¿Qué tan seguro es un pase digital?

La pregunta correcta

"¿Es seguro?" es una pregunta que no se puede responder con seriedad. Las preguntas útiles son concretas: ¿qué impide falsificar un pase? ¿Qué impide alterar uno legítimo? ¿Qué impide usar dos veces un boleto? ¿Qué impide montar una pantalla de verificación falsa? Un pase digital bien emitido responde cada una con una capa distinta.

El archivo va firmado

En Apple Wallet, un pase es un paquete firmado con certificados que Apple emite al emisor. Si alguien altera el contenido —un campo, una imagen, una fecha— la firma deja de corresponder y el teléfono rechaza el archivo. No es una validación de la plataforma de emisión: es el propio sistema operativo el que no acepta un pase adulterado.

En Google Wallet el modelo es distinto pero llega al mismo lugar: el pase no es un archivo que viaja, sino un objeto creado directamente contra la plataforma de Google con credenciales del emisor. No hay archivo que interceptar ni manipular.

Los enlaces de instalación expiran

El enlace que instala un pase va firmado y tiene vencimiento. Un enlace filtrado en un chat meses después no instala nada: la firma sigue siendo válida, pero el vencimiento ya pasó.

Y las firmas no comparten un secreto único para toda la plataforma: cada tipo de operación firma con secreto propio. Rotar el secreto de los enlaces de facturas no invalida los enlaces de credenciales educativas, así que la higiene de rotación no exige re-emitir el mundo.

Lo que entra también se verifica

La seguridad no es solo lo que sale. Los avisos de pago que llegan desde tu pasarela o tu sistema de facturación vienen firmados con un secreto propio de tu operación —no uno compartido entre clientes—, y ese secreto se almacena cifrado. Un aviso sin firma válida se rechaza antes de tocar cualquier pase. Nadie actualiza el estado de una factura ajena por adivinar una dirección.

Un código que no se presta

En boletos de evento, el código de cada boleto es único en la plataforma y se quema con el primer uso: el segundo escaneo del mismo código recibe "ya usada". Para eventos de alto riesgo existe además el código dinámico, que rota cada pocos segundos en el pase — la foto del QR caduca antes de llegar a la puerta.

La captura de pantalla no vale

Dos defensas se complementan. En el teléfono, el pase puede restringir las capturas de pantalla. Y en la verificación, la página muestra un reloj en vivo que avanza segundo a segundo: una captura de una verificación vieja se delata sola, porque su hora quedó congelada. Verificar es mirar el estado presente, no una foto del pasado.

Los certificados no vencen en silencio

Los certificados de emisión tienen fecha de vencimiento, y un certificado vencido es una emisión detenida. La plataforma los revisa periódicamente y anticipa el vencimiento con semanas de margen, para que la renovación sea un trámite programado y no una emergencia un viernes por la tarde.

Los datos del titular, fuera de la cara del pase

La cara visible del pase muestra lo necesario para operar: nombre, estado, código. Los datos más sensibles no viajan impresos en esa cara — viven en el reverso del pase o directamente fuera de él, donde un vistazo por encima del hombro no los alcanza.

Capas, no candados

Ninguna de estas piezas es "la" seguridad del pase. La firma protege el archivo, el vencimiento protege el enlace, la verificación protege la puerta, el cifrado protege los secretos. La pregunta para cualquier plataforma de emisión no es si tiene un candado, sino cuántas de estas capas puede mostrarte funcionando.