La mayor parte de nuestra identidad digital actual es prestada. Eres quien LinkedIn dice que eres, quién autenticó el banco, quién validó el operador por número. Cada una de estas identidades vive dentro de una plataforma, y fuera de ella pierde valor. Sal de LinkedIn y tu historial profesional se convertirá en texto no seguro. Cambie de banco y su reputación como buen pagador no viajará con usted.
Este modelo funcionó porque centralizar la identidad resolvió un problema real: alguien necesitaba ser garante de la confianza. El coste, que tardó un tiempo en hacerse visible, es la dependencia. Quien mantiene tu identidad controla tu acceso, ve tus datos y puede cambiar las reglas unilateralmente.
La Identidad Descentralizada propone revertir esta propiedad. La idea, en esencia, es simple de enunciar: usted carga sus credenciales, elige qué revelar en cada interacción y el destinatario puede verificar la autenticidad sin necesidad de preguntar a la plataforma de origen. El foco aquí es el concepto y lo que cambia para quienes deciden, no la promesa de revolución que suele acompañar al tema.
¿Qué está roto en el modelo actual?
El problema central no es técnico, es de incentivos. Cuando un intermediario protege su identidad, tiene tres poderes que usted no controla: puede denegar el acceso, puede filtrar sus datos y puede utilizarlos de maneras que usted no haya autorizado explícitamente.
A esto se suma la fragmentación. Tu identidad se distribuye entre docenas de silos que no se comunican entre sí. Cada servicio rehace la misma verificación, guarda otra copia de sus documentos y crea otra superficie de fuga. Cuantas más copias de sus datos haya, mayores serán las posibilidades de que una de ellas se vea comprometida.
Y está la asimetría de la prueba. Cuando dices algo sobre ti, “trabajé aquí”, “tengo esta certificación”, “soy mayor de edad”, quien recibe la declaración no puede confirmarlo sin confiar en ti o en un intermediario. Suele confiar en usted, lo que deja margen para el fraude, o pide pruebas excesivas, lo que filtra demasiados datos.
El contenido sintético empeora todo esto. Documentos falsos plausibles, perfiles inventados y suplantaciones de voz o video atacan el punto de debilidad: la verificación de identidad basada en la apariencia. El modelo actual no fue diseñado para un mundo donde la apariencia es trivialmente falsificable.
Los tres roles: quién emite, quién transporta, quién verifica
Las credenciales verificables organizan la confianza en tres roles, y comprender esta división es la mitad de comprender el tema.
El emisor es quien afirma algo con autoridad. Una universidad expide un diploma, un organismo público expide una identidad, un empleador expide un título, un certificador expide una certificación. El emisor firma criptográficamente la credencial, de manera que su autoría sea verificable.
El portador eres tú. Usted recibe la credencial y la mantiene, idealmente bajo su control, no dentro de la plataforma del emisor. Tú decides cuándo presentarlo y a quién.
El verificador es quien necesita confiar. Un empleador controla su título, un servicio controla su edad, una institución controla una autorización. El punto central: el verificador puede verificar la autenticidad de la credencial directamente a través de la firma del emisor, sin tener que contactar al emisor y sin que éste sepa que se realizó la verificación.
Esta última propiedad es la que cambia el juego. Hoy en día, comprobar suele significar llamar a la universidad, consultar la plataforma y recurrir a un intermediario. Con credenciales verificables, la prueba viaja contigo y se valida sola. El transmisor no se convierte en un cuello de botella o punto de vigilancia.
Revelar menos, demostrar lo suficiente
Una propiedad poco intuitiva y muy valiosa es la divulgación selectiva. Se puede acreditar un hecho derivado de una credencial sin revelar toda la credencial.
El ejemplo clásico: acreditar que eres mayor de edad sin mostrar tu fecha de nacimiento, tu nombre completo o tu número de documento. El verificador solo recibe la declaración validada criptográficamente de que sí, usted ha superado el umbral de edad, sin los datos que no necesita tener.
Esto ataca un profundo defecto de los sistemas actuales: la recaudación excesiva. Hoy en día, para acreditar una pequeña cosa se suele entregar un documento completo, que el servicio conserva y que se convierte en otro punto de fuga. La divulgación selectiva invierte la lógica estándar de “recopilar todo, por si acaso” para “probar sólo lo necesario”.
