Faltan pocas horas para el cierre de la oferta, el archivo está listo, y el token pide el PIN una y otra vez hasta que aparece el mensaje que nadie quiere leer: dispositivo bloqueado. A partir de ese momento el reloj corre en contra y las decisiones improvisadas suelen empeorar la situación. Este artículo propone un plan de contingencia realista, escrito antes de la emergencia, para que la respuesta sea un procedimiento y no una carrera de nervios.
Qué significa realmente "token bloqueado"
Los tokens llevan un contador de intentos fallidos de PIN. Al agotarlo, el dispositivo se bloquea para impedir que alguien adivine la clave por fuerza bruta. Según el fabricante, existe un código de desbloqueo (PUK) que permite reponer el PIN, y ese PUK también tiene su propio contador. Si se agotan ambos, en muchos modelos el dispositivo queda inutilizable de forma definitiva y el camino es emitir un certificado nuevo.
Tres cosas dependen enteramente del fabricante y del modelo: cuántos intentos hay, si existe PUK y si el desbloqueo es posible sin perder el certificado. No hay una regla común a todos los tokens del mercado ecuatoriano, así que la respuesta correcta a "¿cuántos intentos me quedan?" es consultar la documentación del dispositivo o a tu proveedor, no suponer. El procedimiento general está en cómo desbloquear el PIN del token.
Lo primero: dejar de probar
El error más caro es seguir intentando PIN "por si acaso". Cada intento fallido acerca el bloqueo definitivo. El protocolo de los primeros minutos es corto:
- Detener los intentos y anotar el mensaje exacto que muestra el software.
- Verificar que el problema sea el PIN y no otra cosa: un token que no es detectado por el equipo no está bloqueado, está mal conectado o le falta middleware. Revisa token no reconocido por la computadora.
- Descartar el teclado: mayúsculas activadas, distribución de teclado distinta o un carácter que el software no acepta explican muchos "PIN incorrecto". El caso está descrito en la contraseña es correcta pero da error.
- Activar la contingencia en paralelo, sin esperar a agotar el camino técnico.
El plan de contingencia: tres frentes en paralelo
| Frente | Acción | Responsable típico |
|---|---|---|
| Técnico | Intentar desbloqueo con PUK según el procedimiento del fabricante, una sola vez y con el dato confirmado | Sistemas o el custodio del token |
| Alternativo | Activar la firma de respaldo: segundo firmante autorizado o certificado en otro formato ya emitido | Área legal o gerencia |
| Comercial | Gestionar la emisión de un certificado nuevo con el proveedor, en línea, sin esperar el resultado del frente técnico | Compras o administración |
La clave está en la palabra "paralelo". Si esperas a que falle el desbloqueo para recién pedir un certificado nuevo, pierdes el margen que te quedaba. La emisión es 100% en línea y toma aproximadamente 30 minutos, pero requiere que la persona esté disponible para el proceso de validación de identidad, y esa disponibilidad es lo que hay que asegurar de inmediato.
La redundancia que hay que tener antes, no después
Ninguna contingencia funciona si la empresa depende de una sola firma. Lo que conviene tener resuelto de antemano:
- Un segundo firmante habilitado para los procesos críticos, con su propio certificado vigente y con facultades documentadas. En compras públicas esto se planifica junto con el registro; revisa firma electrónica para proveedores del Estado.
- Un formato alterno: si el firmante principal trabaja con token, tener resuelto que exista una vía en la nube para casos de contingencia evita depender de un objeto físico.
- El PIN y el PUK custodiados correctamente: en un gestor de contraseñas corporativo o sobre sellado, nunca en un adhesivo pegado al token ni en un chat.
- Los datos del dispositivo documentados: marca, modelo y a quién está asignado, como parte del inventario.
- Un contacto de soporte identificado, con el canal y el horario claros, antes de necesitarlo.
Prevención específica para semanas de licitación
Los bloqueos rara vez son aleatorios: aparecen cuando alguien usa un token que llevaba meses guardado, o cuando lo usa una persona distinta a la habitual. Medidas simples que reducen mucho el riesgo:
- Prueba de firma con anticipación: días antes del cierre, firmar un documento de prueba en el mismo equipo y con el mismo software con el que se subirá la oferta.
- Congelar cambios: no actualizar middleware, Java ni sistema operativo en la semana crítica.
- Un solo responsable del token durante el proceso, para que nadie más intente PIN.
- Verificar la vigencia del certificado antes de empezar a preparar la oferta, con el método de cómo verificar si el certificado caducó.
- Preparar el paquete completo antes del último día, dejando la firma como último paso y no como carrera final.
La preparación de ofertas está desarrollada en firma electrónica para ofertas en contratación pública.
Después del incidente: cerrar el ciclo
Cuando la urgencia pasa, queda la parte que casi nadie hace y que evita la repetición: registrar qué ocurrió, por qué, cuánto tiempo tomó recuperarse y qué faltó. Si el token quedó inutilizable, hay que retirarlo del inventario, revocar el certificado si corresponde y dejar constancia. Si el problema fue de custodia del PIN, corresponde revisar la política; ese tema lo tratamos en seguridad física de los tokens.
Y si el incidente dejó en evidencia que la empresa no puede permitirse depender de un dispositivo físico para procesos con fecha límite, la conversación siguiente es de arquitectura, no de soporte. Consulta el precio actualizado de cada formato en la página de precios.
Omnifox: que la urgencia no se pierda en un chat personal
En una contingencia, el peor escenario es que la coordinación viva en el WhatsApp personal de una persona que además está resolviendo el problema. El grupo detrás de Firmas.com.ec desarrolla Omnifox, plataforma omnicanal que concentra WhatsApp, redes, correo y llamadas en una bandeja compartida, con asignación y seguimiento. La conversación queda en la empresa, visible para quien deba tomar el relevo. Conócela en omnifox.io.
Preguntas frecuentes
¿Cuántos intentos de PIN tengo antes de que se bloquee el token?
Depende del fabricante y del modelo. No existe un número común a todos los tokens; consulta la documentación del dispositivo o pregunta a tu proveedor antes de arriesgar intentos.
Si el token quedó bloqueado, ¿puedo recuperar el certificado?
Si el fabricante prevé desbloqueo con PUK y el PUK sigue disponible, en general sí. Si no hay PUK o también se agotó, el dispositivo suele quedar inutilizable y corresponde emitir un certificado nuevo.
¿Puedo restaurar un respaldo del token?
No. La clave privada se genera dentro del dispositivo y no se puede copiar ni respaldar. Esa es justamente la característica que hace seguro al token, y también la que impide restaurarlo.
¿Otra persona de la empresa puede firmar la oferta en mi lugar?
Solo si tiene facultades para hacerlo y su propio certificado vigente. Prestar el token es una mala idea: la firma es personal e intransferible y la responsabilidad recae en el titular.
¿Cuánto demora conseguir un certificado de reemplazo?
La emisión es 100% en línea y toma aproximadamente 30 minutos, siempre que la persona esté disponible para el proceso de validación. Por eso lo primero en una contingencia es asegurar esa disponibilidad.
Si tu empresa participa en procesos con fecha límite, te ayudamos a dejar armada la redundancia de firmas antes de la próxima licitación. Escríbenos para cotizar el plan corporativo y un asesor revisa contigo el escenario de tu empresa.