El proyecto de código abierto de la Unión Europea para verificar la edad en línea ha generado críticas tras confirmar uno de sus mantenedores que la atestación vinculada al hardware es un requisito arquitectónico obligatorio. El debate surgió en el repositorio de GitHub de la aplicación para Android, donde un usuario argumentó que ligar las credenciales a entornos de hardware específicos dificultaría el soporte de sistemas abiertos. El mantenedor respondió que la atestación por hardware «es un requisito del proyecto, no un detalle de implementación que podamos eliminar» e invitó a presentar propuestas alternativas, anunciando una próxima revisión de seguridad y modelo de amenazas.
La solución permite a los usuarios demostrar que son mayores de cierta edad sin revelar su nombre, fecha de nacimiento exacta ni documento de identidad completo. Para impedir la copia o reutilización de credenciales por clientes modificados, el proyecto almacena las claves en hardware protegido como Android TEE, StrongBox o el Secure Enclave de Apple. Críticos sostienen que esta dependencia reduce la apertura del sistema al vincularlo a un número limitado de dispositivos, sistemas operativos y proveedores de atestación autorizados.
Aunque la especificación técnica exige el uso de hardware criptográfico nativo cuando esté disponible, comprobaciones más estrictas como detección de root, Google Play Integrity y Apple App Attest no son obligatorias y quedan a criterio de cada despliegue. La gobernanza añade otra limitación: los proveedores de credenciales solo las emitirán a aplicaciones incluidas en una lista de apps conformes mantenida por la Comisión Europea. Linux no está prohibido explícitamente —los usuarios de escritorio podrían escanear un código QR con un monedero móvil compatible—, pero no existe un monedero nativo para Linux y los sistemas operativos móviles alternativos podrían no cumplir las condiciones de confianza exigidas.