Verificar un certificado sin internet: límites del QR

Un certificado con QR no se puede verificar sin internet, y eso no es un defecto: es la razón por la que funciona. El QR no contiene la prueba; contiene la dirección donde está la prueba, que es el registro del emisor. Sin conexión puedes leer el QR y ver a dónde apunta, pero no puedes confirmar que ese certificado exista y siga vigente. Lo que sí puedes hacer es prepararte: verificar antes de salir a campo, guardar la evidencia y usar la conexión mínima de un celular cuando la necesites.

¿Qué hay realmente dentro del QR de un certificado?

Casi siempre, una URL. Algo como https://verificar.institucion.pe/v/AB12-CD34. El código al final identifica al certificado en el registro del emisor. Cuando escaneas con conexión, tu celular abre esa página y el servidor del emisor responde con los datos del certificado: titular, curso, horas, fecha, estado.

Lo que no hay en el QR es el certificado mismo. Técnicamente podría meterse bastante texto en un código QR, pero eso sería inútil para verificar: si el QR contuviera “Juan Pérez, curso X, 40 horas”, cualquier falsificador generaría un QR idéntico con su propio nombre. La seguridad no está en el código; está en que el código apunte a un registro que solo el emisor controla. El detalle del mecanismo está en cómo funciona un certificado con QR verificable.

Por eso un QR que lleva a un PDF tampoco verifica nada. Un PDF alojado en una carpeta compartida es un archivo que cualquiera puede subir. Una página de verificación es una consulta a una base de datos que solo el emisor administra.

¿Qué pasa cuando escaneo sin conexión?

Depende del lector:

• La aplicación de cámara te mostrará la URL y te ofrecerá abrirla. Sin conexión, el navegador fallará.
• Algunos lectores guardan el escaneo en un historial y permiten abrirlo después, cuando hay señal.
• Si el QR apunta a una URL con dominio reconocible, al menos sabes a quién pertenece supuestamente el certificado. Pero “supuestamente” es la palabra clave: un falsificador puede imprimir un QR con un dominio parecido al real.

En resumen, sin conexión obtienes información, no verificación. Y es importante no confundirlas, porque la tentación en campo es mirar la URL, ver un nombre conocido y dar por bueno el documento.

¿En qué situaciones reales falta internet?

No son pocas, sobre todo en los sectores donde más importa que la capacitación sea real:

Situación	Dónde ocurre	Qué está en juego
Ingreso a obra o a planta	Garita de seguridad en zonas con señal pobre	Verificar inducción de SST antes de permitir el acceso
Operaciones mineras	Campamentos en altura, zonas sin cobertura	Certificados de operadores de equipo pesado, trabajos en altura
Inspección en carretera	Puestos de control de transporte	Certificados de cursos de conductores
Faenas agrícolas o pesqueras	Zonas rurales y embarcaciones	Capacitaciones en manejo de agroquímicos, seguridad a bordo
Auditorías internas en almacén	Sótanos, zonas con blindaje de señal	Habilitación de montacarguistas
Eventos masivos	Congresos con red saturada	Acreditación de asistentes

Ejemplo. La Minera Cerro Alto exige a cada contratista que sus trabajadores lleven el certificado de inducción en seguridad antes de subir al campamento. La garita está a cuatro horas de la ciudad y la señal es intermitente. Durante meses, el guardia revisaba el papel, miraba la firma y dejaba pasar. Cuando una auditoría encontró tres certificados idénticos con el mismo número de serie, cambiaron el procedimiento: la verificación se hace en la oficina de la contratista antes del viaje, con conexión, y la garita solo cruza nombre y DNI contra una lista ya verificada.

Un detalle que ayuda: pide a tus contratistas que los certificados de su personal lleguen en digital a tu oficina antes del viaje, no en la mano del trabajador al llegar a la garita. Así la verificación con conexión es posible y el punto de control deja de ser el único filtro.

¿Qué alternativas funcionan de verdad en campo?

Hay varias, y conviene combinarlas según tu operación.

Verificar antes, no en el punto de control. Es la más simple y la que resuelve la mayoría de casos. La verificación con conexión se hace en oficina, el día anterior o al momento de la contratación, y queda registrada. En campo solo se confirma identidad contra la lista.

Usar la conexión mínima. Una página de verificación bien hecha pesa poco y carga con señal de datos básica. No necesitas 4G estable para una consulta de unos pocos kilobytes. Si el guardia tiene un celular con saldo, la verificación en garita suele ser posible aunque sea lenta.

Lista impresa de certificados verificados. Para una obra o un evento, exporta la relación de personas ya verificadas (nombre, DNI, curso, código) y entrégala impresa al punto de control. Es una lista de confianza generada con conexión; no reemplaza la verificación, la traslada.

Captura de pantalla con fecha, como evidencia, no como prueba. Si alguien verificó con conexión y guardó la captura de la página con fecha y hora, eso sirve como evidencia de que la verificación ocurrió. No sirve para que un tercero verifique de nuevo, porque una captura también se edita.

Firma digital sobre el PDF. Un PDF firmado digitalmente con un certificado emitido por una entidad acreditada puede validarse en gran parte sin conexión en el lector de PDF, siempre que el visor tenga instaladas las raíces de confianza. Es una alternativa legítima para ciertos documentos, pero tiene sus propios límites: cuesta por firmante, no permite retirar de circulación un documento ya firmado, no funciona con el impreso y el verificador debe saber qué revisar en el visor. Comparamos ambos enfoques en firma digital vs. QR verificable en certificados.

¿Qué no debería hacer una empresa frente a esta limitación?

Errores frecuentes cuando una organización descubre que “el QR no sirve sin internet”:

• Volver al papel con sello. El papel tampoco se verifica sin internet; solo se mira. Y se falsifica más fácil que un registro en línea. La comparación completa está en certificados digitales vs. impresos.
• Pedir que el QR “contenga todos los datos”. Eso elimina la única fuente de confianza, que es el registro del emisor.
• Confiar en la verificación que hizo el propio trabajador. Si el postulante te muestra en su celular “la página de verificación”, está mostrando una pantalla que él controla. Escanea tú.
• No registrar la verificación cuando sí hubo conexión. Si no quedó constancia, para una auditoría no ocurrió.
• Exigir conexión en garita en lugar de rediseñar el proceso. Mover la verificación un paso antes suele ser más barato que instalar internet satelital en una caseta.

¿Cómo diseño el procedimiento para mi operación?

Una secuencia que funciona en obras, plantas y eventos:

1. En la contratación o acreditación, con conexión, se escanea el QR de cada certificado exigido y se registra el resultado (fecha, quién verificó, captura).
2. Se arma la lista de personas habilitadas con nombre, DNI y curso.
3. El punto de control recibe la lista (impresa o en una aplicación que funcione sin conexión) y cruza identidad.
4. Cada cierto tiempo, o cuando un certificado tiene fecha de caducidad, se repite la verificación en oficina.
5. Ante cualquier duda en campo, se detiene el ingreso hasta tener conexión. La regla es simple: sin verificación, no hay acceso.

El siguiente paso

Si tu empresa emite sus propios certificados de inducción, SST o capacitación interna, el punto de partida es que cada uno tenga una página de verificación pública que un supervisor pueda abrir desde el celular, y que el registro permita cambiar el estado del certificado si hace falta. Certifika emite certificados con código único, QR y página de verificación con la marca de tu empresa, con planes en soles desde S/ 49 al mes y un plan gratuito para probar; el detalle para áreas de capacitación está en la página de soluciones para empresas.