Cómo usan NFC Apple Pay y Google Pay — Explicado en Palabras Sencillas

Apple Pay y Google Pay usan NFC para enviar un sustituto de tu número de tarjeta — nunca el real — a la terminal de pago, junto con un código de un solo uso válido solo para esa transacción. Apple se apoya en un chip de seguridad dedicado; Google depende sobre todo de software. Esto es lo que pasa en el segundo posterior al toque.

Qué Es: La Respuesta en Un Párrafo

Cuando acercas el teléfono para pagar, tu teléfono no está entregando tu número de tarjeta en absoluto. Apple Pay genera un Device Account Number usando la especificación EMV Payment Tokenization — un número sustituto ligado a ese dispositivo, cifrado y guardado en el teléfono. Google Pay hace el mismo trabajo con un Device Primary Account Number, o DPAN, que reemplaza el Funding Primary Account Number real de tu tarjeta. Ambos añaden además un código de seguridad dinámico, generado de nuevo para esa transacción, para que el token no pueda capturarse y reutilizarse en otro lugar. La terminal solo lee el token y el código — nada más.

Cómo Funciona Realmente

El toque solo funciona a corta distancia: el teléfono y la terminal necesitan estar a unos centímetros, que es justo por qué el enlace de radio es deliberadamente de corto alcance — ya explicamos la física detrás de eso si quieres la explicación completa.

Apple Pay guarda su token en un chip de hardware dedicado, el Secure Element. Los datos de la tarjeta llegan cifrados desde el emisor hacia applets aislados en ese chip, usando claves que nadie fuera del emisor y el chip conoce. Durante el toque, el controlador NFC dirige el tráfico directamente entre la terminal y el Secure Element, sin pasar por el procesador principal del teléfono — tu rostro o huella desbloquea el Secure Enclave, que entonces le indica al Secure Element que responda.

Google Pay toma sobre todo una ruta de software llamada host-based card emulation, o HCE. Android añadió HCE en la versión 4.4 específicamente para que cualquier app pudiera emular una tarjeta de pago sin necesitar un chip de seguridad separado en cada teléfono. Por debajo, la terminal y el teléfono intercambian el mismo tipo de paquetes de datos — APDU, definidos por ISO/IEC 7816-4 — que usaría una tarjeta física, salvo que los procesa el procesador principal del teléfono en vez de un chip. Un Application ID le indica al teléfono qué app debe responder a un toque dado, que es cómo el sistema sabe entregarle la transacción a Google Pay y no a otra app que también emule tarjetas.

Dónde Lo Verás

Ambos funcionan en cualquier terminal de punto de venta con contactless — busca el símbolo tipo Wi-Fi de lado en la caja — además de dentro de apps y sitios web con un botón de "Apple Pay" o "Google Pay". Del lado de Google Pay, agregar una tarjeta elegible a Google Wallet crea automáticamente una tarjeta virtual; ese es el DPAN haciendo su trabajo. Google también bloquea el pago sin contacto en teléfonos con root o bootloader desbloqueado, porque eso cambia lo que el sistema operativo puede garantizar sobre el manejo del token.

Separa esto del NFC que te encuentras en otros lados. Una terminal de pago y una etiqueta NFC en una tarjeta o sticker de Wi-Fi comparten la misma banda de radio, pero solo una involucra a un banco.

Consejos, Detalles a Cuidar y un Uso Rápido con NFCore

NFCore no lee, escribe ni almacena tokens de pago — está hecho para las etiquetas NDEF simples que tú posees: una contraseña de Wi-Fi en un sticker junto al router, una vCard en una tarjeta de presentación, una etiqueta disparadora junto a tu puerta. Esas etiquetas guardan un registro estático y sin cifrar que tú mismo escribiste, algo muy distinto del intercambio cifrado en vivo que tu teléfono hace con un banco en cada toque.

Si tienes curiosidad por lo que realmente contiene una etiqueta NFC que ya posees, abre NFCore y escanéala — verás exactamente lo que está guardado, a la vista.

Preguntas Frecuentes

¿Apple Pay o Google Pay envían alguna vez mi número de tarjeta real a una tienda?

No. Ambos envían en su lugar un número tokenizado y propio del dispositivo — un Device Account Number en Apple Pay, un DPAN en Google Pay — más un código de un solo uso válido solo para esa transacción.

¿Cuál es la diferencia entre el Secure Element de Apple Pay y el HCE de Google Pay?

Apple Pay guarda el token en un chip de hardware dedicado, aislado del procesador principal. Google Pay usa sobre todo host-based card emulation — software que Android añadió en la versión 4.4 y que evita el chip separado. Mismo objetivo, ruta distinta.

¿Alguien podría interceptar mi toque como podría clonar la banda magnética de una tarjeta?

Es mucho más difícil. El código de seguridad se genera de nuevo en cada transacción y no es reutilizable, y el corto alcance del NFC limita de entrada los intentos de interceptación. No hay un número de tarjeta reutilizable que robar aunque alguien lograra capturar un solo toque.

¿Es el mismo NFC que lee y escribe NFCore?

Es la misma tecnología de radio, pero un uso distinto. Apple Pay y Google Pay ejecutan un intercambio cifrado y tokenizado con un banco. NFCore lee y escribe datos NDEF simples y sin cifrar en etiquetas que tú posees — ahí no hay ningún dato de tarjeta involucrado.

Conclusión

Apple Pay y Google Pay resuelven el mismo problema de dos formas: mantener tu número de tarjeta real fuera del alcance del comercio, ya sea que esa protección viva en un chip dedicado o en software aislado. De cualquier forma, lo que sale de tu teléfono es un token y un código de un solo uso, nunca tu tarjeta. ¿Curiosidad por qué el toque tiene que ser tan cercano? El análisis de alcance y distancia del NFC cubre la física detrás de eso.