Credenciais verificáveis: o padrão para a identidade digital do futuro

Em 2024, a União Europeia aprovou o regulamento eIDAS 2.0, que obriga os estados-membros a disponibilizar uma carteira de identidade digital aos seus cidadãos. No mesmo ano, o W3C publicou a versão 2.0 do modelo de dados de Verifiable Credentials. Duas peças diferentes, a mesma direção: a prova de quem você é deixa de viver no banco de dados de cada empresa e passa a viajar com você.

O modelo que está sendo substituído é aquele que você conhece de cor. Para abrir uma conta, validar sua idade, acessar um benefício ou aprovar uma operação, você entrega mais informações do que o necessário. Funciona, mas funciona com fricção, duplicação e risco.

As credenciais verificáveis mudam esse modelo. Em vez de capturar e armazenar documentos completos em cada interação, uma organização pode verificar atributos assinados por um emissor confiável: maioridade, residência, registro profissional, identidade validada, elegibilidade para um serviço ou relação com uma entidade.

A carteira digital se torna a camada onde essas credenciais vivem, são apresentadas e são revogadas. Não é apenas uma carteira para pagamentos. É uma interface para provar identidade, direitos e atributos sem repetir o onboarding do zero a cada vez.

Para as empresas, a mudança não é filosófica. É operacional: menos captura redundante de dados, menos exposição regulatória, menos fricção no onboarding e uma forma mais precisa de autenticar usuários em canais digitais.

As credenciais verificáveis separam identidade de captura documental

Durante anos, verificar identidade significou pedir um documento, capturar uma selfie, comparar dados e armazenar evidências. Esse fluxo continua necessário em muitos casos, sobretudo quando uma empresa precisa cumprir requisitos de KYC — do inglês know your customer, “conheça seu cliente”: o conjunto de controles com os quais uma entidade regulada confirma quem é a pessoa antes de operar com ela — prevenção à fraude ou rastreabilidade regulatória.

O problema aparece quando cada organização repete o mesmo processo sem reutilizar uma confiança já validada. O usuário volta a carregar documentos. A empresa volta a processá-los. O risco de exposição cresce porque mais sistemas armazenam cópias de informações sensíveis.

As credenciais verificáveis propõem outra lógica: uma entidade confiável emite uma credencial assinada, o usuário a conserva em uma carteira digital e um terceiro verifica sua autenticidade quando precisa. A verificação não depende de confiar cegamente no usuário, mas de validar a assinatura, o emissor, o estado de revogação — ou seja, se essa credencial continua vigente ou se o emissor já a cancelou — e as condições de apresentação.

Na prática, isso move parte do controle de bancos de dados centralizados para credenciais portáteis. É a mesma ideia por trás da identidade soberana: o usuário deixa de ser um registro no sistema de outra pessoa e passa a administrar sua própria Online Persona. A empresa não deixa de verificar. Verifica de outro jeito.

A carteira digital se torna uma camada de confiança

A carteira digital começou associada ao pagamento. Depois somou cartões, ingressos, benefícios e documentos. A próxima etapa é mais profunda: a carteira como lugar onde o usuário gerencia credenciais de identidade que pode apresentar a bancos, governos, empresas de saúde, varejistas ou plataformas digitais.

Nem todas as credenciais dentro de uma carteira têm o mesmo peso. Um cartão de fidelidade não tem a mesma criticidade que uma credencial de identidade emitida por um órgão público ou por uma instituição financeira. Por isso, o mercado está separando credenciais de conveniência de credenciais verificáveis, com assinaturas criptográficas, regras de expiração e mecanismos de revogação.

O valor aparece quando a carteira pode apresentar apenas o dado necessário. Isso tem um nome técnico: divulgação seletiva, ou seja, mostrar somente o atributo que faz falta e nada mais. Se uma empresa precisa validar que uma pessoa é maior de idade, nem sempre precisa ver nome completo, número de documento, data exata de nascimento e endereço. Pode verificar um atributo assinado: “maior de 18”. Menos exposição de dados, melhor experiência.

Levando isso para setores, a diferença aparece rápido. Um banco precisa provar identidade validada, não ficar com a cópia do documento. Um órgão de governo precisa confirmar residência para liberar um procedimento. Uma operadora de saúde precisa saber que há cobertura vigente, não acessar o histórico clínico completo.

As credenciais verificáveis se tornam especialmente relevantes em serviços financeiros, onde a relação entre conversão e risco é direta. Um fluxo pesado demais perde usuários válidos. Um fluxo leve demais abre a porta para a fraude. A carteira digital pode equilibrar as duas coisas se for integrada com verificação de identidade real: biometria, prova de vida — a comprovação de que diante da câmera há uma pessoa viva, e não uma foto, um vídeo ou uma máscara — e sinais de comportamento. Isso é segurança sem fricção: o controle aparece quando o risco justifica, não em cada etapa.

O modelo técnico se apoia em emissores, titulares e verificadores

Uma credencial verificável tem três papéis principais. O emissor cria e assina a credencial. O titular a armazena e decide quando apresentá-la. O verificador valida que essa credencial seja autêntica, vigente e emitida por uma entidade confiável.

