🇮🇹🇩🇪🇫🇷🇪🇸🇵🇹🇳🇱🇵🇱🇸🇪🇩🇰🇫🇮🇨🇿🇷🇴🇭🇺🇬🇷🇧🇬🇭🇷🇸🇰🇸🇮🇪🇪🇱🇹🇱🇻🇮🇪🇲🇹🇸🇦🇨🇳🇯🇵🇰🇷🇮🇳🇹🇷🇻🇳🇮🇩

Due URL si risolvono, a partire da questa settimana:

  • https://ia.reeco.eco/v0.7/dpp/6df75070-714f-4031-9bd5-b4014b22993e

  • https://ia.reeco.eco/v0.7/dpp/6df75070-714f-4031-9bd5-b4014b22993e/jws

Il primo restituisce una Credenziale Verificabile. Il secondo restituisce un JWS su quella credenziale, firmata da una chiave Ed25519 il cui materiale pubblico è pubblicato a did:web:ia.reeco.eco. Entrambi sono conformi all'UN/CEFACT UNT 0.7.0, DigitalProductPassport Tipo. Per quanto ne so, questa è la prima DPP italiana emessa contro quella specifica e resa verificabile pubblicamente.

Questo post non è un annuncio. È una nota su cosa cambia quando un Digital Product Passport smette di essere una forma regolatoria e diventa un artefatto che puoi risolvere, analizzare e verificare con una libreria JOSE standard.

Il divario tra specifica e codice in esecuzione

La maggior parte della conversazione sul DPP — tre anni dopo l'inizio degli atti secondari ESPR e ben all'interno del processo di raccomandazione UN/CEFACT del NTP — avviene ancora a livello di cosa dovrebbe essere un DPP. Granularità. Modello dati. Affidati alla topologia dell'ancoraggio. Strategie di identificazione. Queste conversazioni sono necessarie. Il lavoro EWG3 su identità e credenziali verificabili, i contributi CIRPASS-2 al processo di raccomandazione, le consultazioni con gli stakeholder del JRC: tutto questo è un lavoro serio e sta plasmando il settore.

Ma c'è una seconda conversazione che si apre solo quando un emittente è effettivamente in funzione. Come appare la specifica quando la serializzi? Da dove si risolve il contesto JSON-LD? Quali campi finiscono vuoti in pratica — non per pigrizia degli implementatori, ma perché la catena di approvvigionamento tessile non li mostra al momento dell'emissione del DPP? Quale curva di firma pubblicizza il tuo documento DID e il verificatore che immaginavi avrebbe controllato l'artefatto sceglie effettivamente la chiave giusta?

Queste domande hanno risposte empiriche solo dopo che qualcosa viene pubblicato.

Cosa contiene l'artefatto

La credenziale all'URL sopra descrive un prodotto volutamente illustrativo: un tessuto a maglia, CPC 2820, prodotto in Turchia da un mulino provvisorio chiamato "Test Mill." Non è un passaporto commerciale. Non è un'affermazione su un prodotto reale su uno scaffale vero. Il tessuto è un veicolo per la pila sottostante.

Cosa dimostra la pila:

  • A did:web:ia.reeco.eco identificatore si risolve in un documento DID a .well-known/did.json, pubblicizzando sia una chiave Ed25519 (ed25519-1, usato per il JWS sopra) e un tasto ES256. Due curve sono esposte perché gli ecosistemi verificatori non sono ancora convergenti su una.

  • L'abilitazione è tipografiata come DigitalProductPassport per UNTP 0.7.0. Non è un tipo Reeco personalizzato, né una variante aromatizzata, né un oggetto "simile a DPP".

  • Il JWS è recuperabile da un endpoint separato, quindi una parte affidabile può richiedere la credenziale e la prova in modo indipendente — utile quando le politiche di cache o replicazione differiscono tra i due.

  • Il software emittente, Reeco DPP Issuer 0.2.0-untp070, è la stessa istanza elencata nel Registro Software UN/CEFACT untp (MR !732, fuso ad aprile 2026). La suite di migrazione a 33 test che passa su commit 7e68064 è il confine di integrazione rispetto allo schema 0.7.0.

Niente di tutto questo è una ricerca nuova. È idraulica. Il valore è che l'impianto idraulico è cablato secondo le specifiche effettive, non su una parallela.

Perché "primo italiano" non è una pretesa da piantar bandiera

È allettante, quando qualcosa va per primo in un contesto nazionale, leggerlo come un indicatore competitivo. Qui non è il fotogramma giusto.

