Pasaporte digital: un registro que nadie puede revocar

Cómo funciona un documento de identidad que vive en una red abierta: qué demuestra, qué no demuestra y por qué la irrevocabilidad tiene un precio.

«Una identidad que puede ser retirada no te acredita a ti, sino a quien la expidió.»

— Koan n.º 46, Maksim Valentinovich Galatin

Introducción. La noche tras la cual una persona dejó de ser visible

El correo llega a las 3:40 de la madrugada. Asunto: «Tu cuenta ha sido bloqueada». Dentro, una sola línea sobre una infracción de las normas de la comunidad: qué norma, qué publicación, qué día, no se dice. La persona duerme y se entera de todo por la mañana.

Por la mañana abre el correo y, en lugar de mensajes, encuentra la misma línea. Abre el teléfono y la aplicación lo ha expulsado a la pantalla de inicio de sesión; la contraseña es correcta, pero de ahí no pasa. Las fotografías que durante nueve años se fueron acumulando solas en la nube no se abren. La conversación con alguien que ya no está tampoco se abre.

Encuentra el formulario de apelación. El campo para explicarse admite un par de cientos de caracteres y no hay dónde adjuntar documentos. Escribe que no ha infringido nada y lo envía.

La respuesta llega cuatro horas después: la decisión se mantiene. Ni un enlace a la publicación concreta, ni el nombre de quien revisó el caso, ni la posibilidad de responder. A juzgar por el tiempo transcurrido y por la redacción, la apelación la resolvió el mismo sistema automático que dictó la primera decisión.

Después empieza aquello en lo que uno no piensa en el momento del bloqueo. Esa dirección era también la entrada a otra decena de sitios: el chat del trabajo, la nube con los documentos, la tienda donde se guardan cinco años de recibos, el área de cliente del operador de telefonía. El botón «Iniciar sesión con…» ahora devuelve un error. El dominio de su web personal está registrado a esa misma dirección, y el aviso de renovación llegará a un buzón que no se puede abrir. Los suscriptores reunidos durante años quedaron al otro lado: no se pueden llevar consigo ni avisar.

Una semana después sigue sin saber qué ocurrió exactamente. No porque se hayan negado a explicárselo. Porque no hay a quién pedir explicaciones: del otro lado no hay una persona.

Esta escena no está inventada para quedar bonita. Abajo hay casos documentados donde se desarrolló exactamente así, y el análisis de una sola pregunta: ¿puede existir siquiera un registro sobre una persona que no se pueda desconectar junto con su cuenta?

Capítulo 1. Cualquier documento suyo lo ha expedido alguien, y puede ser revocado

Cómo está construido el problema

Coja cualquier documento que lo acredite y hágase una sola pregunta: ¿quién lo expidió?

Siempre hay respuesta. Y esa misma respuesta dice quién puede quitárselo.

Esto no es una conspiración ni mala intención. Es una construcción. Un documento no es una cosa, sino un reconocimiento: alguien con autoridad afirma que usted es usted. Mientras la afirmación se mantenga, el documento funciona. En cuanto quien la sostenía calla o cambia de opinión, el documento se convierte en una estampa.

La diferencia entre un pasaporte estatal y una cuenta de usuario no está en su naturaleza, sino en los plazos y en el procedimiento. Un pasaporte se retira conforme a la ley, con un motivo, con posibilidad de acudir a los tribunales. Una cuenta se cierra según las normas del servicio, escritas por el propio servicio, y solo ante él cabe recurrir.

Merece la pena detenerse en esta idea, porque es contraintuitiva. Nos parece que el documento es un objeto: una tarjeta de plástico, un papel con sello, una línea en un perfil. En realidad el objeto es solo el soporte de una afirmación. El valor no lo crea él, sino el vínculo vivo con quien sostiene esa afirmación. Corte el vínculo y en las manos quedará una cosa sin contenido. Precisamente por eso la pérdida de una cuenta se vive peor que la pérdida de un objeto: no desaparece un archivo, desaparece la confirmación de que usted estaba detrás de ese archivo.

Qué dicen sobre esto las propias empresas

No son suposiciones: el derecho a cerrar una cuenta está escrito de forma explícita en las condiciones de uso, y está escrito con un lenguaje tranquilo.

Google, en sus condiciones de servicio, se reserva el derecho de suspender el acceso o eliminar la cuenta ante un incumplimiento sustancial o reiterado de las condiciones y políticas, y también si así lo exige la ley o si la conducta del usuario genera perjuicios o riesgos jurídicos. Allí mismo se promete avisar con antelación y dar ocasión de explicarse, con una salvedad: cuando resulte razonablemente posible, y con una lista de excepciones.

YouTube lo formula de manera parecida: el servicio puede suspender o poner fin al acceso a una parte o a la totalidad del servicio, incluso si considera que la conducta genera un riesgo para los usuarios, para terceros o para la propia empresa.

Fíjese en cómo está construida la frase. Todo gira en torno a la valoración de una sola parte: «si consideramos razonablemente», «cuando resulte razonablemente posible». La segunda parte no participa en esa construcción. Se entera del resultado.

Esto, por cierto, no es un reproche a los abogados. Un documento así no se puede escribir de otra manera: el servicio está obligado a saber reaccionar rápido ante los abusos, y la obligación de examinar cada caso a mano y con procedimiento contradictorio haría el trabajo imposible. El problema no está en el texto del acuerdo, sino en que el usuario no tiene un segundo apoyo: nada que siga funcionando cuando le retiran el primero.

Casos documentados

Febrero de 2021, Estados Unidos. Dos padres —uno en San Francisco y otro en Houston— fotografiaron, a petición de los médicos, una inflamación en sus hijos pequeños para enseñársela al doctor a distancia. Las imágenes se subieron automáticamente a la nube. El algoritmo las clasificó como material de abuso sexual infantil. Google lo comunicó a las fuerzas del orden sin avisar a los propios padres y revisó no solo las fotos marcadas, sino todo el archivo de uno de ellos. La policía de San Francisco y la de Houston investigaron y no encontraron nada reprochable: no había delito. Las cuentas no fueron restauradas después de aquello; la empresa se negó a hacerlo incluso cuando el error resultó evidente. Aquellas personas perdieron el correo, las fotografías, los vídeos y, en uno de los casos, también el número de teléfono. El caso lo describió Kashmir Hill en The New York Times y lo analizó la organización de derechos digitales EFF en agosto de 2022.

Aquí lo importante no es el error del algoritmo: los algoritmos se equivocan, eso es esperable. Lo importante es que un documento de inocencia expedido por la policía no tenía ninguna fuerza dentro de un sistema que la policía no había expedido. Un emisor no reconoce el papel de otro emisor si no está obligado.

2025, plataformas de Meta. Según informó la BBC, decenas de miles de usuarios de todo el mundo se quejaron de bloqueos erróneos en Instagram y Facebook, incluidas acusaciones por las infracciones más graves. Más de 500 personas se dirigieron directamente a la redacción y contaron que habían perdido fotografías que les importaban y que su negocio estaba en peligro. Una petición contra los bloqueos masivos y la ausencia de atención humana la firmaron más de 25.000 personas. Parte de las cuentas se recuperaron después de que la redacción preguntara por casos concretos; en uno de los episodios la empresa pidió disculpas por el error.

Lo segundo conviene releerlo despacio. El método de recurso que funcionó fue dirigirse a una gran redacción. No el formulario de apelación, sino un periodista. Es un método inaccesible para la inmensa mayoría, y no dice nada sobre el procedimiento: habla de su ausencia.

La insignia de verificación. El 20 de abril de 2023, Twitter (hoy X) retiró la marca azul de todas las cuentas verificadas antes del cambio de propietario. La insignia pasó a ser señal de una suscripción de pago: en ese momento, 8 dólares al mes en la versión web en Estados Unidos. La marca no se retiró por ninguna falta: cambió la norma. La señal de «esta es realmente esa persona» resultó no ser una propiedad de la persona, sino un servicio de la plataforma.

