Cómo verificar un certificado por su código QR

Un reclutador escanea el QR de un diploma con el celular, se abre una página con un tilde verde, y da el caso por cerrado. En treinta segundos "verificó" el certificado. El problema: la mitad de esos QR no prueban nada que un falsificador no pueda copiar en una tarde.

Verificar un certificado QR bien hecho es rápido y confiable. Verificarlo mal es teatro. La diferencia está en entender qué mira realmente el escaneo, y esa distinción es la que separa un chequeo serio de un sello de confianza decorativo.

Qué hace (y qué no hace) un código QR en un certificado

Un QR no es más que un enlace o un dato codificado en cuadraditos. Cuando lo escaneás, tu teléfono lee ese contenido y lo abre. Nada más. La "magia" no está en el QR: está en a dónde te lleva y qué comprueba la página que aparece.

Hay tres tipos de QR que vas a encontrar en certificados, y no valen lo mismo:

Tipo de QR	Qué abre	Qué prueba realmente
Decorativo	Un PDF alojado, la web del emisor	Casi nada: cualquiera genera uno
De registro	Una página con los datos del certificado	Que existe un registro, si confías en quien lo aloja
De integridad	Una verificación del archivo contra un hash	Que el documento no fue alterado, sin depender del emisor

El primero es el más común y el más engañoso. Un falsificador toma un diploma real, lo edita en Photoshop, y le deja el mismo QR que apunta al PDF original alojado en algún servidor. Escaneás, se abre algo que parece oficial, y no notás que el papel que tenés en la mano dice otro nombre.

Verificar un certificado QR paso a paso

Seguí esta secuencia y vas a detectar el 90% de los fraudes sin ser un experto.

1. Escaneá y mirá la URL completa, no solo el tilde verde. ¿El dominio es el de la institución que dice emitir el certificado? ¿O es un acortador raro, un dominio genérico, o algo que no tiene relación? Un QR legítimo te lleva a un sitio coherente con el emisor.

2. Compará lo que muestra la página con lo que dice el papel. Nombre, curso, fecha, número de certificado. Si el QR abre "un" certificado pero los datos no coinciden con el que tenés enfrente, ya encontraste el problema. Este paso solo detecta el fraude de "QR reciclado".

3. Preguntate si la página depende del emisor para existir. Si la verificación vive en el servidor de la academia y esa academia cierra, migra o pierde el dominio, el QR muere. Un certificado que "se verifica" solo mientras la plataforma siga viva no es una prueba sólida: es una promesa con fecha de vencimiento.

4. Buscá si el QR verifica el archivo, no solo un registro. Este es el salto de calidad. Los sistemas serios no solo te muestran datos: comparan el documento que tenés con una huella digital única (un hash) calculada al emitirlo. Si cambió un solo píxel, la verificación falla.

La señal que separa un QR serio de uno decorativo

La pregunta clave es esta: ¿el QR confirma que el archivo no fue alterado, o solo te muestra información?

Mostrar información es fácil de imitar. Confirmar integridad, no. Cuando un certificado se emite con una huella digital anclada de forma independiente, el escaneo puede comparar el archivo real contra esa huella. Dos resultados posibles: coincide (intacto) o no coincide (algo cambió). No hay grises.

Esto es lo mismo que explicamos cuando hablamos de cómo verificar un certificado PDF online: el hash del archivo es la prueba, no el diseño de la página. El QR es apenas el atajo para llegar a esa verificación.

Y acá conviene ser honesto sobre qué prueba y qué no una huella digital. Prueba dos cosas: integridad (el documento no fue alterado) y existencia en una fecha. No prueba que el emisor sea legítimo — eso lo respalda la reputación de la institución. Un QR de integridad te dice "este archivo es idéntico al que se emitió"; no te dice "esta academia es seria". Son cosas distintas y confundirlas es el error clásico.

Los tres fraudes de QR más comunes

Conocer los trucos te vuelve mejor verificador. Estos son los que más se repiten:

• QR reciclado: se copia un QR legítimo a un certificado editado. Se detecta comparando datos (paso 2).
• QR a dominio falso: apunta a un sitio clon que imita al emisor. Se detecta mirando la URL con cuidado (paso 1).
• QR sin verificación real: abre un PDF suelto o una imagen, sin ninguna comprobación de integridad. Se detecta preguntando "¿esto verifica el archivo o solo lo muestra?" (paso 4).

Ninguno de estos sobrevive a una verificación que compara el archivo contra una huella independiente. Por eso, del lado de quien emite, el QR debería ser la puerta a una prueba real, no un adorno. Si estás del lado de RRHH, esto se conecta con validar la formación de un candidato sin depender de una llamada telefónica a la institución.

Qué mirar del lado del que emite certificados

Si sos academia, bootcamp o centro de formación, el QR de tus certificados dice mucho de vos. Un QR que solo abre un PDF le da a cualquier falsificador una puerta abierta. Un QR que lleva a una verificación de integridad, en cambio, convierte cada certificado en algo comprobable por cualquiera.

Buscá que tu sistema de emisión ofrezca:

• Verificación por el archivo, no solo por un número de registro.
• Independencia del hosting: que el certificado se siga verificando aunque tu plataforma cambie o desaparezca.
• Un flujo simple para el destinatario: escanear, arrastrar el PDF, ver el resultado. Sin cuentas ni fricción.

En Rootproof la verificación funciona arrastrando el PDF: el hash se calcula localmente y el archivo nunca se sube. La huella queda anclada de forma independiente —hoy en la red de prueba durante la beta, con la red principal en camino— para que la prueba sobreviva aunque la plataforma no esté. Es el mismo principio que trabajamos en emitir certificados verificables para academias.

Verificar un certificado QR deja de ser un acto de fe

El tilde verde no es la meta: la meta es saber que el documento que tenés en la mano es exactamente el que se emitió. Un QR que solo muestra información te pide que confíes; un QR que compara el archivo contra una huella te da una respuesta.

La próxima vez que escanees el QR de un certificado, hacé las cuatro preguntas: ¿a dónde lleva la URL?, ¿los datos coinciden?, ¿depende del emisor para existir?, ¿verifica el archivo o solo lo muestra? Con eso, verificar un certificado QR pasa de ser un gesto decorativo a ser una prueba real —y toma los mismos treinta segundos.