Guías
Códigos temporales y QR: riesgos y precauciones
Código y QR representan la misma invitación temporal. El diseño reduce su ventana de uso, pero la persona que lo comparte sigue controlando a quién llega.
Controles que sí existen
- Formato
- ABC-234
- Seis caracteres de un alfabeto de 31 símbolos.
- Caracteres excluidos
- I, L, O, 0 y 1
- Reduce confusiones al leer o dictar.
- Entrada
- 10 minutos
- Ventana de un Pase anónimo aún no conectado.
- Capacidad
- 2 navegadores
- Propietario y un segundo participante.
- Generación
- Web Crypto
- Muestreo con rechazo para evitar sesgo en el alfabeto.
Modelo de amenazas
El activo principal no es el código por sí solo, sino el acceso al Pase correcto y el archivo que terminará en ambos extremos.
| Riesgo | Qué puede ocurrir | Control actual | Precaución práctica |
|---|---|---|---|
| Código o QR expuesto | Otra persona intenta entrar durante la ventana útil. | Solo cabe un segundo participante y los intentos de entrada tienen limitación de frecuencia. | Compártelo en privado, cuando ambos dispositivos estén listos. |
| QR que apunta a otro sitio | La cámara abre una web ajena que imita el flujo. | Mándamele valida el código cuando la solicitud llega a su servicio. | Revisa mandamele.com y HTTPS antes de introducir o enviar nada. |
| Participante equivocado | Una persona con el código entra antes que el destinatario. | El protocolo admite aprobar o rechazar, pero la aprobación manual está desactivada en el flujo actual. | Confirma al destinatario por voz u otro canal y crea un Pase nuevo si algo no encaja. |
| Dispositivo comprometido | El archivo se lee antes de enviarlo o después de recibirlo. | WebRTC protege el transporte; Mándamele no controla los extremos. | Evita dispositivos públicos y cifra previamente el archivo cuando el impacto lo justifique. |
| Captura o descarga conservada | La invitación o el contenido permanece fuera de la sesión. | La caducidad termina el estado del Pase, no borra archivos ni capturas. | Cierra el Pase y revisa descargas, copias, papelera y sincronización. |
Qué contiene realmente el QR
El QR codifica la URL de entrada con el código en el parámetro code. Escanearlo evita teclear, pero no añade otra capa de autenticación ni una clave de cifrado. Una foto del QR funciona como copia del enlace mientras el Pase siga disponible.
Cuando el Pase caduca, ese enlace deja de abrir la sesión. Tampoco permite recuperar transferencias anteriores, porque Mándamele no mantiene un buzón de textos o archivos.
Precauciones que merecen la pena
Al compartir
- Muestra el QR directamente o usa una conversación privada.
- No lo dejes en una retransmisión, grabación o captura pública.
- Comprueba el dominio si el enlace llega desde fuera de la propia pantalla.
Al conectar
- Si la conexión es inesperada, cierra y genera otro código.
- No uses el código como prueba de identidad de la otra persona.
Al terminar
- Cierra el Pase.
- Elimina solo las copias que realmente ya no deban conservarse.