El cierre de un servicio. Google+ se cerró para los usuarios corrientes el 2 de abril de 2019, y a partir de ahí empezó el borrado del contenido de las cuentas y las páginas. Microsoft retiró Skype de servicio el 5 de mayo de 2025; el acceso al historial de conversaciones y llamadas se mantuvo hasta enero de 2026. Nadie infringió nada. Simplemente el producto terminó, y con él terminó la parte de la biografía que vivía únicamente dentro de él.

El dominio. Un nombre de dominio no se compra para siempre, se registra por un plazo. La ICANN tiene una guía específica para quienes preparan órdenes judiciales y de investigación de incautación de dominios, con la descripción de qué datos necesitan el registro y el registrador para ejecutar el requerimiento con rapidez. Un dominio incautado suele empezar a mostrar una página con el aviso del organismo correspondiente. Todo esto son mecanismos legales, y no se trata de si son buenos o malos; se trata de que la dirección por la que lo encuentran a usted no le pertenece.

Por qué la apelación rara vez ayuda

La apelación se presenta ante el mismo que dictó la decisión. No es un abuso: es consecuencia de esa misma construcción. Si el documento existe gracias al reconocimiento del emisor, es también el emisor quien resuelve las disputas sobre el documento.

Después entra la aritmética. Las decisiones las toma el sistema automático porque a mano el volumen es inabarcable. Las apelaciones contra decisiones automáticas son tantas como decisiones hay, así que también las resuelve el sistema automático. Sale un círculo cerrado: el sistema se comprueba a sí mismo y se confirma a sí mismo.

Los reguladores lo advirtieron. El Reglamento europeo de Servicios Digitales (DSA) exige a las plataformas entregar al usuario una motivación comprensible cuando eliminan contenido, limitan su difusión, lo desmonetizan o bloquean la cuenta, indicando si la decisión se tomó de forma automatizada y describiendo las vías de recurso. Esas motivaciones se recopilan en una base de datos pública de transparencia de la UE. Es un paso adelante notable. Pero fíjese hacia dónde apunta: mejora el procedimiento en casa del emisor. La dependencia del emisor en sí sigue exactamente donde estaba.

Qué se pierde exactamente

Conviene enumerarlo sin rodeos, porque en el momento del bloqueo la lista parece más corta de lo que es:

• conversaciones de años, incluidas las mantenidas con personas a las que ya no se puede preguntar;
• fotografías y vídeos, si la única copia vivía en la nube;
• los contactos y la forma de avisar a quienes lo leían;
• el acceso a otros servicios donde usted pulsó «Iniciar sesión con…»;
• el historial de pagos, los recibos, las suscripciones, el número asociado;
• los ingresos, si la audiencia y los encargos estaban solo allí;
• y lo más difícil de nombrar: la confirmación de que usted estuvo todo ese tiempo.

El último punto no es poesía. La presencia de una persona en la red es hoy su biografía: dónde estudió, qué hizo, con quién habló, qué pensaba a los treinta años. Cuando eso se borra con una sola decisión, no se borra un archivo: se borra la demostrabilidad del pasado.

La pregunta por la que se escribió este artículo

¿Puede existir un documento de identidad que no dependa de quien lo expidió? Un registro que no se pueda desconectar junto con la cuenta, cerrar junto con el servicio, incautar por requerimiento ni perder al cambiar las normas. No porque el emisor sea bueno y haya prometido no hacerlo, sino porque técnicamente no tiene esa posibilidad.

La pregunta no la inventamos nosotros. El consorcio W3C aprobó el 19 de julio de 2022 el estándar de identificadores descentralizados (Decentralized Identifiers, DID): identificadores que, según la descripción del propio consorcio, no requieren una autoridad emisora central y son portables entre proveedores de servicios. Es decir, la industria ya ha reconocido que atar la identidad a un único emisor es un defecto de diseño, no una ley de la naturaleza.

A continuación veremos cómo se ve en la práctica un intento de responder a esa pregunta: qué se puede registrar de modo que sobreviva a todos los que lo registraron y, no menos importante, qué es lo que ese registro no sabe hacer y no sabrá hacer nunca.

Capítulo 2. La identidad autosoberana en palabras sencillas

Detrás de la expresión «identidad autosoberana» (self-sovereign identity, SSI) hay una idea que cabe en una línea: el documento sobre una persona debe estar en manos de esa persona, y no solo en la base de datos de quien lo expidió. Todo lo demás son consecuencias. Para entender por qué esto es siquiera un problema, desmontemos en piezas cualquier comprobación de un documento.

Tres partes

En cualquier escena con un documento participan tres.

Quien acredita (issuer). La universidad, el banco, el ministerio, el empleador. Afirma algo sobre la persona: «se ha titulado», «es cliente desde 2019», «está habilitado para la categoría B».

Quien lo presenta (holder). La propia persona. Tiene en la mano el título, la tarjeta, el certificado.

Quien lo comprueba (verifier). El departamento de recursos humanos, el arrendador, el agente de fronteras, un formulario en una web.

No es una metáfora. Exactamente esos tres papeles están escritos en el estándar W3C Verifiable Credentials Data Model 2.0: el issuer formula afirmaciones y crea la credencial, el holder la posee y la presenta, el verifier la recibe y la procesa.

El esquema parece obvio hasta que aparece una pregunta: ¿en qué se sostiene la certeza de quien comprueba?

Por qué quien comprueba está obligado a confiar en quien expidió

Recursos humanos mira el título. El papel con sello por sí mismo no demuestra nada; lo que demuestra es lo que hay detrás: el registro de la universidad, al que se puede llamar. Comprobar la autenticidad es dirigirse al dueño de la base de datos. De ahí se derivan tres consecuencias que normalmente no se advierten.

1. La comprobación vive exactamente lo que vive quien expidió. Cierra la universidad, quiebra el banco, se reorganiza el organismo: el documento sigue en su mano, pero no hay dónde confirmarlo.
2. Quien expidió ve cada comprobación. Quién preguntó, cuándo y con qué motivo. Son datos sobre una persona que esa persona no entregó a nadie: surgen del hecho mismo de la comprobación.
3. Quien expidió puede cambiar de opinión. Revocar, bloquear, cerrar el acceso al registro, cambiar las reglas. El portador no tiene en este esquema ni una sola palanca.

Un soporte protegido —marcas de agua, holograma— no anula nada de esto. Demuestra que el papel se imprimió en la máquina correcta, pero no que el asiento en el registro siga existiendo.

Qué cambia cuando el documento está en una red abierta

La criptografía aporta dos cosas por las que no hay que ir a ninguna parte. Integridad: cambiar un solo carácter rompe la firma; no es que «parezca sospechoso», es que aritméticamente no cuadra. Procedencia: la firma solo cuadra con una clave, no con una parecida.

La comprobación deja de ser una consulta y pasa a ser un cálculo. La diferencia práctica:

• quien comprueba no pregunta nada a quien expidió, así que quien expidió no se entera de la comprobación;
• que el servidor de quien expidió funcione o no deja de tener importancia;
• cualquiera puede repetir la comprobación por su cuenta, dentro de un año, desde otro país, sin permiso.

Este giro suena técnico, pero va de poder. Mientras la comprobación sea una consulta, el dueño de la base tiene un interruptor y un registro de accesos: puede no responder y ve quién ha preguntado. Cuando la comprobación es un cálculo, no hay interruptor, no hay registro de accesos y no hay a quién pedir permiso.

Nuestro Pasaporte Digital es el caso más simple de este esquema: el documento se escribe una vez en la red abierta Arweave y desde ese momento lo lee cualquiera sin que nosotros intervengamos. Cómo funciona por dentro se explica en el capítulo 3; aquí lo único importante es que pertenece a esta clase de soluciones y no a la clase «perfil en una web».

Los estándares: DID y Verifiable Credentials

La industria construye esto sobre dos ladrillos, ambos estándares abiertos del W3C.

DID (Decentralized Identifiers) es un identificador que no expide ningún registrador. Se resuelve en un documento con las claves públicas de su titular, y con ellas se comprueban sus firmas. DID 1.0 pasó a ser Recomendación del W3C en julio de 2022, por encima de las objeciones formales de Google y Mozilla. Mozilla señalaba que no se había demostrado la interoperabilidad práctica y que la especificación delegaba todo en un registro de medio centenar de «métodos»; Google pedía esperar al menos a tres métodos maduros, porque el núcleo no se puede evaluar al margen de ellos. Las objeciones se desestimaron, pero en el fondo no se han resuelto. La versión 1.1 se publicó como Candidate Recommendation el 5 de marzo de 2026 y en agosto de 2026 sigue siendo candidata.

