O que o eIDAS 2 exige aos browsers
O artigo 45.º, n.º 1-A, impõe três coisas aos fornecedores de navegadores web:
- reconhecer os QWAC emitidos de acordo com o anexo IV e as normas de referência;
- apresentar os dados de identidade e os atributos certificados de forma que facilite a utilização;
- assegurar compatibilidade e interoperabilidade com os QWAC.
Ficam isentas as micro e pequenas empresas durante os primeiros cinco anos de atividade como fornecedoras de browsers. E o artigo 45.º-A só permite medidas contra certificados concretos em caso de preocupações fundamentadas de segurança, com notificação à Comissão e à entidade de controlo.
As normas que dizem como reconhecer (o Regulamento de Execução 2025/2527) aplicam-se a partir de 6 de janeiro de 2027. A partir daí, o quadro técnico fica fechado, e é previsível que mais browsers anunciem suporte.
A polémica de 2023
Em novembro de 2023, quando o texto do eIDAS 2 foi acordado, a Mozilla promoveu uma carta aberta assinada por centenas de investigadores e especialistas em segurança, a que se juntaram organizações como a EFF; a Internet Society fez críticas no mesmo sentido. O argumento: obrigar os browsers a confiar, para a cifra das ligações, em certificados de qualquer prestador designado pelos Estados-Membros, sem passar pelos programas de raiz, abriria caminho à interceção de tráfego. Recordavam o caso do Cazaquistão, que em 2019 tentou impor um certificado governamental, bloqueado pelos browsers.
O texto final manteve a obrigação de reconhecimento, mas o considerando 65 deixou claro que ela não afeta a liberdade dos browsers de garantir a segurança da web, a autenticação de domínios e a cifra do tráfego pelos meios que considerem adequados. A norma ETSI TS 119 411-5 acomodou isso com o modelo 2-QWAC, em que a identidade qualificada se separa da cifra. Ver Como funciona.
E os certificados EV?
Até 2019, os browsers mostravam o nome da empresa a verde na barra de endereço para certificados EV. Deixaram de o fazer porque os estudos mostraram que os utilizadores não reparavam na diferença. É a principal crítica aos QWAC: «é o EV outra vez». A diferença está no enquadramento: o EV é uma regra privada do CA/Browser Forum, o QWAC é um estatuto legal europeu com supervisão pública, responsabilidade definida em lei e obrigação de apresentação imposta aos browsers.
Fora do browser
Grande parte do valor dos QWAC está fora dos browsers: nas APIs entre bancos e prestadores de pagamentos (PSD2), nas ligações entre sistemas de empresas e entidades públicas, e em qualquer integração máquina a máquina em que o cliente valida o certificado do servidor contra as listas de confiança da UE. Aí não há interface a mostrar, há uma verificação automática do estatuto qualificado. Ver QWAC PSD2.
Como testar no seu browser
Instale ou atualize o Firefox para a versão 153 ou mais recente e visite um site com QWAC. Clique no cadeado: num site com QWAC, o painel identifica a organização, o prestador e o enquadramento eIDAS. Num site com certificado comum, aparece só a informação habitual sobre a ligação.