Resumen

  • El 19 de junio de 2026, un Council de W3C desestimó por unanimidad una Formal Objection y permitió que Digital Credentials mantuviera la referencia normativa al anexo C de ISO/IEC TS 18013-7:2025.
  • Reconoció que una dependencia no gratuita dificulta la revisión y la implementación, pero consideró más costoso excluir una clase importante de credenciales públicas ya existentes o en despliegue.
  • La decisión se formuló como una excepción estrecha, no como una relajación general del compromiso con normas accesibles.
  • El 24 de julio, W3C añadió al Guidebook una justificación de cinco puntos. El Team también había recomendado revisar la necesidad al salir de Candidate Recommendation con evidencia de implementación.
  • El Working Draft del 27 de agosto conserva org-iso-mdoc y el anexo de 2025. ISO aún ofrece esa edición de 42 páginas por 181 CHF, la marca para revisión y muestra un Committee Draft sucesor.
  • Un recibo del estado de la excepción debería reunir la edición exacta, el acceso, la mitigación, las pruebas operativas, la autoridad que decide y el siguiente disparador de revisión.

Una referencia normativa transmite instrucciones

Las referencias de un estándar suelen aparecer al final, donde se parecen a una bibliografía académica. Sin embargo, una referencia normativa no sirve solo para ampliar contexto. Puede contener una parte del comportamiento que un implementador debe seguir para cumplir el documento principal.

La diferencia quedó expuesta en Digital Credentials. La pull request 401 sustituyó un modelo abierto de registro por una lista concreta de protocolos soportados. org-iso-mdoc pasó a esa lista y el Working Draft vigente remite al anexo C de ISO/IEC TS 18013-7:2025. Por tanto, el límite normativo atraviesa dos organizaciones.

La página de ISO identifica una Especificación Técnica publicada en mayo de 2025, edición 2, de 42 páginas. El precio visible es de 181 CHF. Hay una muestra, pero no se ofrece en esa página la edición normativa completa para lectura gratuita. Es el tipo de dependencia que W3C clasifica ahora como no disponible libremente.

La objeción formal sostuvo que esa barrera perjudicaba a implementadores y revisores y que Digital Credentials podía usarse para impulsar un acceso más amplio. El Working Group mantuvo el texto tras un disenso. El Team estudió el caso. El Council, creado para resolverlo, desestimó finalmente la objeción.

Ese recorrido no es ruido procesal. Es la procedencia de la excepción. Una futura revisión necesita saber que la barrera fue advertida, qué autoridad la aceptó y qué motivos equilibraron el coste. La mera permanencia de una cita no conserva ninguna de esas respuestas.

El Council no declaró que el coste fuese cero

El informe acepta de forma expresa la dificultad de una norma pública que depende de instrucciones de pago. Sin acceso, la revisión independiente se vuelve más desigual. Un actor pequeño, una universidad, un investigador de seguridad o un desarrollador ajeno a un consorcio pueden no disponer del mismo acceso que una administración o un gran proveedor.

Pero retirar la dependencia también altera la arquitectura. Digital Credentials pretende ofrecer una vía mediada por el navegador para presentar credenciales. Los permisos de conducir móviles emitidos por gobiernos constituyen una de sus situaciones de uso. Si el estándar de W3C no pudiera transmitir esas credenciales, el ecosistema podría seguir recurriendo a esquemas URI particulares, traspasos entre aplicaciones y otras rutas menos uniformes.

El Council entendió que el anexo cubría una función crítica para despliegues relevantes y que no había una especificación gratuita capaz de reemplazarla razonablemente. El coste de excluir superaba, en ese caso, al coste de conservar.

La conclusión es deliberadamente más estrecha que las posiciones absolutas. No afirma que el precio sea irrelevante ni que todos puedan revisar. Tampoco considera defectuosa la tecnología por estar tras un pago. Accesibilidad y validez técnica son preguntas diferentes.

Del otro lado, el uso existente no entrega una autorización ilimitada. Un despliegue prueba una necesidad en una fecha, con una edición y unas alternativas determinadas. Si alguna de esas condiciones cambia, la comparación debe poder producir otro resultado.

