La credencial es la pieza más barata de un control de accesos y la que más problemas da después. No por la tecnología, sino por decisiones prácticas que nadie toma al principio: quién las reparte, qué pasa cuando se pierden, si el de mantenimiento puede llevarla con guantes y quién las anula un viernes por la tarde.
Esta es la guía para elegir sin arrepentirse a los seis meses.
Primera decisión: el formato
Antes que la tecnología, el formato físico. Y depende de cómo trabaja su gente:
- Tarjeta tipo crédito. El estándar. Su ventaja decisiva es que se puede imprimir: foto, nombre, empresa. Si necesita identificación visual —visitas, subcontratas, centros con público—, es la única opción. Se raja si se dobla en el bolsillo trasero.
- Llavero. Más resistente y va con las llaves, así que se olvida menos. No se puede personalizar visualmente. Es la mejor opción para plantilla estable que no necesita identificarse a la vista.
- Pulsera. Para entornos húmedos o donde no hay bolsillos: cocina, piscinas, vestuarios, producción con bata. Cómoda de verdad y difícil de olvidar.
- Adhesivo o tarjeta en el móvil. Cómodo, pero deja fuera a quien no quiera usar su teléfono personal para trabajar. Como opción adicional funciona; como única, genera conflicto.
Un detalle que decide más de lo que parece: si hay que llevarla colgada, acabará colgada. Y una tarjeta colgando en producción es un riesgo con maquinaria. En esos casos, llavero o pulsera.
Segunda decisión: la tecnología
Aquí es donde se juega la seguridad real, y se resume en tres opciones:
125 kHz (chips tipo EM4100). Las más baratas y las más antiguas. Emiten un número fijo sin cifrado alguno: se clonan en segundos con un duplicador de bolsillo y la copia es indistinguible del original. Válidas para fichar; no para proteger nada con valor.
13,56 MHz tipo Mifare Classic. Muy extendidas. Llevan cifrado propietario Crypto1, que está roto desde hace años con herramientas públicas. Mejor que las anteriores, pero no confíe en ellas para zonas críticas.
13,56 MHz tipo DESFire (EV2, EV3). Cifrado AES de 128 bits, autenticación mutua y claves diversificadas por tarjeta. Sin ataques prácticos conocidos si el sistema está bien implementado. Cuestan más y valen lo que cuestan cuando hay algo real que proteger.
La trampa que invalida presupuestos: una tarjeta DESFire leída por un lector que solo mira el número de serie no aporta nada. Pregunte siempre si el sistema autentica con clave o se limita a leer el UID. Lo explicamos a fondo en RFID, NFC y Mifare explicados.
Cuánto cuesta realmente
El precio unitario de la credencial es casi anecdótico frente al coste de gestionarla. Lo que de verdad pesa en el presupuesto anual es:
- Reposiciones. Cuente entre un 5 % y un 15 % anual según el sector. En construcción y hostelería, más.
- Tiempo administrativo de altas, bajas y reimpresiones.
- La impresora, si necesita personalizar: equipo, cintas y mantenimiento.
- El stock, que hay que tener. Quedarse sin tarjetas el día que entran seis personas nuevas es un clásico.
Por eso, en plantillas con mucha rotación, el llavero suele salir más rentable que la tarjeta impresa aunque cueste algo más por unidad: dura mucho más y no exige impresora.
Las cinco preguntas que hay que resolver antes de comprar
- ¿Quién da de alta y de baja, y en cuánto tiempo? Si hay que llamar a un proveedor externo para anular una tarjeta, tiene un problema de seguridad garantizado. La baja debe poder hacerse en el momento y desde dentro.
- ¿Qué pasa cuando alguien se la olvida? Necesita un procedimiento —credencial temporal, apertura manual registrada— o la puerta acabará abierta con una cuña.
- ¿Sirve para fichar y para abrir? Dos credenciales distintas significan dos altas, dos bajas y el doble de olvidos.
- ¿Puedo comprar más a otro proveedor? Si las credenciales son propietarias y solo se las vende quien instaló, ya sabe lo que pagará dentro de tres años.
- ¿Aguanta el entorno? Cloro de piscina, humedad de cocina, polvo de obra, roce constante en un bolsillo de mono.
El error más caro: no dar de baja
Es, con diferencia, el fallo que más nos encontramos al auditar instalaciones: tarjetas activas de personas que se fueron hace años. En una empresa de cincuenta personas con rotación normal, en cinco años se acumulan decenas de credenciales vivas sin dueño conocido.
La solución no es tecnológica, es de procedimiento. Dos medidas que funcionan:
- Incluir la anulación en el proceso de baja, junto a la devolución del portátil y el finiquito. Si depende de que alguien se acuerde, no ocurrirá.
- Revisar el listado de credenciales activas dos veces al año y cruzarlo con la plantilla real. Es media hora y siempre aparecen sorpresas.
Para externos y visitas, la solución es mejor: credenciales con caducidad automática. Lo que se apaga solo no depende de que nadie se acuerde.
Una recomendación práctica
Lo que mejor funciona en la mayoría de empresas es combinar: una única credencial de 13,56 MHz para toda la plantilla, que sirve para fichar en el reloj de fichar y para las puertas generales, y refuerzo solo en los puntos críticos mediante lectores con autenticación cifrada o doble verificación con código.
Así paga seguridad alta donde hace falta y no en las quince puertas donde no aporta nada. El diseño de esas zonas lo detallamos en cómo diseñar los permisos de acceso.
Si quiere que le ayudemos a elegir según su entorno y su rotación, cuéntenos su caso: cuántas personas, en qué condiciones trabajan y qué hay detrás de las puertas que quiere controlar.