Transpareo Time Machine

Una máquina del tiempo para los DPP

Imagina que tienes un producto en la mano y escaneas el código QR que lleva. En lugar de un PDF, se abre una pequeña aplicación. Ves el producto tal y como es ahora: de qué está compuesto, de dónde procede, qué hay que tener en cuenta. Con un simple deslizamiento, retrocede en el tiempo: puedes ver todas las versiones que se han publicado hasta la fecha.

Esto es Transpareo Time Machine, nuestra aplicación de código abierto para consumidores, compatible con cualquier pasaporte digital de producto. El código está disponible bajo licencia GPL v3 en GitHub.

La estamos desarrollando porque el Reglamento de la UE sobre el Pasaporte Digital del Producto se redactó pensando en los consumidores, es decir, en la persona que tiene el producto en sus manos. La mayoría de los proveedores lo convierten en un formulario de cumplimiento normativo que nadie vuelve a consultar. Nosotros lo convertimos en una aplicación que el consumidor realmente abre.

Demostración

Compruébalo tú mismo

La demostración muestra fichas técnicas completas con datos de ejemplo: navega por el historial de versiones y abre la etiqueta de inspección, directamente en el navegador y sin necesidad de crear una cuenta.

En uso

Qué hace la aplicación

Cuatro puntos de contacto desde la perspectiva de la persona que tiene el producto en la mano. Sin necesidad de iniciar sesión ni de instalar ninguna aplicación.

Escanear

Escanea el código QR con la cámara del móvil. La aplicación se abrirá en el navegador.

Ver las últimas noticias

El producto se presenta en el presente: componentes, materiales, origen, cuidados y reciclaje.

Hojea la historia

Con un movimiento de deslizamiento se puede retroceder en el tiempo. Cada versión anterior, con la fecha y el motivo del cambio.

Cada versión tiene su propio enlace. Una persona comparte una versión concreta con sus amigos o con las autoridades.

¿Por qué, en realidad?

El Reglamento de la UE sobre el pasaporte digital del producto supone el mayor avance hacia la transparencia de los productos en décadas. Si se leen con atención los textos en los que se basa, se observa que está redactado explícitamente para los consumidores. Las autoridades, las empresas de reciclaje y los talleres se adaptarán a ello; pero el destinatario principal es la persona que tiene el producto en sus manos.

En términos numéricos, la cuestión es clara. Un ciudadano europeo medio podrá escanear, a finales de esta década, entre docenas y cientos de pasaportes de producto al año. Si lo calculamos para 200 millones de hogares, esto supone miles de millones de interacciones con los consumidores al año. En comparación, el ámbito de las autoridades y las empresas de reciclaje es numéricamente insignificante.

Para que el reglamento llegue al consumidor, la página web destinada a este debe estar bien diseñada: debe ser rápida, atractiva y coherente. De lo contrario, no cumplirá su objetivo.

Hemos decidido desarrollar esta página web con código abierto para que no dependa de un único proveedor.

El proceso es una norma, el manifiesto es obra nuestra

Un pasaporte de producto puede sufrir modificaciones: una reparación, una nueva cuota de material reciclado, una retirada del mercado. Por ello, la normativa exige que las versiones anteriores sigan estando disponibles: la norma sobre almacenamiento congela cada versión, mientras que la relativa a las interfaces establece que cada versión pueda consultarse de forma específica. Lo que la normativa deja sin especificar es el eslabón intermedio: una lista que conecte todas las versiones de un pasaporte en un historial. Transpareo la publica para cada ficha en forma de manifiesto, firmado, con cada versión encadenada a su predecesora mediante una huella digital. De este modo, la «máquina del tiempo» recorre la historia de un producto, y el lector no solo comprueba que una versión es auténtica, sino que es la más reciente de una secuencia ininterrumpida.

Sin embargo, la aplicación no se limita a ello. Si, en lugar del manifiesto, se le muestra un único pase - tal y como lo publica cualquier proveedor según los estándares abiertos - , muestra esa única versión, comprueba su firma, si la tiene, y simplemente omite la línea temporal. Un pase sin firma no se considera un error, sino que simplemente se muestra sin sello de verificación. De este modo , la misma aplicación también muestra pases que nunca han estado registrados en Transpareo.

Cambio de proveedor sin interrupciones

El Reglamento de la UE sobre el pasaporte digital del producto exige que los pasaportes de producto sean interoperables y se basen en estándares abiertos - transferibles entre servicios y sistemas, en lugar de estar vinculados a un único proveedor - . Por lo tanto, la independencia respecto al proveedor de servicios no es un elemento adicional, sino parte del requisito.

Transpareo Time Machine es la herramienta que hace realidad este requisito. Dado que cada pasaporte de producto se entrega en estándares abiertos - identificación independiente del resolvedor, serialización canónica, claves publicadas - y que el renderizador es de código abierto bajo la licencia GPL v3, la visualización de un pasaporte nunca depende de nuestra plataforma.

El responsable de un pasaporte de producto es un agente económico: el fabricante, un importador o un representante autorizado. Si decide abandonar Transpareo y cambiar a otro proveedor, la visualización se mantiene estable: el mismo renderizador de código abierto sigue mostrando sin cambios las versiones ya publicadas, incluido el historial, y un nuevo proveedor que utilice los mismos estándares abiertos se mostrará exactamente en la misma aplicación.

Los datos se transfieren, los consumidores no perciben ninguna interrupción y nadie tiene que esperar a que se produzca una migración.