Il quadro rilevante è geografico. L'Italia detiene una quota sostanziale della produzione tessile europea — Prato, Biella, Como, Carpi — e della realtà operativa di come funzionano il bilancio di massa, la certificazione, il paese di origine e la tracciabilità dei componenti sul pavimento è ancorato a questa geografia. ESPR vincolerà produttori, importatori e marchi che operano in tutto il territorio. Il processo di raccomandazione UN/CEFACT e le linee guida per l'implementazione del JRC necessitano del ciclo di retroazione che deriva dal gestire gli emittenti nei luoghi in cui il tessuto si muove effettivamente.

Una prima emissione da Prato non è un risultato nazionale. È l'inizio di quel circolo vizioso sul suolo tessile italiano — un emittente, uno stack, conforme, pubblico, ispezionabile.

Note per la community degli spec

Alcune osservazioni per i colleghi di UNTP e CIRPASS-2 che potrebbero ispezionare l'artefatto:

  • Il pattern a doppia chiave Ed25519 / ES256 era guidato dalla frammentazione lato verificatore. Uno stack puro Ed25519 funziona per alcuni consumatori a valle e si guasta silenziosamente in altri. Qualsiasi raccomandazione normativa sulle curve di firma ridurrà in modo significativo i costi di implementazione per le PMI.

  • La questione della granularità — quale livello di descrizione del prodotto appartiene al DPP stesso rispetto alle credenziali collegate — non si risolve sulla carta. Si risolve quando un emittente deve compilare il JSON. Diversi campi che sembrano opzionali nello schema si rivelano operativamente necessari per rendere utile la certificazione a un responsabile della sostenibilità del marchio. Altri contrassegnati come raccomandati sono difficili o impossibili da popolare dalla catena di approvvigionamento a monte al momento dell'emissione. L'esperienza di implementazione qui vale la pena farla emergere nelle conversazioni su EWG1 ed EWG3.

  • La verificabilità pubblica è economica da specificare e costosa da gestire. Ospitare un emittente, un documento DID e URL di credenziali su SLA di livello produttivo non è una richiesta da poco per le PMI del settore tessile. Il processo di raccomandazione dovrebbe valutare questo aspetto nella definizione dei criteri di conformità.

Queste non sono lamentele. Sono ciò che appare la sedia dell'esecutore. CIRPASS-2 è stato attento a raccogliere questo tipo di input attraverso i suoi gruppi di lavoro di esperti, e il registro UNTP è esplicitamente strutturato per accettare implementazioni come forma di contributo. Questo post è in questo spirito.

Cosa cambia per i brand

Per gli addetti alla sostenibilità e alla conformità che leggono questo: un DPP verificabile cambia il modello di fiducia.

Oggi, la maggior parte delle affermazioni che si viaggiano con un prodotto tessile sono PDF, dichiarazioni di mulino, certificati rilasciati da certificati e citati tramite numero di serie. Il percorso di verifica è umano, lento e si basa sulla credibilità dell'autore del documento.

Un DPP conforme è un oggetto diverso. È firmata da una chiave la cui controparte pubblica si trova in una posizione stabile e risolvibile. La firma è controllabile in millisecondi da qualsiasi libreria JOSE standard. Il legame tra il prodotto, l'emittente e le affermazioni sottostanti è crittografico, non narrativo.

Questo non sostituisce la certificazione. Non elimina l'audit. Quello che fa è ridurre il costo di porre la domanda "Questa affermazione è quella che il suo autore ha detto?" — e quando quel costo si avvicina a zero, l'asimmetria tra acquirenti sofisticati e non sofisticati in tutta la catena di fornitura si restringe. Questo è il cambiamento operativo che vale la pena considerare, ben prima delle scadenze ESPR che lo impongono.

Reeco informa i marchi, su base per unità, quando il materiale certificato riportato dai loro fornitori è coerente con il bilancio di massa del prodotto finito, e quando non lo è. Il marchio decide cosa fare con queste informazioni. Il DPP è il portaerei; lo stack di verifica è l'ancora di fiducia; Il marchio mantiene l'autonomia su ogni rivendicazione. Un emittente operativo rende quel circuito concreto invece che ipotetico.

Chiusura

L'accreditamento si trova all'URL. Il JWS è all'URL. Il documento DID è in https://ia.reeco.eco/.well-known/did.json. L'ispezione è benvenuta — correzioni, critiche tecniche, richieste di campi aggiuntivi, casi limite che rompono il verificatore — tutti utili.

Gli standard maturano attraverso l'implementazione. Questa è un'implementazione. Ce ne saranno altri.

Stefano Cipriani — Reeco · Studio Stefano Cipriani · PratoMembro Esperto CIRPASS-2 (EWG1 / EWG3) · Stakeholder registrato JRC · Registro software UN/CEFACT untp