Identidade descentralizada: conceitos e aplicações

Hoje, provar quem você é na internet quase sempre passa por um intermediário. Você cria uma conta em cada serviço ou entra com o login de uma grande plataforma, e é ela que guarda o cadastro, decide se a conta continua ativa e vê onde você a usa.

A identidade descentralizada é um conjunto de padrões que tenta inverter essa lógica: o identificador e as provas sobre você ficam sob seu controle, em uma carteira digital, e você decide o que mostrar a cada serviço. Este texto explica os conceitos centrais (DIDs, documentos, carteiras), quem controla o quê e onde estão os limites. O uso prático das provas em si, as credenciais verificáveis, está em um texto à parte: credenciais verificáveis: usos práticos.

O problema que ela tenta resolver

Os modelos de identidade digital mais comuns são dois:

• Contas isoladas. Cada site guarda seu usuário e senha. Você acumula dezenas de cadastros, e cada um é um ponto de vazamento.
• Identidade federada. Um provedor de identidade (como um login corporativo ou de governo) confirma quem você é para outros serviços. É mais prático, mas o provedor fica no meio de cada acesso.

As diretrizes de identidade digital do NIST, instituto de padrões dos Estados Unidos, revisadas na versão SP 800-63-4, publicada em julho de 2025 (NIST), já tratam de um terceiro arranjo. No volume sobre federação, o NIST descreve a carteira controlada pelo usuário, um software no próprio aparelho, que recebe do emissor “pacotes de atributos” assinados e os apresenta aos serviços, cita a carteira de motorista digital como exemplo e admite que o serviço aceite essas provas mesmo sem acordo direto com o emissor (NIST SP 800-63C-4).

É esse terceiro arranjo que a identidade descentralizada organiza com padrões abertos.

O que é um DID

O DID (decentralized identifier, identificador descentralizado) é definido pelo W3C, consórcio que padroniza a web, como um identificador global, único e persistente que “não exige uma autoridade central de registro” (W3C, DID v1.0). Ele tem a forma de um endereço que começa com did:, seguido do nome de um método e de um código. Os exemplos do próprio padrão usam did:example:123456789abcdefghi.

Em volta do identificador há alguns papéis e peças:

• Sujeito do DID: a entidade identificada. Pode ser uma pessoa, uma empresa, um dispositivo ou qualquer outra coisa.
• Controlador do DID: quem tem a capacidade de alterar o documento associado ao DID. Pode ser o próprio sujeito ou outra pessoa, e pode haver mais de um.
• Documento DID: um conjunto de dados que descreve o sujeito, principalmente as chaves públicas usadas para provar o controle do identificador e, se houver, endereços de serviços.
• Método DID: a regra que define como aquele tipo de DID é criado, consultado, atualizado e desativado.
• Resolvedor: o software que recebe um DID e devolve o documento correspondente.

Na prática, provar que você é o dono de um DID é provar que você tem a chave privada correspondente a uma das chaves públicas do documento. É o mesmo princípio de assinatura digital usado em carteiras de criptomoedas, explicado em carteiras custodiais e não custodiais.

A versão 1.0 é uma recomendação oficial do W3C desde julho de 2022. Uma versão 1.1 estava em fase de candidata a recomendação em março de 2026, o que significa que o padrão ainda passa por ajustes (W3C, DID v1.1).

Precisa de blockchain?

Não necessariamente. O padrão diz expressamente que não pressupõe nenhuma tecnologia específica. Os documentos DID ficam no que o W3C chama de registro de dados verificável, e os exemplos citados incluem livros-razão distribuídos (blockchains), sistemas de arquivos descentralizados, bancos de dados e redes ponto a ponto. Segundo o próprio texto, muitos métodos usam blockchain, mas não todos (W3C, DID v1.0).

A escolha do registro muda quem você precisa confiar. Em uma rede pública, ninguém sozinho decide quem participa; em uma rede privada, um consórcio decide. As diferenças estão em blockchain pública versus privada. Em todos os casos, alguém mantém o software e as regras do método.

Carteiras de identidade digital

A carteira de identidade digital é o aplicativo que guarda suas chaves e as provas emitidas sobre você, como um documento de identidade, um diploma ou uma habilitação. Na hora de usar, a carteira apresenta só o que o serviço pede.

O exemplo regulatório mais avançado é o da União Europeia. O Regulamento (UE) 2024/1183, conhecido como eIDAS 2, obriga cada país do bloco a oferecer ao menos uma Carteira Europeia de Identidade Digital. Entre as regras do texto (EUR-Lex):

• o uso é voluntário, e quem não usar não pode ser prejudicado (art. 5a, n.º 15);
• emissão, uso e revogação são gratuitos para pessoas físicas (art. 5a, n.º 13);
• a carteira deve permitir a divulgação seletiva de dados (art. 5a, n.º 4);
• o código-fonte dos componentes do aplicativo deve ser aberto, com exceções limitadas (considerando 33);
• o provedor da carteira não deve ver os detalhes das transações do usuário, salvo exceções com consentimento (considerando 32).