El traslado en sí no constituye un proyecto. Transpareo Time Machine es un paquete estático: una vez creado, se copia en cualquier servidor web y ya está listo. El diseño que haya configurado en Transpareo para sus pases se transfiere como una hoja de estilo publicada junto con cada pase. Por lo tanto, la vista del pase a la que sus clientes se han acostumbrado tendrá exactamente el mismo aspecto en su propio servidor, incluidos los colores, la tipografía y el logotipo.

Comprobado en el navegador, no en nuestro servidor

En la parte superior de cada ficha de producto aparece una insignia: «Verificado por Transpareo». Esta muestra el resultado de una verificación que no se lleva a cabo en nuestro servidor, sino en el navegador del visitante, a partir de los bytes cargados y las claves públicas del emisor.

Dos entidades independientes entre sí firman cada versión del DPP: el emisor y Transpareo. Ambas firmas deben poder verificarse para que la insignia se vuelva verde. Con «Bring Your Own Key» (BYOK), el emisor gestiona su propio punto final de firma; Transpareo nunca conserva la clave privada y solo añade la contrafirma independiente. De este modo se crea una firma del emisor que ni siquiera Transpareo puede generar.

Un servidor comprometido no puede falsificar la marca de verificación, ya que la verificación se realiza en el propio dispositivo del visitante.

Quien desee obtener información detallada, haga clic en la insignia. Detrás de ella podrá ver la cadena de firmas, los hash y el historial de versiones encadenadas. Si solo desea la información, simplemente ignórelo y siga leyendo el pasaporte del producto.

Esta misma verificación también está disponible como página independiente: en Verificación DPP, introduzca la URL del manifiesto de cualquier pasaporte de producto y verá el resultado completo de la verificación, sin necesidad de abrir el propio pasaporte.

Publicamos el código

Transpareo Time Machine está disponible bajo la licencia GPL v3 en GitHub. Las modificaciones publicadas deben estar, a su vez, bajo la licencia GPL v3, para que cualquier desarrollo posterior beneficie a la comunidad.

Clonar, bifurcar, alojarlo usted mismo: todo está permitido.

En el archivo README de ese enlace se explica cómo integrar la aplicación, ya sea con una línea en la página, como paquete en su propia aplicación o alojándola usted mismo por completo. Allí también encontrará el componente complementario para la verificación de la firma, que está en funcionamiento en Verificación DPP.

Quien utilice la aplicación de forma adecuada

La aplicación se ha diseñado en primer lugar para los consumidores. Sin embargo, es útil para cualquiera que desee consultar o verificar los datos de un producto de forma independiente.

Los consumidores finales escanean, ven, navegan y comparten. Sin necesidad de iniciar sesión ni rastreadores.
Los organismos de vigilancia del mercado y las autoridades pueden consultar el pasaporte del producto en un software cuyo código fuente es auditable públicamente.
Los talleres y las empresas de reciclaje pueden consultar la composición de los materiales y las instrucciones de desmontaje directamente en el producto.
Las marcas y los operadores de «fork» adaptan el paquete a su propia marca: tokens CSS, componentes propios, autoalojamiento.

¿Qué pasaría si Transpareo dejara de existir?

La UE exige que un pasaporte de producto registrado permanezca disponible durante al menos diez años, incluso tras la quiebra o la liquidación del emisor. Un proveedor de SaaS rara vez dura tanto tiempo. Por eso, desde el principio, diseñamos la plataforma de tal forma que los pasaportes de producto sigan siendo utilizables independientemente de nosotros:

Cada versión firmada del DPP se almacena en un repositorio de acceso público. Los bytes, junto con las claves públicas publicadas, son suficientes para una verificación posterior.
En cuanto los pasaportes de producto se registran en el registro de la UE, un segundo almacenamiento de solo lectura duplica cada versión del DPP y el registro de eventos durante otros diez años. Nadie - ni siquiera nosotros - puede modificar estas copias de seguridad a posteriori.
Tras una rescisión, se seguirá pudiendo acceder a las URL cortas de los pases de producto a través de una redirección en la plataforma Transpareo.
Transpareo Time Machine sigue funcionando sin cambios incluso con datos archivados. El paquete no nos llama en tiempo de ejecución; solo necesita los bytes y las claves.

Si la plataforma Transpareo desapareciera mañana, seguirían existiendo las versiones del DPP y el renderizador de código abierto.

Para los curiosos por la tecnología

Esto es lo que ocurre «bajo el capó». Si no necesitas conocer los detalles, puedes saltarte esta sección; la aplicación seguirá funcionando igualmente.

GS1 Digital Link (ISO/IEC 18975): la URL del «Product Pass» contiene la identificación del producto en un formato estandarizado, independiente del resolutor e intercambiable entre proveedores.
Esquema de canonización JSON (RFC 8785): una serialización determinista. De este modo, el hash sigue siendo reproducible independientemente del orden de los campos o de los espacios en blanco: cualquiera puede volver a calcularlo por sí mismo.
W3C Data Integrity Proofs (eddsa-jcs-2022): firma Ed25519 sobre la forma canónica (JCS).
/.well-known/dpp-keys/ (RFC 8615): las claves públicas de los emisores se encuentran en una ruta estandarizada; no es necesario contactar con Transpareo, cada verificador las encuentra por sí mismo.

Todo está documentado en el README de GitHub, incluida la arquitectura del frontend (núcleo React propio, sin marcos externos) y las instrucciones de compilación para el autoalojamiento.