Verifiable Credentials es el formato de la credencial en sí. La familia VC 2.0 pasó a ser Recomendación del W3C el 15 de mayo de 2025, con siete documentos a la vez: el modelo de datos, Data Integrity 1.0, los conjuntos criptográficos EdDSA y ECDSA, la protección mediante JOSE/COSE, Controlled Identifiers 1.0 y Bitstring Status List 1.0.

Qué aporta esto en la práctica:

• un formato común: quien comprueba interpreta la credencial de un emisor desconocido sin acuerdo bilateral previo;
• divulgación selectiva: se puede mostrar «mayor de 18» sin mostrar la fecha de nacimiento;
• revocación: la Bitstring Status List, donde el emisor publica un mapa de bits de estados y quien comprueba mira el bit que le corresponde.

Y aquí llega lo esencial para nuestro tema. El estándar no elimina la confianza en quien expide: la formaliza. La especificación lo dice sin rodeos: quienes comprueban confían en determinados emisores respecto de determinadas afirmaciones y aplican sus propias reglas. Las matemáticas demostrarán que el certificado lo firmó exactamente esa universidad. Si hay que creer o no a la universidad es una cuestión que queda fuera de las matemáticas. Y la lista de estados devuelve parte de la vieja dependencia: si el emisor gestiona la revocación, hay que volver a acudir a él.

Nuestro pasaporte no es un VC estándar: es un JSON con esquema propio. No tiene revocación, porque no hay con qué revocar. Es una bifurcación consciente, y en el capítulo 4 se analiza como un intercambio, no como una carencia.

eIDAS 2.0: la cartera europea de identidad

El Reglamento (UE) 2024/1183 entró en vigor el 20 de mayo de 2024. Según él, cada uno de los 27 Estados miembros está obligado a proporcionar a sus ciudadanos al menos una Cartera de Identidad Digital (EUDI Wallet). El plazo se cuenta desde los actos de ejecución adoptados el 28 de noviembre de 2024; según el cómputo generalmente aceptado, eso lleva al 24 de diciembre de 2026. El sector privado regulado —bancos, telecomunicaciones, sanidad, grandes plataformas— está obligado a aceptar la cartera aproximadamente un año después.

Técnicamente, la cartera se acerca a la idea de la SSI: las credenciales están en el teléfono y se admite la divulgación selectiva. Los formatos obligatorios son dos: SD-JWT VC e ISO/IEC 18013-5 mdoc (el mismo de los permisos de conducir móviles); W3C VC 2.0 se admite como tercero, opcional.

La diferencia con nuestro planteamiento está en la raíz de confianza. Cada Estado mantiene una lista nacional de confianza: quién puede expedir credenciales y quién puede ser proveedor de cartera. La Comisión Europea mantiene la lista de listas (LoTL) y la firma. La comprobación es una cadena: firma del documento → emisor en la lista nacional → lista en la LoTL → firma de la Comisión.

El Estado no ha desaparecido. Ha dejado de ser el lugar al que se acude con una consulta, pero sigue siendo la fuente de a quién hay que creer. Para los permisos de conducir y los certificados tributarios no debería ser de otra manera: es sencillamente un problema distinto del nuestro.

La preparación es desigual: Alemania anunció el lanzamiento para el 2 de enero de 2027, nueve días después de la fecha jurídica; los Países Bajos dieron a entender que no llegan a tiempo; Malta cuenta con salir con funcionalidad parcial.

En España el camino viene de más atrás y tiene sus propias capas. La más extendida es Cl@ve, la plataforma común de identificación, autenticación y firma electrónica de las Administraciones Públicas: permite entrar en la sede electrónica con contraseña acordada, código QR o certificado electrónico, incluido el del DNI electrónico. En 2022 superó los quince millones de usuarios registrados y, según el Observatorio de Administración Electrónica, en 2025 pasaba de veinticuatro millones. Junto a ella, el 2 de abril de 2025 se puso en marcha MiDNI, la aplicación oficial de la Policía Nacional que lleva el documento nacional de identidad al móvil: la app genera un código QR temporal, creado en tiempo real, que muestra en pantalla durante unos segundos solo el nivel de información elegido. El Real Decreto 255/2025, de 1 de abril, fijó en su disposición transitoria tercera un plazo de doce meses tras el cual las entidades públicas y privadas quedan obligadas a aceptarlo.

La pieza europea la lleva la Secretaría General de Administración Digital, dentro del Ministerio para la Transformación Digital y de la Función Pública. La implementación española de la EUDI Wallet se conoce como Cartera IDUE y su aplicación —Cartera Digital, en versión beta para iOS y Android desde finales de 2024— participa en los pilotos europeos de interoperabilidad. España la presentó en el launchpad de la cartera europea que la Comisión organizó en Bruselas en diciembre de 2025, como uno de los países más adelantados; los primeros casos de uso, la identificación con el conjunto de datos de identidad personal y la verificación de edad, ya funcionan. Fíjese, sin embargo, en dónde está la raíz de confianza en los tres casos: en Cl@ve, en MiDNI y en la Cartera IDUE quien responde de que usted es usted es un organismo del Estado, y quien puede dejar de responder es ese mismo organismo. Es exactamente el esquema del capítulo 1, mejorado en comodidad y en privacidad, pero idéntico en su dependencia.

En América Latina la dirección es la misma y el ritmo, dispar. Chile tiene ClaveÚnica, la identidad digital con la que se accede a más de mil seiscientos trámites públicos y que supera los catorce millones de usuarios. Brasil emitió su Carteira de Identidade Nacional —documento único apoyado en el número de CPF— a sesenta millones de personas hasta finales de julio de 2026, con versión digital dentro de la aplicación gov.br, la plataforma que reúne más de ciento setenta y cinco millones de cuentas y da acceso a miles de servicios federales, estatales y municipales. Argentina lleva el DNI y otros documentos en la aplicación Mi Argentina. Y desde octubre de 2025 existe idLAC, un intermediario regional de identidad digital desarrollado por los países de la Red GEALC con apoyo de la OEA y desarrollo técnico liderado por Uruguay: en la demostración de Antigua (Guatemala), ClaveÚnica de Chile se integró con las identidades digitales de Argentina, Brasil, Colombia y Uruguay, y una docena de países se han sumado ya al proyecto. Es una infraestructura seria y útil, y conviene decir con claridad qué resuelve y qué no: resuelve que un Estado reconozca la identidad emitida por otro Estado. No resuelve qué ocurre cuando ninguno de esos Estados quiere seguir respondiendo por usted.

La diferencia cabe en una frase. En eIDAS 2.0 el documento lo lleva usted, pero lo expide y lo revoca el Estado. En un registro en una red abierta el documento lo lleva usted, y no puede revocarlo nadie, incluido quien lo escribió.

Dónde no funciona la identidad autosoberana

No comprueba a la persona. La criptografía responde a la pregunta «¿el registro es auténtico y no se ha modificado?», pero no a la pregunta «¿la persona es quien dice ser?». La SSI no resuelve la vinculación del registro con un ser humano vivo: en la literatura se le llama el problema del binding, y a su lado está el problema Sybil: sin registro centralizado, nada impide que una misma persona se cree tantas identidades como quiera.

No otorga derechos. Un registro en la red no abre una frontera, no concede un crédito, no sustituye a un pasaporte, a un carné de conducir ni a un visado.

No elimina la confianza, la traslada. Sigue habiendo que creer a quien expide. Lo único que desaparece es la dependencia de sus servidores y de su buena voluntad.

La irreversibilidad corta por los dos lados. Lo escrito no se puede modificar, ni borrar, ni revocar. Eso protege frente al borrado arbitrario, y significa también que una errata en el nombre quedará para siempre y que quien cambie de opinión no podrá retirar el registro. La única jugada disponible es escribir uno nuevo y dejar los dos.

