Cómo verificar un certificado a partir de su código QR

Qué prueba un código QR y qué no

Un código QR es un modo de guardar un texto breve, normalmente una dirección, en un patrón que una cámara puede leer. Nada en el patrón afirma que el texto sea verdadero. Un título falsificado puede llevar un código perfectamente escaneable que conduce a una página diseñada para parecer auténtica. El código es, por tanto, una comodidad para llegar a una página, nunca una prueba por sí mismo.

La simbología está normalizada en la ISO/IEC 18004 e incluye corrección de errores en cuatro niveles que pueden restaurar aproximadamente el 7 %, el 15 %, el 25 % o el 30 % de los datos. Por eso un código impreso en una hoja algo arrugada o manchada se sigue escaneando. Significa también que un código dañado que se escanea tampoco prueba nada.

Las tres comprobaciones tras escanear

1. Leer la dirección antes que la página. La página debe estar en el dominio de la institución emisora o en el del servicio de verificación que la institución haya indicado. Un dominio parecido que difiere en una letra es el truco habitual.
2. Cotejar la página con el papel. La página muestra el nombre del destinatario, el curso o título, la institución y la fecha. Cada dato debe coincidir con el documento en mano, letra por letra.
3. Leer el estado. Un certificado puede estar vigente, vencido o retirado por la institución. Una página que informa de una retirada o de un vencimiento es un resultado negativo aunque el certificado exista.

Cómo se comporta la página de verificación de Emitcert

La página de verificación que abre el código QR es el registro de la institución, servido por el mismo sistema que otorgó el certificado. Nombra al destinatario, el título, la institución y las fechas, e indica si el certificado es válido, ha vencido o fue retirado por la institución. Las palabras del certificado se firman con la clave Ed25519 propia de la institución en el momento de emitirlo, y la página informa del registro que esa firma cubre.

El modelo del W3C para las credenciales verificables añade una advertencia que conviene conservar: la verificabilidad muestra que una credencial no ha sido alterada, y quien verifica sigue aplicando sus propias reglas para decidir si se apoya en lo que dice. Una página que confirma el certificado no decide, en nombre del lector, si el curso satisface el requisito en cuestión.

Cuando el escaneo falla

La impresión, los pliegues y los reflejos de pantalla derrotan a las cámaras. La página de verificación de Emitcert acepta el código del certificado escrito a mano o el enlace completo pegado, y ofrece además escanear un código QR con la cámara del dispositivo o desde un archivo de imagen. Un código de otro sistema se informa como tal: la página indica que el código QR no contiene un enlace ni un código de verificación de Emitcert, lo que invita a buscar el método de verificación propio de la institución.

Para instituciones: imprimir un código que se escanee

• Imprimirlo con un tamaño que una cámara lea a la distancia del brazo, con un margen libre de papel liso alrededor.
• Imprimir junto a él el código y la dirección de verificación en texto, para el día en que el patrón impreso se dañe.
• Probar una copia impresa en dos teléfonos antes de imprimir la tirada.
• Mantener el código QR fuera de un fondo oscuro o con textura.

Lista de comprobación para el lector

1. Escanear y luego leer la dirección.
2. Comparar nombre, título, institución y fecha con el papel.
3. Leer la línea de estado: válido, vencido o retirado.
4. Si el código QR no se escanea, escribir el código impreso en la página de verificación de la institución.
5. Si algo no coincide, contactar con la institución por un canal hallado con independencia del documento.