Transpareo Time Machine

O mașină a timpului pentru DPP-uri

Imaginați-vă că țineți un produs în mână și scanați codul QR de pe acesta. În loc de un fișier PDF, se deschide o mică aplicație. Vedeți produsul în timp real: din ce este alcătuit, de unde provine, ce trebuie să aveți în vedere. O simplă glisare vă permite să vă întoarceți în timp - puteți vizualiza fiecare versiune care a fost lansată vreodată.

Aceasta este Transpareo Time Machine, aplicația noastră open-source destinată consumatorilor, compatibilă cu orice pașaport digital al produsului. Codul sursă este disponibil sub licența GPL v3 pe GitHub.

O dezvoltăm deoarece Regulamentul UE privind pașaportul digital al produsului a fost conceput pentru consumatori - pentru persoana care ține produsul în mână. Majoritatea furnizorilor îl transformă într-un formular de conformitate pe care nimeni nu îl scanează de două ori. Noi îl transformăm într-o aplicație pe care consumatorul chiar o deschide.

Demo

Convingeți-vă singuri

Demo-ul prezintă fișele complete ale produselor cu date exemplificative: răsfoiți istoricul versiunilor și deschideți eticheta de certificare - direct în browser, fără a fi necesar un cont.

În timpul utilizării

Ce face aplicația

Patru puncte de interacțiune din perspectiva persoanei care ține produsul în mână. Fără autentificare, fără instalarea unei aplicații.

Scanare

Scanează codul QR cu camera smartphone-ului. Aplicația se va deschide în browser.

Vezi noutățile

Produsul se prezintă în prezent - componente, materiale, proveniență, întreținere, reciclare.

Răsfoiește istoria

O mișcare de glisare te duce înapoi în timp. Fiecare versiune anterioară, cu data și motivul modificării.

Distribuie

Fiecare versiune are propriul link. O persoană poate partaja o anumită versiune cu prietenii sau cu autoritățile.

De ce, de fapt?

Regulamentul UE privind pașaportul digital al produsului reprezintă cea mai importantă schimbare în direcția transparenței produselor din ultimele decenii. Dacă se citesc cu atenție textele care stau la baza acestuia, se observă că este redactat în mod explicit pentru consumatori. Autoritățile, firmele de reciclare și atelierele se aliniază la această inițiativă; însă destinatarul principal este persoana care ține produsul în mână.

Din punct de vedere numeric, situația este clară. Un cetățean european obișnuit va putea scana, până la sfârșitul deceniului, zeci sau chiar sute de pașapoarte digitale ale produselor pe an. Calculat la 200 de milioane de gospodării, înseamnă miliarde de interacțiuni cu consumatorii anual. În comparație, lumea autorităților și a firmelor de reciclare este neglijabilă din punct de vedere numeric.

Dacă regulamentul trebuie să ajungă la consumatori, atunci pagina destinată consumatorilor trebuie să fie bine concepută - rapidă, atractivă, coerentă. Altfel, își ratează scopul.

Am decis să construim această pagină destinată consumatorilor cu cod sursă deschis, astfel încât să nu depindă de un singur furnizor.

Cursul evenimentelor este prestabilit, manifestul este al nostru

Un pașaport al produsului se modifică: o reparație, o nouă cotă de materiale reciclate, o acțiune de retragere de pe piață. Prin urmare, specificațiile impun ca versiunile anterioare să rămână accesibile: standardul privind stocarea îngheață fiecare versiune, iar standardul privind interfețele prevede ca fiecare versiune să poată fi citită în mod specific. Ceea ce specificațiile lasă deschis este partea de mijloc: o listă care leagă toate versiunile unui pașaport într-o istorie. Transpareo o publică pentru fiecare fișă sub formă de manifest, semnat, fiecare versiune fiind legată de predecesoarea sa printr-o amprentă digitală. Astfel, „mașina timpului” parcurge istoria unui produs, iar cititorul verifică nu doar dacă o versiune este autentică, ci și dacă aceasta este cea actuală dintr-o succesiune fără întreruperi.

