QWAC
Un certificado TLS regulado por la UE que vincula un sitio web con una organización verificada legalmente, y que resultó más polémico de lo que parece.
El certificado cualificado de autenticación de sitio web llegó con el Reglamento eIDAS de 2014 y lo emiten prestadores cualificados bajo supervisión nacional. Su gran uso práctico vino con la PSD2. Los proveedores terceros que acceden a las API bancarias se identifican con un QWAC en el apretón de manos TLS, y el certificado incluye, según una norma de ETSI, su número de licencia y sus funciones: información de cuentas, iniciación de pagos o emisión de tarjetas. El banco sabe quién se conecta sin montar su propio registro.
La pelea fue con los navegadores. El borrador de eIDAS 2.0 les obligaba a confiar en los emisores de QWAC aprobados por los gobiernos, al margen de sus propios programas de raíces. En 2023, Mozilla y cientos de investigadores de seguridad advirtieron de que abría una vía a la interceptación estatal. El texto final de 2024 se suavizó, pero mantuvo la obligación de reconocer los certificados.