Tarjeta, llavero o celular: ¿qué credencial de control de acceso conviene a su oficina en Los Ángeles?

Las dos decisiones que se esconden detrás de «¿qué tarjeta?»

Cuando alguien pregunta «¿tarjeta, llavero o celular?», sólo una de las dos decisiones importantes está sobre la mesa. La otra casi nunca se discute, y es la cara de cambiar.

• Decisión uno: qué carga la persona. Tarjeta, llavero, celular, huella, NIP. Es la decisión barata: las credenciales son consumibles y reemplazar los gafetes de un piso es trabajo de una tarde.
• Decisión dos: cómo habla la lectora con el controlador. Wiegand u OSDP. La define quien especifica el cable, queda invisible para siempre y determina si la lectora del lado exterior de su puerta es un dispositivo sellado o un micrófono abierto. Cambiarla después significa cable nuevo a cada lectora.

Si la decisión dos es correcta, la primera deja de ser crítica. Si es mala, la mejor credencial del mundo la derrota un aparato que cabe detrás de la tapa de la lectora: véase la sección sobre Wiegand.

Comparación de credenciales

Dos tablas cortas, porque la pregunta de seguridad y la de administración tienen respuestas distintas. Primero, a qué resiste cada credencial:

Ahora la parte que decide sus lunes por la mañana: emitir, revocar y pagar.

Note lo que falta en ambas tablas: marcas de controlador. Es deliberado. Casi cualquier plataforma seria se especifica bien o mal — la calidad la fija la tecnología de la credencial, el protocolo de la lectora, el cable y la puesta en marcha, no el logotipo del panel.

Por qué la tarjeta de proximidad que trae en la bolsa ya es una copia esperando a suceder

La tarjeta de proximidad de 125 kHz sigue siendo la credencial más común en los edificios comerciales de Los Ángeles y hace una sola cosa: al entrar al campo de una lectora anuncia su número a quien se lo pida. Sin cifrado, sin autenticación y sin poder distinguir su lectora de la de un atacante.

El número que anuncia suele venir en el formato Wiegand estándar de 26 bits (HID lo llama H10301): dos bits de paridad, un código de instalación de 8 bits y un número de tarjeta de 16 bits. Eso son 256 códigos de instalación y 65,536 números de tarjeta — unas 16.7 millones de combinaciones únicas para todo el planeta, en un formato abierto que cualquier fabricante puede producir y que nadie lleva de forma centralizada. Hay tarjetas duplicadas circulando por pura aritmética, y el código de instalación suele venir impreso en la caja.

Las consecuencias prácticas para quien administra un edificio son cortas:

• Una tarjeta se copia en segundos: una chamarra en una silla, un cordón sobre el escritorio, un gafete en la fila del café.
• Recoger el plástico el último día no prueba nada sobre si existe una copia.
• Como el formato es abierto, una tarjeta de otro edificio puede coincidir con la suya por casualidad.

Si su sistema usa proximidad, casi nunca hace falta cambiar el controlador: se reemplazan lectoras y credenciales y se conserva la cabecera, que es justo el alcance que costeamos en una evaluación gratuita en sitio.

«13.56 MHz» no es una respuesta

Hay vendedores que migran al cliente de 125 kHz a «13.56 MHz» y lo llaman solución de seguridad. La frecuencia no es seguridad. MIFARE Classic opera a 13.56 MHz y su cifrado Crypto-1 lleva años públicamente roto.

En 2024 empeoró. Investigadores de Quarkslab publicaron un trabajo sobre la variante de «nonce cifrado estático» de tarjetas compatibles con MIFARE Classic y, de paso, encontraron una puerta trasera de hardware: un solo bit del campo de comando cambia la autenticación normal por una llave de puerta trasera, lo que permite a quien la conozca leer la memoria y recuperar todas las llaves definidas por el usuario —incluso diversificadas— con unos minutos de acceso físico a la tarjeta. El trabajo nombra los chips FM11RF08S, FM11RF08, FM11RF32 y FM1208-10 de Shanghai Fudan Microelectronics, además de los NXP MF1ICS5003/5004 e Infineon SLE66R35.

Por eso la pregunta útil a un proveedor nunca es «¿qué frecuencia?». Es «¿qué chip, por nombre?», y la respuesta debe ser un número de parte que usted pueda verificar.

