摘要

  • 2026年9月11日批准的新章程，使 Web Authentication Working Group 进入 2026年9月11日至2028年9月11日的新周期。章程扩展了工作范围，但批准章程本身并不等于任何 Level 4 项目、原始签名能力或其他扩展方向已经成为 Recommendation。

  • 重新加入流程的核心不是简单确认“谁仍然在线”，而是重新绑定组织、参与者、工作范围和 W3C Patent Policy 承诺。45天宽限期允许部分既有参与者继续参加会议，但这种继续参与不能被视为已经完成正式重新加入。

  • 一个公开透明且保护隐私的 rejoin-and-commitment receipt，可以把章程变化、参与状态、专利政策边界、排除期限和公开汇总数据连接起来，降低标准组织在长期演进中的治理不确定性。

从章程批准到参与交接：四个状态必须分开

WebAuthn 新周期的关键事件发生在 2026年9月11日。W3C 宣布 Web Authentication Working Group 完成重新制定章程，新的章程有效期从当天开始，持续至2028年9月11日。根据 W3C Process，决定成立或重新制定工作组后，需要通过 Call for Participation 启动参与确认流程。

然而，“新章程生效”只是第一层状态。

在实际治理中，至少需要区分四个不同阶段：

第一，新章程已经获得批准并开始有效。这意味着工作组拥有新的授权范围。

第二，既有参与者可以在45天宽限期内继续参加会议，即使尚未完成正式重新加入。这是一项过渡安排，而不是新的参与资格证明。

第三，组织或 Invited Expert 已经完成重新加入或重新指定流程。这意味着参与关系按照新章程重新确认。

第四，相关参与者已经针对扩展后的工作范围重新确认 Patent Policy 承诺。

这四个状态彼此有关，但不能相互替代。一个人在宽限期内继续讨论、编辑或参加会议，并不能证明其已经完成重新加入。同样，一个组织没有完成重新加入，也不能被解释为反对新章程。

这种区分非常重要，因为标准组织的风险通常并不来自单一事件，而来自不同状态被错误合并之后产生的错误判断。

扩展范围为何要求重新确认承诺

此次重新章程的制度重点，在于工作范围发生变化。

批准后的章程包含新的或扩展的范围项目，例如通过 WebAuthn 介导对额外数据进行签名并使用独立签名密钥、增加具有隐私和可链接性限制的凭据管理器或认证器信任信号，以及增强扩展机制中的机密性能力。

这些变化说明工作组未来可能处理更广泛的问题，因此已有参与关系不能简单沿用过去状态。

但必须明确，章程批准并不是技术批准。

特别是，Level 4 虽然是章程中列出的规范性交付目标，但在章程批准时尚无 First Public Working Draft，预计完成时间为2028年第四季度。与此同时，Level 3 已于2026年8月25日成为 Recommendation。

因此，新章程代表的是工作授权范围，而不是某项具体技术已经完成标准化。它不代表原始签名能力已经成为 Recommendation，也不代表浏览器实现、部署情况或行业采用已经确定。

治理上的困难正来自这里：范围扩展需要新的承诺确认，但范围扩展本身并不等于最终技术结果。

45天宽限期：连续参与不是正式加入

Call for Participation 开始后，W3C 为现有参与者提供45天宽限期。在这一阶段，曾经参与新章程之前工作的人员可以继续参加相关会议，即使尚未正式重新加入并完成新的承诺流程。

这种安排解决的是工作连续性问题。

标准开发不能因为章程切换而突然中断，因此需要允许讨论、协调和编辑工作继续推进。但从治理角度看，连续参与与正式资格之间必须保持边界。

W3C Patent Policy FAQ 关于重新制定章程的说明指出，宽限期结束后，持续参与工作组活动，包括会议参与和投票，需要完成重新加入。

公开资料并没有规定45天计算中的具体时区、包含或不包含规则，也没有给出一个具有法律效力的最终时间戳。因此，不能简单将日期计算结果视为唯一控制期限。实际操作中的控制时间应以 W3C 加入系统或明确通知为准。