El punto débil es la persona. Una clave perdida no la recupera nadie: es la otra cara de que nadie pueda quitársela.

Los estándares aún están en camino. VC 2.0 es Recomendación desde mayo de 2025; DID 1.1 es candidata desde marzo de 2026 y sigue siendo candidata. Todavía no existe una infraestructura donde una credencial cualquiera sea comprobada por un verificador cualquiera sin acuerdos previos.

Tres maneras de decir «soy yo»

La fila «quién puede revocarlo» es aquella por la que se emprendió todo esto. Y es también el motivo para no expedir un documento así a la ligera.

Capítulo 3. Cómo está hecho el Pasaporte Digital de CODE Eternal

Es un archivo, no una imagen

La mitad de las preguntas se disipan si se dice lo principal de entrada: el pasaporte es un archivo de texto en formato JSON. Se puede abrir con el bloc de notas. Dentro no hay sellos, ni firmas, ni fotografía: solo campos y valores escritos con letras corrientes.

Ese archivo se escribe una vez en la red Arweave y recibe una dirección de transacción de 43 caracteres. La dirección funciona a la vez como enlace y como suma de verificación: otro conjunto de bytes daría otra dirección. El documento se puede abrir a través de cualquier pasarela de la red —https://arweave.net/<dirección>— y devolverá exactamente los mismos bytes que se escribieron. Una vez escrito, el archivo no se puede modificar ni borrar: ni la persona a quien se expidió, ni nosotros.

Esto es de lo que se compone:

El correo no está en el documento. Esta es, quizá, la decisión más importante de toda la construcción, y merece analizarse aparte.

Por qué la huella del correo y no el correo mismo

Una función unidireccional (one-way function) es una operación fácil de hacer e imposible de deshacer. Ejemplo doméstico: mezclar un bote de pintura azul con uno de amarilla. Un segundo de trabajo y sale verde. Volver a separarla en azul y amarilla no se puede con nada: la pintura no recuerda de qué está hecha.

sha256 funciona igual. Toma cualquier texto y devuelve 64 caracteres. El mismo texto da siempre los mismos 64 caracteres, en cualquier ordenador del mundo. Pero desde esos 64 caracteres no se puede volver al texto original: no porque esté prohibido, sino porque no hay de dónde.

En un pasaporte real tiene este aspecto:

378e447d96ee98f8c44ce50c75a9805d68cede0886ccec932a9a4050bee41bc2

Por qué no escribimos la dirección de correo en claro. El documento es público y eterno a la vez, y esa combinación es más peligrosa que cada una de esas propiedades por separado. Una dirección pública en una red abierta es una dirección que se llevará el primer recolector de correos que pase y que quedará sepultada bajo el spam. La dirección es además media contraseña de acceso: sabiéndola, solo queda adivinar la clave. Y «eterno» significa que recuperarla es imposible: un registro así no tiene botón de borrar ni lo tendrá. Un solo paso irreversible y la persona se queda con una diana de por vida.

La huella resuelve el problema de otra manera. El titular puede demostrar en cualquier momento que el registro es suyo: coge su correo, calcula el sha256 —un comando de una línea, disponible en cualquier ordenador— y lo compara con lo que figura en el documento. Si coincide, el registro es suyo. Si no coincide, es de otro.

Aquí hace falta honestidad. La huella no es anonimato. Impide leer la dirección, pero no impide verificar una sospecha: quien ya intuye cuál es el correo de una persona calculará su sha256 y lo comparará exactamente igual que haría el titular. Las huellas de correo sin sal se consideran desde hace tiempo un seudónimo y no un anonimato: sobre listas de direcciones filtradas se resuelven con un diccionario corriente.

Lo que la huella sí garantiza: a un hash no se le puede escribir un correo. Un robot que rastrea la red buscando direcciones no sacará de nuestros registros ni una sola que funcione.

El número de documento CE-XXXXXXXX

El número no se expide ni se guarda en ninguna parte. Se calcula: se toman los ocho primeros caracteres de la huella, se pasan a mayúsculas y se les antepone CE-.

378e447d96ee98f8...  →  CE-378E447D
6495fb95eae56f47...  →  CE-6495FB95

Ambos números se pueden comprobar ahora mismo: abra cualquiera de los enlaces vivos de más abajo y en el campo Passport ID figurará exactamente eso.

La solidez del número es consecuencia de que se deriva en lugar de asignarse. No hay un contador que se pueda desajustar. No hay una tabla de correspondencias que se pueda perder al migrar la base de datos. No hay nadie que deba recordar qué número se dio a quién. El mismo correo da la misma huella, la huella da el mismo número, y así seguirá dentro de veinte años, aunque de nosotros no queden ni servidores ni base de datos: el número lo recalcula cualquiera a partir del propio documento.

Y aquí también hace falta honestidad. Ocho caracteres hexadecimales son unas 4.300 millones de combinaciones. Muchas para que el número se pueda dictar por teléfono sin confundirlo con el de al lado, pero insuficientes para considerarlo único para siempre. El verdadero rasgo identificador es otro: la dirección de transacción de 43 caracteres y la huella completa de 64. El número CE- es para las personas; esos dos, para la comprobación.

Por qué el registro no se puede modificar

Una web corriente guarda los datos mientras se pague el alojamiento. Si se deja de pagar, los datos desaparecen. Arweave funciona al revés: se paga una sola vez, al escribir.

Ese único pago se reparte. Una parte pequeña va a quienes aceptan el archivo ahora mismo; el resto, a un fondo común de almacenamiento. El precio base está calculado como doscientos años de almacenamiento a los precios actuales de los discos, y el fondo vive de sus rendimientos. Como el almacenamiento se abarata década tras década, el poder adquisitivo del fondo crece y el plazo se estira más allá de lo calculado. Hasta qué punto es sólida esta construcción y qué ocurre si el supuesto falla se analiza en el capítulo 4; allí también se nombran los riesgos.

Después trabaja el diseño de la propia red. El archivo entra en un bloque, el bloque se confirma, las copias se reparten entre los nodos. La operación «modificar» sencillamente no existe en el protocolo: solo existe «escribir». Se puede escribir un documento nuevo, pero el antiguo se quedará en su sitio y ambos serán visibles. Aparte importa cómo se enlazan los bloques: cada bloque nuevo apunta no solo al anterior, sino también a uno antiguo elegido al azar, de modo que sustituir un registro con fecha retroactiva rompe toda la construcción y no un solo eslabón.

En nuestro ejemplo se ve así. Respuesta de la red para la dirección de transacción mGLT…:

block_height: 1975726
number_of_confirmations: 130

Lo primero es el número del bloque en el que cayó el registro. Lo segundo, cuántos bloques ha levantado la red por encima desde entonces; ese número crece solo y nunca disminuye.

La otra cara se nombra con honestidad: el botón de borrar tampoco lo tenemos nosotros. Una errata en el manifiesto seguirá siendo una errata. Un texto del que la persona se arrepienta al cabo de un año seguirá siendo ese texto. Es el precio de la irrevocabilidad, y lo paga quien expide el documento.

Qué ve un extraño y qué no

Aparte: el registro va etiquetado como pasaporte de CODE Eternal, así que se puede encontrar en la red sin conocer la dirección, a través de la lista general de registros de ese tipo. «Público» aquí significa público de verdad, sin matices. Quien no quiera que su nombre y su manifiesto queden a la vista para siempre, no debe expedir el documento. No habrá a quién pedir que se anule esa decisión.

Cómo comprobarlo sin confiar en nosotros

La comprobación está diseñada para que nuestra participación en ella no haga falta.

Paso uno. Abra https://arweave.net/<dirección> y verá ese mismo JSON. No nuestra página con nuestro diseño, sino el archivo original.

Paso dos. Abra la misma dirección en otra pasarela. Hay cientos, pertenecen a distintas personas en distintos países y ninguna es nuestra. El contenido tiene que coincidir carácter por carácter: la dirección de transacción en Arweave es la huella de los propios datos, y un archivo sustituido sencillamente no se entrega bajo esa dirección.

Paso tres. Compruebe la fecha. En el documento hay un campo con la fecha de emisión, y la red informa por separado de en qué bloque quedó el registro. La fecha del documento es lo que escribimos nosotros; el número de bloque es lo que fijó la red. Si hubiéramos puesto en el documento una fecha retroactiva, la discrepancia la vería todo el mundo.