Cómo se ve lo correcto: tarjetas cifradas y celulares

Las credenciales seguras modernas —MIFARE DESFire EV3, HID iCLASS SE y HID Seos— usan autenticación mutua AES-128. La lectora debe demostrar que tiene la llave correcta antes de que la tarjeta revele nada, que es la razón por la que las herramientas de copiado de consumo no obtienen nada útil de ellas. De las tres, DESFire EV3 cuenta además con evaluación Common Criteria EAL5+, una revisión independiente que las otras dos no han publicado.

Las credenciales móviles resuelven otro problema: la administración. Nada que pedir, nada que recoger, revocación en segundos y una ventaja de conducta: la gente presta un gafete sin pensarlo y no presta el celular. Las desventajas honestas son la batería, la política de dispositivos personales y una cuota anual por usuario en muchas plataformas. Muchas oficinas emiten las dos: móvil para el personal y tarjeta cifrada para contratistas, visitas y el compañero cuyo teléfono se quedó sin pila.

Aliro 1.0 y si conviene esperar

El 26 de febrero de 2026 la Connectivity Standards Alliance publicó Aliro 1.0, un estándar de credencial y comunicación creado para terminar con la fragmentación del acceso móvil. Usa criptografía asimétrica, de modo que el celular y la lectora se autentican mutuamente, y soporta tres transportes: NFC para acercar el teléfono, Bluetooth LE para abrir a distancia de forma deliberada, y Bluetooth LE más banda ultraancha para entrar sin sacar el teléfono. Está diseñado para funcionar donde no hay red —estacionamientos subterráneos, elevadores—, que es justo donde hoy decepciona el acceso móvil.

Lo que lo vuelve comercialmente serio son los compromisos de las carteras digitales: Apple, Google y Samsung acordaron alinear sus wallets con Aliro, y la Alianza menciona a Allegion, Aqara, HID, Kastle, Kwikset, Last Lock, Nordic Semiconductor, Nuki, NXP, Qorvo y STMicroelectronics entre las primeras empresas que esperan certificar.

¿Conviene retrasar una remodelación para esperarlo? No. Aliro apenas entra a certificación y comercialización; no está instalado a escala en oficinas de Los Ángeles. Retrasar una fecha de ocupación por un estándar que aún no llega es mal negocio. Lo que sí conviene hacer no cuesta nada:

• Ponga la pregunta en las bases de licitación: ¿estas lectoras admiten actualización de firmware y el fabricante tiene una ruta declarada hacia Aliro?
• Entienda qué parte es cara de reemplazar. Las credenciales son baratas. Los controladores, intermedios. Las lectoras son lo caro, porque cambiar una implica técnico, escalera o plataforma, puerta y a veces pintura.
• Pida la respuesta por escrito a todos los proveedores, para poder comparar con honestidad la cotización más barata contra la que cuesta $40 más por lectora porque el equipo tiene futuro.

La decisión que de verdad queda en el muro: Wiegand u OSDP

Aquí está la parte que casi ninguna cotización explica. Entre la lectora del muro y el controlador del clóset hay un protocolo, y en la mayor parte del parque instalado de Los Ángeles ese protocolo es Wiegand, la interfaz que la Security Industry Association normalizó como AC-01 en 1996. Wiegand es unidireccional, sin cifrado, sin autenticación y sin supervisión: el controlador no puede saber si la lectora está sana, si la quitaron o si la manipularon.

Eso tiene una consecuencia bien documentada. En Black Hat 2015 se presentó BLEKey, un implante Bluetooth que se conecta a los cables de datos Wiegand detrás de la lectora. La tapa de la lectora son cuatro tornillos; el equipo demostró instalarlo en 60 segundos. Un equivalente que se vende comercialmente, el ESPKey, almacena hasta 80,000 tramas de credencial y las reproduce a voluntad desde su propia interfaz web.

Reléalo pensando en su credencial. El implante actúa después de que la tarjeta fue decodificada, así que le da igual si el gafete costaba $2 o si era una tarjeta cifrada de $12. Sobre cableado Wiegand, un implante barato derrota a una credencial cara. Quien le venda una mejora de credencial sin mencionar el protocolo de la lectora le está vendiendo medio sistema.

