint HTTP unificado que resuelve identificadores tanto did:pki como did:sns. Conforme a la interfaz del DIF Universal Resolver.
https://resolver.attestto.com/1.0/identifiers/did:pki:cr:raiz-nacional Retorna un DID Resolution Result del W3C con la clave pública de la CA como JWK, metadatos del certificado e información de la jerarquía PKI.
Más de 100 países operan jerarquías de PKI soberanas para firmas digitales. Estas jerarquías son islas — un certificado emitido por el BCCR de Costa Rica no es verificable en Panamá sin herramientas a medida. La industria ha intentado varios enfoques, cada uno con limitaciones estructurales.
| Enfoque | Depende de | Neutralidad | ¿Escala? |
|---|---|---|---|
did:pki | Matemáticas (certificado X.509) | Total | Automático — agrega certificados, obtén DIDs |
| Listas de confianza (eIDAS) | Acuerdos diplomáticos por par de países | Media | Lento — requiere tratados |
| Programas de vendor (Adobe AATL) | Criterios de inclusión de una empresa privada | Ninguna | Fácil — pero pierdes soberanía |
| Bridge CAs (Federal Bridge) | Autoridad central que firma cruzado | Baja | Rígido — punto único de control político |
did:web / did:tdw | Infraestructura DNS + hosting | Media | Fácil — pero si el dominio muere, el DID muere |
did:pki toma un enfoque fundamentalmente diferente: derivación determinista del certificado mismo. Sin registro, sin acuerdos, sin dependencia de vendors, sin dependencia de DNS. Si un certificado de CA gubernamental existe, ya tiene un DID — cualquier resolver conforme derivará el mismo identificador y retornará la misma clave pública.
Esta es la vía rápida técnica: en lugar de esperar acuerdos diplomáticos para reconocer listas de confianza, did:pki traduce la confianza que ya existe en el certificado a un lenguaje que las aplicaciones modernas (wallets, verificadores, contratos inteligentes) entienden nativamente.
Estos no son hipotéticos. Cada caso de uso a continuación está en producción o en desarrollo activo, usando did:pki y/o did:sns para resolución de identidad y verificación de credenciales.
La jerarquía PKI de Firma Digital de Costa Rica (BCCR/MICITT) mapeada a did:pki. Cada CA — raíz, política, emisora — resoluble como DID Document con su clave pública. Permite verificación de firmas transfronteriza sin acuerdos bilaterales.
Documentos PDF firmados con firmas digitales nacionales (PKCS#7/CAdES) verificados criptográficamente en el navegador. El verificador no necesita empaquetar el trust store de cada país — el resolver provee las claves públicas de las CAs.
En vivoMarco propuesto para Credenciales Verificables de profesionales colegiados (médicos, abogados, ingenieros). Identidad profesional anclada vía did:sns, autoridad emisora verificada vía cadena did:pki.
Arquitectura de licencia de conducir móvil propuesta siguiendo ISO 18013-5, con verificación de competencia continua basada en maestría. Exámenes supervisados, puntuación por decaimiento y puertas de renovación — anclados al DID del titular.
PropuestoEl resolver did:pki se alimenta del repositorio attestto-trust — un espejo público independiente de código abierto de certificados de CA raíz e intermedios de PKIs nacionales. Agregar un país significa agregar sus certificados al trust store.
¿Quieres que la PKI de tu país esté en el trust store? Contáctanos o envía un PR.