Paso cuatro. Si está comprobando su propio documento, calcule el sha256 de su correo y compárelo con la huella.

Después de estos cuatro pasos ya no depende nada de nosotros. No podemos enseñarle a usted una cosa y a otra persona otra distinta: el archivo es uno, y no está en nuestras manos.

Para qué sirve la página escaparate

El documento se lee también sin la web, pero se lee como archivo. Unas líneas con llaves y nombres de campo en inglés las entiende un desarrollador y casi nadie más. Enseñarle eso a una persona es como tenderle, en lugar del pasaporte, una impresión sacada de una base de datos.

Por eso tenemos la página /passport/<dirección>. Toma el archivo de la red y compone con él la lámina del documento: banda holográfica, sello heráldico, marco de la fotografía, la marca VERIFIED, los campos del documento, el dibujo de la huella, la zona legible por máquina abajo y un código QR. El QR lleva a esa misma página: es un código de «compruébame», no de «transfiéreme dinero».

Importa lo que la página no es. No guarda nada. Cada vez vuelve a pedir el documento a las pasarelas de la red y, si la primera no responde, va a la segunda y a la tercera, para que una avería ajena no parezca «este pasaporte no existe». La página no puede modificar el documento físicamente: es lectora, no propietaria. Si mañana desaparecieran todos nuestros sitios, el documento seguiría en su sitio y se leería por la dirección de transacción, simplemente sin marco ni sello.

El alias queda reservado para siempre

Un servicio corriente, tras borrar una cuenta, devuelve el nombre a la circulación: el sitio ha quedado libre, que lo ocupe el siguiente. Para nosotros eso no vale.

El alias figura en el documento, el documento está en la blockchain y de ahí no se retira. Dar un nombre liberado a una persona nueva significaría crear dentro del registro eterno dos personas distintas bajo un mismo nombre, y dentro de diez años nadie sabría quién es quién.

Por eso, al borrar una cuenta, el nombre no desaparece con ella, sino que pasa a una lista aparte de nombres reservados, y sigue ocupado. La comprobación de disponibilidad al elegir alias mira también en esa lista. La persona se fue, sus datos se borraron, y el nombre quedó atribuido a ella.

Qué verá usted en los enlaces vivos

[Pasaporte de Maksim Galatin](https://www.codeofdigitaleternity.com/passport/mGLTBEbJM01kbau_sgSLboLzNmZOWwWflbdZiBXUCNM): la lámina con el número CE-378E447D, fecha de emisión 2026-08-08, nivel Digital DNA, alias @maksimgalatin y enlaces a Telegram, X y sitio web. Debajo, el bloque «Sobre mí», el manifiesto «CODE KOAN» y la zona legible por máquina con dos líneas: SUBJECT (la huella) y TX (la dirección de la transacción).

[Pasaporte de Fil](https://www.codeofdigitaleternity.com/passport/tU82S6VwyX3I4yAGSn_M95o-Cap-sc2QrY_wR_YRq6M): número CE-6495FB95, alias @fizikfil, la misma fecha. Aquí se ve cómo queda el documento sin campos rellenados: en lugar de descripción y manifiesto aparece un «pergamino de memoria», y en lugar del nombre del plan, la leyenda Eternal Member.

Ambas direcciones se abren igual en codeofdigitaleternity.com, aifa.digital y aifa.works. Y si añade la dirección de la transacción a https://arweave.net/, verá la fuente original: el archivo a partir del cual se dibujan ambas láminas:

https://arweave.net/mGLTBEbJM01kbau_sgSLboLzNmZOWwWflbdZiBXUCNM

Capítulo 4. Los límites: lo que este documento no hace

De un documento resulta más útil saber lo que no da que lo que da. Con el pasaporte digital esto es especialmente cierto: parece un documento de identidad —lámina, sello heráldico, marca VERIFIED, zona legible por máquina abajo—. La apariencia arrastra expectativas que el documento no soportará. Por eso los límites van directos, sin suavizar.

No es estatal y no está reconocido jurídicamente por nadie

Ningún Estado, ningún organismo, ningún banco ni universidad está obligado a mirarlo, ni lo hará. No sustituye al pasaporte, al permiso de conducir, al visado, al título universitario ni a la partida de nacimiento. Con él no se cruza una frontera, no se abre una cuenta, no se registra un matrimonio ni se consigue un empleo.

El reconocimiento a un documento se lo da la ley, no un registro en una red. Los Estados construyen sus documentos digitales precisamente por ese camino, como en el eIDAS 2.0 analizado en el capítulo 2: detrás de un documento así hay una obligación de aceptarlo; detrás del nuestro, solo las matemáticas y la disponibilidad del registro.

No acredita que usted sea usted

Aquí está el malentendido principal, y conviene desmontarlo despacio.

«Acreditar una identidad» significa que alguien con competencias comprobó a la persona y sus documentos y responde con su propia responsabilidad: ante usted está precisamente él. Nosotros no hacemos eso, ni al expedir el documento ni después.

«Registrar la existencia de un asiento» significa otra cosa: que en tal fecha se escribió en la red un documento donde el alias es tal, la huella es tal y los campos son tales. Es comprobable que el registro existe y que desde entonces no ha cambiado. No es comprobable que detrás de él esté la persona cuyo nombre figura en el campo «Nombre».

Poner un signo de igualdad entre ambas cosas no vale. El documento certifica el tiempo, no la identidad. Responde a la pregunta «qué se escribió y cuándo», no a la pregunta «quién es este».

Aparte, sobre la huella. Como se explicó en el capítulo 3, esconde la dirección de la mirada ajena, pero no hace anónimo el registro. Los reguladores interpretan el hash exactamente así: como seudonimización y no como anonimización, y los datos hasheados siguen siendo datos personales. La huella protege frente a la lectura casual, pero no frente a quien ya conoce su correo y quiere confirmar una sospecha.

A modo de comparación: en el modelo maduro de W3C Verifiable Credentials 2.0, la revocación y la suspensión están integradas en la propia construcción; para eso existe una especificación aparte, Bitstring Status List v1.0. Nosotros no tenemos revocación por diseño. Es un intercambio, no una carencia.

El registro no se puede revocar, y eso funciona en ambas direcciones

Una persona cambia de opinión: se va del proyecto, cambia de nombre, deja de estar de acuerdo con su propio manifiesto de hace tres años.

Lo que podemos hacer: retirar el documento del escaparate en nuestros sitios, desvincularlo de la cuenta, ayudar a emitir un registro nuevo que diga que el anterior ya no refleja a esa persona.

Lo que no podemos: borrar el registro de la red, cambiar en él un solo carácter, revocarlo. Ni a petición de la persona, ni por decisión propia, ni por exigencia de nadie. La clave que anula esto no la tiene nadie.

El derecho al olvido choca aquí de frente con la inmutabilidad. El artículo 17 del RGPD reconoce a la persona el derecho a exigir la supresión, por ejemplo cuando los datos ya no son necesarios para los fines para los que se recogieron o cuando se ha retirado el consentimiento. El derecho no es absoluto: el apartado tercero de ese mismo artículo enumera las excepciones —libertad de expresión e información, cumplimiento de una obligación legal, archivo en interés público e investigación científica, defensa de reclamaciones—. Pero el apartado «nos resulta técnicamente incómodo» no está en esa lista.