OSDP es la respuesta, y no es nuevo ni exótico. Lo crearon en 2008 HID Global, Mercury Security y Lenel; pasó a la Security Industry Association en 2012; la Comisión Electrotécnica Internacional lo aprobó en mayo de 2020 como IEC 60839-11-5:2020, y SIA publicó la versión 2.2.2 en octubre de 2024. Lo que cambia:

• Cifrado. OSDP Secure Channel añade cifrado y autenticación AES-128 entre lectora y controlador — el mismo perfil que exige el gobierno federal de Estados Unidos.
• Supervisión. El enlace es bidireccional y se vigila de forma continua, así que una lectora desconectada, retirada o intervenida genera un evento en lugar de quedarse callada.
• Dos hilos en vez de doce. OSDP viaja sobre RS-485 y admite multipunto, de modo que varias lectoras comparten un mismo tendido en vez de exigir cada una su propio mazo hasta el panel.

Y la razón por la que esto se decide en obra gris y no en configuración — el cable mismo:

Esas distancias deciden dónde puede vivir físicamente el controlador. En una suite de un solo piso rara vez estorba. En una bodega, un inquilino de varios niveles o un campus con portón, el techo de 500 pies de Wiegand es lo que mete paneles extra, gabinetes extra, alimentación extra y trayectorias extra al presupuesto — todo más barato de evitar en obra gris que de descubrir en acabados. Si ya está planeando una remodelación, esto pertenece a la misma conversación que el resto del alcance de baja tensión y el cableado estructurado.

Dos notas prácticas. No hace falta tirar el sistema Wiegand para empezar: la ruta normal es identificar las puertas de mayor riesgo, instalar lectoras OSDP con convertidores sobre el panel existente y convertir el resto en la siguiente renovación. Y al especificar OSDP, pida productos con el sello SIA OSDP Verified —el programa de conformidad de la propia SIA— porque «compatible con OSDP» en una hoja técnica y Secure Channel realmente activado en su sitio son dos cosas distintas.

Huellas en la puerta: qué dice realmente la ley de California

La biometría se vende por comodidad y se compra por instinto. Dos disposiciones de California conviene conocerlas antes de enrolar al primer empleado, y ninguna es la que suelen citarle los proveedores.

1. El dato biométrico es «información personal sensible». Con las reformas de la CPRA a la CCPA, la información biométrica procesada para identificar de manera única a una persona es información personal sensible conforme al Código Civil § 1798.140(ae). Eso implica el deber de avisar al momento de recabarla y el derecho del titular a limitar su uso. La excepción para el contexto laboral venció el 1 de enero de 2023, de modo que sus empleados cuentan como titulares de esos derechos, no sólo sus clientes.

2. El Código Laboral § 1051 es más estrecho de lo que se cree, y más filoso. Convierte en delito menor exigir, como condición para obtener o conservar un empleo, que un trabajador o solicitante sea fotografiado o le tomen huellas por parte de alguien que quiere esas fotografías o huellas para entregarlas a otro empleador o a un tercero, cuando podrían usarse en perjuicio del trabajador. No prohíbe los relojes checadores de huella ni las lectoras biométricas en puertas. Es una regla sobre quién más termina con la huella, que es exactamente la pregunta que abre una plataforma biométrica alojada en la nube.

Así que las tres preguntas para cualquier proveedor de biometría, por escrito, son: dónde se almacena la plantilla, quién más puede acceder a ella y qué pasa con ella cuando el empleado se va. Y vale decirlo con claridad, porque aquí se vende miedo: California no tiene una ley biométrica independiente con acción privada como la BIPA de Illinois. La acción privada de la CCPA se limita a ciertas violaciones de datos. Eso es motivo para guardar las plantillas con cuidado, no para entrar en pánico.

La respuesta de diseño para la mayoría de las oficinas de Los Ángeles no es glamorosa. La biometría pertenece a un puñado de puertas donde compartir un gafete tendría consecuencias serias —cuarto de servidores, caja fuerte, farmacia o bodega de evidencia— como segundo factor detrás de una tarjeta o un celular, nunca como la única forma de entrar. Y sea cual sea el herraje, el lado de salida lo manda el código de construcción, no su preferencia de seguridad; ese detalle está en la guía de código y permisos.

