Sammanfattning: Ett verifieringssystem för certifikat är den del av utfärdarens upplägg som låter vem som helst kontrollera ett certifikat eller intyg utan att kontakta utfärdaren. Systemet knyter varje certifikat till ett register som utfärdaren styr, svarar på en QR-skanning eller en länk på sekunder och visar om certifikatet är giltigt, har gått ut eller har återkallats. Med förankring i en blockkedja finns dessutom ett register utanför utfärdarens egna servrar, så svaret överlever ett nytt system eller en nedlagd leverantör. För ett företag, en skola eller en myndighet handlar uppstarten om en mall, ett sätt att utfärda och en domän.
Ett verifieringssystem för certifikat är de register och kontroller som låter en främling bekräfta tre saker om ett certifikat: att det kommer från organisationen som står på det, att det utfärdades till personen som visar upp det och att ingen har ändrat det sedan dess. Utfärdaren driver systemet. Arbetsgivaren, kunden eller inspektören använder det, oftast utan att veta om att det finns.
Ordet täcker två olika uppgifter. Den som håller i ett enda intyg vill kontrollera det, och det behovet möter ett verktyg som TRUE Verify eller guiden så kontrollerar du om ett intyg är äkta. Den här artikeln handlar om den andra sidan. Ett företag, en skola eller en myndighet utfärdar hundratals eller tusentals certifikat om året och måste göra varje certifikat kontrollerbart för människor den aldrig kommer att träffa, så länge certifikatet används.
Varje verifieringssystem för certifikat har tre delar, vilken teknik som än ligger under. Ett register över vad som utfärdats. En väg från certifikatet till registret, oftast en länk eller en QR-kod. Och ett svar som innehavaren av certifikatet inte kan skriva själv.
En utfärdare behöver ett verifieringssystem för certifikat eftersom de flesta som litar på dess certifikat aldrig kontrollerar dem, och de få som gör det hamnar i utfärdarens inkorg. Ett system som svarar på egen hand täpper till båda luckorna. Kontrollen blir en skanning, och ingen hos utfärdaren behöver leta fram uppgifter om en kurs som tog slut för sex år sedan.
En YouGov-undersökning bland 526 personer med ansvar för rekrytering, gjord i april 2025 för Hedd, Storbritanniens tjänst för verifiering av examina, och redovisad av Prospects Luminate i november 2025, visade att 45 procent av de stora arbetsgivarna hade upptäckt falska uppgifter om utbildning. Bara 52 procent av de stora företagen kontrollerade alla akademiska meriter, och andelen sjönk till 37 procent bland medelstora och 29 procent bland små organisationer. Den brittiska bedrägeribekämpande organisationen Cifas rapporterade den 3 februari 2025 att 18 procent av britterna hade ljugit i ett CV eller en jobbansökan under det senaste året, eller kände någon som hade gjort det.
Att titta på papperet avgör inte längre saken. Samma artikel från Prospects Luminate skriver att traditionella kontroller som att granska certifikatet med ögonen inte längre räcker. Ett förfalskat certifikat bär en riktig utfärdares namn, eftersom det är namnet läsaren litar på. Bara den utfärdaren kan motbevisa det, och ett verifieringssystem låter utfärdaren göra det utan att någon behöver fråga.
Ett verifieringssystem för certifikat måste knyta varje certifikat till utfärdarens eget register, svara vem som helst utan konto, visa aktuell status, fungera så länge certifikatet används och inte visa fler personuppgifter än certifikatet redan gör. Ett system som missar något av detta lämnar läsaren med en sida som ser officiell ut och inte bevisar någonting.
Den sjätte punkten är den en sökning i en databas inte klarar på egen hand. En sökning i utfärdarens egen databas svarar bara så länge databasen är igång, på samma adress och med samma leverantör under avtal. Webbens egen standardiseringsorganisation skriver in de andra kraven i sina definitioner. W3C:s Verifiable Credentials Data Model 2.0, en W3C-rekommendation sedan den 15 maj 2025, beskriver ett verifierbart intyg som en uppsättning manipuleringsavslöjande påståenden och metadata som kryptografiskt bevisar vem som utfärdade det, och definierar ett statusfält som visar om intyget är tillfälligt spärrat eller återkallat.