El código en uso no es un mandato perpetuo

La fuerza del razonamiento está en mirar la realidad operativa. El Council no retuvo la referencia por deferencia automática al nombre de ISO. La retuvo porque credenciales públicas reales necesitan interoperar y porque la mediación del navegador puede reducir mecanismos fragmentados.

Ese criterio se aproxima a la primacía del código en funcionamiento de Heng Lu. Un documento no crea por sí solo el mundo que describe. La mención de compromisos de WebKit y Chromium en una pull request tampoco demuestra que existan implementaciones completas, compatibles entre sí y desplegadas. Esa evidencia debe llegar de pruebas, versiones, emisores, monederos y verificadores.

Pero la primacía operativa tiene un límite institucional. Los implementadores aportan hechos; no cambian en silencio el requisito del W3C. La autoridad para mantener, estrechar, sustituir o retirar sigue en el proceso que gobierna el documento.

El Team convirtió esta relación en un punto de control. Recomendó conservar la referencia, pedir a ISO un régimen de Publicly Available Specification y volver a analizarla cuando Digital Credentials salga de Candidate Recommendation, usando comentarios de implementación.

Ese punto no es una caducidad automática. Si la evidencia sigue favoreciendo la excepción, puede renovarse. Su virtud es otra: impide que la falta de una nueva decisión se confunda con una aprobación nueva.

Cinco preguntas para entrar, una historia para permanecer

El Guidebook de referencias normativas cambió el 24 de julio. Ahora expresa una preferencia general por dependencias accesibles sin coste y admite casos excepcionales cuando la función crítica no puede lograrse mediante una alternativa libre y excluir resulta más dañino.

El grupo debe documentar por qué necesita la referencia, si existe una opción libre, qué función se perdería, quién quedaría sin capacidad de revisar o implementar y qué mitigaciones puede adoptar. Entre ellas figuran resúmenes informativos, trabajo de enlace, solicitudes de disponibilidad pública o una referencia reducida a la parte indispensable.

Las preguntas obligan a justificar la entrada. Evitan que “lo usa la industria” se convierta en una contraseña sin evidencia. También obligan a identificar el daño de acceso en vez de esconderlo bajo el beneficio técnico.

Sin embargo, una respuesta correcta en julio puede dejar de serlo. Las condiciones de acceso cambian. Aparecen especificaciones equivalentes. Las ediciones externas se revisan. Un protocolo alternativo gana implementación. La población que debe revisar crece conforme el documento avanza.

El Council previó esa dinámica. Recomendó comprobaciones en etapas posteriores de madurez, más trabajo de enlace y la posibilidad de elevar la materia a una política independiente sometida a AC Review. La evidencia pública revisada muestra la actualización del Guidebook. No autoriza a afirmar que la propuesta de política independiente haya completado ya su recorrido.

Hace falta, por tanto, algo más que el expediente de admisión: una historia de estados que permanezca junto a la referencia.

El estándar externo ya tiene otra rama

El Working Draft del 27 de agosto sigue nombrando con precisión la edición de mayo de 2025 y su anexo C. La página de ISO mantiene esa edición como publicada, pero la sitúa en la etapa 90.92, “International Standard to be revised”. Además, una edición 3 aparece en desarrollo como Committee Draft.

Esto no vuelve obsoleta la referencia actual. Un Committee Draft no reemplaza por anticipado la especificación citada y puede cambiar. La edición 2025 continúa siendo el objeto exacto al que W3C atribuye fuerza normativa.

Sí demuestra que el tiempo forma parte de la dependencia. Cuando avance la nueva edición habrá que preguntar qué cambia en el protocolo, si mantiene compatibilidad con credenciales emitidas, si la edición anterior sigue accesible, qué implementan los navegadores y si existe ya una vía libre equivalente.

Una cita a “la última versión” trasladaría de hecho el control de los requisitos a un proceso externo. Congelar para siempre 2025 podría ignorar correcciones y apartarse del despliegue. W3C necesita una decisión explícita, no ninguno de esos automatismos.