Cuánto cuesta y a dónde se va el dinero

El rango de planeación publicado por Innov8av para control de acceso es de $3,000 a $40,000+, y el cableado estructurado va de $3,000 a $30,000+. Son rangos de planeación, no cotizaciones: no ponemos precio a un sistema sin verlo. Cada proyecto recibe una evaluación gratuita en sitio y una propuesta escrita por partidas con números de modelo.

El rango es tan amplio porque el costo lo mandan las puertas, no las credenciales. Cada abertura controlada necesita lectora, cerradura o contrachapa eléctrica, sensor de posición de puerta, dispositivo de salida, alimentación y una trayectoria de cable que quizá cruce un muro con resistencia al fuego. Las credenciales son un redondeo con veinticinco usuarios y una partida real con quinientos.

Tres cosas vuelven imposible comparar dos cotizaciones: el protocolo de la lectora (una cotización Wiegand y una OSDP no son el mismo trabajo ni llevan el mismo cable); la especificación del cable (pares, calibre y tipo plenum donde el código lo exige — la sustitución silenciosa es la razón más común de que una oferta baja sea baja); y el costo recurrente, porque una instalación más barata con suscripción por persona puede costar más al tercer año. Esa última comparación está en la guía de nube contra servidor propio.

Nueve preguntas por escrito antes de firmar

Entregue esta lista a todos los proveedores. Las respuestas son cortas, son verificables, y las diferencias entre ellas le dirán más que la línea del precio.

1. ¿Qué chip de credencial, por nombre? La respuesta debe ser un número de parte —DESFire EV3, iCLASS SE, Seos—, no «13.56 MHz» ni «cifrada».
2. ¿Wiegand u OSDP entre lectora y controlador? Si es OSDP, ¿quedará Secure Channel activado en nuestro sitio o sólo soportado por el equipo?
3. ¿Las lectoras tienen el sello SIA OSDP Verified?
4. ¿Cuál es la especificación de cable por puerta —pares, calibre, blindado o no, y tipo plenum donde se requiera?
5. ¿Las lectoras admiten actualización de firmware, y hacia qué? Pregunte específicamente por Aliro.
6. ¿Quién resguarda las llaves de cifrado de las credenciales, nosotros o ustedes? Si nos cambiamos de proveedor, ¿podremos seguir emitiendo tarjetas?
7. Si es móvil: ¿cuánto cuesta por usuario al año y qué pasa con nuestras credenciales si cambiamos de plataforma?
8. Si es biométrica: ¿dónde viven las plantillas y quién más puede leerlas?
9. ¿Qué se entrega al cierre? Matriz de puertas, planos as-built, resultados de pruebas de cable, respaldo de configuración del controlador y credenciales de administrador que sean suyas.

La pregunta seis atrapa a más gente que todas las demás juntas. En algunas plataformas el instalador resguarda las llaves que permiten emitir credenciales, y el cliente que quiere cambiar de contratista descubre que el sistema no es del todo suyo.

Por qué Innov8av para un proyecto de control de acceso en Los Ángeles

Somos contratista eléctrico C-10 de California, CSLB #1043428, y Alarm Company Operator de BSIS, ACO 7755 — ambas verificables en segundos en CSLB y DCA, y vale la pena revisarlas en todos los proveedores, no sólo en nosotros. En el condado de Los Ángeles desde 2016, asegurados y afianzados, con técnicos propios y no subcontratistas, garantía de un año en partes y mano de obra, 5.0 en 22 reseñas verificadas de Reviews.io, A+ con el BBB, en inglés y en español.

Esa combinación de licencias importa aquí porque el control de acceso es un proyecto de cableado con gafete de seguridad. Como también somos el contratista de baja tensión, el tendido OSDP se jala con la especificación correcta a la primera, la trayectoria se coordina con los demás oficios antes de cerrar el plafond y nadie negocia de quién es el cable. Los clientes existentes reciben respuesta el mismo día en llamadas de servicio.

¿Quiere una respuesta directa sobre lo que necesita su edificio? Envíe mensaje o llame al (805) 517-4668, o agende una evaluación gratuita en sitio. Recibirá una propuesta escrita por partidas con números de modelo — incluido el protocolo de la lectora, por escrito.