Aplicația nu se limitează însă la acest lucru. Dacă îi prezentați, în locul manifestului, un singur pașaport, așa cum îl publică fiecare furnizor conform standardelor deschise, aceasta afișează acea versiune, îi verifică semnătura, dacă are una, și omite pur și simplu cronologia. Un pașaport fără semnătură nu este considerat o eroare, ci este afișat pur și simplu fără sigiliul de verificare. Astfel, aceeași aplicație afișează și pașapoartele care nu au fost niciodată înregistrate la Transpareo.

Schimbarea furnizorului fără întrerupere

Regulamentul UE privind pașaportul digital al produsului impune ca pașapoartele produselor să fie interoperabile și bazate pe standarde deschise - transferabile între servicii și sisteme, în loc să fie legate de un singur furnizor. Independența față de furnizorul de servicii nu este, așadar, un element suplimentar, ci face parte din cerințele regulamentului.

Transpareo Time Machine este elementul care concretizează această cerință. Deoarece fiecare pașaport de produs este furnizat în conformitate cu standarde deschise - identificare independentă de rezolvator, serializare canonică, chei publicate public - iar programul de redare este open-source sub licența GPL v3, afișarea unui pașaport nu depinde niciodată de platforma noastră.

Responsabilul pentru un pașaport de produs este un actor economic - producătorul, un importator sau un reprezentant autorizat. Dacă acesta decide să părăsească Transpareo și să treacă la un alt furnizor, afișarea rămâne stabilă: versiunile deja publicate, împreună cu istoricul, continuă să fie afișate neschimbate de același renderer cu sursă deschisă, iar un nou furnizor, care utilizează aceleași standarde deschise, va fi afișat exact de aceeași aplicație.

Datele se transferă odată cu acesta, consumatorii nu observă nicio întrerupere și nimeni nu trebuie să aștepte o migrare.

Mutarea în sine nu este un proiect. Transpareo Time Machine este un pachet static: odată creat, copiat pe orice server web, gata. Designul pe care l-ați configurat în Transpareo pentru pașapoartele dvs. este transferat sub forma unei foi de stil publicate împreună cu fiecare pașaport. Astfel, vizualizarea pașaportului cu care s-au obișnuit clienții dvs. arată exact la fel pe propriul dvs. server, inclusiv culorile, fontul și logo-ul.

Verificat în browser, nu pe serverul nostru

În partea de sus a fiecărui certificat de produs apare o insignă: „Verificat de Transpareo”. Aceasta indică rezultatul unei verificări care nu are loc pe serverul nostru, ci în browserul vizitatorului - pe baza octeților încărcați și a cheilor publice ale emitentului.

Fiecare versiune DPP este semnată de două entități independente una de cealaltă: emitentul și Transpareo. Ambele semnături trebuie să poată fi verificate pentru ca insigna să devină verde. Prin intermediul sistemului „Bring Your Own Key” (BYOK), emitentul operează propriul său punct terminal de semnare - Transpareo nu deține niciodată cheia privată și se limitează la a adăuga contra-semnătura independentă. Astfel se creează o semnătură a emitentului pe care Transpareo nu o poate genera singură.

Un server compromis nu poate falsifica bifa, deoarece verificarea are loc chiar la vizitator.

Cine dorește să afle detalii, face clic pe insignă. În spatele acesteia veți vedea lanțul de semnături, hash-urile și istoricul versiunilor înlănțuite. Cine dorește doar informația, poate ignora pur și simplu acest lucru și poate continua să citească în fișa produsului.

Aceeași verificare este disponibilă și ca pagină independentă: pe Verificarea DPP introduceți URL-ul manifestului oricărei fișe de produs și veți vedea rezultatul complet al verificării - fără a deschide fișa în sine.

