OpenID for Verifiable Presentations 1.0

Remarque

Spécification de l'OpenID Foundation, version 1.0 finale, qui définit un protocole pour demander et présenter des justificatifs (OpenID4VP).

Résumé

Objet

La spécification OpenID for Verifiable Presentations 1.0 (OpenID4VP) de l’OpenID Foundation définit la manière dont un vérificateur demande des attestations et dont le portefeuille les présente OpenID4VP 1.0 :

Le mécanisme repose sur OAuth 2.0. Il accepte tout format d’attestation, notamment le modèle de données du W3C, le mdoc ISO et SD-JWT VC. La spécification décrit aussi son usage avec l’API Digital Credentials des navigateurs, dans son annexe A OpenID4VP 1.0, [1.](#section-1) [Introduction](#name-introduction).

À qui ça s’applique

La spécification n’impose rien par elle-même. Les fournisseurs de portefeuille veillent à ce que les solutions de portefeuille prennent en charge la présentation d’attributs aux parties utilisatrices conformément à l’annexe II du règlement d’exécution 2024/2982 Art. 5 §1. Cette annexe rend applicables les paragraphes 4.1, 4.2, 5 et 6 de la spécification ETSI TS 119 472-2 V1.2.1, avec des adaptations Annexe II.

Le renvoi passe surtout par cette norme intermédiaire. Son paragraphe 6 définit un profil fondé sur OpenID4VC-HAIP ETSI TS 119 472-2 V1.2.1, § 6.1 Introduction, et les protocoles de ce profil sont eux-mêmes fondés sur OpenID4VP ETSI TS 119 472-2 V1.2.1, § 1 Scope. L’annexe II exige notamment que les parties utilisatrices et les portefeuilles respectent les exigences obligatoires de plusieurs sections d’OpenID4VC-HAIP Annexe II ; ce renvoi est détaillé dans le résumé d’OpenID4VC-HAIP OpenID4VC HAIP 1.0.

Points clés

• Une seule mention directe. L’annexe II nomme OpenID4VP pour le préfixe d’identifiant client x509_hash de la section 5.9.3 : le certificat d’entité finale à utiliser avec ce préfixe est un certificat d’accès de partie utilisatrice au sens d’ETSI TS 119 475 Annexe II. Dans la spécification, ce préfixe lie l’identifiant du vérificateur à l’empreinte du certificat qui signe la demande OpenID4VP 1.0, [5.9.3.](#section-5.9.3) [Defined Client Identifier Prefixes](#name-defined-client-identifier-p).
• Le certificat d’enregistrement dans la demande. L’un des éléments du paramètre verifier_info comprend le certificat d’enregistrement de la partie utilisatrice Annexe II. La spécification présente ce paramètre comme facultatif et cite le certificat d’enregistrement parmi ses exemples OpenID4VP 1.0, [5.11.](#section-5.11) [Verifier Info](#name-verifier-info).
• Une réserve sur les redirections. Le portefeuille ne devrait pas prendre en charge le mécanisme fondé sur les redirections pour les flux entre deux appareils. L’annexe le dit vulnérable, notamment à la fixation de session, en laisse l’atténuation aux parties utilisatrices et précise que sa mise en œuvre ne devrait pas entraîner de non-conformité Annexe II. La spécification traite elle-même ce risque dans ses considérations de sécurité OpenID4VP 1.0, [14.2.](#section-14.2) [Session Fixation](#name-session-fixation).
• À la délivrance aussi. Par l’annexe I du même règlement, la spécification ETSI TS 119 472-3 s’applique avec des adaptations Annexe I. Elle donne au paramètre issuer_info du fournisseur de PID ou d’attestations la même structure que le paramètre verifier_info d’OpenID4VP ETSI TS 119 472-3 V1.1.1, § 4.2.3 Provision of registration certificates of PID/EAA Provider to EUDI Wallet.

Passages des actes qui s’y rattachent

• Annexe II : exigence OIDFVP-HAIP-COMMON-REQ-RO-23 (section 5.9.3 d’OpenID4VP) et profil OpenID4VC-HAIP de la spécification ETSI adaptée.
• Annexe I : spécification ETSI TS 119 472-3 adaptée.
• Ces deux annexes ont été ajoutées par le règlement d’exécution 2026/1731, qui a supprimé l’annexe d’origine Art. 4 ; le site cite la version consolidée qui l’intègre.

Liens

• Normes liées : OpenID4VC-HAIP OpenID4VC HAIP 1.0, OpenID4VCI OpenID4VCI 1.0.
• Normes intermédiaires : ETSI TS 119 472-2 ETSI TS 119 472-2 V1.2.1 et ETSI TS 119 472-3 ETSI TS 119 472-3 V1.1.1.
• Parcours : étape 3, le portefeuille européen.

Rédaction Asphalia.