2026年10月30日，欧盟DG Grow Digital Solutions发布《面向经济运营者的DPP登记自托管认证指南》1.0版，面向经济运营者解决方案架构师、接口与平台工程师、开发运维与安全团队，以及负责通过HTTPS发布受保护DPP表示形式的托管服务商。指南定义经济运营者或其托管服务商如何保护由DPP登记平台检索的、由经济运营者托管的DPP端点，将自托管认证架构转化为与厂商无关的实施指引。

1、服务账户认证机制

指南明确，服务账户是绑定于已验证经济运营者的非人类身份，使外部系统无需浏览器会话或欧盟登录交互即可完成认证。认证流程分为四步：经济运营者管理员创建服务账户并注册公钥凭证；经济运营者系统创建短期JWT并以对应私钥签名；系统通过OAuth 2.0客户端凭证模式将签名断言发送至令牌端点；授权服务器返回短期持有者访问令牌，供系统调用DPP登记平台接口。指南同时厘清主要标识：服务账户别名为人类可读名称；凭证标识为已注册公钥凭证的标识符；密钥标识（kid）包含于客户端断言保护头中，用于识别验证断言所用凭证；私钥仅由经济运营者持有并用于签名，绝不上传或发送至任何地方；公钥注册为服务账户凭证，由授权服务器验证客户端断言。

2、密码配置与凭证要求

指南列出支持的曲线与算法包括：P-256对应ES256、P-384对应ES384、P-521对应ES512。指南建议尽可能在硬件安全模块中生成并存储私钥，配置为不可导出，且仅导出公钥注册至登记平台；硬件安全模块不可行时，可使用OpenSSL等软件工具生成密钥，风险与责任由经济运营者自行承担，示例以AES-256-CBC加密私钥文件，并要求口令与私钥分开存储、不得硬编码。登记平台接受的公钥格式为JWK JSON（.json，仅公开EC JWK）与PEM公钥（.pem），拒绝任何输入表示中的私钥材料。每项凭证均有密钥标识，登记平台还依据RFC 7638从规范化公钥计算SHA-256 JWK指纹，指纹独立于密钥标识识别公钥，更改密钥标识不允许已注册公钥再次注册。凭证注册后立即生效，推荐有效期一年，管理员可按需选择更长有效期，最长两年；同一服务账户最多同时拥有2项活动凭证，以支持不中断访问的凭证切换。

3、访问令牌获取流程

指南给出认证服务器端点，并强调认证服务器URL与欧盟登录认证URL属于不同端点族，服务账户实现只能使用对应环境文档化的认证服务器URL。每次令牌请求须创建新的短期签名JWT，不得复用先前客户端断言；保护头须包含类型client-authentication+jwt、所选算法及密钥标识。声明要求包括：iss与sub均须精确等于登记平台客户端标识；aud须精确等于该环境授权服务器签发者；exp设置为iat后60至120秒，绝对上限5分钟；jti每次断言须新生成唯一值，绝不重用。令牌请求以application/x-www-form-urlencoded发送，必填参数包括grant_type=client_credentials、client_id、client_assertion_type、client_assertion。访问令牌为持有者JWT，最长生命周期15分钟；认证流程适用速率限制，应安全保留并复用已签发令牌直至临近过期，不得为每次接口调用请求新令牌。

4、资源标识与接口调用

指南明确resource参数标识请求访问令牌的资源服务器，DPP登记平台访问须使用对应环境的登记平台资源标识。该值为逻辑OAuth资源标识，不是登记平台接口端点，不得替换为登记平台接口基址。授权服务器通过受众将签发令牌绑定至请求资源，令牌只能用于配置为接受该确切受众的登记平台接口。指南给出提交DPP登记请求的示例，并提示调用前须确保访问令牌具备所需受众与有效权限。

5、令牌与凭证生命周期管理

指南列出推荐客户端行为：访问令牌最长15分钟；复用有效令牌至临近过期，不为每次接口调用请求新令牌；获取新令牌须生成新客户端断言并再次调用令牌端点；每次断言生成新jti且绝不重放；保持系统时钟同步，错误时钟可能导致iat或exp校验失败；令牌端点返回429或临时不可用错误时，应用带抖动的有界指数退避，并遵守Retry-After。凭证切换流程为：先注册新凭证，确认新凭证可用后再撤销旧凭证，共五步；已撤销或过期凭证不能用于获取新令牌，已使用过的公钥即使更换密钥标识也不能再次注册；若所有凭证均被撤销或过期，服务账户可能显示为不可操作，直至注册活动凭证。

6、删除影响与错误排查

指南明确，删除服务账户不可逆，账户以已删除状态保留，关联凭证不再可用于认证，账户不可重新激活。删除前签发的访问令牌为自包含持有者令牌，可能在exp声明前继续有效，最大剩余生命周期为15分钟；若怀疑凭证泄露且需立即遏制，应撤销受影响凭证或删除服务账户，并将已签发持有者令牌视为在过期前可能仍可使用。指南还给出无效客户端排查清单，包括：请求client_id与断言iss、sub精确匹配；保护头类型正确；密钥标识指向活动凭证；算法与注册曲线匹配；aud精确等于环境授权服务器签发者；iat与exp有效且时钟同步；exp不超过iat后5分钟（推荐60至120秒）；jti为新生成且未使用；断言以匹配已注册公钥的私钥签名。

7、安全建议与集成校验

指南建议尽可能在硬件安全模块中生成并存储私钥，私钥在模块内生成且不可导出；无法使用硬件安全模块时，在具备操作系统密码学安全随机数生成器的维护系统上使用经批准工具生成密钥；私钥存于文件时须加密静态存储并单独保护口令；绝不将私钥发送至任何地方，仅注册公钥材料；绝不记录私钥、客户端断言或访问令牌；仅授予服务账户业务目的所需能力；尽可能为不同环境使用不同凭证；监控失败令牌请求、异常密钥使用及临近的凭证过期日期。集成校验清单涵盖环境与组织验证状态、服务账户与客户端标识、活动凭证与密钥标识、私钥保护与公钥匹配、新断言生成要素、令牌请求资源标识与所需范围、令牌复用、接口调用、每次令牌请求生成新断言、重试处理遵守Retry-After并有界退避，以及日志不含私钥、客户端断言或访问令牌。

8、环境端点与求助渠道

指南还列出受理环境与生产环境的门户、授权服务器签发者、令牌端点与登记平台接口基址，并提示在可用时从授权服务器元数据端点获取签发者与令牌端点。求助渠道提供邮箱与电话，服务时间为周一至周日欧洲中部时间8时至20时；指南以安全提示结尾：求助请求中绝不得包含私钥、客户端断言或访问令牌。