Entradas con QR dinámico: cómo funcionan los códigos que cambian, qué frenan y qué preguntar a su proveedor de venta de entradas

Por qué fallan los códigos estáticos en el acceso

Un código de barras estático es un título al portador: entra quien lo presente primero. Un solo código auténtico puede venderse cinco veces, y el acceso solo descubre las copias cuando cuatro personas se quedan fuera. Ese patrón alimenta unas pérdidas crecientes. La policía británica registró 9.826 denuncias por fraude con entradas en 2024, un 11 % más que el año anterior, con pérdidas de 9,79 millones de £, un 47 % más, según las cifras de Action Fraud publicadas por la Policía de Durham.

El organizador paga dos veces. Primero, con aficionados rechazados que graban la discusión en el torno. Después, con las reclamaciones y solicitudes de reembolso que llegan a continuación. Los códigos rotativos eliminan el problema de la copia en origen. Por eso los grandes titulares de derechos ya rechazan sin más las capturas de pantalla, los PDF y las entradas móviles impresas. Para la parte operativa del día del evento, consulte nuestra guía sobre la modernización del control de accesos en estadios, recintos y festivales. Este artículo entra en la credencial en sí.

¿Cómo funciona realmente una entrada con QR dinámico?

Una entrada dinámica sustituye un número fijo por un cálculo. Al emitirla, la plataforma asigna a la entrada un secreto que vive dentro de la app oficial. La app combina ese secreto con la hora actual y la identidad de la entrada, y dibuja un código QR nuevo en cada ventana de tiempo. El lector hace la misma comprobación y solo acepta códigos válidos para ese momento.

El secreto y la firma

El código QR no es la entrada. Es la prueba de que quien sostiene el móvil tiene el secreto de la entrada en ese preciso instante. Las buenas implementaciones firman criptográficamente cada código, de modo que el lector puede confirmar que lo generó el secreto auténtico y no un falsificador que ha visto unos cuantos ejemplos.

La ventana de tiempo

El modelo basado en el tiempo procede de la misma familia de estándares que protege el acceso a la banca online. El estándar RFC 6238 de contraseñas de un solo uso basadas en el tiempo, del IETF, fija un intervalo por defecto de 30 segundos y recomienda aceptar como máximo un intervalo de retraso. Cada proveedor de venta de entradas elige su propio intervalo. La regla que importa: la ventana debe ser más corta que el tiempo necesario para vender, enviar y presentar una captura de pantalla.

La ventana de visualización

La rotación protege el código. El momento de mostrarlo protege la entrada. Muchos titulares de derechos mantienen el código oculto hasta poco antes del evento. Para sus finales de clubes de 2025, la UEFA declaró que las entradas eran 100 % digitales a través de su app oficial, que las capturas de pantalla no eran entradas válidas y que solo podía entrar el móvil que había descargado las entradas. Una entrada sin código visible durante semanas no deja a los revendedores nada que fotografiar y vender.

La prueba de las cuatro propiedades: qué hace que un código rotativo resista

Un código rotativo es tan fuerte como su propiedad más débil. Nosotros aplicamos una prueba de cuatro puntos al evaluar cualquier credencial, y usted puede aplicarla en una reunión con un proveedor.

• De corta duración. El código caduca en segundos, no en minutos. Si falla aquí, una captura enviada por una app de mensajería sigue pasando por el lector.
• Firmado. Cada código lleva una firma criptográfica que el lector puede verificar. Si falla aquí, un falsificador que estudie unos cuantos códigos puede generar otros de aspecto válido.
• Vinculado. El secreto está ligado a una cuenta y, idealmente, a un solo dispositivo. Si falla aquí, el titular puede iniciar sesión en cinco móviles y hacer entrar a cinco personas.
• Verificable sin conexión. El lector puede validar la firma y la ventana de tiempo sin consultar la red en directo, y conciliar después. Si falla aquí, el sistema se cae justo cuando 40.000 móviles se conectan a la misma antena.

Una credencial que cumple las cuatro hace inútil copiarla. Una que cumple tres suele tener una fuga por la cuarta, y los estafadores la encuentran antes que los proveedores.

Qué frenan los códigos QR dinámicos y qué no

Los códigos rotativos acaban con el negocio de las copias en el acceso. No hacen nada antes de la emisión. Trátelos como la capa de integridad de la entrada, no como todo el programa antifraude.

Lo que frenan:

• Capturas de pantalla e imágenes reenviadas del código de acceso
• PDF e impresiones reutilizados o vendidos varias veces
• Una misma entrada auténtica vendida a varios compradores
• Códigos falsificados a partir de fotos de códigos reales, cuando los códigos van firmados

Lo que no frenan:

• Bots y granjas de cuentas en la compra. En agosto de 2025, la Comisión Federal de Comercio de EE. UU. (FTC) denunció que un grupo de reventa utilizó miles de cuentas ficticias y de terceros, números de tarjeta virtuales e IP falseadas para comprar al menos 379.776 entradas en poco más de un año. Cada una de esas entradas podía llevar un código rotativo perfecto. La defensa en la compra necesita detección de fraude con IA y controles por cuenta.
• Vender la cuenta en lugar de la entrada. Si la vinculación es débil, el revendedor entrega los datos de acceso. La vinculación al dispositivo y la transferencia verificada cierran esta vía.
• Anuncios falsos de entradas que nunca existieron. La víctima nunca llega a tener un código. Solo un canal oficial de reventa con reglas de precio seca este mercado. Ese es el papel de una plataforma de reventa gestionada.