Para quienes lideran, esto tiene un significado estratégico directo. Cada dato que su organización no necesita conservar es un riesgo que no asume. Los sistemas que verifican sin retener datos confidenciales reducen la superficie de ataque, simplifican el cumplimiento y reducen el daño de un eventual incidente. Minimizar los datos deja de ser una concesión y se convierte en una ventaja operativa.
Donde el concepto se encuentra con la realidad y sus límites
La honestidad acerca de los límites es necesaria, porque el tema atrae un entusiasmo desproporcionado.
El primer límite es la adopción de la red. Una credencial sólo es válida si hay verificadores que la aceptan, y los verificadores sólo aparecen si hay credenciales relevantes en circulación. Es el clásico problema del huevo y la gallina. La tecnología ya preparada sin adopción es una solución a la espera de un problema.
El segundo es la recuperación. Si controlas tus credenciales, ¿qué sucede cuando pierdes el acceso al dispositivo que las contiene? Los sistemas centralizados cuentan con un botón de recuperación de contraseña. La identidad soberana debe resolver esto sin reintroducir un intermediario de control, y ésta es una cuestión genuinamente difícil que no se resuelve por decreto.
El tercero es la confianza en el emisor. Descentralizar la verificación no descentraliza la autoridad. Una credencial vale tanto como vale la persona que la emitió. Si el emisor es débil, fraudulento o ilegítimo, la credencial hereda esa debilidad, sin importar cuán elegante sea la criptografía. Verificable no es sinónimo de verdadero: simplemente significa que confirmas quién lo dijo, no que lo dicho sea correcto.
El cuarto es el riesgo de exclusión. Cualquier sistema de identidad conlleva el peligro de dejar fuera a las personas, a quienes no tienen un dispositivo, a quienes no pueden recuperarse de una pérdida, a quienes no están en ningún registro. Un diseño que no trate la exclusión como un requisito de primer orden reproduce, en una nueva forma, viejas desigualdades.
Lectura para quien decide
La recomendación es no adoptar una identidad descentralizada mañana. Se trata de entender la dirección y posicionar la organización para no ser tomados por sorpresa.
Comience por observar dónde verifica actualmente la identidad o las credenciales de manera costosa, frágil o invasiva. Procesos de contratación que confieren títulos manualmente, onboarding que recopila demasiados documentos, verificaciones que dependen de llamadas a terceros. Estos son los puntos que más se benefician de las credenciales verificables.
En paralelo, observa lo que emite tu organización. Toda institución que certifica, valida enlaces o da fe de hechos es, potencialmente, un emisor de credenciales verificables. Pensar en esto temprano evita decisiones que luego obstaculicen la interoperabilidad.
Y mantenga calibrado su escepticismo. El tema está rodeado de promesas grandiosas, muchas de ellas asociadas con modas tecnológicas que prometieron más de lo que cumplieron. El valor real es concreto y modesto: reducir la dependencia de intermediarios, reducir la recopilación de datos y hacer que la verificación sea más barata y confiable. Eso es suficiente y no se necesita una revolución para justificar la atención.
La pregunta básica, la misma que trasciende la reputación y la procedencia, sigue siendo válida: cómo demostrar quién es uno y qué hizo, sin depender de la buena voluntad de quienes almacenan sus datos. La identidad descentralizada es una de las respuestas serias a esta pregunta.
Si su organización verifica con frecuencia la identidad o las credenciales, vale la pena identificar dónde esto resulta costoso e invasivo actualmente. Es el mejor punto de partida.
Lea también
- Credenciales verificables: Portafolio que demuestra, desde la carrera hasta la confianza institucional
- Prueba de autenticidad digital: cómo probar el origen de todo en un mundo sintético
- Reputación verificable: cuando la confianza deja de ser percepción y se convierte en infraestructura
- Combatir los deepfake: riesgo para la reputación, fraude y desinformación en la práctica
- Criptoinventario y criptoagilidad: no migras lo que no sabes que tienes
- Prevención de ataques: marcos que sostienen la operación cuando se escala