Un recibo del estado de la excepción

El recibo propuesto sería pequeño y público. No copiaría el anexo ni revelaría material protegido. Describiría el borde de la dependencia.

Debería indicar título, fecha, edición y sección externa; versión y madurez del documento W3C; decisiones del Working Group, el Team y el Council; función necesaria; estado de cualquier alternativa gratuita; grupos afectados por la barrera; vía de acceso anunciada por el editor; estado del enlace y de la solicitud PAS; compromisos separados de resultados de prueba; responsable del próximo examen; y disposición vigente: mantener, limitar, sustituir o eliminar.

También debe conservar correcciones y reemplazos. Si una nueva edición entra, el lector tiene que saber qué autoridad la aceptó y qué pruebas mostraron compatibilidad. Si la edición antigua permanece, debe constar por qué.

El vocabulario requiere disciplina. “PAS solicitado” no es “acceso gratuito”. “Proyecto en preparación” no es “nueva referencia”. “Compromiso de implementación” no es “interoperabilidad”. “Excepción concedida” no es “condiciones todavía vigentes”.

El recibo necesita un reloj. Salir de Candidate Recommendation es un disparador verificable. Un plazo de respaldo evitaría que una transición retrasada congele también la revisión. El reloj no ordena un resultado; ordena que exista una decisión.

La parte común debe seguir siendo mínima

La idea de Minimum Initial Specification de Heng Lu ayuda a evitar que una excepción concreta se expanda. La capa común debe contener únicamente lo necesario para interoperar, de forma delimitada, portable y comprobable.

Aquí el principio no obliga a expulsar a ISO. Obliga a citar con estrechez. org-iso-mdoc, edición 2025, anexo C y la función de presentación que justificó la decisión. La excepción no debe arrastrar todo el sistema de permiso móvil, cada edición futura ni las políticas públicas que rodean a la credencial.

La precisión protege a ISO porque W3C no se apropia de su publicación ni reescribe sus condiciones. Protege a W3C porque una revisión externa no cambia automáticamente un requisito de la Web. Y protege a los implementadores porque pueden identificar qué interfaz probar y qué migración es todavía futura.

Una dependencia amplia se convierte con facilidad en deferencia institucional. Una dependencia estrecha conserva el carácter de decisión técnica revisable.

Los límites de la evidencia actual

Las fuentes prueban que hubo una decisión unánime, que el Guidebook cambió, que la referencia permanece y que la página de ISO muestra precio y revisión. La pull request registra compromisos de dos motores de navegador.

No prueban que esas implementaciones hayan terminado, que interoperan o que alcancen una cuota determinada. Tampoco cuentan revisores excluidos ni predicen la respuesta de ISO a la solicitud PAS. El contenido final de la edición 3 sigue abierto.

Mantener “desconocido” en esos campos es mejor que rellenarlos con confianza institucional. Un desconocido con fecha, responsable y siguiente evento es información de gobernanza.

W3C ya hizo la parte más visible: reconocer los dos costes y declarar la excepción. Ahora debe evitar que la excepción se desprenda de las circunstancias que la hicieron razonable.

No necesita una amenaza de expiración. Necesita fecha de revisión, custodio y memoria.

Fuentes

  1. W3C — Informe del Council sobre la objeción al anexo C
  2. W3C — Informe del Team
  3. W3C — Formal Objection del 9 de febrero de 2026
  4. W3C — Anuncio de consenso de los Chairs
  5. Digital Credentials — Pull request 401
  6. W3C — Digital Credentials, Working Draft del 27 de agosto de 2026
  7. W3C — Guidebook de referencias normativas
  8. W3C Process Document
  9. W3C — Descripción de los Councils
  10. ISO — ISO/IEC TS 18013-7:2025
  11. ISO — Proyecto sucesor ISO/IEC CD TS 18013-7
  12. Heng Lu — Minimum Initial Specification, Localized Future Decision, and Voluntary Adoption
  13. Heng Lu — Running-Code Primacy