Když se na konci minulého roku začaly měnit podmínky ověření účtů na Twitteru, rozvířila se debata o tom, jak ověření identity pro online účty dělat. Jak jsem zjistil, způsob, jakým to dělá Mastodon, je překvapivě elegantní.

Dříve měl Twitter proces ověřování pro významné účty (politici, novináři atd.). Popravdě nevím, co to ověření obnášelo, ale po převzetí Twitteru přišel Musk s tím, že na ověření má nárok kdokoliv, kdo zaplatí 8 dolarů. Paradoxní na tom bylo, že proces najednou vlastně žádné ověření identity neobsahoval. Zaplatili jste 8 dolarů, dostali jste modrý odznáček a mohli jste se vydávat za kohokoliv. Tohle nepřekvapivě nefungovalo, takže po řadě průšvihů během krátké doby tento způsob ověření pozastavili.

Ne, že bych měl potřebu mít své účty na sociálních sítích ověřené, ale zajímalo mě, jestli jde nějakým způsobem ověřit účet na Mastodonu, tam totiž neexistuje nějaká centrální entita, která by vám účty ověřovala. Zjistil jsem, že Mastodon na to jde docela elegantním způsobem. Outsourcuje ověření na správce internetových domén.

Internetová doména je dle mého názoru nejlepším nositelem online identity. Správci internetových domén zpravidla fungují ve veřejném zájmu, mají dlouhodobou kontinuitu, jsou to celosvětově uznávané autority. Domény jsou cenově dostupné a pravidla pro jejich držení jsou relativně volná. Šance, že přijdete o doménu a tedy i o svoji online identitu, je relativně malá. Email je dnes nejčastějším identifikátorem a pokud jej provozujete na vlastní doméně, využíváte tak doménu jako nositele identity napříč online službami. Pokud vlastní doménu nemáte, doporučuji její pořízení. Je to z dlouhodobého hlediska mnohem lepší nápad než se spoléhat na identitu odvozenou od účtů u poskytovatelů služeb (Google, Facebook, Apple, Microsoft…), protože to si na sebe jen šijete jeden velký vendor lock-in.

Mastodon nedělá nic jiného, než že využívá formát XHTML Friends Network, který existuje už od roku 2003. Umožňuje odkazem deklarovat vztah. Na doméně, kterou vlastníte, tak můžete umístit odkaz na svůj profil na Mastodonu ve formátu:

<a href="https://floss.social/@sesivany" rel="me">Me on Mastodon</a>

V profilu na Mastodonu zase odkážete na stránku, která tento odkaz obsahuje, a když Mastodon zpětný odkaz detekuje, označí spojení za ověřené. Tímto spojíte účet se svojí doménou. Pokud na doméně provozujete třeba populární blog, o kterém se obecně ví, že jste za ním vy, může to stačit, ale prokázání toho, že máte kontrolu nad obsahem stránek pod nějakou doménou, ještě neznamená ověření identity.

Pokud ale vlastníte českou doménu, můžete jít dál. CZ.NIC totiž umožňuje propojit záznam v registru domén s účtem u jimi provozovaného MojeID. To se používá i pro přihlašování do online služeb státní správy a pro tyto účely vyžaduje fyzické ověření osoby. Znamená to tedy, že musíte s občankou naklusat na CzechPoint, kde někdo ověří, že za účtem u MojeID jste opravdu vy (můžete k ověření účtu MojeID použít i eobčanku nebo datovou schránku, ale ty taky vyžadovaly fyzické ověření, když jste si je vytvářeli).

Já mám účet u MojeID takovýmto způsobem ověřený. Řetěz důvěry tak vede od mého účtu na Mastodonu až k ověření s občanským průkazem na CzechPointu. Která online služba takto silné ověření má? Přitom ze strany Mastodonu se jedná o jednoduchou věc na implementaci a mě to stojí zhruba 8 dolarů na poplatcích za doménu ročně, ne měsíčně. A má to mnohem širší využití. Škoda, že XFN nepoužívá více služeb.