Hoe u een echt productie-WRPAC van een sandboxcertificaat onderscheidt

Het WRPAC — het Wallet-Relying Party Access Certificate — staat centraal in elke technische integratie onder Verordening (EU) 2025/848. Zonder WRPAC kan uw applicatie zich niet authenticeren bij een EUDI Wallet. Met het verkeerde type heeft u een certificaat dat er wel zo uitziet, maar waarvan niet publiekelijk kan worden geverifieerd dat het herleidbaar is tot een gemandateerde, gepubliceerde aanbieder. Dat onderscheid is van belang — en op dit moment, in mei 2026, is het belangrijker dan de meeste leveranciers u zullen vertellen.

Waarom dit nu van belang is

Er bestaat nog geen openbare lijst van geautoriseerde WRPAC-aanbieders. Vanaf eind mei 2026 meldt het eIDAS Dashboard dat de WRPAC-aanbiederslijst niet is gepubliceerd. Dat is geen vertraging, geen omissie en het falen van niemand — de verordening is van toepassing vanaf 24 december 2026, en het ecosysteem bouwt nog steeds de infrastructuur op die deze zal ondersteunen. Maar het creëert wel een specifiek, concreet risico voor relying parties die aanbiedingen op de markt beoordelen.

Omdat de lijst niet openbaar wordt aangeboden, is er voor een koper — of enige derde partij — geen manier om te bevestigen dat een certificaat dat wordt aangeboden als "productie-WRPAC" daadwerkelijk herleidbaar is tot een door een lidstaat gemandateerde aanbieder. De keten eindigt óf bij een gelijste, gemandateerde certificeringsinstantie, óf niet. Op dit moment kan die controle niet worden voltooid tegen een gepubliceerde bron. Iedereen die vandaag een productie-WRPAC vermarkt, vraagt u om zijn woord te aanvaarden voor een feit dat nog niet onafhankelijk kan worden geverifieerd.

We hebben de huidige stand van deze leemte in detail behandeld in Nog geen gepubliceerde WRPAC-aanbiederslijst — wat dat betekent vóór december 2026. Dit artikel gaat over hoe u een WRPAC zult verifiëren zodra die lijst wel bestaat — en waarom dezelfde logica elke vandaag gedane bewering blootlegt.

De verificatieketen die een echt WRPAC definieert

Een productie-WRPAC is niet zomaar elk X.509-certificaat dat is uitgegeven door een partij die beweert geautoriseerd te zijn. Drie voorwaarden moeten tegelijkertijd gelden, en elke voorwaarde is onafhankelijk controleerbaar.

Ten eerste: het certificaat moet herleidbaar zijn tot een gepubliceerde EU- of nationale vertrouwenslijst. Verordening (EU) 2025/848 legt het technische formaat van het WRPAC vast via artikel 7 en bijlage IV, terwijl artikel 7, lid 1, elke lidstaat verplicht om ten minste één certificeringsinstantie te machtigen tot het uitgeven van WRPAC's. Een certificaat waarvan de keten eindigt bij een root-CA die niet aanwezig is in de relevante gepubliceerde vertrouwenslijstinfrastructuur, kan niet worden behandeld als een productie-WRPAC, ongeacht wat de uitgever beweert.

Ten tweede: het eIDAS Dashboard moet de WRPAC-aanbiederslijst als gepubliceerd melden. De publicatievlag op het dashboard is het gezaghebbende signaal dat de lijst van gemandateerde aanbieders live en verifieerbaar is. Zolang die vlag niet op gepubliceerd staat, kan de keten niet end-to-end worden geverifieerd. Hiervoor bestaat geen omweg: een certificaat kan bestaan en zelfs technisch correct zijn opgebouwd, maar de koppeling tussen de uitgever van dat certificaat en het mandaat van een lidstaat kan niet worden bevestigd.

Ten derde: de uitgever moet een door een lidstaat gemandateerde aanbieder zijn. Artikel 2, lid 11, van Verordening (EU) 2025/848 definieert een aanbieder van WRPAC's als een natuurlijke of rechtspersoon die door een lidstaat is gemandateerd om WRPAC's aan relying parties uit te geven. Artikel 2, lid 12, definieert het WRPAC zelf. De machtiging door de lidstaat op grond van artikel 7, lid 1, is de rechtsgrondslag waarom het certificaat überhaupt kan worden vertrouwd. Een aanbieder die door geen enkele lidstaat is gemandateerd, valt niet binnen de reikwijdte van die definitie, ongeacht enige zelfcertificering of commerciële bewering.