一个简单的日期加45天计算可能指向2026年10月26日，但这不是 W3C 已公布的控制截止时间。

这种细节正是治理收据需要记录的内容。

Patent Policy：承诺属于工作范围，而不是所有专利

重新加入流程的另一个核心，是 Patent Policy 承诺。

根据 W3C Patent Policy，加入 Working Group 是触发参与者 RF（Royalty-Free）许可承诺的积极行为，而单纯拥有 W3C 会员身份并不会自动产生同样效果。

同时，这种承诺具有明确边界。

参与者承诺的是与该工作组工作相关的 Essential Claims，而不是公司拥有的所有专利。Essential Claims 指的是实现规范中的规范性架构或互操作要求时，在不存在非侵权替代方案情况下必然涉及的权利要求。启用技术、仅被外部引用的技术以及设计专利等并不属于这一范围。

因此，任何公开说明都不能把工作组承诺描述为“覆盖企业全部专利”。

对于 Invited Expert，情况又有所不同。Invited Expert 以个人身份参与，并且只对其控制范围内的权利要求承担相关义务。

标准治理需要精确描述承诺范围，否则容易把有限的互操作性许可机制误读为无限责任。

新承诺与旧承诺之间：不是清零，而是边界重新确认

重新章程并不会自动消除过去的专利承诺。

W3C Patent Policy 规定，在符合政策条件的情况下，已有 RF 许可义务可以持续存在，并可能持续到相关专利生命周期结束。重新加入也不是一次“删除历史”的操作。

另一方面，扩展后的章程范围意味着不能简单假设旧承诺自动覆盖所有新增工作。

Specification Licensing Commitment 可能在后续 Patent Review Draft 或 Recommendation 阶段生效，并取决于相关时间节点、排除机会以及后续规范内容是否仍然属于原范围或轻微扩展范围。

因此，新的参与周期需要重新确认：

  • 哪些工作属于当前章程范围；
  • 哪些 Essential Claims 与该范围相关；
  • 哪些排除流程适用；
  • 哪些时间点控制权利边界。

这正是重新加入流程的制度价值。

为什么需要隐私安全的重新加入与承诺收据

当前公开页面提供了多个观察面。

Web Authentication Working Group 参与者页面显示125名参与者，包括8名 Invited Experts，代表37个组织。IPR 页面则单独列出当前显示在许可承诺中的组织和个人，包括 Bitwarden、Cisco、Google LLC、Interledger Foundation、Meta、Okta、OneSpan 等成员组织，以及 Invited Expert Michael Jones 和 W3C Team 成员 Simone Onofri。

这些页面提供重要透明度，但不能被误读为完整审计结果。

公开参与者列表与 IPR 页面之间存在信息维度差异，并不意味着某些参与者未重新加入，也不意味着 W3C 已经完成对所有参与者状态的公开验证。

因此，更合理的治理工具不是公开所有个人级数据，而是建立隐私安全的 rejoin-and-commitment receipt。

该收据可以记录：

  • 旧章程与新章程标识；
  • 新章程生效日期；
  • 具体扩展范围变化；
  • Call for Participation 时间；
  • 宽限期规则和适用时区来源；
  • 组织或 Invited Expert 的重新加入状态；
  • 被提名参与者范围；
  • Patent Policy 版本；
  • Essential Claims 和规范边界；
  • 排除流程和控制期限；
  • 宽限期与宽限期后的参与权限变化；
  • 公开汇总统计；
  • 纠错渠道。

但它不应公开 W3C 未公开的私人人员信息或专利细节。

这种设计能够同时满足透明治理与隐私保护。

从标准开发到机构信任：交接机制本身成为基础设施

WebAuthn 的下一阶段并不只是技术演进问题，也是制度连续性问题。

长期标准项目通常经历多个周期：章程变化、参与者变化、规范成熟、专利审查和实现生态扩展。如果每次周期切换都依赖非结构化邮件、页面差异和人工确认，治理成本会随着时间增加。

一个成熟的交接机制，需要让外部观察者能够回答几个关键问题：

当前工作基于哪个章程？

谁在新的范围下获得正式参与资格？

哪些承诺适用于哪些工作？

哪些状态仍处于过渡阶段？

哪些信息只是公开页面上的汇总，而不是完整审计证明？

这类问题并不只适用于 WebAuthn。对于任何涉及身份、认证、加密协议和互操作标准的项目，参与资格与知识产权边界都是长期信任的一部分。