Ett verifieringssystem för certifikat med blockkedja skriver ett kryptografiskt fingeravtryck av varje certifikat till en publik blockkedja i samma ögonblick som certifikatet utfärdas. Vid varje kontroll räknar systemet fram fingeravtrycket på nytt och jämför det med det som finns registrerat. Stämmer de överens är certifikatet det som utfärdaren registrerade, och ingenting i det har ändrats.
Själva certifikatet hamnar aldrig i kedjan. Bara fingeravtrycket, en hash, skrivs dit, och en hash går inte att räkna tillbaka till ett namn eller en kurs. Därmed är det mesta av dataskyddsfrågan besvarat innan någon hunnit ställa den. Tekniken steg för steg står i vad är ett blockkedjecertifikat, och på engelska beskriver TRUE läsarens sida av kontrollen i blockchain certificate verification.
För utfärdaren tillför blockkedjan något en databas inte kan: en post som ingen hos utfärdaren kan ändra i efterhand, i ett nätverk som ingen enskild organisation äger. MIT prövade idén 2017, när 111 examinerade kunde få sina examensbevis digitalt vid sidan av papperet. Enligt MIT News den 17 oktober 2017 använder verifieringsportalen blockkedjan som en notarie: den letar upp transaktionen som visar när posten lades till, kontrollerar nycklarna och bekräftar att ingenting har ändrats sedan dess.
Chris Jagers, medgrundare och vd för Learning Machine, bolaget som byggde piloten tillsammans med MIT:s studieadministration, pekade ut den egenskap en utfärdare bryr sig mest om: ”MIT har utfärdat officiella handlingar i ett format som kan finnas kvar även om lärosätet försvinner, även om vi försvinner som leverantör.” (TRUE:s översättning.)
Blockkedjan går inte i god för kursen. Det gör utfärdaren, precis som med papper. Det posten bevisar är vem som registrerade certifikatet, när, och att det är oförändrat. Statusen ligger ovanpå posten: ett återkallat certifikat behåller sin ursprungliga post, och svaret läsaren får ändras till återkallat.
De flesta utfärdare kombinerar metoder i stället för att välja en. En databas ger aktuell status, en digital signatur eller en eIDAS-stämpel ger rättslig tyngd inom EU, och förankring i en blockkedja ger en post som överlever utfärdarens egna system. Tabellen visar vad varje metod bevisar på egen hand och var den tar slut.
| Metod | Vad läsaren kontrollerar | Vad det bevisar | Var det tar slut |
|---|---|---|---|
| Sökning i utfärdarens databas | En sida eller en sökning på utfärdarens webbplats | Vad utfärdarens register säger i dag | Upphör när databasen, adressen eller leverantören byts, och den som har behörighet kan ändra posten |
| Digital signatur eller eIDAS-stämpel på en PDF | Signaturen i filen | Vem som signerade filen och att den är oförändrad | Filen saknar aktuell status, så ett återkallat certifikat visar fortfarande en giltig signatur |
| Förankring i blockkedja | Certifikatets fingeravtryck mot en publik post | Vem som registrerade certifikatet, när, och att det är oförändrat | Säger ingenting om status om inte systemet visar den bredvid posten |
| W3C Verifiable Credential | Ett signerat intyg, ofta i en digital plånbok | Utfärdarens signatur på påståendena i intyget | Läsaren behöver programvara som kan läsa formatet |
Den rättsliga frågan är skild från den tekniska. En post i en blockkedja har ingen eIDAS-status i sig, och en utfärdare som behöver det lägger till en eIDAS-stämpel eller signatur, som TRUE beskriver i är en tidsstämpel på blockkedja giltig enligt eIDAS?. Signaturstandarden går TRUE igenom i W3C Verifiable Credentials 2.0: så fungerar standarden. TRUE Verify graderar kombinationen: ett dokument med både en post i blockkedjan och en eIDAS-signatur når Signed + Secured, den högsta av dess fem säkerhetsnivåer.
Jämför hur en främling kontrollerar ett certifikat, vad som händer med verifieringen om ni lämnar leverantören, på vems domän svaret visas, hur en ändrad status når läsaren och hur certifikaten kommer in i systemet från de verktyg ni redan använder. Pris och design spelar roll, och de kommer efter dessa fem.