Alle drie de voorwaarden vormen samen één keten. Breekt u een schakel, dan kan het certificaat niet worden behandeld als een productie-WRPAC.

Hoe u het zelf controleert

Zodra de aanbiederslijst is gepubliceerd, is de verificatieprocedure eenvoudig. Begin bij het eIDAS Dashboard en controleer de publicatiestatus van de WRPAC-lijst. Het dashboard aggregeert vertrouwenslijstgegevens van de lidstaten; wanneer de vlag verandert van "niet gepubliceerd" naar gepubliceerd, heeft u de bevestiging dat de infrastructuur live is.

Vraag vervolgens rechtstreeks het eindpunt van de WRPAC-aanbieders op. Dit eindpunt levert de lijst van geautoriseerde, gemandateerde aanbieders zodra publicatie actief is. U zoekt of de CA van uw certificaatuitgever in die lijst voorkomt.

Verifieer ten slotte de certificaatketen zelf. Volg met standaard PKI-gereedschap (OpenSSL of gelijkwaardig) de keten van uw WRPAC via eventuele tussenliggende certificaten tot aan de root-CA. Die root moet overeenkomen met een CA in de gepubliceerde aanbiederslijst. Als de keten ergens anders eindigt — bij een private root, bij een CA die niet in de lijst staat, of bij iets anders dan de root van een gemandateerde aanbieder — dan kwalificeert het certificaat niet als productie-WRPAC onder de verordening.

Documenteer deze controle en bewaar de uitvoer. Wanneer toezichthoudende instanties na december 2026 het kader gaan handhaven, zal het ertoe doen dat u kunt aantonen due diligence te hebben uitgevoerd op uw WRPAC-bron.

Waarschuwingssignalen

Een leverancier die een productie-WRPAC claimt voordat de lijst is gepubliceerd. Dit is het centrale waarschuwingssignaal. De claim hoeft niet oneerlijk te zijn — de aanbieder kan oprecht geloven dat zijn CA uiteindelijk zal worden gemandateerd — maar ze is vandaag onverifieerbaar. Op die basis kopen betekent het accepteren van een onverifieerbare toezegging. Het regelgevende risico ligt bij u, de relying party.

Een certificaat dat niet herleidbaar is tot enige gepubliceerde vertrouwenslijst. Dit is eerst een PKI-fout, en pas daarna een regelgevende. Een certificaat van een CA zonder aanwezigheid in de relevante vertrouwenslijstinfrastructuur kan de keten die vereist is voor een productie-WRPAC niet vestigen. Controleer de keten voordat u een certificaat accepteert voor integratiegebruik.

"Gemandateerd" beweerd zonder een controleerbare bron bij een lidstaat. Vraag elke leverancier welke lidstaat hem heeft gemandateerd en op welke rechtsgrondslag — de nationale wet, ministeriële beslissing, of toezichtsmededeling — dat mandaat berust. Als hij niet kan verwijzen naar een openbare, traceerbare bron, is de bewering niet verifieerbaar. "We voeren gesprekken met lidstaten" en "we verwachten gemandateerd te worden" zijn niet hetzelfde als "we zijn gemandateerd door [lidstaat] op grond van [rechtsakt]".

Prijsstelling en verpakking die productiegereedheid suggereren zonder dit te onderbouwen. Sandboxcertificaten zijn legitieme en nuttige producten. Ze worden alleen een probleem wanneer ze worden verkocht — of gepositioneerd — als productie-WRPAC's. Als een leverancier een certificaat bundelt met service-level agreements en prijzen op productieniveau, maar de drie bovenstaande voorwaarden niet kan onderbouwen, behandel het dan tot verificatie als een sandboxcertificaat.

Waar sandboxcertificaten legitiem voor dienen

Sandboxcertificaten dienen een belangrijk en legitiem doel. Het venster vóór publicatie — de periode tussen nu en de toepassingsdatum van december 2026 — is precies het moment waarop relying parties hun implementaties zouden moeten integreren, testen en kwalificeren. Dat werk doen zonder enige certificaatinfrastructuur zou onpraktisch zijn.

Duitslands officiële EUDI Wallet-sandbox, beheerd door SPRIND sinds december 2025, biedt een referentieomgeving voor precies dit soort integratietests. De France Identité-playground vervult een vergelijkbare functie voor Franse wallet-implementaties. Dit zijn geen omwegen; het is het bedoelde testtraject in de periode voordat de productie-infrastructuur live is.