Dónde fallan los códigos rotativos el día del evento

La mayoría de los fallos son operativos, no criptográficos. Prevea cinco.

• Desfase del reloj del móvil. Si el reloj del móvil va mal, sus códigos quedan fuera de la ventana aceptada. La guía de entradas móviles de la UEFA pide a los aficionados que ajusten la fecha y la hora del móvil a la hora local el día del partido. Los mejores sistemas toleran pequeños desfases o se sincronizan con la hora del servidor al abrir la app.
• Entradas no cargadas antes de llegar. Quien abre la app por primera vez en el acceso se encuentra con una red saturada. Pida a los asistentes que carguen las entradas con wifi el día anterior, y haga que la app guarde el secreto en caché para que el código se muestre sin conexión.
• Lectores que pierden la conexión. La validación sin conexión debe probarse cortando la red durante el ensayo, no darse por supuesta porque lo diga una ficha técnica.
• Baterías agotadas y pantallas rotas. Habilite un carril de incidencias con personal autorizado para reemitir entradas. Un problema de 30 segundos en un carril principal bloquea a todos los que vienen detrás.
• Asistentes sin smartphone. Por accesibilidad y por perfil de edad, algunos titulares necesitan una credencial alternativa: una tarjeta nominativa, una pulsera o un código impreso que se activa con el documento de identidad en un mostrador de incidencias. Decídalo antes de abrir la venta, no en el torno.

Nuestra capa de operaciones sobre el terreno gestiona la lectura con dispositivos móviles estándar y permisos de acceso por zona, puerta y categoría, y eso es lo que hace viable dotar de personal a los carriles de incidencias.

¿Cómo deben funcionar las transferencias y la reventa con códigos rotativos?

Una transferencia debe cambiar la clave de la entrada, no copiarla. Cuando un titular envía una entrada, la plataforma debe revocar el secreto del remitente, emitir un secreto nuevo a la cuenta del destinatario y registrar el cambio. A partir de ahí, el móvil del remitente genera códigos que el lector rechaza.

Tres reglas mantienen el proceso limpio. Defina los permisos de transferencia por evento, categoría o público, porque un abono de temporada y un cupo para una final no tienen el mismo riesgo. Conserve un registro de auditoría para que una disputa en el acceso se resuelva en segundos. Canalice la reventa por el mismo flujo de cambio de clave, para que una entrada revendida sea tan segura como una nueva. Así gestiona las transferencias la venta de entradas segura de webook.com: reglas por evento, categoría o tipo de público, y flujos verificados para ceder la entrada que conservan el registro de auditoría y el contexto de titularidad.

Ocho preguntas para su proveedor de venta de entradas

Inclúyalas en la solicitud de propuestas o en la agenda de la demo. Una respuesta vaga ya es una respuesta.

• ¿Cuál es el intervalo de rotación y cuánto desfase de reloj tolera el lector?
• ¿Cada código va firmado criptográficamente? ¿Cómo se rotan y se protegen las claves de firma?
• ¿Durante cuánto tiempo pueden validar los lectores sin conexión y qué guardan en caché?
• Cuando los lectores se reconectan, ¿cómo se resuelven y se notifican las lecturas duplicadas?
• ¿Podemos configurar la ventana de visualización por evento y por categoría?
• ¿La entrada está vinculada a un dispositivo? ¿Qué ocurre cuando un aficionado cambia de móvil la noche anterior?
• ¿La transferencia revoca el código del titular anterior? ¿Queda registrada cada transferencia?
• ¿Cuál es la credencial alternativa para quien no tenga un smartphone operativo?

Si vende con su propia marca, añada una novena: ¿todo esto funciona igual detrás de una tienda de venta de entradas en marca blanca? Debería. La credencial vive en la plataforma, no en la capa visual.

Cómo gestiona webook.com las credenciales dinámicas a gran escala

En webook.com emitimos entradas digitales seguras cuyos códigos QR se renuevan y caducan de forma dinámica para limitar la duplicación y el abuso de capturas de pantalla. Las entradas pueden mostrarse poco antes del acceso, las reglas de transferencia se definen por evento, categoría o público, y la validación en el momento de la lectura impide la reutilización. La misma plataforma da servicio a más de 20 millones de usuarios, procesa más de 25 millones de entradas al año y llega a más de 180 países, para titulares de derechos cuyos logotipos aparecen en nuestra web, como la FIFA, la Fórmula 1, el Real Madrid, la Saudi Pro League y Riyadh Season.

Ninguna credencial es infalible contra el fraude por sí sola, y así se lo decimos a cada cliente. Los códigos rotativos cierran el acceso. La detección de fraude, los programas de aficionados verificados y la reventa autorizada cierran las vías que llevan hasta él.

Cierre el acceso y, después, las vías que llevan a él

Si sus entradas actuales todavía pasan con una captura de pantalla, la solución es cambiar la credencial, no instalar tornos nuevos. Hable con el equipo de webook.com sobre venta de entradas segura para su próxima puesta a la venta.

Todos los artículos