Cómo tratan el conflicto los reguladores:

• CNIL (Francia), guía de 2018: mantener los datos personales fuera de la cadena, poner en la cadena solo identificadores seudónimos o hashes, y asegurar la supresión mediante la destrucción de la clave o del vínculo off-chain; entonces el asiento deja de ser legible.
• AEPD (España). La Agencia Española de Protección de Datos lleva años trabajando exactamente en este punto y sus conclusiones son directamente aplicables a lo que hacemos. En noviembre de 2019 publicó junto con el Supervisor Europeo de Protección de Datos el estudio «Introducción al hash como técnica de seudonimización de datos personales», donde analiza las fuentes de riesgo de reidentificación y sostiene que hace falta un análisis objetivo caso por caso para determinar si un hash sirve como seudonimización o como anonimización; por defecto, es lo primero. En noviembre de 2020 publicó una nota técnica sobre blockchain y el derecho de supresión, acompañada de una prueba de concepto sobre infraestructura Ethereum, con medidas de gobernanza y modificaciones técnicas orientadas a hacer compatible una cadena con el RGPD. La AEPD fue además ponente principal en la fase preparatoria de las directrices europeas que se citan a continuación.
• EDPB (Comité Europeo de Protección de Datos), Guidelines 02/2025: adoptadas en abril de 2025, versión 2.0 el 7 de julio de 2026. La posición es más dura: no escribir en la cadena datos personales ni en claro, ni cifrados, ni hasheados; pensar la supresión en la fase de elección de la tecnología y no después de recibir una solicitud. Las directrices recuerdan también que los derechos de acceso, rectificación, oposición y supresión son tecnológicamente neutros y deben garantizarse íntegramente, y proponen fórmulas técnicas —destruir la clave de descifrado, borrar los datos almacenados fuera de la cadena— para que un asiento quede efectivamente anonimizado de forma irreversible frente a terceros.

Qué significa esto para nosotros, sin autojustificaciones. El correo no entra en la cadena: esa es justamente la salida recomendada. Pero el alias, el nombre y la huella sí están en la cadena, y según la interpretación de los reguladores un hash también es un dato personal. Así que el marco honesto es este: el pasaporte digital es una publicación, no una fila en una base de datos. El análogo más cercano no es un asiento en un área de cliente, sino un libro que salió con una tirada y se repartió por las bibliotecas. Una tirada no se retira. Por eso el documento se expide mediante un acto aparte y consciente, y no de forma automática al registrarse.

Un error en los datos queda para siempre

Una errata en el nombre, una fecha equivocada, un enlace a una cuenta que abandonará dentro de un año, un manifiesto escrito a las tres de la madrugada: todo quedará congelado tal como se vaya a la red. Corregirlo no se puede. Se puede emitir un documento nuevo, y entonces convivirán las dos versiones: la antigua con el error y la nueva sin él.

El nivel de plan es también un campo del documento, y fija el momento de la emisión. Si pasa de Spark a Digital DNA, en el registro anterior quedará para siempre el nivel anterior.

La conclusión es una sola: antes de emitir, lea todos los campos en voz alta. El nombre, el alias, la descripción, el manifiesto, cada enlace. Es el único minuto en el que todavía se puede cambiar algo.

Perder el acceso a la cuenta no anula nada

Si olvida la contraseña, pierde el correo o borra la cuenta, al documento no le afecta. Ya está fuera de nuestro control, y recuperar el acceso al área personal no da ningún poder sobre él: no se puede reemitir, editar ni ocultar ni siquiera después de entrar.

El alias sigue reservado a la persona también tras el borrado de la cuenta. Es a la vez protección y limitación: no podremos «liberar» el nombre para otra persona ni aunque usted nos lo pida.

En las cuentas de plataforma la lógica es la inversa, y conviene tenerla al lado como contraste: Google, por ejemplo, examina no más de dos apelaciones por una cuenta desactivada, tras lo cual la cuenta permanece desactivada y pasa a borrado junto con todo su contenido. Nuestro documento no se puede quitar así, pero recuperar el derecho a modificarlo tampoco se puede.

Qué pasaría si desapareciera el propio Arweave

El almacenamiento allí no se sostiene sobre una promesa, sino sobre la construcción económica descrita en el capítulo 3: un solo pago, la parte menor cubre los primeros doscientos años aproximadamente y la mayor va al fondo. En la base hay un supuesto: que el coste de almacenar datos se abarata al menos un 0,5 % anual; históricamente, en medio siglo cayó varias veces más rápido, así que el margen previsto es amplio.

Pero es una apuesta, no una ley física. Los riesgos, con honestidad:

• el supuesto del almacenamiento cada vez más barato puede no cumplirse, y el fondo puede estar mal invertido;
• el fondo está denominado en el token de la red, cuyo precio se mueve: una cantidad que hoy sobra puede valer varias veces menos dentro de un año;
• los mineros no están obligados a guardarlo todo: cada uno tiene su política de contenidos, y la conservación de un archivo concreto depende del número de copias y del incentivo económico para mantenerlas;
• el acceso a los datos pasa por las pasarelas, y arweave.net fue históricamente el único punto de ese tipo; precisamente por eso apareció la red de pasarelas independientes ar.io.

De ahí, lo práctico. La palabra «para siempre» significa «mientras aguante la economía de la red», no «pase lo que pase». El documento es un archivo JSON pequeño: descárguelo y guarde una copia. Si algún día la red deja de existir, el contenido seguirá en su poder, aunque con la red desaparecerá también aquello por lo que se emprendió todo: la confirmación independiente de que el registro se hizo justo entonces y de que desde entonces no ha cambiado.

Por qué aun así consideramos útil un documento así

Porque tiene una propiedad que no tiene ni una cuenta en una red social, ni un perfil en una plataforma, ni una página en un dominio propio: es imposible anularlo. Ni nosotros, ni un moderador, ni el dueño del sitio, ni quien compre ese sitio mañana. Todo lo enumerado más arriba es el precio de esa propiedad, y el precio conviene pagarlo con los ojos abiertos.

El documento no dice «esta persona es quien dice ser». Dice: «tal alias, con tal huella y tal manifiesto, existía el ocho de agosto de 2026», y seguirá diciéndolo mientras la red se pueda leer, con independencia de lo que nos ocurra a nosotros, a los sitios y a la propia persona.

Capítulo 5. Para qué sirve en la práctica

El pasaporte tiene cinco usos que funcionan hoy y un límite nítido más allá del cual es inútil. Veamos ambas cosas, empezando por la más discutible.

Prueba de anterioridad

Escenario. Se le ocurre una formulación: el nombre de un producto, un párrafo de manifiesto, el esquema de funcionamiento de un servicio. Medio año después aparece casi lo mismo en manos de otra persona, y toca demostrarlo a posteriori. Las capturas de pantalla no sirven: su fecha sale de su propio ordenador.

Un registro en Arweave resuelve esa disputa en parte. La transacción entra en un bloque, el bloque tiene una hora y no se puede insertar nada con fecha retroactiva; cómo se encadenan los bloques se explicó en el capítulo 3. A partir de ese momento el texto tiene una fecha de la que no responde su portátil.

En qué se diferencia de un notario. El notario ruso sabe hacer exactamente lo mismo: conforme a los artículos 102 y 103 de los Fundamentos de la legislación notarial, asegura pruebas, incluido examinar una página de internet y dejar constancia de qué había en ella en tal momento; ese acta no tiene plazo límite para presentarse ante un tribunal. Existe además la versión técnica de lo mismo: los sellos de tiempo del estándar RFC 3161, en los que una autoridad de certificación firma con su clave el hash de su archivo.

Los tribunales tratan estos registros de forma dispar. En China, el Tribunal Popular Supremo autorizó en septiembre de 2018 a los tribunales de internet de Hangzhou, Pekín y Cantón a admitir pruebas respaldadas por blockchain, hashes y sellos de tiempo. En la Unión Europea, el Reglamento 2024/1183 introdujo la figura del registro electrónico cualificado: sus asientos gozan de presunción de integridad y de orden cronológico correcto. Nuestro registro no encaja en esa definición: un registro así lo lleva un prestador acreditado, no una red pública.

Y aquí está el límite. El registro demuestra una sola cosa: que este documento con estos campos existía no más tarde de tal momento. No demuestra que usted sea el autor, que fuera el primero del mundo ni que no haya copiado algo ajeno. Alguien pudo haber pensado lo mismo antes y no publicarlo; el pasaporte no dirá nada sobre él. El derecho, por lo demás, es suyo también sin registro: según el Convenio de Berna (182 Estados parte), el derecho de autor nace en el momento de crear la obra, sin registro ni formalidades. El registro no crea derechos. Ayuda con la fecha, y solo con ella.

Una tarjeta de visita que sobrevive al cambio de plataformas

Escenario. Usted da un enlace hacia sí mismo: en el currículum, en la firma del correo, en una tarjeta de visita, en una ponencia. Tres años después el enlace no lleva a ninguna parte.

