Transpareo Zaman Makinesi

DPP’ler için bir zaman makinesi

Elinizde bir ürün tuttuğunuzu ve üzerindeki QR kodunu taradığınızı hayal edin. Bir PDF dosyası yerine küçük bir uygulama açılır. Ürünü şu anda olduğu haliyle görürsünüz: nelerden oluştuğunu, nereden geldiğini, nelere dikkat edilmesi gerektiğini. Bir kaydırma hareketiyle zamanda geriye gidersiniz - şimdiye kadar yayınlanmış her sürümü inceleyebilirsiniz.

Bu, her Dijital Ürün Pasaportu için geliştirdiğimiz açık kaynaklı tüketici uygulamamız Transpareo Time Machine’dir. Kod, GPL v3 lisansı altında GitHub adresinde yer almaktadır.

Bunu geliştiriyoruz çünkü AB Dijital Ürün Pasaportu Yönetmeliği tüketiciler için yazılmıştır - ürünü elinde tutan kişi için. Çoğu sağlayıcı bunu, kimsenin iki kez taramayacağı bir uyumluluk formu haline getiriyor. Biz ise tüketicinin gerçekten açıp kullanacağı bir uygulama haline getiriyoruz.

Demo

Kendiniz görün

Demo örneklere dayalı eksiksiz ürün sertifikalarını gösterir: Sürüm geçmişini inceleyin ve denetim etiketini açın - hesap oluşturmaya gerek kalmadan, doğrudan tarayıcınızda.

Kullanım sırasında

Uygulamanın işlevleri

Ürünü elinde tutan kişinin bakış açısından dört temas noktası. Giriş yapmaya gerek yok, uygulama yüklemeye gerek yok.

Tarama

Akıllı telefonunuzun kamerasıyla QR kodunu tarayın. Uygulama tarayıcıda açılır.

Güncel haberleri görüntüle

Ürün, “Şimdi”de karşımıza çıkıyor - bileşenler, malzemeler, menşe, bakım, geri dönüşüm.

Tarihi gözden geçirmek

Bir kaydırma hareketi ile zamanda geriye doğru ilerleyebilirsiniz. Her bir önceki sürümde, değişikliğin tarihi ve nedeni belirtilmiştir.

Paylaş

Her sürümün kendine ait bir bağlantısı vardır. Bir kişi, belirli bir sürümü arkadaşlarıyla veya resmi makamlarla paylaşır.

Neden ki?

AB’nin Dijital Ürün Pasaportu Yönetmeliği, son on yıllardır ürün şeffaflığı konusunda atılan en büyük adımdır. Temel metinleri dikkatle okunduğunda, bu yönetmeliğin açıkça tüketiciler için yazıldığı anlaşılmaktadır. Yetkili kurumlar, geri dönüşümcüleri ve tamirhaneler de bu sürece dahil olacak; ancak asıl hedef kitle, ürünü elinde tutan kişidir.

Rakamlar açısından durum oldukça net. Ortalama bir Avrupalı birey, on yılın sonunda her yıl onlarca hatta yüzlerce ürün pasaportunu tarayabilecek. 200 milyon haneye göre hesaplandığında, bu rakam yıllık milyarlarca tüketici etkileşimi anlamına geliyor. Buna kıyasla, resmi kurumlar ve geri dönüşümcülerin dünyası sayıca ihmal edilebilir düzeyde.

Yönetmeliğin tüketicilere ulaşması için tüketici tarafının iyi tasarlanmış olması gerekir - hızlı, güzel ve tutarlı. Aksi takdirde amacına ulaşamaz.

Bu tüketici sayfasını, tek bir sağlayıcıya bağımlı olmaması için açık kaynaklı olarak geliştirmeye karar verdik.

Süreç bir kuraldır, manifesto ise bize aittir

Bir ürün pasaportu değişir: bir onarım, yeni bir geri dönüşüm oranı, bir ürün geri çağırma. Bu nedenle, yönetmelikler önceki sürümlerin erişilebilir kalmasını şart koşar: Depolama standardı her sürümü dondurur, arayüz standardı ise her sürümün hedefli olarak okunabilmesini öngörür. Yönetmeliklerin açık bıraktığı kısım ise aradaki parçadır: bir pasaportun tüm sürümlerini bir hikayeye bağlayan bir liste. Transpareo, her pasaport için bunu imzalı bir manifest olarak yayınlar; her sürüm, parmak izi yoluyla bir önceki sürüme zincirlenir. Böylece zaman makinesi, bir ürünün geçmişinde gezinebilir ve okuyucu, bir sürümün sadece gerçek olup olmadığını değil, aynı zamanda kesintisiz bir dizinin güncel sürümü olup olmadığını da kontrol edebilir.

