Guía práctica · Seguridad
Ambas se leen acercándolas y ambas usan la misma banda, de modo que la confusión es comprensible. Pero una almacena un mensaje que cualquiera puede leer y la otra ejecuta operaciones criptográficas con un banco detrás.
Guarda un mensaje
Ejecuta una operación
13,56 MHz
Bajo y acotado
Una etiqueta NFC almacena un mensaje —normalmente una dirección web— que cualquier teléfono compatible puede leer sin permiso ni clave. Una tarjeta bancaria sin contacto no almacena un mensaje legible: contiene un elemento seguro que ejecuta una operación criptográfica con el terminal y genera un código distinto en cada pago. Escribir en una etiqueta el número de una tarjeta bancaria no crea un medio de pago; crea un texto copiable por cualquiera.
| Criterio | Etiqueta NFC | Tarjeta bancaria sin contacto |
|---|---|---|
| Qué contiene | Un mensaje legible por cualquiera | Un elemento seguro con claves protegidas |
| Quién puede leerla | Cualquier teléfono compatible | Solo un terminal con el protocolo de pago |
| Contenido copiable | Sí, íntegramente | No; cada operación genera un código distinto |
| Función | Abrir un enlace, identificar un objeto | Autorizar un pago frente a una red bancaria |
| Emisor | Cualquiera | Una entidad financiera |
El riesgo genuino de una etiqueta NFC es el destino al que apunta. Una etiqueta pública sin protección de escritura puede ser reescrita para dirigir a una página fraudulenta, y quien la utilice no verá nada raro hasta llegar al destino. Por eso las etiquetas accesibles al público deben bloquearse o protegerse con contraseña, y por eso conviene mirar la dirección antes de introducir datos en cualquier página abierta desde una etiqueta.
En cuanto a las tarjetas bancarias, la preocupación habitual —que alguien cobre acercando un lector en el transporte público— es en la práctica muy limitada: el atacante necesitaría un terminal de pago dado de alta a nombre de un comercio identificable, las operaciones quedan registradas y son reversibles, y existen límites por importe y por número de operaciones consecutivas sin verificación.
Si va a distribuir etiquetas a clientes, la protección de escritura no es un extra: es lo que impide que su soporte acabe dirigiendo a un destino ajeno, con su marca impresa encima. El coste es nulo y la decisión debe tomarse antes de producir, porque el bloqueo se aplica durante la codificación.
Apuntar a un dominio propio que redirige al destino final añade una segunda ventaja: permite cambiar el contenido más adelante y detectar comportamientos anómalos en el tráfico.
Escritura, verificación y la decisión de bloqueo.
Formatos, codificación, bloqueo y validación.
Siguiente paso