Identidade digital, identidade descentralizada, credencial verificável, identidade de máquina e identidade de agentes de IA se relacionam, mas não significam a mesma coisa
A identidade digital está ganhando novos personagens.
Durante muito tempo, quando falávamos em identidade, o sujeito era quase sempre uma pessoa. Agora entram nessa mesma arquitetura empresas, dispositivos, aplicações, workloads e agentes de inteligência artificial.
Ao mesmo tempo, termos como credencial verificável, identidade descentralizada, DID, identidade de máquina e identidade de agente de IA aparecem cada vez mais próximos. E aí começa a confusão.
A primeira regra para não misturar os conceitos é simples: identidade é uma coisa, identificador é outra, credencial é outra e autorização é outra. Vamos por partes.
Identidade digital: quem ou o que é aquela entidade
Identidade digital é a representação de uma entidade em um ambiente digital. Essa entidade pode ser uma pessoa, uma organização, um equipamento, uma aplicação ou, cada vez mais, um agente de inteligência artificial. Portanto, identidade digital não deve ser entendida apenas como “identidade de uma pessoa na internet”. O universo é muito maior.
Um sistema precisa conseguir diferenciar, por exemplo, o funcionário Regina, uma aplicação financeira, uma API, uma câmera conectada e um agente de IA autorizado a executar determinada tarefa. Todos podem ter identidades digitais. Mas isso não significa que todos utilizem as mesmas tecnologias para estabelecê-las ou comprová-las.
Identificador: como aquela identidade é referenciada
Um identificador serve para distinguir uma entidade das demais dentro de determinado contexto. É importante porque identificador também não é sinônimo de identidade.
CPF, nome de usuário, endereço de e-mail e identificadores técnicos utilizados por sistemas são exemplos de informações que podem identificar ou referenciar uma entidade em determinados contextos. Entre os modelos mais recentes estão os DIDs, Decentralized Identifiers.
O W3C define os DIDs como um tipo de identificador desenvolvido para permitir identidade digital verificável e descentralizada, desacoplada de registros centralizados, provedores de identidade e autoridades certificadoras.
A versão DID 1.0 tornou-se Recomendação do W3C em 2022, e a versão 1.1 foi publicada como Candidate Recommendation em março de 2026.
Mas atenção:
- DID é um identificador. Não é uma credencial verificável.
- Credencial verificável: algo que é declarado sobre uma entidade
Aqui está uma das diferenças mais importantes, uma Verifiable Credential, VC, não é a identidade em si, é uma forma padronizada de representar declarações feitas por um emissor sobre determinado sujeito.
Pense em uma universidade declarando que determinada pessoa concluiu um curso. Ou uma organização declarando que determinado profissional possui uma atribuição. Ou ainda uma instituição emitindo uma credencial contendo determinadas informações sobre uma empresa, equipamento ou outro sujeito.
O modelo do W3C trabalha essencialmente com três papéis:
- emissor, titular e verificador.
O emissor faz determinadas declarações, o titular pode apresentar a credencial e o verificador pode verificar criptograficamente sua procedência e integridade.
A família Verifiable Credentials 2.0 tornou-se uma Recomendação oficial do W3C em 15 de maio de 2025. O próprio W3C destaca que o modelo pode ser aplicado não apenas a identidades pessoais, mas também a organizações e objetos inteligentes.
Portanto, uma identidade pode possuir ou apresentar credenciais, mas identidade e credencial não são a mesma coisa.
Identidade descentralizada: o modelo é mais amplo que a credencial
Outra confusão frequente é utilizar identidade descentralizada e credencial verificável como sinônimos, mas não são.
Identidade descentralizada descreve uma abordagem arquitetural na qual identificadores, credenciais, carteiras e mecanismos criptográficos podem ser utilizados para estabelecer relações de confiança com menor dependência de estruturas centralizadas.
Credenciais verificáveis podem fazer parte dessa arquitetura. DIDs também podem fazer parte dela. Mas uma credencial verificável não precisa ser chamada de “identidade descentralizada”, e um DID não é automaticamente uma credencial.
Uma forma simples de lembrar:
- identidade descentralizada é a arquitetura ou abordagem
- DID é um tipo de identificador
- VC é uma forma de representar declarações verificáveis
São peças que podem trabalhar juntas.
Identidade de máquina: agora o sujeito não é humano
Quando passamos para machine identity, ou identidade de máquina, muda o sujeito, não o princípio fundamental. Sistemas também precisam saber com quem estão se comunicando.
Serviços, aplicações, processos computacionais, dispositivos e outros componentes precisam ser identificados e autenticados para acessar recursos.
Em arquiteturas modernas, nas quais aplicações estão distribuídas entre nuvens, contêineres, APIs e microsserviços, confiar apenas em endereço IP ou localização de rede deixou de ser suficiente para muitos cenários. É nesse contexto que aparecem tecnologias específicas para identidade de workloads.
Identidade de workload: uma identidade para o software em execução
Uma workload é, de forma simplificada, um software ou componente computacional executando determinada função. Pode ser uma aplicação, um serviço, um processo ou outro componente de uma infraestrutura.
O projeto SPIFFE, Secure Production Identity Framework for Everyone, foi criado justamente para fornecer identidades criptográficas a workloads em ambientes distribuídos.