Ancak uygulama buna bağlı değildir. Manifesto yerine, her sağlayıcının açık standartlara göre yayınladığı tek bir geçiş belgesini gösterirseniz, uygulama bu tek sürümü görüntüler, varsa imzasını doğrular ve zaman çizelgesini basitçe göstermez. İmzasız bir geçiş kartı hata olarak değerlendirilmez, sadece doğrulama mührü olmadan gösterilir. Aynı uygulama , Transpareo’da hiç kayıtlı olmayan geçiş kartlarını da bu şekilde görüntüler.

Kesintiye uğramadan sağlayıcı değişikliği

AB’nin Dijital Ürün Pasaportu Yönetmeliği, hizmetler ve sistemler arasında aktarılabilir ve tek bir sağlayıcıya bağlı olmayan, açık standartlara dayalı ve birbiriyle uyumlu ürün pasaportlarını zorunlu kılar. Dolayısıyla hizmet sağlayıcısından bağımsızlık bir ek özellik değil, yönetmeliğin bir parçasıdır.

Transpareo Time Machine, bu şartı somut hale getiren unsurdur. Her ürün pasaportu açık standartlara göre sunulduğundan (çözücüden bağımsız tanımlama, kanonik serileştirme, kamuya açık anahtarlar) ve görüntüleyici GPL v3 lisansı altında açık kaynak kodlu olduğundan, bir pasaportun görüntülenmesi hiçbir zaman platformumuza bağlı değildir.

Bir ürün pasaportundan sorumlu olan, bir ticari aktördür: üretici, ithalatçı veya yetkili temsilci. Transpareo’dan ayrılıp başka bir sağlayıcıya geçmeye karar verirse bile, görüntüleme istikrarlı kalır: Daha önce yayınlanmış sürümler ve geçmişi, aynı açık kaynaklı görüntüleyici tarafından değiştirilmeden gösterilmeye devam eder ve aynı açık standartları kullanan yeni bir sağlayıcı, tam olarak aynı uygulama tarafından görüntülenir.

Veriler de beraberinde taşınır, tüketiciler herhangi bir kesinti görmez ve kimse bir geçiş sürecini beklemek zorunda kalmaz.

Taşınma işlemi başlı başına bir proje değildir. Transpareo Time Machine statik bir pakettir: bir kez oluşturulduktan sonra herhangi bir web sunucusuna kopyalanır, hepsi bu kadar. Transpareo’da pasaportlarınız için ayarladığınız tasarım, yayınlanmış bir stil sayfası olarak her pasaportla birlikte taşınır. Dolayısıyla, müşterilerinizin alıştığı pasaport görünümü, renkler, yazı tipi ve logo dahil olmak üzere kendi sunucunuzda da tamamen aynı şekilde görünür.

Tarayıcıda test edilmiştir, sunucumuzda değil

Her ürün belgesinin üst kısmında bir rozet yer alır: Transpareo tarafından doğrulanmıştır. Bu rozet, sunucumuzda değil, ziyaretçinin tarayıcısında gerçekleştirilen bir doğrulama işleminin sonucunu gösterir; bu işlem, yüklenen baytlar ve belgeyi düzenleyenin açık anahtarları temel alınarak yapılır.

Her DPP sürümünü birbirinden bağımsız iki taraf imzalar: yayıncı ve Transpareo. Rozetin yeşile dönmesi için her iki imzanın da doğrulanabilir olması gerekir. “Kendi Anahtarını Getir” (BYOK) sistemi ile yayıncı kendi imza uç noktasını işletir; Transpareo hiçbir zaman özel anahtarı elinde tutmaz ve yalnızca bağımsız karşı imzayı ekler. Böylece, Transpareo’nun kendisinin oluşturamayacağı bir yayıncı imzası ortaya çıkar.

Güvenliği ihlal edilmiş bir sunucu, onay işaretini taklit edemez; çünkü doğrulama işlemi ziyaretçinin kendi cihazında gerçekleşir.

Ayrıntılı bilgi almak isteyenler rozete tıklayabilir. Burada imza zincirini, hash değerlerini ve zincirlenmiş sürüm geçmişini görebilirsiniz. Sadece bilgiyi almak isteyenler bunu görmezden gelip ürün sertifikasında okumaya devam edebilir.

Aynı doğrulama işlemi bağımsız bir sayfa olarak da mevcuttur: DPP Doğrulaması adresine herhangi bir ürün sertifikasının manifest URL’sini girerek, sertifikayı açmanıza gerek kalmadan tam doğrulama sonucunu görebilirsiniz.

