Protección por contraseña vs. bloqueo permanente en etiquetas NFC: ¿cuál es la diferencia?

Si alguna vez has escrito datos en una etiqueta NFC y has querido evitar que se puedan cambiar, tienes dos herramientas muy distintas a tu disposición: una contraseña que bloquea la escritura pero se puede revertir, y un bloqueo permanente que nadie puede deshacer — ni siquiera tú. Confundir ambas es la forma más común de acabar con una etiqueta que ya no puedes actualizar, cuando una contraseña habría bastado.

Respuesta rápida

La protección por contraseña —PWD, PACK y AUTH0 en los chips de la familia NTAG— es reversible. Si conoces la contraseña actual, puedes cambiar qué está protegido, redefinir su alcance o eliminarla por completo más adelante. El bloqueo permanente es distinto: los lock bytes y los bits OTP (one-time-programmable) hacen un cambio físico y de un solo sentido. Una vez bloqueada una página, ningún lector, contraseña o comando puede volver a escribir en ella.

Regla general: usa una contraseña cuando tú (o alguien más) pueda necesitar editar la etiqueta más adelante. Usa un bloqueo permanente solo cuando el contenido no vaya a cambiar nunca, sin excepciones. Ninguno de los dos es cifrado — ambos controlan quién puede escribir, no quién puede leer. Cualquiera que acerque el móvil a una etiqueta protegida con contraseña puede seguir leyéndola; lo que se bloquea es la escritura.

Paso a paso

Configurar la protección por contraseña (PWD/PACK/AUTH0)

En chips NTAG213/215/216 y similares, tres valores de configuración hacen el trabajo:

• PWD — una contraseña de 32 bits que tú eliges.
• PACK — un valor de confirmación de 16 bits (password acknowledge), verificado junto con PWD durante la autenticación.
• AUTH0 — la dirección de página a partir de la cual se exige verificación de contraseña. Cualquier lectura o escritura en esa página o en páginas posteriores requiere primero un intercambio PWD/PACK correcto.

Si defines AUTH0 en una página posterior a la última que usas, la protección queda desactivada en la práctica — y eso es justo lo que la hace reversible. Mientras sigas conociendo la contraseña, puedes reescribir PWD, PACK y AUTH0 más adelante para cambiar el alcance o desactivarla del todo. Un dato clave: PWD y PACK nunca se pueden leer por NFC — esas páginas siempre devuelven ceros a cualquier lector, así que la contraseña nunca queda expuesta. Además, la mayoría de los cambios de configuración solo surten efecto tras el siguiente encendido de la etiqueta (cuando sale y vuelve a entrar en el campo de un lector); las escrituras de PWD/PACK son la excepción y se aplican de inmediato.

Hacer un bloqueo permanente (OTP / lock bytes)

Los lock bytes estáticos y dinámicos, junto con los bits OTP, actúan a un nivel más bajo y físico. Activar un bit de bloqueo elimina el acceso de escritura a esa página para siempre — ninguna contraseña ni comando lo revierte. Es la misma función de nuestra guía sobre cómo bloquear una etiqueta de forma permanente: pensada para contenido que nunca debe cambiar, igual que el UID de una etiqueta, fijado de fábrica e inalterable por nadie.

Problemas comunes y cómo solucionarlos

Bloquear una etiqueta que en realidad vas a necesitar actualizar. Una tarjeta de presentación o una etiqueta de Wi-Fi reutilizable no necesita un bloqueo permanente — necesita una contraseña, para que puedas seguir editándola más adelante. Usa por defecto la protección por contraseña salvo que estés seguro de que el contenido es definitivo.

Poner una contraseña y luego perderla. No existe forma de recuperarla. Anota la contraseña en un lugar seguro antes de escribirla en la etiqueta — NFCore no puede recuperar una contraseña que nunca ha guardado.

Suponer que una etiqueta bloqueada o protegida oculta sus datos. No es así — ambos mecanismos protegen la escritura, no la lectura. Si quieres partir de cero, una etiqueta que aún se pueda escribir se puede borrar y reformatear; una que esté bloqueada permanentemente no, por definición.

Cómo hacerlo en NFCore

El flujo de escritura de NFCore te permite establecer una contraseña en chips NTAG compatibles antes de escribir, y ofrece una opción de bloqueo permanente aparte para cuando el contenido sea definitivo. Recomendamos la contraseña para cualquier cosa que puedas querer actualizar —una tarjeta de presentación digital, una etiqueta de Wi-Fi, un disparador de Atajos— y reservar el bloqueo permanente para casos de una sola vez, como una etiqueta de inventario fija o una pegatina de autenticidad sellada. Ambas opciones están en la misma pantalla de escritura, tanto en iOS como en Android.

Preguntas frecuentes

¿Puedo quitar la protección por contraseña una vez configurada?

Sí — si sigues conociendo la contraseña, puedes reescribir PWD, PACK y AUTH0 para cambiar qué está protegido o desactivar la protección por completo. Esa es la diferencia clave frente a un bloqueo permanente: la protección por contraseña es un ajuste que puedes volver a cambiar, no un viaje de ida.

¿Qué pasa si olvido la contraseña de una etiqueta protegida?

Pierdes el acceso de escritura para siempre. La etiqueta suele seguir siendo legible, pero no podrás editarla ni reformatearla sin la contraseña, y no hay recuperación posible — NFCore nunca la guarda.

¿Bloquear una etiqueta de forma permanente también oculta sus datos a los lectores?

No. Ni la protección por contraseña ni el bloqueo permanente son cifrado. Ambos controlan quién puede escribir en la etiqueta, no quién puede leerla — cualquiera que acerque el móvil a una etiqueta bloqueada o protegida con contraseña sigue viendo sus datos almacenados, a menos que la lectura esté restringida por separado, algo que la mayoría de las etiquetas de consumo no admite.

Conclusión

La protección por contraseña es un control de acceso reversible; el bloqueo permanente es un cambio físico de un solo sentido. Elige según si el contenido de la etiqueta va a cambiar alguna vez o no — y si tienes dudas, empieza con una contraseña. Siempre podrás bloquearla de forma permanente más adelante. Lo contrario ya no es posible.