Documentos de obra verificables mediante código QR

Un código QR facilita llegar a una página de verificación, pero no vuelve auténtico un documento por sí solo. La confianza proviene del mecanismo que valida el identificador, comprueba la integridad, muestra un estado vigente y limita la información pública. Imprimir una URL predecible dentro de un QR puede exponer documentos o permitir falsificaciones convincentes.

En certificados de obra, pases de acceso o dossiers de calidad, la verificación debe responder una pregunta concreta: ¿este documento fue emitido por la organización indicada, corresponde a esta versión y continúa vigente? La página pública no necesita revelar todo el expediente para contestarla.

Qué contiene realmente el QR

ISO/IEC 18004 especifica la simbología y decodificación de QR. Esa norma explica cómo representar datos, no cómo autenticar el negocio que hay detrás. La aplicación decide qué URL codificar, cómo protegerla y qué información devuelve.

Una opción es incluir un identificador opaco y una firma criptográfica. El servidor verifica la firma antes de consultar datos. Otra es usar un token aleatorio almacenado y revocable. En ambos casos evita IDs secuenciales sin protección.

Superficie pública mínima

Integridad del archivo

Una función hash como SHA-256 produce un resumen que cambia cuando el archivo cambia. NIST describe estos digests como un mecanismo para detectar modificaciones. Guardar la huella del PDF emitido permite comparar una copia, pero la huella también necesita una fuente confiable: publicar un hash junto a un PDF falso no resuelve nada.

La firma del token y la huella cumplen funciones distintas. La primera protege la solicitud de verificación; la segunda identifica el contenido. Registra ambas cuando el caso lo requiera.

Emitido, vigente, reemplazado o revocado

La página debe distinguir estados. Un documento reemplazado puede seguir siendo auténtico como pieza histórica, pero ya no ser la versión vigente. Un pase revocado no debe aparecer simplemente como «encontrado». Define el lenguaje para que una persona en terreno entienda la consecuencia.

No borres la emisión anterior al reemplazarla. Conserva el vínculo hacia la nueva versión y la razón del cambio cuando corresponda. La trazabilidad resulta especialmente importante si el impreso antiguo continúa circulando.

Prevenir enumeración y exposición

Verifica la firma o token antes de ejecutar consultas con privilegios. Limita intentos, evita mensajes que permitan enumerar folios y no expongas rutas de almacenamiento. Si el token incorpora organización y documento, valida ambos después de comprobar su integridad.

La página pública debe usar consultas específicas y campos permitidos. No reutilices una API administrativa y ocultes columnas solo en la interfaz.

Escaneo en terreno

El diseño móvil necesita cargar rápido, mostrar el estado en la primera pantalla y permitir comparar folio, emisor y fecha. El QR debe imprimirse con tamaño y contraste suficientes; prueba copias, pantallas y condiciones reales. La corrección de errores del símbolo ayuda a leer, pero no compensa una impresión ilegible o una URL caída.

Prueba también el ciclo de vida completo. Emite una versión de ensayo, escanéala desde más de un dispositivo, reemplázala y revócala. Comprueba que el estado cambie sin alterar la evidencia histórica y que una falla temporal entregue un mensaje distinto de «documento inválido». Esa distinción evita decisiones erróneas en el acceso a faena o durante una inspección.

Verificación en Codenergy

Codenergy puede generar un certificado o pase con QR, validar el token y mostrar únicamente los campos públicos definidos. El expediente técnico, los ITR y la evidencia permanecen protegidos dentro de la organización.

Guía editorial de organización operacional y documental. Los ejemplos son ficticios y deben adaptarse al contrato, los procedimientos aprobados y los requisitos aplicables a cada proyecto.