No es pesimismo, está medido. El Pew Research Center comprobó en mayo de 2024 que una cuarta parte de las páginas existentes entre 2013 y 2023 ya era inaccesible en octubre de 2023, y que de las páginas de 2013 había desaparecido el 38 %. Lo más frecuente es que el sitio siga vivo y la página concreta esté borrada. También desaparecen plataformas enteras: Vine cerró en enero de 2017 y el archivo se retiró para 2019; el Google+ de consumo, con todos sus perfiles, se borró el 2 de abril de 2019; desde el 1 de diciembre de 2023 Google elimina las cuentas personales en las que no se ha entrado en dos años, junto con el correo, el disco y las fotos.

La dirección del pasaporte no depende de ninguna de esas decisiones. No pertenece a la plataforma y no nos pertenece a nosotros: mientras exista la red Arweave, cualquier pasarela entregará el documento por esos 43 caracteres.

Una advertencia honesta: los campos del documento también quedan congelados. Si cambia de Telegram, en el pasaporte quedará el alias antiguo. Por eso en el campo del sitio web es más sensato indicar un dominio que usted controle: un dominio se puede redirigir, un perfil ajeno no.

Confirmación para los descendientes

Escenario. Año 2090. Su bisnieto sabe de usted un nombre y un par de historias. Las cuentas desaparecieron hace mucho, la nube con las fotografías cerró junto con la empresa.

De usted quedan 43 caracteres. Con ellos abre el documento y ve cómo se describió usted mismo: nombre, alias, un texto breve sobre sí mismo, el manifiesto, la fecha. No un relato de segunda mano ni un certificado ajeno: sus propias formulaciones.

Para que eso funcione, la dirección hay que transmitirla de forma humana: incluirla en el testamento, imprimirla junto a los documentos, escribirla al dorso de una fotografía, grabarla. Cabe en una línea y no requiere contraseña; en eso está todo el sentido.

Y ahí mismo, el límite. El documento no confirma que lo escrito sea verdad. Confirma que una persona con ese alias y esa huella existía en tal fecha y escribió esto sobre sí misma. Por su género se parece más a una entrada de diario que a un certificado de archivo, pero a una entrada con fecha fiable.

Recuperación tras perder las cuentas

Escenario. Le roban el Telegram, en X le cae un bloqueo sin explicaciones y el correo al que estaba todo vinculado es inaccesible. Se abre cuentas nuevas, y la primera pregunta de cada conocido es: «¿Seguro que eres tú?».

El pasaporte funciona como punto de reunión. En el nuevo perfil pone el enlace a la dirección del registro; en el registro se ve qué alias eran suyos y desde qué fecha. Quien lo conocía de antes compara una cosa con otra: los mismos contactos, el mismo manifiesto, una fecha anterior al incidente. Un impostor tendría que presentar un registro con esa misma fecha, y no lo tiene.

Con honestidad sobre los límites: el pasaporte no devuelve la cuenta, no influye en la decisión de la plataforma y no impide que alguien registre un alias parecido en otro sitio. Es un argumento para personas, no una llave de una puerta.

Para una comunidad

Escenario. Un grupo de coautores, un gremio en un juego, el círculo de participantes de un proyecto. Hace falta mostrar la composición de forma que se pueda comprobar sin acudir al organizador.

Una lista de direcciones resuelve el problema: cada participante es un enlace y cualquiera lee los documentos directamente desde la red. Nadie lleva el registro, así que no hay quien lo pierda, lo edite según su humor o lo cierre junto con el sitio. Si el organizador se marcha, la lista se queda en manos de todos.

Comparación honesta: el estándar de identificadores descentralizados del que se habló en el capítulo 2 resuelve otro problema, porque allí hay claves, autenticación y su rotación. Nuestro pasaporte no contiene claves y con él no se entra a ninguna parte. Es un escaparate, no un pase.

Dónde no ayuda

Nosotros no comprobamos que una persona sea quien dice ser. Registramos un hecho: tal alias con tal huella existía en tal fecha. Lo demás es interpretación de quien lo lee.

Cómo emitir el suyo

No hace falta plan de pago. La emisión está disponible para cualquiera que haya entrado en el área personal: Spark, Family Archive, Digital DNA o incluso sin plan. El nivel se escribe en el documento como campo aparte; si no hay plan, allí figurará cero.

Paso 1. Rellenar el borrador en el área personal, pestaña del pasaporte. Los campos y sus límites:

El borrador se puede corregir tantas veces como quiera. Mientras no pulse emitir, a la red no ha salido nada.

Paso 2. Comprobar antes de emitir. La lista es corta, pero conviene recorrerla entera:

• el alias: reléalo letra a letra; se quedará con usted para siempre y no se le dará a otra persona ni siquiera tras borrar la cuenta;
• el nombre: en la grafía con la que quiere quedarse;
• el manifiesto: léalo en voz alta; el texto le sobrevivirá, y la errata también;
• los enlaces: abra cada uno y compruebe que funcionan y son suyos;
• la foto: aquella que no le dé vergüenza enseñar dentro de veinte años;
• el correo: la huella se calcula precisamente a partir de él; no entrará en el documento, pero la vinculación será con él.

Paso 3. Pulsar emitir. El sitio volverá a preguntar: «El pasaporte se escribirá para siempre en la blockchain Arweave. Los datos no se podrán modificar. ¿Continuar?». Este es el único punto de retorno.

Paso 4. Guardar la dirección. Tras el registro recibirá esos 43 caracteres. Compruebe el documento de dos maneras: con la página /passport/<dirección> en cualquiera de nuestros sitios y directamente en https://arweave.net/<dirección>; lo segundo importa más, porque demuestra que el registro vive sin nosotros.

El botón de emisión se apaga para siempre tras la primera pulsación. No habrá un segundo pasaporte para la misma cuenta: el sistema le devolverá la dirección anterior en lugar de crear una nueva. Un error en un campo no lo puede corregir nadie, ni nosotros ni usted. Por eso el paso 2 dura cinco minutos y no treinta segundos.

Capítulo 6. Preguntas y respuestas

Abajo, lo que se pregunta con más frecuencia.

¿En qué se diferencia de un NFT?

Un NFT es un registro de propiedad: se vende, se regala y se pierde junto con la cartera. En la mayoría de los NFT los datos en sí no están en la blockchain, sino tras un enlace: en la cadena se guarda un puntero, y cuando el servidor del otro lado muere, del token queda una cáscara. El pasaporte está hecho de otra manera: a la red va el documento entero, y no existe propiedad sobre él, existe el hecho de la publicación. No se puede comprar ni transferir a otra dirección. Un marketplace puede ocultar una colección en su casa; el documento no tiene escaparate alguno.

Pero si es solo un archivo JSON en internet. ¿Dónde está el valor?

El valor no está en el archivo, sino en que nadie lo reescribirá con fecha retroactiva ni lo retirará. Un archivo corriente vive mientras alguien pague el alojamiento y no cambie de idea; las mediciones del Pew Research citadas en el capítulo 5 muestran en qué se traduce eso a diez años vista. Aquí se paga una sola vez, y a partir de ahí el documento no depende ni de nuestro dominio ni del humor de nadie.

¿Quién impide emitir un pasaporte a nombre de otro?

Nadie. Escribir en Arweave un documento con cualquier nombre puede hacerlo cualquiera y sin nosotros: la red es abierta, esa es su propiedad. Por eso el registro en sí mismo no es una prueba de identidad, y nosotros no lo llamamos así. Lo que aporta nuestra emisión: la dirección del sitio emisor dentro del documento, la huella del correo confirmado en el registro de la cuenta y la fecha. No se comprueba «esta persona es Juan Pérez», sino «en tal fecha, tal alias tenía tal huella, y el registro lo hicimos nosotros». Un alias ajeno dentro de nuestro sistema no se puede apropiar, porque queda reservado para siempre; un nombre ajeno dentro de un registro externo sí se puede escribir, y la tecnología no lo impedirá.

¿Se puede falsificar el propio pasaporte?