O SPIFFE utiliza um SPIFFE ID para identificar uma workload e pode fornecer documentos criptográficos de identidade chamados SVIDs, SPIFFE Verifiable Identity Documents, utilizados para que workloads consigam autenticar-se entre si. E aqui temos uma pegadinha terminológica importante.
SVID não é uma Verifiable Credential do W3C
O nome SPIFFE Verifiable Identity Document pode provocar confusão porque contém as palavras “verifiable” e “identity”. Mas um SVID do SPIFFE não é uma Verifiable Credential definida pelo modelo W3C VC. São especificações diferentes, criadas para finalidades e ecossistemas diferentes.
O SVID é o mecanismo utilizado pelo SPIFFE para que um endpoint computacional apresente seu SPIFFE ID de forma criptograficamente verificável. Atualmente o SPIFFE contempla formatos como X.509 e JWT para seus SVIDs.
Já a Verifiable Credential do W3C possui outro modelo de dados, outro ecossistema e trabalha com declarações emitidas sobre um sujeito. A palavra “verificável”, portanto, não transforma tecnologias diferentes em uma única tecnologia.
E onde entram os agentes de IA?
Aqui entramos em uma área que está evoluindo rapidamente. Um agente de IA pode utilizar aplicações, chamar APIs, consultar bases de dados, acionar ferramentas e realizar tarefas com diferentes graus de autonomia. Se esse agente vai agir dentro dos sistemas de uma organização ou em nome de alguém, surge uma necessidade básica: precisamos conseguir distingui-lo dos demais agentes e sistemas. É daí que vem o conceito emergente de identidade de agente de IA.
Mas é importante não transformar um campo ainda em desenvolvimento em uma falsa definição universal: atualmente não existe um único padrão global consolidado que resolva sozinho toda a identidade de agentes de IA. Diferentes organizações de padronização e comunidades técnicas estão trabalhando em aspectos desse problema.
A OpenID Foundation, por exemplo, vem avançando em padrões relacionados à autorização de agentes de IA. Em junho de 2026, seu grupo AuthZEN publicou novos trabalhos voltados à era dos agentes, tratando de situações em que uma ação pode depender de consentimento, autoridade delegada, aprovação, atestação ou avaliação de risco antes de ser autorizada. Isso nos leva a outra distinção fundamental.
Identidade de agente não é autorização do agente
Saber quem é o agente não significa automaticamente permitir que ele faça qualquer coisa. São duas perguntas diferentes:
Quem é você? – Que pertence ao domínio da identidade e autenticação.
O que você pode fazer? – Que pertence à autorização.
Um agente pode ser perfeitamente identificado e, mesmo assim, não estar autorizado a acessar determinada informação, movimentar determinado valor ou executar determinada operação. E existe ainda uma terceira questão:
Em nome de quem está agindo? – É aí que entram conceitos como delegação, consentimento e escopo de autorização.
Um exemplo ajuda a separar tudo:
Imagine um agente de IA enviado por uma pessoa para interagir com uma instituição financeira. A pessoa possui sua própria identidade digital. O agente possui uma identidade própria, que permite diferenciá-lo de outros agentes. A pessoa pode conceder ao agente determinada autorização, por exemplo, consultar algumas informações.
Essa autorização precisa indicar o que ele pode fazer e seus limites. O agente ou a pessoa também poderá apresentar uma credencial verificável contendo algum atributo necessário àquela interação, caso a arquitetura adotada utilize esse tipo de credencial.
Um DID pode eventualmente ser utilizado como identificador dentro de determinada arquitetura descentralizada. Nada disso transforma agente, DID, credencial, identidade e autorização na mesma coisa.
A regra rápida do ID Flash
Quando encontrar esses termos, faça cinco perguntas:
- Identidade: quem ou o que é essa entidade?
- Identificador: como essa entidade é distinguida das outras?
- Credencial: o que um emissor declara sobre ela?
- Autenticação: como comprovar que é realmente aquela identidade?
- Autorização: o que ela pode fazer?
Depois podemos acrescentar uma sexta, essencial para agentes de IA:
- Delegação: quem autorizou essa entidade a agir em seu nome e dentro de quais limites?
Essa separação ficará cada vez mais importante. Pessoas, organizações, equipamentos IoT, workloads e agentes de IA passarão a compartilhar ambientes digitais, trocar informações e executar transações.
Não significa que terão a mesma forma de identidade. Não significa que utilizarão as mesmas credenciais. E não significa que uma tecnologia substituirá todas as outras.
O desafio será justamente fazer com que identidades, identificadores, credenciais, autenticação, delegação e autorização consigam interoperar dentro de uma arquitetura de confiança. E para entender essa arquitetura, primeiro precisamos chamar cada coisa pelo nome certo.
Imposto de Renda 2026: como corrigir erros na declaração enviada
Imposto de Renda (IR) 2026: como declarar despesas médicas corretamente
Imposto de Renda 2026: como acompanhar o processamento da sua declaração
Imposto de Renda 2026: guia final para declarar sem erros e evitar problemas com a Receita Federal
O que é ID Flash?
ID Flash é a coluna do Crypto ID para quem está começando a explorar o universo da tecnologia e da segurança digital e quer entender rapidamente o que está acontecendo nesse cenário.
Aqui você encontra artigos curtos e diretos sobre temas como criptografia, PQC, identificação e certificação digital, PKI, biometria, blockchain, criptoativos, tokenização, inteligência artificial, internet das coisas e muito mais.
A companhe sempre e compartilhe com seus amigos!
