7. Portal de verificación
Cada mandato firmado lleva impresos al pie un código de verificación y un QR. Con cualquiera de los dos se puede comprobar, desde una página pública, que el documento es auténtico y que no se ha alterado.
Para qué sirve
Para que quien tenga el papel delante pueda comprobarlo sin entrar en tu ERP y sin llamarte: el propio deudor, su gestoría, su banco, o tú mismo desde el móvil.
La dirección es TU-INSTALACION/MandatoSepaVerify. Se llega escaneando el QR o tecleando el código.
Qué dice
- Mandato firmado y vigente. El contenido coincide con lo que se firmó.
- El contenido no coincide con lo que se firmó. Alguien ha tocado el mandato después de firmarlo.
- Mandato auténtico, pero sustituido por otro posterior.
- No hay ningún mandato firmado con ese código.
Y según el caso, tres avisos más:
- Si tiene modificaciones posteriores a la firma, lo dice y cuántas. Forman parte del mandato.
- Si es un mandato anterior al plugin del que no se conserva el documento, lo dice expresamente.
- Si el escaneado archivado ya no es el que se registró, lo dice. La huella del fichero se comprueba de verdad, no solo se guarda.
Qué muestra y qué no
Muestra la referencia, el estado, el acreedor, el esquema, el tipo de pago, la fecha de firma, la localidad y la huella SHA-256.
No publica el nombre completo del deudor —solo una forma abreviada—, ni su IBAN, ni su dirección, ni su correo, ni el enlace de firma. Es una página pública a la que llega cualquiera que tenga el código: solo confirma lo que se está comprobando.
Cómo funciona la huella
Al firmar se calcula un SHA-256 sobre el contenido del mandato: acreedor, deudor, IBAN, referencia, fechas, esquema, tipo de pago y la propia imagen de la firma. Cambiar un solo dígito del IBAN en la base de datos hace que el portal deje de dar el documento por bueno.
Cuando el mandato se modifica por el camino legítimo —un cambio de cuenta de cargo—, el plugin conserva los valores tal y como se firmaron, así que la verificación sigue dando correcta y la página avisa aparte de que hay modificaciones. Un cambio autorizado no puede parecer una manipulación.
Seguridad de la página
El código de verificación es aleatorio y no correlativo: no se llega al mandato de otro cliente probando el siguiente. La página no se puede empotrar en un iframe de otro sitio, y los códigos que no existen no devuelven ninguna pista sobre si existían o no.
Puede probarlo en la demo