Met een sandboxcertificaat kunt u uw WRPAC-requestflows bouwen, uw OpenID4VP-implementatie valideren tegen wallet-referentie-implementaties, uw attribuutverwerkingslogica testen en uw registratiedossier voorbereiden — allemaal voordat er ook maar één productie-WRPAC aan wie dan ook is uitgegeven. Dat is waardevol werk, en het certificaat dat dit ondersteunt, is een legitiem product.

Het probleem is specifiek: een sandboxcertificaat dat ten onrechte als productie-WRPAC wordt bestempeld. Een certificaat dat is uitgegeven binnen een sandboxomgeving, door een CA die niet is gemandateerd op grond van artikel 2, lid 11, kan uw applicatie niet authenticeren bij een productie-EUDI Wallet. Het is daar niet voor ontworpen. Een sandboxcertificaat gebruiken in productie is een technische fout; er een kopen in de veronderstelling dat het productiewaardig is, is een inkoopfout. Beide zijn vermijdbaar.

De regel

Koop of vermarkt een huidig certificaat niet als productie-WRPAC, tenzij het herleidbaar is tot een gepubliceerde, gemandateerde aanbieder — en die keten onafhankelijk kan worden geverifieerd tegen de gepubliceerde aanbiederslijst.

Die regel is geen formaliteit. Het is de kern van wat de verordening vereist. Artikel 7, lid 1, van Verordening (EU) 2025/848 legt de machtigingsverplichting bij de lidstaten, terwijl artikel 7 en bijlage IV de vereisten voor de uitgifte van WRPAC's definiëren. De relying party draagt nog steeds het operationele risico van het gebruik van een niet-conform certificaat. Als uw WRPAC niet voldoet aan de hierboven beschreven keten van drie voorwaarden, beschikt uw wallet-integratie niet over een conform authenticatiemechanisme.

Totdat de aanbiederslijst is gepubliceerd, is het juiste standpunt: er bestaat geen openbaar/verifieerbaar productie-WRPAC-traject. Plan daarnaar — gebruik sandboxomgevingen voor integratiewerk, maar behandel sandboxcertificaten niet als productie-assets, en accepteer geen beweringen van leveranciers over productiegereedheid die niet tegen een openbare bron kunnen worden geverifieerd.

Waar u op moet letten

Twee gebeurtenissen zullen het beeld veranderen.

De publicatievlag van het eIDAS Dashboard. Wanneer het dashboard niet langer meldt dat de WRPAC-lijst niet is gepubliceerd, maar meldt dat deze is gepubliceerd, wordt de eerste helft van de verificatieketen mogelijk. Stel een controle in op het eIDAS Dashboard en op het aanbieders-eindpunt. Dit zijn de gezaghebbende signalen, geen leveranciersaankondigingen.

Een lidstaat die een gemandateerde WRPAC-uitgevende CA aanwijst. Het mandaat op grond van artikel 2, lid 11, vloeit voort uit een beslissing van een lidstaat. Wanneer een lidstaat publiekelijk een certificeringsinstantie of andere aanbieder aanwijst als gemandateerd om WRPAC's uit te geven, is dat het moment waarop de tweede helft van de keten controleerbaar wordt. Houd aankondigingen van nationale toezichthoudende instanties en updates van nationale vertrouwenslijsten in de gaten — dat zijn de bovenstroomse bronnen die het eIDAS Dashboard en het aanbieders-eindpunt voeden.

Geen van beide gebeurtenissen heeft op het moment van schrijven plaatsgevonden. Zodra beide hebben plaatsgevonden, wordt de in dit artikel beschreven verificatieprocedure uitvoerbaar. Tot die tijd dient het als het kader om elk certificaat dat u wordt aangeboden te beoordelen — en om precies te begrijpen wat ontbreekt aan elke bewering van productiegereedheid die u op de markt tegenkomt.

Gerelateerde artikelen

Nog geen enkel EU-land heeft een gepubliceerde WRPAC-aanbiederslijst — wat dat betekent voor uw deadline van december 2026

Eind mei 2026 zijn de officiële EU-vertrouwenslijsten nog niet gepubliceerd: het eIDAS Dashboard rapporteert WRPAC als niet-gepubliceerd en de aanbiederslijst wordt niet publiek aangeboden. Dit is waarom dat zo bedoeld is, en wat het verandert voor uw planning richting december 2026.

8 min leestijd

eIDAS 2.0 Relying Party-registratie: de complete gids

Alles wat u moet weten over registratie als Relying Party onder artikel 5b van eIDAS-verordening 2024/1183.

12 min leestijd