O prazo legal é de 24 meses a partir dos atos de execução da Comissão (art. 5a, n.º 1). Segundo a Comissão Europeia, as carteiras devem ser lançadas no fim de 2026 (Comissão Europeia). Vale notar: o modelo europeu usa carteiras e credenciais controladas pelo usuário, mas a identidade de base continua sendo emitida pelo Estado.

Quem controla de fato

“Você controla” é a promessa central, e ela tem condições.

• Quem tem a chave, controla. O padrão do W3C lembra que o controle de um DID pode ser transferido simplesmente pela entrega do material de chave secreta, e que uma chave comprometida não pode ser detectada só pela criptografia (W3C, DID v1.0). Perder a chave sem um plano de recuperação pode significar perder o identificador. Os cuidados se parecem com os de proteger a frase-semente.
• Quem emite a prova, decide sobre ela. Você guarda a credencial, mas quem a emitiu (governo, universidade, banco) continua podendo revogá-la. Descentralizar o identificador não descentraliza a autoridade que atesta os fatos.
• Quem aceita, define as regras. Cada serviço escolhe em quais emissores e métodos confia. Sem essa aceitação, a carteira não serve para nada.
• Quem mantém o método, define o funcionamento. As regras de criação e atualização de cada tipo de DID são escritas por alguém, e a governança varia muito entre métodos.

Privacidade: correlação e dados pessoais

Um identificador único e global também é um ótimo rastreador. O W3C reconhece esse risco e recomenda três cuidados (W3C, DID v1.0):

• Nada de dados pessoais no documento DID público. Isso é “crítico” quando o registro é público e permanente; dados pessoais devem circular por credenciais ou por canais controlados pelo titular.
• DIDs por relacionamento (pairwise): um identificador diferente para cada serviço, que funciona como pseudônimo e dificulta o cruzamento.
• Evitar repetir chaves e endereços de serviço entre DIDs, porque isso permite ligar identificadores que deveriam ser separados.

No Brasil, essa preocupação conversa com a LGPD. A lei classifica dado biométrico vinculado a uma pessoa como dado pessoal sensível e tem como princípio a necessidade: tratar só o mínimo necessário para a finalidade (Lei 13.709/2018). Gravar dados pessoais em um registro que ninguém consegue apagar entra em atrito direto com o direito de pedir a eliminação desses dados.

E no Brasil

O Brasil ainda não tem uma regra sobre DIDs, mas já tem uma identidade digital oficial. O Decreto 10.977/2022 criou a Carteira de Identidade Nacional, que usa o CPF como número único e é expedida também em formato digital, gerado depois da entrega do documento físico e integrado ao Serviço de Identificação do Cidadão (Decreto 10.977/2022). O documento traz um QR Code para consulta e verificação dos dados.

É um modelo centralizado: o Estado emite, mantém a base e oferece a verificação. Ele resolve parte do mesmo problema (provar identidade sem papel), mas não dá ao cidadão um identificador próprio, independente do emissor. Como esses modelos podem conviver é uma discussão em aberto; a redação não localizou norma brasileira que trate de DIDs.

Aplicações e limites

Os usos mais citados nos próprios padrões são:

• Entrar em serviços sem senha, provando o controle de um DID com uma assinatura.
• Provar um atributo (idade, formação, vínculo profissional) sem entregar o documento inteiro, com credenciais verificáveis (W3C, VC Data Model 2.0).
• Identificar organizações e dispositivos, já que o sujeito de um DID não precisa ser uma pessoa.

Os limites, na avaliação da redação, são tão importantes quanto os usos:

• Padrões em evolução. Há muitos métodos DID e formatos concorrentes; a interoperabilidade depende de perfis comuns, como os que a União Europeia está fixando.
• Recuperação de acesso. Sem um intermediário, perder o celular e as chaves é um problema sério que precisa de solução desenhada desde o início.
• Adoção. Uma carteira só tem valor se emissores confiáveis emitem e serviços aceitam.
• Golpes. Um app que se passa por carteira oficial pode roubar chaves e dados, como acontece com phishing em carteiras digitais.

O que levar deste texto

• DID é um identificador sem cadastro central; o controle fica com quem guarda a chave privada.
• Blockchain é uma das opções de registro, não um requisito.
• A carteira guarda provas, mas quem emite continua decidindo sobre elas, e quem verifica escolhe em quem confia.
• Privacidade exige cuidado: nada de dados pessoais em registros públicos e identificadores diferentes para cada relação.
• A União Europeia já obriga carteiras de identidade, com lançamento previsto para o fim de 2026; o Brasil tem identidade digital oficial, mas centralizada.