Esse modelo parece simples, mas exige decisões técnicas precisas. A interoperabilidade não sai de uma apresentação comercial: depende de padrões, esquemas de dados, métodos de assinatura, políticas de confiança entre partes e resolução de identificadores — isto é, a forma como um sistema descobre a quem pertence realmente a assinatura que está validando.

• Emissor: entidade que valida um atributo e assina a credencial. Pode ser um governo, uma universidade, um banco, uma empresa de saúde ou uma plataforma privada.
• Titular: pessoa ou organização que recebe a credencial e a apresenta a partir de uma carteira digital quando precisa provar um atributo.
• Verificador: empresa ou sistema que revisa a credencial, valida a assinatura, confirma a vigência e decide se aceita a apresentação.
• Carteira digital: aplicação onde o titular armazena, gerencia e apresenta credenciais. Seu desenho afeta segurança, privacidade e adoção.
• Registro de confiança: camada onde são resolvidos emissores confiáveis, estados de revogação, esquemas e regras de validação.

O ponto técnico mais importante é que a credencial deve ser verificável sem depender de uma chamada constante ao emissor original. Em alguns casos haverá validação online. Em outros, o verificador checa a assinatura por seus próprios meios, sem se conectar ao emissor, e consulta depois se a credencial foi revogada. A arquitetura depende do risco, da regulação e do caso de uso.

Também há uma tensão real entre privacidade e prevenção à fraude. A divulgação seletiva reduz a exposição de dados, mas o verificador ainda precisa de sinais suficientes para tomar decisões. Em bancos, por exemplo, não basta saber que uma credencial existe: é preciso vinculá-la a dispositivo, comportamento, prova de vida, histórico de risco e controles de proteção contra fraudes.

A adoção empresarial depende de interoperabilidade e conformidade

As credenciais verificáveis não são adotadas porque soam bem. São adotadas quando resolvem custos concretos: onboarding repetido, revisão manual, fricção em canais digitais, exposição de dados pessoais e dependência de integrações ponto a ponto.

O avanço regulatório também empurra esse movimento. Na Europa, o eIDAS 2.0 estabelece um marco para carteiras de identidade digital. O W3C mantém o modelo de dados para Verifiable Credentials. A ISO/IEC 18013-5 define um padrão para carteiras de motorista móveis. Não são peças idênticas, mas todas apontam para uma direção comum: identidade portátil, verificável e mais granular.

Na LATAM, a adoção será desigual. Alguns governos avançam com identidade digital cidadã. Bancos e fintechs olham para o tema a partir de KYC, prevenção à fraude e autenticação. Saúde e educação podem usar credenciais para registro profissional, cobertura, consentimento ou elegibilidade. Varejo e gaming podem aplicá-las a idade, benefícios, limites de operação ou recuperação de conta.

Se você está avaliando o tema na sua organização, o critério não deveria ser “ter carteira”. Deveria ser mais concreto:

• Interoperabilidade: a credencial deve funcionar com padrões reconhecidos, sem ficar presa a um ecossistema fechado.
• Conformidade regulatória: o fluxo deve respeitar normas de proteção de dados e requisitos setoriais em cada país.
• Experiência do usuário: a apresentação de credenciais deve ser mais simples do que carregar documentos do zero.
• Gestão de risco: a credencial deve se integrar a sinais de proteção contra fraudes e autenticação, não viver isolada.
• Governança: a empresa precisa de regras claras sobre emissores aceitos, revogação, auditoria e retenção de evidências.

Onde entra uma plataforma de identidade

O erro mais comum é tratar as credenciais verificáveis como uma substituição completa do onboarding. Elas não são. São uma forma de reutilizar confiança quando essa confiança foi emitida, apresentada e verificada com controles adequados.

Em muitos casos, a primeira emissão de uma credencial ainda precisa de verificação documental, biometria, prova de vida e análise de risco. Esse é o terreno de Verifica. Depois, quando o usuário volta a operar, Autentica pode validar presença, dispositivo e biometria sem pedir novamente todo o documento. E quando a operação tem sinais incomuns, Protege contra el fraude soma detecção em tempo real.

VU ONE consolida verificação de identidade, autenticação e proteção contra fraudes em uma única plataforma.

Na VU, acompanhamos esse movimento de perto, e o que vemos caso após caso é o mesmo: a credencial verificável responde uma pergunta, “este atributo foi emitido por alguém confiável?”. A plataforma de identidade precisa responder as outras: “quem está apresentando?”, “continua sendo a mesma pessoa?”, “a sessão tem sinais de risco?”, “a operação coincide com o padrão esperado?”.

Quando essas perguntas se separam em provedores, dashboards e equipes diferentes, a confiança se fragmenta. Quando se integram, a carteira deixa de ser um contêiner de credenciais e se torna parte do sistema de segurança.

Também convém olhar para o tema a partir da experiência. Um usuário não quer “usar identidade descentralizada”. Quer entrar, operar e concluir uma ação sem repetir etapas absurdas. A tecnologia serve quando desaparece no fluxo.

As credenciais verificáveis não eliminam a necessidade de verificar identidade. Mudam onde a prova vive, como ela é apresentada e quanto dado é compartilhado.

O padrão é a base. A confiança se constrói na implementação.

Restaure a confiança em cada interação digital. Se você está montando sua arquitetura de identidade para o que vem pela frente,
vamos conversar.