En leverantör som svarar på den andra frågan med en avtalsklausul i stället för en mekanism har svarat. TRUE:s längre utvärderingsmodell, med viktade kriterier och en tidsplan på fem veckor, finns i hur du väljer en plattform för digitala meritbevis, och fem leverantörer med publicerade priser jämförs i TRUE Original och andra plattformar för digitala intyg 2026.
Ni bygger ett verifieringssystem för certifikat genom att börja med de certifikat som kontrolleras oftast, bestämma vad varje post och status ska innehålla, välja domänen där svaren öppnas och koppla utfärdandet till systemet där kursen eller beslutet redan finns. Sedan talar ni om för dem som kontrollerar var de ska titta.
Besluten i steg två och sex tar längst tid. De tekniska stegen är korta. Med TRUE Original är en egen domän en CNAME-post, och de flesta organisationer har den igång samma dag.
TRUE Original utfärdar varje certifikat som ett original publicerat online, på utfärdarens egen domän om utfärdaren vill det, och förankrar ett fingeravtryck av det i en publik blockkedja i samma ögonblick som det utfärdas. Vem som helst kan kontrollera det genom att skanna QR-koden, öppna länken eller klistra in den i TRUE Verify, gratis och utan konto.
TRUE Original är blockkedjeagnostiskt och använder flera publika blockkedjor, bland dem Ethereum och Polygon, och en kund som vill ha en viss kedja kan få den. Inga personuppgifter skrivs till kedjan. Slutdatum och återkallelse syns i svaret från det ögonblick utfärdaren sätter dem, och ett återkallat certifikat öppnas fortfarande och visar sin status i stället för en död sida. Certifikaten skickas från TRUE-dashboarden, med strukturerade mejl, via ett REST-API med fem endpoints eller från integrationer som Canvas LMS, Moodle, Learnster och Salesforce.
TRUE Original har utfärdat över 900 000 dokument åt fler än 200 utfärdare i över 15 länder och har sparat kunderna mer än 100 000 timmar i utfärdande, hantering och verifiering. Karolinska Institutet utfärdar kursintyg direkt från Canvas. SSF Stöldskyddsföreningen utfärdar blockkedjesäkrade certifikat som vem som helst kan kontrollera utan att kontakta SSF. Bolagsverket byggde sitt koncept Proof of Business tillsammans med TRUE.
Hedd har gjort över 1,75 miljoner verifieringar av examina åt arbetsgivare sedan 2011. Varje gång var det ett certifikat som inte kunde svara för sig självt.
Ett verifieringssystem för certifikat är de register och kontroller som låter vem som helst bekräfta att ett certifikat kommer från organisationen som står på det, utfärdades till personen som visar upp det och inte har ändrats. Utfärdaren driver systemet, och läsaren når det via en länk eller en QR-kod på certifikatet.
Det är ett system som skriver ett kryptografiskt fingeravtryck av varje certifikat till en publik blockkedja när certifikatet utfärdas och jämför certifikatet med fingeravtrycket vid varje kontroll. Stämmer de överens är det bevisat vem som registrerade certifikatet och att ingenting i det har ändrats, utan att utfärdaren behöver kontaktas.
Nej. Bara en hash av certifikatet skrivs till blockkedjan, och en hash går inte att räkna tillbaka till ett namn eller en kurs. Hos TRUE Original lagras inga personuppgifter i kedjan.
Med en sökning i en databas upphör verifieringen när databasen eller adressen försvinner. Med förankring i en blockkedja ligger posten kvar i ett publikt nätverk som ingen enskild organisation äger, så certifikatet kan fortfarande kontrolleras mot den.
Den tekniska delen är kort: med TRUE Original är en egen domän en DNS-post, och de flesta organisationer har den igång samma dag. Besluten tar längre tid: vilka certifikat som kommer först, vad varje post ska innehålla och när ett certifikat går ut eller återkallas.
Varje organisation vi arbetar med började med samma fråga. Ge oss trettio minuter så visar vi vad era egna dokument skulle vara värda.
Boka ett samtalInte säker på var du ska börja? Låt oss hjälpa till!
Betrodda av ledande organisationer världen över