Kodu yayınlıyoruz

Transpareo Time Machine, GitHub’da GPL v3 lisansı altında yayınlanmaktadır. Yayınlanan değişikliklerin de GPL v3 lisansı altında olması gerekir; böylece her türlü geliştirme kamu yararına olur.

Klonlama, fork oluşturma, kendi sunucunuzda barındırma - hepsi serbesttir.

Uygulamayı nasıl entegre edeceğiniz - ister sayfaya bir satır ekleyerek, ister kendi uygulamanızda bir paket olarak, ister tamamen kendi sunucunuzda barındırarak - bu konudaki README dosyasında açıklanmıştır. Orada, DPP Doğrulaması adresinde canlı olarak çalışan, yalnızca imza doğrulamasına yönelik kardeş bileşeni de bulabilirsiniz.

Uygulamayı akıllıca kullananlar

Uygulama öncelikle tüketiciler için geliştirilmiştir. Ancak ürün verilerini bağımsız olarak incelemek veya doğrulamak isteyen herkes için de kullanılabilir.

Son tüketiciler tarar, inceler, sayfaları gezer, paylaşır. Giriş gerektirmez, izleme araçları yoktur.
Piyasa denetim kurumları ve resmi makamlar, kaynak kodu kamuya açık olarak denetlenebilen bir yazılımda ürün pasaportunu görebilir.
Tamirhaneler ve geri dönüşümcüleri, malzeme bileşimini ve sökme talimatlarını doğrudan ürün üzerinde görebilir.
Markalar ve Fork işletmecileri, paketi kendi markalarına göre özelleştirebilir - CSS belirteçleri, kendi bileşenleri, kendi sunucularında barındırma.

Transpareo artık olmazsa ne olur?

AB, kayıtlı bir ürün pasaportunun, düzenleyicinin iflası veya tasfiyesi sonrasında bile en az on yıl boyunca erişilebilir kalmasını şart koşmaktadır. Bir SaaS sağlayıcısının faaliyet süresi nadiren bu kadar uzun sürer. Bu nedenle platformu, en başından itibaren ürün pasaportlarının bizden bağımsız olarak kullanılabilir kalacağı şekilde tasarlıyoruz:

İmzalanmış her DPP sürümü, herkese açık bir depolama alanında bulunur. Baytlar ve yayınlanan açık anahtarlar, daha sonraki doğrulama işlemleri için yeterlidir.
Ürün pasaportları AB Sicili’ne kaydedilir kaydedilmez, yazma korumalı ikinci bir depolama alanı her DPP sürümünü ve olay günlüğünü on yıl boyunca yedekler. Hiç kimse - biz dahil - bu yedek kopyaları sonradan değiştiremez.
Sözleşmenin feshedilmesinden sonra, kısa ürün pasaportu URL’leri bir yönlendirme yoluyla Transpareo platformunda erişilebilir olmaya devam eder.
Transpareo Time Machine, arşivlenmiş veriler üzerinde de aynı şekilde çalışır. Paket, çalışma sırasında bize geri dönmez; sadece baytlara ve anahtarlara ihtiyaç duyar.

Transpareo platformu yarın ortadan kaybolsa bile, DPP sürümleri ve açık kaynaklı renderer kalır.

Teknolojiye meraklılar için

İşte arka planda neler oluyor. Ayrıntılara gerek duymayanlar bu bölümü atlayabilir - uygulama yine de çalışır.

GS1 Digital Link (ISO/IEC 18975): Ürün pasaportu URL’si, ürün kimliğini standart bir biçimde taşır - çözümleyiciden bağımsızdır ve sağlayıcılar arasında değiştirilebilir.
JSON Canonicalization Scheme (RFC 8785): Deterministik bir serileştirme. Böylece hash, alan sırasından veya boşluklardan bağımsız olarak tekrarlanabilir hale gelir; herkes bunu kendisi hesaplayabilir.
W3C Veri Bütünlüğü Kanıtları (eddsa-jcs-2022): Kanonikleştirilmiş biçim (JCS) üzerinden Ed25519 imzası.
/.well-known/dpp-keys/ (RFC 8615): İhraççıların açık anahtarları standart bir yol altında bulunur - Transpareo’ya başvurmaya gerek yoktur, her doğrulayıcı bunları kendi başına bulabilir.

Her şey GitHub’daki README dosyasında belgelenmiştir - ön uç mimarisi (kendi reaktif çekirdeği, harici çerçeve yok) ve kendi sunucunuzda barındırma için derleme kılavuzu da dahil.