Publicăm codul

Transpareo Time Machine este disponibil sub licența GPL v3 pe GitHub. Modificările publicate trebuie, la rândul lor, să fie distribuite sub licența GPL v3, astfel încât orice dezvoltare ulterioară să fie în beneficiul comunității.

Clonare, forkare, găzduire proprie - totul este permis.

Modul în care puteți integra aplicația, fie cu o singură linie în pagină, ca pachet în propria aplicație sau găzduită complet de dvs., este descris în fișierul README de acolo. Veți găsi acolo și elementul asociat pentru verificarea pură a semnăturii, care rulează live pe Verificarea DPP.

Cine folosește aplicația în mod util

Aplicația a fost concepută inițial pentru consumatori. Totuși, poate fi utilizată de oricine dorește să consulte sau să verifice datele produsului în mod independent.

Consumatorii finali scanează, vizualizează, răsfoiesc, partajează. Fără autentificare, fără trackere.
Autoritățile de supraveghere a pieței și instituțiile oficiale pot vizualiza pașaportul produsului într-un software al cărui cod sursă poate fi auditat public.
Atelierele și firmele de reciclare pot vedea compoziția materialelor și instrucțiunile de demontare direct pe produs.
Brandurile și operatorii de platforme de fork-uri pot adapta pachetul la propria marcă - token-uri CSS, componente proprii, găzduire proprie.

Ce se va întâmpla dacă Transpareo nu va mai exista?

UE impune ca un pașaport al produsului înregistrat să rămână disponibil cel puțin zece ani - chiar și după falimentul sau lichidarea emitentului. Un furnizor de servicii SaaS rareori rezistă atât de mult. De aceea, construim platforma încă de la început astfel încât pașapoartele de produs să rămână utilizabile independent de noi:

Fiecare versiune semnată a DPP se află într-un spațiu de stocare accesibil publicului. Octeții, împreună cu cheile publice publicate, sunt suficienți pentru o verificare ulterioară.
Imediat ce pașapoartele de produs sunt înregistrate în registrul UE, un al doilea spațiu de stocare protejat împotriva scrierii reține fiecare versiune DPP și jurnalul de evenimente pentru o perioadă suplimentară de zece ani. Nimeni - nici măcar noi - nu poate modifica ulterior aceste copii de rezervă.
După reziliere, adresele URL scurte ale pașapoartelor de produs rămân accesibile prin redirecționare pe platforma Transpareo.
Transpareo Time Machine funcționează neschimbat chiar și cu datele arhivate. Pachetul nu ne solicită date în timpul rulării; are nevoie doar de octeți și de chei.

Dacă platforma Transpareo ar dispărea mâine, ar rămâne versiunile DPP și motorul de redare cu sursă deschisă.

Pentru cei pasionați de tehnologie

Iată ce se întâmplă „sub capotă”. Cei care nu au nevoie să cunoască detaliile pot sări peste această secțiune - aplicația va funcționa și așa.

GS1 Digital Link (ISO/IEC 18975): URL-ul „Product Pass” conține identificatorul produsului într-un format standardizat - independent de rezolvator, interschimbabil între furnizori.
Schema de canonizare JSON (RFC 8785): o serializare deterministă. Astfel, hash-ul rămâne reproductibil indiferent de ordinea câmpurilor sau de spațiile albe - oricine îl poate recalcula singur.
W3C Data Integrity Proofs (eddsa-jcs-2022): semnătură Ed25519 asupra formei canonice (JCS).
/.well-known/dpp-keys/ (RFC 8615): cheile publice ale emitenților se află pe o cale standardizată - nu este necesar un apel către Transpareo, fiecare verificator le găsește singur.

Totul este documentat în README pe GitHub - inclusiv arhitectura frontend (nucleu reactiv propriu, fără framework-uri externe) și instrucțiunile de compilare pentru găzduire proprie.