Modificar un documento publicado no se puede: bajo la dirección de la transacción está exactamente lo que se escribió. Falsificar sí se puede otra cosa: hacer una página parecida y dibujar en ella lo que sea, incluidos el sello y la marca VERIFIED. Por eso hay que comprobar no por la página bonita, sino por la dirección: https://arweave.net/<dirección> mostrará el documento original. La página /passport/ es solo presentación.

¿Y si quiero borrar mi pasaporte?

No podrá. Ni por soporte, ni por vía judicial, ni a través del Arquitecto: no existe mecanismo de borrado para nadie. Se puede emitir un documento nuevo y considerar el anterior desactualizado, pero el anterior seguirá siendo legible. Conviene entenderlo antes de emitir: en el manifiesto tiene sentido escribir solo aquello con lo que esté dispuesto a convivir mucho tiempo.

¿Y si su proyecto cierra?

El documento sobrevivirá al proyecto. Las páginas /passport/ desaparecerán con los sitios, y el registro quedará bajo la dirección de la transacción. Compruébelo ahora mismo sin pasar por nosotros: https://arweave.net/mGLTBEbJM01kbau_sgSLboLzNmZOWwWflbdZiBXUCNM, allí hay JSON desnudo y nuestros servidores no participan en la cadena. Es la única parte del sistema que no depende de que estemos vivos o no.

¿Y si Arweave deja de existir?

Entonces el documento dejará de existir; esa es la respuesta honesta. La economía de la red y sus puntos débiles se analizan en el capítulo 4; en corto: es una apuesta a que el almacenamiento siga abaratándose, no una garantía. Simplemente es una apuesta más larga que la de un alojamiento con factura mensual. El seguro razonable es descargar su JSON y guardar una copia.

¿Por qué la huella del correo y no el correo mismo?

Porque una dirección en claro dentro de un registro eterno es un regalo a los spammers sin derecho a revocación. La huella (sha256) resuelve un solo problema: quien conoce su propio correo calcula el hash y se convence de que el documento es suyo. Por cálculo inverso, el correo no se recupera a partir de la huella.

¿Entonces por la huella no me encontrarán?

Le encontrarán, si saben qué buscar. sha256 sin sal es determinista: se toma la dirección supuesta, se calcula el hash y se compara. Quien ya tenga su correo o una lista de direcciones comprobará si el suyo está entre los pasaportes. Por eso los reguladores clasifican el correo hasheado como dato personal y no como dato anónimo. La huella protege frente a la recolección casual de direcciones, pero no frente a una comprobación dirigida; afirmar lo contrario sería mentir.

¿Puedo emitir varios pasaportes?

Para una misma cuenta, el botón de emisión funciona una sola vez. Escribir en la red un documento nuevo sí puede hacerlo más adelante: cada registro es independiente, con su propia fecha, y los anteriores no quedan anulados. El sentido de reemitir es actualizar la descripción, el manifiesto o los enlaces: el documento nuevo pasa a ser el vigente y los antiguos quedan como historia. La otra cara: se acumula una cronología pública de las revisiones, y borrar de ella una versión desafortunada no se puede.

¿Qué ven los extraños?

Exactamente lo que usted rellenó: nombre, alias, descripción, manifiesto, enlaces, nivel de plan, fecha de emisión, dirección del sitio emisor y huella. El correo no está en el documento. Las conversaciones con AIfa no tienen relación con el pasaporte: la memoria se cifra por separado y no entra en él. Es una página pública, no un área personal.

¿Para qué esto, si puedo simplemente publicar en una red social?

Una publicación vive mientras la plataforma lo considere oportuno. El caso del padre de San Francisco descrito en el capítulo 1 va de eso: la persona no infringió nada, la decisión la tomó un algoritmo y con la cuenta se fueron el correo, años de fotografías y el número de teléfono. El pasaporte no protegerá su cuenta ni le devolverá las fotos; simplemente no está bajo el poder de nadie. Un registro en Arweave no tiene un moderador ante el que quejarse, y tampoco tiene quien pueda retirarlo.

¿Está reconocido en algún sitio?

No. No es un documento estatal: no sustituye al pasaporte, al permiso de conducir ni al visado, no da acceso a nada y no tiene fuerza jurídica. Los sistemas reconocidos se construyen de otro modo: allí detrás de la identidad está el Estado, y la obligación de aceptar el documento está escrita en la ley. Nuestra tarea es menor: dejar constancia de que una persona y sus palabras existían en tal fecha.

¿En qué se diferencia de los W3C DID y las credenciales verificables?

Allí está pensado lo que nosotros no tenemos: divulgación selectiva de campos, comprobación de la firma del emisor y, sobre todo, revocación; la Bitstring Status List ofrece una forma estándar de marcar una credencial como revocada. En los sistemas maduros la revocación se considera una función obligatoria, y nosotros no la tenemos a propósito. Son herramientas distintas: la credencial responde a la pregunta «¿esto es válido ahora?»; nuestro documento, a la pregunta «¿esto era así entonces?».

¿Qué pasa si cambio de alias o de correo?

El documento antiguo no cambiará: en él quedan para siempre el alias anterior y la huella anterior. Un registro nuevo fijará los datos nuevos y la fecha; el vínculo entre ambos se ve en la cronología de emisiones, no está incrustado en el documento. El alias no se libera: ni siquiera tras borrar la cuenta pasará a otra persona.

¿Se puede heredar el pasaporte?

No hay nada que transmitir: no es una propiedad ni una llave, no se puede poner a nombre de otro. Lo que se hereda es la posibilidad de mostrarlo. La dirección de la transacción, de 43 caracteres, cabe en un testamento, en una hoja de papel, en un archivo familiar; dentro de cincuenta años el heredero no necesitará ni nuestros sitios ni permiso alguno: solo la dirección y cualquier pasarela.

¿Cuánto vive?

Lo que viva la red. El almacenamiento está pagado con un cálculo de doscientos años como mínimo, pero prometer doscientos años no lo voy a hacer: ningún soporte ni ninguna organización ha confirmado en la práctica un plazo así. Es más razonable compararlo no con la eternidad, sino con lo de al lado: un dominio se renueva cada año, una cuenta se sostiene sobre la decisión de otro.

¿Para qué lo quiero, si no pienso enseñárselo a nadie?

Puede que para nada. Tiene sentido si a usted le importa que lo que ha dicho no dependa de la decisión de otro: una fecha bajo una idea, un manifiesto, el hecho de «yo estuve y pensaba así». Por lo demás, el pasaporte no acelerará su trabajo, no da descuentos y no abre secciones de la web.

Conclusión

Un documento que nadie puede revocar es fácil de tomar por una pretensión de poder. No lo es. La revocación es siempre el derecho de alguien a decir «ya no estás en la lista»: de la plataforma, del organismo, del algoritmo. Un registro en Arweave no da poder sobre nadie: no abre puertas y no obliga a nadie a nada. Hace una sola cosa: saca el hecho de su existencia de debajo de la decisión ajena.

El precio es simétrico. Nadie puede borrar su registro, y usted tampoco. Nadie reescribirá su manifiesto, y usted tampoco. Todo lo descrito en el capítulo 4 como limitación no es una lista de deficiencias, sino la otra cara de la única propiedad útil.

Si aun así ha decidido hacerlo, tres pasos.

1. Borrador. Nombre, alias, descripción, manifiesto, enlaces a Telegram, X y sitio web. Todo esto entrará en el registro entero y para siempre. El nivel de plan quedará fijado tal como estuviera en el momento de la emisión; el plan no es obligatorio para emitir.
2. Lectura en voz alta. Relea cada campo letra a letra, abra cada enlace. Es el último minuto en el que se puede cambiar algo.
3. Emisión. Guarde la dirección de la transacción: esos 43 caracteres son su documento. Compruébelo dos veces, en la página /passport/<dirección> y directamente en la red, https://arweave.net/<dirección>. El segundo método importa más: funciona sin nosotros.

Y para ver cómo queda esto ya terminado, abra dos documentos vivos: el pasaporte de Maksim Galatin y el pasaporte de Fil. Ambos se leen también sin nuestros sitios: por la dirección de la transacción, desde la red abierta, por cualquiera y en cualquier momento.