Vertrauensnetze
did:key
did:key ist eine nicht registrybasierte DID-Methode, bei der ein kryptografischer öffentlicher Schlüssel direkt zum Bezeichner wird und deterministisch zu einem DID-Dokument expandiert. Der Bezeichner lässt sich ohne Netz und ohne Registry auflösen, kann aber nicht rotiert, aktualisiert oder deaktiviert werden.
did:key ist eine DID-Methode, die auf keine Registry angewiesen ist: Ein öffentlicher Schlüssel wird direkt zum Bezeichner und lässt sich deterministisch in ein DID-Dokument expandieren. Die Spezifikation (Version 0.9) nennt als Vorzüge sofortige Verfügbarkeit ohne Netzabhängigkeit, Auflösung ohne Registry-Abfrage, null Infrastrukturkosten und vollständigen Offline-Betrieb.
So funktioniert es
Der Bezeichner besteht aus did:key: und einem Multibase-Wert, kodiert in base58-btc mit Präfix z oder in base64url mit Präfix u. Der Wert umfasst eine Multicodec-Kennung und die rohen Bytes des öffentlichen Schlüssels. Ein Ed25519-Schlüssel (Multicodec 0xed, 32 Byte) ergibt einen Bezeichner, der mit did:key:z6Mk beginnt. Das DID-Dokument entsteht deterministisch aus dem Schlüssel, mit Verifikationsmethode vom Typ Multikey. Für Ed25519 wird der zugehörige X25519-Schlüssel zur Schlüsselvereinbarung abgeleitet, siehe Ed25519 und X25519.
Die Kehrseite benennt die Spezifikation selbst. Weil kein Registry-Eintrag existiert, lässt sich ein did:key weder aktualisieren noch deaktivieren, und Rotation ist ausgeschlossen, da der Bezeichner aus dem Schlüsselmaterial folgt. Er ist global korrelierbar, und von langfristiger Nutzung rät die Spezifikation ab, außer bei Hardware-Schlüsseln mit Rotation auf Anwendungsebene.
Im Vergleich
Im Decentralized Trust Graph hat did:key eine Nebenrolle. Die Verifiable Trust Infrastructure (VTI) verlangt did:key für die Bootstrap-Identität eines Clients, für die dauerhafte Identität von Agent, Community und Host-Dienst dagegen did:webvh. Die Credentials-Spezifikation nennt did:key zusammen mit did:peer als Fall, in dem es kein DID-Dokument gibt, dem sich eine Eigenschaft wie der Korrelationsbereich hinzufügen ließe.
Im Real Life Trust Protocol ist did:key über Ed25519 die einzige spezifizierte Methode und bildet jeden Anker. Die Überprüfung braucht kein Netz. Pro Person und Kontext gibt es einen eigenen Anker, und ohne den Seed lassen sich zwei Anker derselben Person nicht verknüpfen. Die Quellen halten fest, dass ein did:key nicht rotieren kann: Wer den privaten Schlüssel verliert, verliert den Anker, und die Wiederherstellung von Beziehungen ist Thema der geparkten Nachfolge. Ein Nachfolger mit verifizierbarer Schlüsselhistorie ist als offene Arbeit benannt. Eine Begründung für die Wahl von did:key gegenüber anderen Methoden nennen die RLTP-Quellen nicht.
Einordnung
Diese Erläuterung gehört zu den Fachnotizen über das Real Life Trust Protocol und gibt den Stand der Spezifikationen vom Oktober 2026 wieder.
Quelle
did:key in drei Sätzen
did:key ist eine nicht registrybasierte DID-Methode, bei der ein kryptografischer öffentlicher Schlüssel direkt zum Bezeichner wird und deterministisch zu einem DID-Dokument expandiert. Der Bezeichner lässt sich ohne Netz und ohne Registry auflösen, kann aber nicht rotiert, aktualisiert oder deaktiviert werden.