Haz coincidir tu etiqueta Wi-Fi con tu router: los campos de seguridad que importan
Una etiqueta NFC Wi-Fi guarda un tipo de autenticación y un tipo de cifrado junto a la contraseña. Así eliges valores que encajen con tu router.
Respuesta rápida
Una etiqueta Wi-Fi guarda dos campos de seguridad junto a la contraseña: un tipo de autenticación y un tipo de cifrado. Configura ambos con el modo que tu router usa de verdad. En la mayoría de las redes domésticas eso es WPA2-Personal con AES. Si los valores de la etiqueta no coinciden con los del router, el teléfono no puede completar la conexión y la etiqueta parece rota aunque la contraseña sea correcta.
Qué guarda una etiqueta Wi-Fi
Una etiqueta Wi-Fi contiene un registro NDEF de tipo application/vnd.wfa.wsc. Dentro hay una credencial con el nombre de la red (SSID), un tipo de autenticación, un tipo de cifrado y la clave de red, según la documentación de ndeflib. Los cuatro son obligatorios. Recorremos el registro completo en el registro WSC explicado, así que esta guía se centra en los dos campos de seguridad.
Los dos campos que deben coincidir
La autenticación indica cómo la red comprueba quién puede entrar. El cifrado indica cómo se protege el tráfico después. La página de ndeflib enumera los valores permitidos:
| Modo del router | Autenticación | Cifrado |
|---|---|---|
| Red abierta | Open (0x0001) | None (0x0001) |
| WPA2-Personal | WPA2-Personal (0x0020) | AES (0x0008) |
| WPA y WPA2 mixto | Mixto (0x0022) | TKIP y AES mixto (0x000C) |
Tres detalles te ahorrarán problemas:
- WEP y WPA-Personal simple están obsoletos en el formato, y TKIP lo está salvo en modo mixto.
- Los valores mixtos requieren WSC versión 2.0 o posterior.
- Un lector no debe asumir que los campos aparecen en un orden concreto, así que no edites bytes a mano esperando un diseño fijo.
Abre los ajustes inalámbricos de tu router, lee el modo de seguridad y elige la fila correspondiente. ¿No estás seguro? WPA2-Personal con AES es la combinación que el formato describe con más claridad.
Una rareza que conviene conocer: un hilo de ST Community muestra una biblioteca que fija el valor "none" en 0 en lugar del 1 de la especificación, con el comentario de que es para el soporte nativo de Android. Por eso los valores de un volcado en bruto pueden diferir de la tabla anterior.
Dónde se complica WPA3
La especificación Wi-Fi Protected Setup, v2.0.8, no define tipos de autenticación WPA3, como señala el moderador de ese hilo de ST. Un registro Wi-Fi estándar no tiene ningún valor que diga "WPA3". El mismo hilo menciona Wi-Fi Easy Connect como la alternativa de la Wi-Fi Alliance, que usa un registro NDEF de tipo URI en lugar del registro WSC.
¿Y un router WPA3? Cisco indica que con el modo de transición activado en un SSID, los dispositivos WPA2 y WPA3 pueden conectarse a la vez. Si tu router ofrece ese modo, una etiqueta WPA2-Personal apunta a la misma red y contraseña. Comprueba los ajustes del router antes de fiarte de ello. No encontramos ninguna fuente que diga que todos los routers ofrecen la opción.
El modo de transición tiene un coste. Cisco añade que puede exponer a los dispositivos WPA3 a ataques de degradación. Si tu router está configurado solo en WPA3, una etiqueta escrita con el registro estándar no es la herramienta adecuada, y escribir la contraseña a mano es más seguro que adivinar valores.
Exposición de la contraseña
La etiqueta guarda las credenciales sin cifrar. Una página del paquete ndef de Dart dice que el token de configuración Wi-Fi lleva credenciales sin cifrar, así que cualquiera que pueda leer la etiqueta puede recuperar la contraseña del Wi-Fi. Pon la etiqueta en una red de invitados, no en tu red principal. Escribe etiquetas solo para redes que sean tuyas o que administres.
Prueba la etiqueta
Escribe la etiqueta, vuelve a escanearla y comprueba que el tipo de registro y los dos campos de seguridad coinciden con tu router. NFCore puede escribir e inspeccionar registros Wi-Fi en iPhone y Android. Después acércala a un teléfono que no esté en la red.
Las plataformas difieren aquí. Android actúa sobre el registro Wi-Fi, mientras que un iPhone no se une automáticamente a partir de él; consulta por qué un iPhone no se une automáticamente desde una etiqueta. Si tus invitados llevan los dos tipos de teléfono, añade una URL de respaldo después del registro Wi-Fi.
Conclusión
Lee el modo de seguridad de tu router y escribe en la etiqueta la misma pareja de autenticación y cifrado. WPA2-Personal con AES cubre la mayoría de las redes domésticas, el modo mixto cubre las configuraciones antiguas WPA y WPA2, y los routers solo WPA3 quedan fuera de lo que el registro estándar puede expresar. Vuelve a escanear la etiqueta antes de pegarla en la pared.
Preguntas frecuentes
¿Qué modo de seguridad debo elegir para una etiqueta NFC Wi-Fi?
El de tu router. WPA2-Personal con AES es la combinación que el formato describe con más claridad. Usa los valores mixtos solo si el router está en modo mixto WPA y WPA2.
¿Puede una etiqueta NFC guardar una red WPA3?
La especificación Wi-Fi Protected Setup v2.0.8 no define tipos de autenticación WPA3, así que un registro Wi-Fi estándar no puede nombrar WPA3. Un router en modo de transición WPA3 sigue aceptando dispositivos WPA2 en la misma red.
¿Está cifrada la contraseña de la etiqueta?
No. El token de configuración Wi-Fi lleva la clave de red sin cifrar, así que cualquiera que pueda leer la etiqueta puede recuperarla. Usa una red de invitados.
¿Qué pasa si los campos de seguridad no coinciden con el router?
El teléfono no puede completar la conexión con esos ajustes, así que la etiqueta parece fallar aunque la contraseña sea correcta. Reescribe la etiqueta con valores que coincidan con el modo del router.